175 942 personnes exposées dans la fuite de données chez Eiffage (NextSend)

Le 25 février 2026, Eiffage — l'un des plus grands groupes français de construction et de travaux publics (BTP) — a été cité sur le canal de fuites du collectif d'extorsion LAPSUS$, qui revendiquait l'exfiltration et la publication d'une base de données issue de NextSend, la plateforme de transfert de fichiers volumineux (éditée par Hegyd) utilisée en interne par le groupe.

La compromission a touché le service tiers NextSend plutôt que les systèmes internes d'Eiffage. LAPSUS$ a publié 77 fichiers contenant des extractions structurées de la plateforme — comptes, contacts, historique des envois, traces de connexion et données de facturation et de prospection. Au total, 175 942 personnes ont été exposées : environ 50 336 collaborateurs internes d'Eiffage et 125 606 contacts externes (clients, sous-traitants, partenaires et destinataires de fichiers).

Les catégories de données exposées comprenaient :

• Les journaux de connexion des utilisateurs avec adresses IP, navigateur et informations sur l'appareil
• Les données clients et prospects (numéros SIRET, identifiants TVA, chiffres d'affaires, notes de satisfaction)
• Les listes de contacts et journaux d'activité de partage de fichiers (téléchargements, accusés de lecture)
• Les identifiants de comptes administrateurs, stockés sous forme de hachages bcrypt et SHA-512

Le risque le plus immédiat pour les personnes figurant dans la base est le phishing ciblé et la fraude, particulièrement crédibles compte tenu de la combinaison de noms, d'adresses professionnelles et d'identifiants financiers détaillés. Eiffage a publié sur son site une page d'avertissement dédiée à la fraude, reconnaissant l'incident et alertant les personnes et partenaires concernés.