Violation de l'environnement Microsoft 365 de Questel par vishing (extorsion ShinyHunters)

Le 13 août 2026, Questel (entreprise française qui gère les portefeuilles de brevets et de marques d'entreprises et de cabinets d'avocats) a confirmé que des attaquants avaient obtenu un accès non autorisé à une partie de son environnement Microsoft 365 à la suite d'un appel d'hameçonnage vocal (vishing) visant les identifiants d'un employé. Les intrus ont atteint un site SharePoint de l'équipe commerciale et en ont exfiltré le contenu.

Cette confirmation fait suite à l'ajout de Questel, début août, sur le site de fuite du groupe d'extorsion ShinyHunters, avec un ultimatum de paiement fixé au 4 août. Une fois l'échéance passée, le groupe a publié les données dérobées. ShinyHunters revendiquait plus de 21 millions d'enregistrements Salesforce et 147 Go de fichiers internes ; Questel a refusé de confirmer ce chiffre, et la version de l'entreprise, qui situe le point d'entrée dans SharePoint, ne correspond pas entièrement à la revendication de l'attaquant portant sur Salesforce.

Données exposées

L'index de fuites XposedOrNot a ensuite recensé 1 744 241 enregistrements issus de la fuite, dont environ 1,7 million d'adresses e-mail uniques, accompagnées d'adresses postales, de dates de naissance et de numéros de téléphone. Questel a indiqué que ses plateformes de propriété intellectuelle en production et ses services SaaS n'avaient pas été touchés, qu'aucun indice ne montrait une présence persistante des intrus et qu'une analyse forensique des données publiées était en cours. L'entreprise a notifié la CNIL, déposé plainte et commencé à contacter les clients concernés.

Pourquoi c'est important

Questel détient des informations commerciales sensibles sur les stratégies de brevets et de marques de ses clients, ce qui donne à ses données clients et commerciales une valeur bien supérieure à de simples coordonnées. L'intrusion suit le mode opératoire de ShinyHunters observé en 2026 chez McKesson, RingCentral et d'autres : aucune exploitation logicielle, simplement un appel téléphonique convaincant à un employé, suivi d'une extraction massive depuis les outils de collaboration et de CRM dans le cloud et d'une demande de type « payer ou fuiter ».