Fuite de données chez Dream Up (LAPSUS$) sur plusieurs sites

Le 4 janvier 2026, Dream Up — une agence web française (dream-me-up.fr) qui conçoit et héberge des sites pour ses clients — a été désignée comme la source d'une importante fuite de données revendiquée par le groupe LAPSUS$. Les attaquants ont exfiltré environ 40 Go de fichiers issus de 54 bases SQL de clients de l'agence et, plutôt que d'exiger une rançon, ont diffusé les données volées publiquement et gratuitement.

La compromission est attribuée à un hébergement mutualisé de bases de données via phpMyAdmin, qui a permis aux attaquants d'accéder simultanément aux identifiants et au contenu de plusieurs bases clientes. Les sites touchés étaient majoritairement des projets e-commerce et vitrines de petites et moyennes structures, nombre d'entre eux développés sous WordPress et PrestaShop.

Les données exposées concernaient les clients et contacts professionnels des sites hébergés, notamment :

• Noms et coordonnées des clients
• Informations de comptes et de commandes des boutiques e-commerce
• Données professionnelles et de contact des sites vitrines

Parce que le jeu de données a été diffusé librement plutôt que conservé à des fins d'extorsion, les personnes concernées sont fortement exposées au risque d'hameçonnage et d'usurpation d'identité. L'incident reste en cours alors que les bases divulguées circulent publiquement ; les mesures recommandées incluent la réinitialisation des mots de passe, l'audit des versions des CMS et la migration hors des infrastructures phpMyAdmin mutualisées vers un hébergement isolé.