Legalstart : coordonnées de clients extraites via la faille Metabase CVE-2026-72898

Le 22 septembre 2026, Legalstart, plateforme de formalités juridiques en ligne éditée par la société Yolaw, a informé une partie de ses clients qu’un tiers non autorisé avait extrait certaines de leurs données personnelles. L’intrusion, détectée le 9 septembre, exploitait une faille critique référencée CVE-2026-72898 dans Metabase, un outil d’analyse et de tableaux de bord utilisé en interne, en contournant son dispositif d’authentification. Legalstart a déclaré l’incident à la CNIL le 14 septembre, indique avoir révoqué les accès frauduleux, mandaté des experts en cybersécurité et déposé plainte pour accès frauduleux à un système de traitement automatisé de données.

Cette même vulnérabilité Metabase explique une vague d’incidents distincts touchant plusieurs organisations françaises depuis le mois d’août 2026, parmi lesquelles TeleCoop, Scalingo, TimeTonic ou Zéro Logement Vacant, chacune ayant été atteinte via sa propre instance du logiciel. Rien à ce stade ne permet d’établir un hébergement ou un prestataire commun entre Legalstart et ces autres organisations : il s’agit d’exploitations indépendantes d’une même faille rendue publique début août, plutôt que d’une chaîne de sous-traitance unique. Le rapprochement avec cette série reste donc de nature technique, pas organisationnelle.

Le périmètre reconnu par Legalstart se limite au nom, au prénom, à l’adresse électronique et au numéro de téléphone des clients concernés. L’éditeur précise explicitement qu’aucun mot de passe, aucune coordonnée bancaire et aucun document juridique n’a été identifié parmi les données extraites, ce qui circonscrit le risque immédiat à l’hameçonnage ciblé. Le volume exact de clients touchés n’est en revanche pas communiqué, ce qui empêche d’évaluer l’ampleur réelle de l’exposition au-delà du type de données concerné.

Le risque principal identifié par Legalstart elle-même est celui d’un hameçonnage ciblé. Un attaquant disposant du nom, de l’adresse électronique et du numéro de téléphone d’un client peut se faire passer de façon crédible pour Legalstart ou pour un organisme administratif avec lequel ses clients interagissent naturellement, greffier de tribunal de commerce, INPI ou services fiscaux, puisque la nature même de l’activité de Legalstart (création d’entreprise, dépôt de statuts, formalités d’immatriculation) laisse deviner le type de démarche en cours. Les entreprises clientes ont donc intérêt à vérifier par un canal indépendant toute sollicitation inhabituelle portant sur leurs formalités, plutôt que de répondre directement à un appel ou un message se présentant comme officiel.

Pour les personnes concernées, la prudence porte sur les sollicitations téléphoniques ou électroniques se présentant comme émanant de Legalstart, d’un greffe ou d’une administration liée à la création ou à la gestion d’entreprise, en particulier lorsqu’elles demandent une confirmation d’identité ou un paiement urgent. Aucune action de changement de mot de passe n’est nécessaire pour ce périmètre précis, en l’absence de compromission de ce type de donnée selon Legalstart, mais la vigilance reste de mise tant que le volume exact de personnes touchées n’est pas rendu public.