Fuite de données chez Questel en 2026

L’entreprise a indiqué que cet accès faisait suite à une tentative d’hameçonnage vocal et se limitait à un environnement SharePoint dédié aux ventes. Elle n’a précisé ni la date de début de cet accès, ni sa durée, ni la manière dont la tentative d’ingénierie sociale avait permis d’accéder à un compte ou à un système.

Questel a indiqué que l’accès non autorisé avait été endigué et qu’aucun élément ne montrait que les intrus conservaient un accès à son environnement. Ses outils de production, ses plateformes de propriété intellectuelle ainsi que ses produits et services SaaS IP n’ont fait l’objet d’aucun accès, et l’ensemble de ses activités restait opérationnel. L’incident confirmé dans un espace de collaboration dédié aux ventes est ainsi distinct des systèmes de production de Questel destinés à ses clients.

L’entreprise a également confirmé que certaines données obtenues lors de l’incident avaient été publiées en ligne. Une analyse forensique détaillée était en cours afin de déterminer précisément ce qui avait été divulgué et d’évaluer l’authenticité et l’exhaustivité de ces données. Questel n’a pas confirmé l’étendue complète des données publiées. Les catégories précises de données, le nombre total de personnes concernées et le nombre total d’enregistrements uniques n’ont pas été communiqués.

Questel a signalé l’incident à la CNIL, l’autorité française de protection des données, déposé des plaintes pénales auprès des services compétents et travaillé avec des spécialistes externes en cybersécurité. L’entreprise a également commencé à contacter les clients concernés. La déclaration limite l’accès confirmé à l’environnement SharePoint dédié aux ventes; elle n’établit pas qu’un accès ait eu lieu à des contenus de propriété intellectuelle dans les systèmes de production ou dans des comptes SaaS, et n’identifie pas les personnes concernées.