Violation de données chez Ecopetrol en 2026

Les effets confirmés se limitent au téléchargement de fichiers d’entreprise depuis des ressources de stockage dans le cloud utilisées par environ 15 sociétés du groupe, dont Ecopetrol. L’entreprise a présenté le chiffre de 3 300 comme le nombre de comptes utilisateurs associés à l’accès non autorisé, et non comme le nombre d’enregistrements d’identité distincts dérobés. Le nombre de comptes affectés indiqué dans LeakData représente donc le périmètre des comptes concernés et ne signifie pas que les données personnelles de 3 300 personnes ont été exposées.

Ecopetrol a indiqué qu’elle continuait à classer les fichiers téléchargés et à évaluer leur criticité; ses communiqués publics ne précisaient pas les champs qu’ils contenaient. Cette fiche ne présente donc pas les noms, adresses e-mail, numéros de téléphone, numéros d’identité ou mots de passe comme des types de données concernés sans preuve à l’appui. La catégorie de données se limite aux fichiers d’entreprise stockés dans le cloud, seule catégorie confirmée.

Selon la mise à jour du 20 juillet, les identités des utilisateurs associés aux 3 300 comptes n’ont pas été compromises et aucun identifiant d’accès utilisateur n’a été récupéré. L’entreprise n’a pas non plus constaté d’atteinte à l’intégrité des informations, malgré les tentatives de l’acteur visant à détruire, supprimer ou chiffrer des données. Les mots de passe et les informations relatives à l’identité des utilisateurs ne figurent donc pas parmi les catégories de données concernées.

Ecopetrol n’a signalé aucune compromission des solutions technologiques transactionnelles au sein de son écosystème numérique, de ses filiales ou de son réseau de partenaires commerciaux et financiers, de fournisseurs et de clients. Les opérations se sont poursuivies sans interruption. Ces constats ne rendent pas l’événement négligeable : la confidentialité des fichiers a été compromise, tandis que les effets signalés sur l’intégrité des systèmes et les environnements transactionnels sont restés circonscrits.

L’acteur externe a envoyé des demandes d’extorsion en menaçant de divulguer les informations extraites illégalement. Ce mode opératoire correspond au volet « vol de données » de la double extorsion, dans lequel des informations sont dérobées avant qu’un paiement soit exigé, même si le chiffrement échoue. Dans son communiqué, Ecopetrol distingue clairement la tentative de déploiement d’un rançongiciel, qui a été bloquée, du téléchargement de fichiers et de l’extorsion, qui ont effectivement eu lieu.

L’entreprise n’a identifié ni l’acteur malveillant, ni le logiciel malveillant, ni la méthode d’accès initial. Aucune attribution confirmée à un groupe connu de rançongiciel n’a été publiée; cette fiche ne suppose donc aucun nom de groupe, aucune vulnérabilité ni aucune technique d’intrusion. Une affirmation unilatérale publiée sur un site de divulgation de données ne doit pas conduire à élargir cette fiche, sauf si elle est vérifiée par l’entreprise ou par une source d’enquête fiable.

Ecopetrol a indiqué avoir immédiatement révoqué les accès non autorisés, bloqué les mécanismes associés aux téléchargements massifs et identifié puis contenu les tactiques, techniques et procédures de l’acteur. Elle a engagé des démarches visant à imposer des restrictions aux infrastructures externes utilisées pour stocker ou télécharger les informations. Le classement des fichiers téléchargés et l’évaluation de leur criticité faisaient également partie du plan de réponse.

L’entreprise a déposé une plainte pénale auprès du procureur général de Colombie et a travaillé avec ColCERT, la direction spécialisée dans la cybercriminalité, le commandement interarmées de cyberdéfense et les unités de lutte contre la cybercriminalité de la police nationale. Les équipes chargées des assurances et des marchés de capitaux ont été mobilisées pour gérer les coûts liés à l’enquête, à la remédiation et aux obligations réglementaires. Au 20 juillet, les mesures visant à contenir l’incident étaient à un stade avancé, même si l’examen des fichiers se poursuivait.

L’entreprise ayant déclaré que les identités et les identifiants d’accès des utilisateurs n’avaient pas été récupérés, cet incident ne doit pas être invoqué pour affirmer que tous les mots de passe ont été volés. Les équipes qui échangent des fichiers avec Ecopetrol ou ses filiales devraient néanmoins examiner les téléchargements inhabituels, les liens de partage, les événements liés à de nouveaux appareils et les alertes d’accès, désactiver les liens publics inutiles et appliquer le principe du moindre privilège aux dossiers sensibles.

Des informations authentiques sur des projets, des fournisseurs ou des salariés, tirées de fichiers d’entreprise, pourraient servir à des tentatives d’hameçonnage ciblé. Vérifiez par un moyen indépendant les messages demandant de « payer pour éviter la divulgation », de « valider à nouveau l’accès aux documents » ou d’« installer cette mise à jour de sécurité ». Les clients et les fournisseurs peuvent retenir qu’aucune compromission des systèmes transactionnels n’a été identifiée, tout en restant vigilants face aux pièces jointes et aux liens inattendus envoyés au nom d’Ecopetrol.

Le chiffre de 3 300 correspond au nombre de comptes utilisateurs qu’Ecopetrol a associés aux données téléchargées; il ne signifie pas que des informations d’identité appartenant à 3 300 personnes ont été volées. L’entreprise a expressément déclaré que les identités et les identifiants d’accès des utilisateurs n’avaient pas été compromis.

Cette fiche couvre uniquement l’incident de téléchargement de fichiers depuis le cloud et d’extorsion rendu public en juillet 2026. Elle ne présente pas la tentative de déploiement d’un rançongiciel bloquée comme un chiffrement réussi et ne suppose pas que les champs non précisés des fichiers contenaient des données personnelles. Si Ecopetrol publie ultérieurement les catégories de fichiers, la date exacte de l’intrusion ou d’autres effets vérifiés, la fiche ne devra être mise à jour que pour refléter ces nouveaux éléments officiels.