TeleCoop : une instance Metabase compromise, l'opérateur notifie ses clients avant toute revendication publique
L'opérateur coopératif a été alerté par les services de l'État le 19 août 2026 et a corrigé dès le lendemain. Il a informé ses clients avant que l'attaquant ne rende sa revendication publique.
- Organisation
- TeleCoop (opérateur télécom coopératif)
- Secteur
- Télécom / FAI
- Pays
- France
- Date des faits
- Compromission de la plateforme Metabase de TeleCoop entre le 18 et le 19 août 2026, par contournement du dispositif d'authentification. L'opérateur est alerté le 19 août dans l'après-midi par les services de l'État et déploie un correctif dès le 20 août. Il notifie ses clients avant toute publication. Le 25 août 2026, un acteur utilisant le pseudonyme « diable'fire » revendique publiquement un périmètre nettement plus large que celui reconnu par l'opérateur
- Ampleur
- Aucun décompte officiel communiqué par l'opérateur. L'attaquant revendique 16 182 adresses électroniques, 15 bases de données, 2 661 tables et environ 335 Mo : ce sont des volumes de lignes, de tables et de fichiers, pas un nombre de personnes distinctes confirmé
- Vecteur
- Exploitation de la CVE-2026-72898 affectant Metabase, par contournement du dispositif d'authentification, sur une instance propre à l'opérateur. L'incident s'inscrit dans une vague d'exploitation de la même vulnérabilité, chaque organisation ayant été touchée via sa propre instance. Aucun lien d'hébergement avec Scalingo, également concerné : TeleCoop est hébergé chez un prestataire distinct
- Données exposées
- Nom et prénom, Adresse électronique, Adresse postale, Numéro de téléphone, Identifiant client ou sociétaire, Détails de certains appels
Entre le 18 et le 19 août 2026, un tiers a contourné le dispositif d’authentification de la plateforme Metabase de TeleCoop, premier opérateur télécom coopératif français. L’incident relève de la même vulnérabilité que celle exploitée chez Scalingo et chez Shipup au cours du même mois, la CVE-2026-72898, chaque organisation ayant été atteinte via sa propre instance. Contrairement à ce que la coïncidence de calendrier pourrait suggérer, il n’existe aucun lien d’hébergement entre TeleCoop et Scalingo.
La réaction est le principal intérêt de cette fiche. L’opérateur a été alerté le 19 août dans l’après-midi par les services de l’État, a déployé un correctif dès le lendemain, et a notifié ses clients avant même qu’une revendication ne soit rendue publique. Cet ordre est inhabituel : dans la plupart des incidents documentés cet été, les personnes concernées apprennent l’existence de la fuite par la presse, plusieurs jours ou plusieurs semaines après l’attaquant. Ici, l’information a précédé la publicité.
Le périmètre reconnu par l’opérateur porte sur l’identité, l’adresse électronique, l’adresse postale, le téléphone, l’identifiant de client ou de sociétaire et les détails de certains appels. TeleCoop indique explicitement que les données bancaires, les mots de passe et les pièces d’identité ne sont pas concernés selon ses vérifications. Les détails d’appel constituent le point le plus sensible du lot, puisqu’il s’agit de métadonnées de communication révélant qui a appelé qui et quand.
Le 25 août, un acteur utilisant le pseudonyme « diable’fire » a revendiqué publiquement un périmètre nettement plus large, incluant des IBAN, des mots de passe et des pièces d’identité, ainsi que 15 bases, 2 661 tables et 16 182 adresses électroniques. Cet écart entre le périmètre reconnu et le périmètre revendiqué est la configuration la plus courante, et il n’est pas tranchable de l’extérieur. Le statut « confirmée » retenu ici porte sur l’incident et sur les catégories reconnues par l’opérateur, pas sur l’ensemble de ce que l’attaquant annonce détenir.