Màj du 18 septembre 2026
CrowdSec a publié le 18 septembre 2026 son rapport d'incident complet. Il établit comment ses dépôts ont été copiés et revient sur son courriel de la veille : des données personnelles figurent bien dans l'archive. L'éditeur y remercie Fuitesinfos.fr, avec Aikido, GitGuardian et GitHub, pour leur soutien pendant la gestion de l'incident.
CrowdSec, éditeur français de logiciels de cybersécurité basé à Montrouge (Hauts-de-Seine), confirme la fuite de son code source. Le 16 septembre 2026, un acteur a diffusé sur un forum cybercriminel une archive présentée comme le code source complet de l'entreprise. CrowdSec a confirmé la fuite dans un courriel du 17 septembre, puis a publié le lendemain un rapport d'incident détaillé.
CrowdSec est connu pour son moteur open source de détection et de blocage d'adresses IP malveillantes et pour sa console de renseignement sur les menaces.
Ce que contient l'archive
L'archive regroupe plus de 300 dépôts de code issus de l'organisation GitHub de l'éditeur, dont environ 3,4 Go de code non public. Ce code porte notamment sur sa console commerciale, son API centrale, ses services de renseignement sur les menaces, son infrastructure cloud et ses travaux de science des données.
Plus de 130 de ces dépôts sont publics. Le moteur open source de CrowdSec, public par nature, n'est pas en cause.
134 personnes exposées
Le 17 septembre, CrowdSec affirmait qu'aucun nom n'avait fuité. Son rapport du 18 septembre revient sur ce point.
L'archive contient les adresses e-mail de 83 utilisateurs. L'équipe de science des données les conservait pour suivre l'usage du produit.
Elle contient aussi les noms, les adresses e-mail et le contexte d'investissement de 51 investisseurs potentiels de 2020.
L'éditeur annonce qu'il préviendra ces personnes et les autorités compétentes.
Le compte d'un ancien salarié, compromis par TanStack
Selon le rapport, les dépôts ont été copiés le 22 mai 2026, en une dizaine de minutes. La revendication de septembre présentait l'intrusion comme récente.
La copie a été faite avec le compte GitHub d'un développeur qui venait de quitter l'entreprise et restait membre de son organisation GitHub. Son poste avait été compromis par l'attaque de la chaîne d'approvisionnement logicielle qui a visé les paquets TanStack en mai 2026. La même campagne a touché Mistral AI.
L'assistance de GitHub a permis de retracer le jeton d'accès utilisé. Le compte a été retiré de l'organisation le 25 mai 2026.
D'après l'éditeur, ce compte n'a servi qu'à cloner les dépôts. Le code, l'infrastructure et la chaîne d'intégration continue n'ont pas été modifiés. CrowdSec indique que son infrastructure et ses bases de données n'ont pas été atteintes.
Un jeton encore valide dans le code
Un jeton d'accès à un service de notification d'Amazon Web Services, encore valide, figurait dans le code. Une tentative de s'en servir a été relevée le 17 août 2026. Elle n'a eu aucun effet au-delà du périmètre du jeton, limité à un seul canal de notification.
L'éditeur a depuis renouvelé les jetons et identifiants concernés.
Pourquoi c'est sensible
Pour un éditeur de sécurité, l'exposition de son code interne renseigne sur l'architecture de ses services, ses connecteurs et ses automatisations.
Les noms et adresses e-mail exposés peuvent aussi servir à des messages frauduleux crédibles, surtout lorsqu'ils sont associés à un contexte d'investissement.
Données concernées :
- Nom complet
- Adresse e-mail
- Données professionnelles
- Clé d’accès ou d’API
- Jeton d’authentification
- Mot de passe
- Identifiant interne
- Date de naissance
- Lieu de naissance
- Numéro de sécurité sociale
- Données d’emploi
- Montant
Détails techniques :
- Plus de 300 dépôts de code dans l'archive diffusée, dont plus de 130 publics
- Environ 3,4 Go de code non public
- Copie datée du 22 mai 2026 par l'éditeur
- Accès par le compte GitHub d'un ancien salarié, compromis par la campagne TanStack
- 83 adresses e-mail d'utilisateurs et 51 investisseurs potentiels de 2020 selon l'éditeur
- Jeton de notification AWS testé le 17 août 2026, jetons et identifiants renouvelés
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise