Déclic Services : 13 000 comptes exposés et site de production détourné par l'attaquant

Le 23 août 2026, l’acteur ZeroBytes a revendiqué l’extraction de 6 271 531 lignes de base de données chez Déclic Services, coopérative française spécialisée dans la gestion des services à la personne, qui accompagne intervenants et clients sur la facturation et la coordination des prestations. La revendication s’est accompagnée d’un geste rare : la modification du site de production declicservices.fr lui-même, transformé en support d’annonce affichant le détail de l’attaque et des extraits de données.

Ce détournement change la nature de la vérification habituelle. Là où la plupart des revendications reposent sur un échantillon publié sur un forum, dont l’origine ne peut être établie qu’indirectement, la capacité à écrire sur le site public de l’organisation démontre un accès actif à l’environnement de production au moment de la publication. Le doute ne porte donc plus sur la réalité de la compromission, mais sur l’ampleur exacte de ce qui a été copié.

Le décompte illustre parfaitement l’écart entre lignes et personnes que nous détaillons dans notre méthode de lecture d’une revendication. Les 6,27 millions de lignes annoncées correspondent à l’ensemble des tables d’un système de gestion, avec leur historique de prestations et de facturation, et se ramènent à environ 13 000 comptes utilisateurs : près de 12 400 clients et 850 intervenants, pour 14 947 adresses e-mail uniques et 6 451 IBAN uniques. Un chiffre en millions rapporté sans cette distinction aurait donné une image totalement fausse de l’incident.

La sensibilité tient ici moins au volume qu’à la nature des données. Un fichier de services à la personne associe une adresse de domicile, un IBAN, l’historique des interventions et donc, indirectement, les habitudes de présence des personnes accompagnées, dont une partie sont âgées ou dépendantes. Les empreintes de mots de passe s’y ajoutent, avec le risque classique de réutilisation sur d’autres services. Selon le récit de l’attaquant, la compromission remonte au 10-14 août à la suite de l’hameçonnage d’identifiants d’administration, des accès anormaux ayant été repérés dans les journaux dès le 15 août. À la date de rédaction, aucune notification aux personnes concernées ni aucune communication de la coopérative n’a été rendue publique, ce qui justifie le statut « alléguée » retenu ici malgré l’évidence matérielle du détournement du site. ZeroBytes est le même acteur que celui ayant revendiqué les intrusions à la DGFiP, la fuite du Drive d’Intermarché et les fichiers de l’Éducation nationale.