Le groupe d’extorsion ShinyHunters a ajouté ce week-end l’opérateur américain Charter Communications, connu sous la marque Spectrum, à son site de fuite. Il affirme détenir environ 40 millions d’enregistrements de clients particuliers et professionnels, un chiffre non vérifié. Charter reconnaît être au courant de la situation, mais affirme qu’aucune donnée personnelle sensible n’a été exfiltrée.
Ce que revendique ShinyHunters
Selon les déclarations du groupe à BleepingComputer, l’intrusion remonterait au 1er avril. Les attaquants auraient appelé un employé et, par hameçonnage vocal (vishing), compromis son compte Microsoft Entra. Ce compte leur aurait ensuite permis d’exporter des fiches clients depuis l’instance Salesforce de l’opérateur. Le groupe a également parlé de plus de 42 millions d’enregistrements, ce qui illustre l’imprécision de ces chiffres.
Les données revendiquées comprendraient :
- noms des clients ;
- adresses email et adresses postales ;
- numéros de téléphone et type de téléphone ;
- informations sur les offres souscrites ;
- données de tickets de support ;
- une partie des CPNI (Customer Proprietary Network Information), les informations réseau que les opérateurs américains sont légalement tenus de protéger.
Comme souvent avec ce groupe, l’annonce est assortie d’un ultimatum : Charter est invité à ouvrir des négociations avant le 27 mai, faute de quoi les données seraient publiées.
La réponse de Charter
Interrogé, Charter indique suivre ses protocoles de sécurité et être en train d’alerter les autorités compétentes. L’opérateur affirme qu’aucune donnée personnelle sensible ni aucune donnée CPNI n’a été exfiltrée, ce qui contredit directement les affirmations du groupe. Il n’a précisé ni comment les attaquants sont entrés, ni combien de clients pourraient être concernés, ni s’il comptait les notifier.
À ce stade, ni le volume ni la nature exacte des données n’ont été confirmés. Les 40 millions d’enregistrements sont une revendication d’un groupe criminel qui a intérêt à gonfler les chiffres pour faire pression.
Le scénario désormais classique de ShinyHunters
Le mode opératoire décrit correspond à celui que ShinyHunters revendique dans de nombreuses attaques depuis 2025 : pas d’exploit sophistiqué, mais un coup de téléphone bien préparé à un employé, l’obtention d’un accès à l’annuaire d’identité de l’entreprise, puis l’aspiration d’un CRM hébergé dans le cloud. C’est le même groupe qui a revendiqué début mai l’attaque contre Instructure, l’éditeur de la plateforme éducative Canvas.
Les leçons pour les équipes sécurité
- Durcir le support informatique : toute demande de réinitialisation de mot de passe ou d’enrôlement d’un nouveau facteur MFA par téléphone doit passer par une vérification d’identité hors bande (rappel sur un numéro connu, validation par le manager).
- Privilégier une MFA résistante au phishing (clés FIDO2, passkeys) pour les comptes qui donnent accès aux applications SaaS critiques.
- Surveiller les exports massifs depuis le CRM : un export de millions de fiches par un seul compte doit déclencher une alerte.
- Restreindre les accès Salesforce au strict besoin métier et revoir régulièrement les applications connectées.
Que faire si vous êtes client Spectrum
Rien n’est confirmé, mais la prudence s’impose : méfiez-vous des appels, SMS ou emails qui se réclament de Spectrum, évoquent votre abonnement ou un ticket de support récent, et vous demandent un paiement ou des identifiants. Rappelez le service client par le numéro officiel en cas de doute.