Des collaborateurs d'Eiffage et des contacts extérieurs au groupe sont concernés par une fuite de données visant NextSend, un outil de transfert sécurisé de fichiers utilisé par l'entreprise. Environ 176 000 personnes figureraient dans les fichiers, dont la divulgation a été revendiquée le 25 février 2026. NextSend est édité par un prestataire tiers, et non par Eiffage.
Qui figure dans les données de NextSend
La fuite ne vise pas un logiciel développé par le groupe de BTP et de concessions, mais un outil fourni par un prestataire et utilisé pour échanger des fichiers. Les données mêlent des collaborateurs internes et des contacts externes, ce qui étend l'exposition au-delà des seuls salariés d'Eiffage.
Des identifiants et des données commerciales
Les informations recensées réunissent l'identité et l'adresse électronique, des identifiants de connexion (nom d'utilisateur et mot de passe conservé sous une forme transformée, dite hachée) et des données commerciales et financières : numéro SIRET et identifiant fiscal, montants, historique de transactions et indicateurs de satisfaction. Des adresses IP et des informations sur les appareils utilisés figurent également dans la liste.
Ce mélange intéresse ceux qui cherchent à monter une fraude au faux fournisseur ou au faux interlocuteur : connaître le nom d'un contact, son entreprise, les montants échangés et l'outil qu'il utilise rend un courriel frauduleux beaucoup plus crédible, par exemple pour faire modifier des coordonnées de paiement. Un mot de passe haché n'est pas lisible directement, mais il peut parfois être retrouvé lorsqu'il est simple, ce qui fragilise les comptes où le même mot de passe est réutilisé.
Les éléments rendus publics permettent de tenir cette fuite pour confirmée.
Détails techniques :
- 175 942 enregistrements, soit environ 176 000
- Plateforme visée : NextSend, outil de transfert sécurisé de fichiers édité par un prestataire tiers
- Collaborateurs internes et contacts externes
- Mots de passe stockés sous forme hachée
- Divulgation revendiquée le 25 février 2026
Données concernées :
- Nom complet
- Adresse email
- Identifiant fiscal et numéro SIRET
- Identifiant de connexion
- Mot de passe (haché)
- Historique de transactions et montants
- Données professionnelles, dont indicateurs de satisfaction
- Fiche client
- Adresse IP
- Données d'appareil
Mentions :
Statut Fuites Infos : Confirmée