Sourcenext : comprendre les 22,5 millions d’enregistrements exposés

Incident découvert le 13 octobre 2026 ; première communication le 15. Sourcenext annonce 22 519 960 enregistrements potentiellement concernés par un accès non autorisé à l’un de ses serveurs. Le mot important est « potentiellement » : ce total est un périmètre de données susceptibles d’être sorties, et la société ne dit pas qu’il correspond à autant de personnes distinctes dont chaque champ aurait été lu.

Quels champs, pour quels comptes ?

Sourcenext énumère les champs possibles : adresse email, mot de passe, nom, adresse postale, téléphone, date de naissance, données d’entreprise et identifiants propres au service. Elle précise que tous ces champs ne concernent pas tous les clients ; la composition dépend de leur inscription. Elle indique que les cartes de crédit n’étaient pas conservées dans le système touché. Les personnes inscrites avant le 13 octobre à 13 h 36 sont dans le périmètre d’information décrit par le fournisseur.

Un nombre de records n’est pas automatiquement un nombre de comptes compromis, de mots de passe utilisables ou de personnes uniques. Pour qualifier l’impact, il faudrait une ventilation par table, par type de secret et par statut d’extraction confirmé. La FAQ publique ne donne pas ce niveau de preuve. Elle ne précise pas non plus si les mots de passe étaient stockés en clair, hachés ou autrement protégés ; il faut éviter de transformer la seule mention « password » en affirmation de stockage en clair.

Le risque technique qui subsiste

Si un mot de passe exposé est encore valide et réutilisé ailleurs, il peut alimenter des tentatives de connexion sur d’autres services. Les coordonnées et historiques de service permettent des emails qui reprennent le nom d’un produit réellement acheté. Le risque précis dépend du type et de la validité du secret pour chaque compte. L’analyse défensive consiste à invalider les sessions et mots de passe concernés, rechercher les connexions anormales, examiner les tentatives de récupération de compte et notifier les clients avec les catégories de données qui les concernent effectivement.

Sourcenext indique avoir corrigé la faiblesse du système à l’origine de l’accès, désactivé progressivement les mots de passe des comptes concernés et sollicité une expertise externe le 16 octobre. Sa FAQ ne publie pas de description exploitable de la faille, de CVE ni de preuve de compromission des produits logiciels eux-mêmes. La société précise que les données 1Password ne sont pas hébergées par elle et ne sont pas incluses. C’est un exemple où la discipline éditoriale consiste à expliquer ce que le bilan mesure, puis à borner l’inconnu, plutôt qu’à déduire un exploit non documenté.

Source principale : FAQ de l’incident Sourcenext.