Groupe Atalian : exfiltration de données après rançongiciel

Le Groupe Atalian, acteur français des services aux entreprises (propreté, sécurité, accueil, maintenance multitechnique), a confirmé avoir été victime d’un acte de cyber-malveillance de type rançongiciel sur ses systèmes le 6 décembre 2025. Dans un communiqué de presse officiel daté du 26 décembre 2025, l’entreprise indique avoir immédiatement pris les dispositions de circonscription et de sécurisation, déposé plainte et adressé une notification initiale à la CNIL dans les délais légaux. La fuite est donc confirmée par l’organisation elle-même et entre dans la fenêtre de janvier 2025 à mai 2026.

Selon le communiqué, un faible pourcentage des données stockées sur les espaces concernés aurait été exfiltré. Les données potentiellement concernées comprennent des données bancaires nécessaires à l’exécution des contrats clients, des documents d’identité, certaines données sensibles ou à caractère hautement personnel, ainsi que des informations internes de gestion du personnel (RH). Atalian a publié une communication au titre de l’article 34 du RGPD et invité les personnes potentiellement impactées à la vigilance face aux risques d’usurpation d’identité, de fraude et d’hameçonnage.

L’attaque a été revendiquée par le groupe de rançongiciel Qilin, dont la publication sur son site d’extorsion a été repérée vers le 28-29 décembre 2025 par plusieurs services de veille en cybersécurité. Ces sources évoquent un volume d’environ 500 Go de données revendiqué par les attaquants, chiffre issu du groupe criminel et non confirmé officiellement par Atalian. À la date de son communiqué, Atalian indiquait que la plateforme cybermalveillance.gouv.fr ne faisait état d’aucune publication en ligne de ces données.

Le nombre exact de personnes concernées n’a pas été communiqué publiquement, qu’il s’agisse de salariés ou de clients. À noter : l’indice de veille initial mentionnait une date du 9 février 2026, qui ne correspond pas aux éléments vérifiés ; la date de révélation publique retenue est le 26 décembre 2025, cohérente avec le communiqué officiel et le chemin de publication du PDF (dossier daté de décembre 2025).