Fuite chez Synbird

Le 18 novembre 2025, Synbird — la plateforme SaaS qui gère la prise de rendez-vous en ligne (notamment pour l'état civil et les titres d'identité) pour environ 1 300 communes françaises — a révélé une fuite de données touchant les administrés de ses clients en mairie. Synbird agissant comme sous-traitant des communes, l'incident s'est propagé en une exposition de type chaîne d'approvisionnement affectant des collectivités dans toute la France, dont des villes comme La Rochelle, Martigues et plusieurs communes bretonnes.

L'intrusion a eu lieu entre le 24 et le 26 octobre 2025 et a été détectée puis bloquée le 26 octobre. Un attaquant s'est connecté au compte Synbird d'un agent municipal — vraisemblablement à l'aide d'identifiants issus d'une précédente fuite sans lien — puis a découvert que la fonction d'export PDF des listes de rendez-vous était moins bien sécurisée que les autres accès aux données. Il s'en est servi pour générer et télécharger une cinquantaine de fichiers par commune, portant sur les rendez-vous créés entre le 8 et le 26 octobre 2025.

Les données exposées se limitent aux informations saisies lors de la prise de rendez-vous :

• Nom et prénom
• Adresse e-mail
• Numéro de téléphone
• Adresse postale
• Date, heure, lieu et objet du rendez-vous

Synbird indique qu'aucun mot de passe, pièce d'identité ni donnée financière n'a été compromis. L'entreprise a notifié la CNIL et l'ANSSI le 27 octobre 2025, corrigé la vulnérabilité de l'export et déployé des mesures supplémentaires (limitation du débit des requêtes, filtrage par IP, authentification à deux facteurs), avec un audit qualifié ANSSI prévu début 2026. Aucun usage frauduleux des données n'avait été détecté au moment de la divulgation.