Fuite GreenGo : un mois d'accès par l'outil d'analyse

Près d’un mois. Du 9 août au 7 septembre 2026, une personne non autorisée a eu accès à un outil interne de GreenGo, la plateforme française de réservation d’hébergements écoresponsables. L’entreprise l’a annoncé à ses clients par courriel le 10 septembre.

Pas de revendication sur un forum, pas de volume spectaculaire. L’affaire est instructive pour une autre raison : l’intrusion n’est pas passée par le site de réservation, mais par un outil de statistiques.

Ce que GreenGo confirme

Nous n’avons pas eu le courriel lui-même sous les yeux. Ce qui suit s’appuie sur deux observatoires qui en ont publié le contenu le 11 septembre, Fuites Infos et Cyberattaque.org, dont les relevés concordent.

Selon l’entreprise, l’accès a pu permettre de consulter :

l’identité des clients : prénom, nom, date de naissance ;
leurs coordonnées : adresse électronique, numéro de téléphone ;
leurs réservations et séjours ;
les avis et favoris enregistrés sur la plateforme ;
les messages échangés par la messagerie GreenGo ;
les informations de parrainage ;
les cartes cadeaux : code, montant, bénéficiaire et message associé.

Toujours selon GreenGo, les numéros de carte bancaire ne sont pas concernés, les paiements étant traités par Stripe. Les mots de passe ne sont pas conservés en clair ; Cyberattaque.org rapporte que l’entreprise les dit stockés sous forme d’empreintes Argon2. L’accès obtenu était, d’après elle, limité à la lecture. Il a été découvert le 7 septembre au soir et coupé le jour même.

Les 7 et 8 septembre, GreenGo indique avoir appliqué des mises à jour de sécurité, bloqué le point d’accès vulnérable, supprimé des comptes et des clés qu’elle ne reconnaissait pas, révoqué les sessions actives, réinitialisé des mots de passe et renouvelé les codes des cartes cadeaux. La CNIL a été notifiée, comme l’impose l’article 33 du RGPD, et une plainte a été déposée auprès du procureur de la République.

Ce qui reste inconnu

Le nombre de personnes concernées. L’entreprise ne l’a pas communiqué.

Le sort des données. Aucune revendication n’est mentionnée par les sources que nous avons consultées, et nous ne fréquentons pas les forums où elles se publient. Cela ne prouve pas que rien n’a été copié : un accès en lecture suffit à tout lire, donc à tout recopier.

La faille exacte. Les deux observatoires rapportent que l’outil en cause est Metabase, un logiciel libre de tableaux de bord qui se branche sur les bases de données d’une entreprise pour en tirer des statistiques. Fuites Infos rapproche le calendrier de la vulnérabilité CVE-2026-72898, divulguée par l’éditeur le 6 août, en précisant que ce rapprochement est le sien et non celui de GreenGo. Nous le reprenons avec la même réserve.

Pourquoi un tableau de bord ouvre autant de portes

Un outil d’analyse n’est pas une annexe du système d’information. Pour dessiner ses graphiques, il lit les tables de production (clients, réservations, messages) avec des identifiants qu’il conserve dans sa configuration. Qui prend la main sur l’outil hérite de ce qu’il voit.

Le CERT-FR a publié le 10 septembre 2026 son alerte CERTFR-2026-ALE-010 sur cette vulnérabilité de Metabase : une injection SQL, sans authentification, qui donne les droits d’administrateur de l’instance. L’agence y indique avoir « connaissance de nombreuses compromissions de Metabase vulnérables ». LeMagIT en avait dressé la chronique le 31 août, avec une douzaine d’organisations touchées, parmi lesquelles TeleCoop, Tally, Framework et Scalingo. Nous avions nous-mêmes relevé, dans la revue du 1er septembre, la revendication visant Zéro Logement Vacant, où l’accès aurait été obtenu par une instance Metabase puis des identifiants de base de données.

Le calendrier de GreenGo ressemble à celui de ces affaires. Le correctif existait le 6 août selon le CERT-FR ; l’accès commence le 9 août ; il est découvert le 7 septembre. L’entreprise précise, d’après Cyberattaque.org, que la faille avait fait l’objet d’un correctif logiciel mais qu’elle n’en aurait eu connaissance que le 7 septembre.

Ce décalage n’est pas propre à GreenGo. Il désigne une question que peu d’entreprises se posent : qui surveille les outils secondaires ?

Qui lit les avis de sécurité de chaque logiciel ? Le site marchand et la messagerie ont un responsable. Le tableau de bord installé pour suivre les ventes, l’outil de sondage, le connecteur marketing en ont rarement un. Tenez la liste des logiciels qui touchent vos données clients, avec pour chacun une personne abonnée aux alertes de l’éditeur et du CERT-FR.
L’outil doit-il être joignable depuis Internet ? Un tableau de bord interne se consulte en général depuis le réseau de l’entreprise. Quand le correctif ne peut pas être appliqué tout de suite, le CERT-FR recommande de bloquer l’accès public au point d’entrée vulnérable.
Que peut-il lire ? Un compte de base de données en lecture seule, limité aux tables dont les statistiques ont besoin, réduit ce qu’un intrus emporte. La liste des données exposées chez GreenGo montre jusqu’où un outil de statistiques peut porter.
Vos journaux le montreraient-ils ? Le CERT-FR décrit une trace précise : une requête POST sur /api/session/reset_password renvoyant un code 400, suivie d’une requête GET sur /api/user/current renvoyant 200. Encore faut-il conserver ces journaux et que quelqu’un les lise. Après une compromission, l’agence recommande de révoquer les sessions, de contrôler les clés d’API et les comptes administrateurs, et de changer les identifiants des bases de données connectées.

Nous avions décrit le même problème sous l’angle contractuel dans Fuites de données : le maillon faible est le prestataire. Ici, le maillon n’est pas un sous-traitant, c’est un logiciel que l’entreprise fait tourner elle-même.

Si vous êtes client de GreenGo

Le risque principal n’est pas le mot de passe. C’est le faux message crédible.

Quelqu’un qui connaît votre nom, les dates de votre séjour, l’hébergement réservé et la teneur de vos échanges avec l’hôte peut écrire un message qui ressemble à la suite normale de la conversation : un solde à régler, une caution à verser, une réservation « à reconfirmer » par un lien. Écrire ce message sans faute, adapté à chaque client, demandait autrefois du temps. Un modèle de langage le produit en série à partir des colonnes d’un fichier ; c’est ce qui rend ce type de données plus rentable qu’il y a quelques années.

Ce que nous conseillons :

Changez votre mot de passe GreenGo, comme l’entreprise le recommande, et partout où vous l’aviez réutilisé.
Ne payez rien depuis un lien reçu. Toute demande de paiement, de coordonnées bancaires ou de « vérification » arrivée par courriel, SMS ou téléphone se contrôle en vous connectant vous-même au site, par l’adresse que vous tapez.
Ne tenez pas pour authentique un appel bien renseigné. Votre téléphone et votre date de naissance figurent dans la liste, et ils ne se changent pas. Un interlocuteur qui les cite ne prouve rien.
Cartes cadeaux : si vous en avez offert ou reçu une, assurez-vous auprès de GreenGo que le code en votre possession est bien le nouveau.
Signalez les SMS suspects au 33700 et, si vous êtes victime d’une escroquerie, suivez le parcours d’assistance de cybermalveillance.gouv.fr.

Ces réflexes sont ceux de la formation Cybersécurité pour tous, et l’ensemble de nos parcours est présenté sur la page cybersécurité.

Pour les entreprises, la date à retenir dans cette affaire n’est pas le 7 septembre, jour de la découverte. C’est le 6 août, jour où le correctif existait déjà.

Sources

GreenGo, courriel d’information aux clients du 10 septembre 2026, connu par les deux publications suivantes (non consulté directement).
Fuites Infos, « Fuite de données chez GreenGo : réservations et cartes cadeaux des clients concernées », 11 septembre 2026.
Cyberattaque.org, « GreenGo victime d’une cyberattaque : données de comptes, réservations et messages potentiellement consultés », 11 septembre 2026.
CERT-FR, alerte CERTFR-2026-ALE-010, « Vulnérabilité dans Metabase », 10 septembre 2026.
LeMagIT, Valéry Rieß-Marchive, « Metabase : chronique d’une vulnérabilité aux multiples fuites de données », 31 août 2026.
Règlement (UE) 2016/679, article 33.