6 410 comptes LuxTrust liés à Thales : fuite revendiquée

Le 12 mai 2026, LuxTrust — société luxembourgeoise spécialisée dans les identités numériques, les certificats électroniques et les signatures qualifiées utilisés à travers l'Europe — a vu des données d'utilisateurs liées à sa plateforme de services de confiance publiées sur un forum cybercriminel. Un acteur malveillant utilisant le pseudonyme ChimeraZ a mis en ligne un fichier JSON de 85 Mo contenant environ 6 410 profils utilisateurs, présentés comme liés au groupe français de défense et de technologie Thales, qui s'appuie sur LuxTrust comme prestataire externe de confiance numérique.

Les enregistrements divulgués semblent provenir d'une plateforme de signature électronique et de services de confiance numérique, et non des systèmes internes de Thales. Le vecteur exact de l'intrusion n'a pas été précisé dans les informations publiques.

Les données exposées comprendraient :

• Noms et prénoms
• Adresses e-mail
• Numéros de téléphone
• Organisations / employeurs associés
• Rôles utilisateurs (par ex. SIGNER, WATCHER, GDPR) et statuts de comptes

Thales a indiqué qu'à ce stade, aucun impact sur les opérations du groupe ou de ses clients n'était confirmé, qu'une enquête avait été ouverte avec le prestataire externe et que la CNIL avait été informée. L'authenticité complète et l'origine de la base n'ont pas été confirmées publiquement, l'incident restant sous investigation. Le principal risque pour les personnes concernées réside dans des tentatives ciblées d'hameçonnage, d'ingénierie sociale et de prise de contrôle de comptes exploitant les coordonnées et les rôles exposés.