Fuite Charbonneaux-Brabant : des mots de passe ou non ?

Trois observateurs ont regardé le même fichier. Ils n’en disent pas la même chose.

Le 3 septembre 2026, une base attribuée au domaine charbonneauxbrabant.com a été publiée sur un forum criminel par un compte se faisant appeler ChimeraZ. Environ 660 Ko au format JSON, 2 863 enregistrements revendiqués. Des contacts professionnels de sociétés clientes, acheteurs, responsables qualité, comptables, répartis selon Fuites Infos sur près de 1 460 organisations.

Nous avons décrit ailleurs le lot de six alertes publiées ce jour-là par le même compte. Celle-ci mérite qu’on y revienne seule, pour une raison précise : c’est la seule des six où un champ de mot de passe apparaît. Et c’est exactement le point sur lequel les sources ne s’accordent pas.

Trois lectures d’une même colonne

FrenchBreaches signale un champ associé au mot de passe, puis précise que « la capture ne permet pas de déterminer la nature exacte des valeurs stockées ». Ni clair, ni haché, ni chiffré : indéterminé.

Cyberattaque.org décrit la même structure et ajoute que ce champ est vide dans l’échantillon examiné.

Fuites Infos n’en fait pas état et reprend la revendication elle-même, selon laquelle le dépôt « ne contiendrait pas […] de mots de passe ni de données bancaires ou de santé ».

Ces trois observations sont compatibles entre elles. Une colonne peut exister dans un export et rester vide : parce que l’application ne la remplit pas, parce que l’échantillon publié en a été expurgé, parce que l’extraction s’est interrompue avant. Rien de tout cela n’est vérifiable depuis l’extérieur, et l’entreprise n’a rien confirmé publiquement à ce jour.

C’est le genre d’écart qui s’évapore quand on résume une semaine d’alertes en une ligne de tableau. Il mérite d’être conservé, parce qu’il change ce qu’un titulaire de compte a intérêt à faire.

L’incertitude ne suspend pas l’action

Un annuaire professionnel se traite avec du temps. On informe les personnes, on prévient les équipes que des messages d’hameçonnage vont arriver, on surveille. Un champ de mot de passe, même hypothétique, ne se traite pas à ce rythme.

Le calcul tient en deux lignes. Si le champ était vide, changer votre mot de passe vous aura coûté dix minutes. S’il ne l’était pas, ne rien faire vous coûte tous les comptes où vous avez employé le même. Comparer ces deux erreurs ne demande aucune compétence technique.

Le risque n’est d’ailleurs pas le portail. Un extranet fournisseur donne accès à des commandes et à des fiches produits, rarement à autre chose. Le risque, c’est la personne qui a ouvert ce compte il y a six ans avec le mot de passe qu’elle utilise aussi sur sa messagerie professionnelle. La réutilisation reste le mécanisme par lequel une base sans valeur marchande devient un accès utile. Nous en faisons un point de programme dans Cybersécurité pour tous, sous un intitulé qui dit ce qu’il fait : l’effet domino d’une fuite.

Si vous avez un compte sur un portail client de ce type, deux gestes suffisent aujourd’hui. Changez le mot de passe, et changez-le partout ailleurs où vous l’aviez réutilisé, pas seulement sur le portail concerné. Puis activez la double authentification sur votre messagerie et vos outils comptables, là où elle est proposée : un mot de passe volé cesse alors de suffire.

Si c’est vous qui exploitez un espace client, la question n’est pas de démentir. Elle est de relire vos journaux d’accès, et de vérifier comment vos mots de passe sont stockés. Si la réponse n’est pas un algorithme de hachage lent avec sel, du type bcrypt ou Argon2, le problème existait avant la fuite. L’article 32 du RGPD demande des mesures adaptées au risque, et l’état de l’art sur ce point précis n’a pas bougé depuis dix ans.

Le mot qui va circuler

Charbonneaux-Brabant est un chimiste rémois. Son usine de Reims est classée Seveso seuil bas : France Bleu le rappelait en octobre 2019, à propos des 100 à 200 tonnes d’eau de Javel stockées en cuves sur le site.

Le mot va circuler, autant le poser à sa place. Rien de ce qui a été publié ne touche à un système industriel. Les champs décrits sont ceux d’un portail commercial : identité, adresse électronique, fonction, société de rattachement, langue d’affichage. Écrire qu’une usine classée a été piratée serait faux en l’état des informations disponibles.

Ce que le classement change, c’est la valeur du carnet d’adresses. Savoir qui, chez quel client, valide les commandes d’un site soumis à la directive Seveso III, c’est de la reconnaissance : cela sert à écrire un message crédible, pas à ouvrir une vanne. La distinction se perd vite, et elle compte.

C’est aussi là que les modèles de langage abaissent le coût de l’attaque. Rédiger 1 460 messages qui tiennent compte du secteur, de la fonction et de la langue de chaque destinataire était un travail long, donc réservé aux cibles rentables. Ce n’est plus le cas. Le contenu du fichier n’a rien de nouveau ; ce qui a changé, c’est le prix de son exploitation.

Une chose à faire avant de refermer cet article, si vous exploitez un espace client : demandez à qui l’héberge sous quel algorithme les mots de passe y sont stockés, et combien de comptes y sont encore actifs. C’est la seule partie du dossier qui ne dépend pas de ce qu’un forum criminel a bien voulu publier.