Les utilisateurs professionnels de TimeTonic sont concernés par une fuite revendiquée, qui toucherait environ 51 600 personnes selon la revendication publiée le 25 août 2026. TimeTonic est un éditeur français d'une plateforme no-code de gestion et d'automatisation utilisée par des établissements hospitaliers, des administrations et de grands groupes industriels. À ce stade, l'incident n'a pas été confirmé publiquement par TimeTonic ni par les organisations citées.
Selon la revendication, un acteur présente trois bases extraites de plusieurs instances de l'outil de reporting interne, regroupées en 67 tableurs. Les enregistrements décrits concernent majoritairement des utilisateurs professionnels chez les organisations clientes, avec des informations d'identité et de contact (noms, adresses e-mail professionnelles, téléphones, adresses postales), ainsi que des éléments liés à leur emploi (fonction, employeur). S'y ajouteraient des dossiers de gestion interne comme des demandes de financement de congrès et de formations de praticiens hospitaliers, le suivi de courriers et de questions adressées à des ministères, des journaux de connexion et des tickets de support, ainsi que le fichier commercial et le référentiel de comptes clients de l'éditeur.
La présence conjointe d'identité, de coordonnées professionnelles et d'informations sur l'emploi rend ces données sensibles pour les personnes touchées, qui pourraient être exposées à du démarchage ciblé, du phishing ou à des tentatives d'usurpation professionnelle. Plusieurs grandes organisations seraient particulièrement représentées dans le lot, à raison d'au moins cent adresses professionnelles distinctes chacune, parmi lesquelles des CHU et grands groupes industriels et de services.
Détails techniques :
- Trois bases provenant de plusieurs instances, présentées sous la forme de 67 tableurs
- Archive proposée au téléchargement sur un forum cybercriminel, selon la revendication
- Nombre estimé de personnes concernées : environ 51 600 (51 594 enregistrements signalés)
Données concernées :
- Nom, prénom, nom de famille
- Adresse e-mail professionnelle, numéro de téléphone, adresse postale, ville, code postal, pays
- Données professionnelles et d'emploi (fonction, employeur)
- Fiche client, référentiel de comptes clients, fichier commercial
- Documents et contenu de messages (tickets de support, journaux, courriers)
- Factures et montants
- Adresses web, champs libres
Données annoncées non vérifiées :
- Dossiers de gestion interne (demandes de financement de congrès et de formations de praticiens hospitaliers)
- Suivi de courriers et questions écrites adressées à des ministères
- Journaux de connexion, tickets de support
- Fichier commercial et référentiel de comptes clients
Mentions :
Statut Fuites Infos : Revendiquée