Papouille France : 75 Go revendiqués, et un secteur mal décrit

Commençons par ce qui ne va pas dans la couverture de cette affaire. Le traqueur FrenchBreaches décrit Papouille France comme un site spécialisé dans les produits et services destinés aux animaux de compagnie.

C’est faux. Papouille est un fournisseur d’équipement pour la petite enfance, installé à Fleurines dans l’Oise : mobilier de crèche, matériel de puériculture, jouets d’éveil, aménagement de structures d’accueil. Ses clients sont des crèches, des micro-crèches, des maisons d’assistantes maternelles, des écoles maternelles, des collectivités et des services hospitaliers de pédiatrie. L’entreprise répond à des marchés publics et facture via Chorus Pro.

Le nom a trompé une description automatique. Le détail serait anecdotique s’il ne changeait pas complètement la lecture du fichier volé.

Ce qui est revendiqué

L’acteur qui se fait appeler ChimeraZ a publié le 15 septembre 2026 un ensemble présenté comme le seizième épisode de la compromission de BLGCloud : environ 75 Go et 240 177 fichiers attribués à Papouille France, qui s’appuie sur ce prestataire pour l’hébergement de son site, son ERP et la gestion de son catalogue.

Les catégories décrites dans les relevés publics : fiches CRM avec identités, adresses électroniques professionnelles, rattachement à une entreprise et adresses postales ; échanges de courriels professionnels, y compris des messages de support ; documents PDF, dont des devis et mandats signés datés de 2024 ; pièces commerciales et administratives stockées dans l’ERP.

Ni Papouille France ni BLGCloud n’ont confirmé publiquement le périmètre. L’origine technique exacte de la compromission reste à établir. Les relevés des observatoires évoquent, pour la campagne BLGCloud dans son ensemble, des demandes de création de comptes extranet exploitables combinées à des droits mal configurés, et des comptes internes réutilisant des identifiants issus de fuites antérieures — mécanismes décrits pour la campagne, pas démontrés pour ce client précis.

Les fichiers sont maintenant téléchargeables publiquement, ce qui élargit la diffusion bien plus loin que l’auteur initial.

Pourquoi le secteur change tout

Un fichier CRM d’animalerie contient des particuliers qui achètent des croquettes.

Un fichier CRM de fournisseur de crèches contient des directrices d’établissement, des gestionnaires de collectivité, des responsables de marchés publics, avec leur adresse professionnelle et l’historique de leurs commandes. Ce ne sont pas les mêmes personnes, ce ne sont pas les mêmes montants, ce n’est pas la même attaque qui suit.

Une structure d’accueil du jeune enfant commande du mobilier tous les deux ou trois ans, par lots de plusieurs milliers d’euros, souvent sur devis, parfois dans le cadre d’un marché. Un fraudeur qui dispose d’un devis signé de 2024, du nom de la personne qui l’a signé et de l’adresse de la crèche tient tout ce qu’il faut pour envoyer une « facture de solde » crédible.

C’est le scénario classique de la fraude au faux fournisseur, que Cybermalveillance.gouv.fr décrit comme une manœuvre visant à faire modifier des coordonnées bancaires au bénéfice de l’attaquant. Elle ne réussit pas parce que la victime est négligente. Elle réussit parce que le message cite des éléments authentiques.

Les collectivités ajoutent une difficulté propre : le circuit de validation d’une facture passe par plusieurs mains, et personne n’a la vue complète. Le gestionnaire qui reçoit la relance n’est pas celui qui a signé le devis.

Ce que l’IA ajoute, et ce qu’elle n’ajoute pas

Rien de public ne permet d’affirmer qu’un outil d’intelligence artificielle a servi à obtenir ces données.

L’effet se situe après. 240 000 fichiers ne se lisent pas à la main ; un modèle de langage trie, résume et rédige. Écrire deux cents relances distinctes, chacune citant le bon établissement, le bon devis et la bonne référence de mobilier, relevait de l’artisanat et prenait des jours. C’est aujourd’hui une tâche de quelques heures. L’ANSSI note dans son Panorama de la cybermenace 2025 que ces outils permettent aux attaquants d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques.

Nous avions décrit ce passage à l’échelle à propos des données fiscales volées à la DGFiP.

Si vous dirigez une crèche ou un service enfance

Vous n’êtes pas la victime déclarée de cet incident. Vos coordonnées professionnelles y figurent peut-être.

Trois gestes, cette semaine :

Écrivez à Papouille France pour demander si vos données figurent dans le périmètre, et lesquelles. Vous êtes fondé à le faire : si vous êtes responsable du traitement de vos données de commande, l’article 33, paragraphe 2, du RGPD oblige le sous-traitant à vous informer dans les meilleurs délais. La chaîne complète est décrite dans notre article sur le prestataire, maillon faible.
Bloquez tout changement de RIB par courriel. Le contrôle se fait par appel sur un numéro que vous détenez déjà, jamais celui du message. Cette règle doit être écrite et connue de la personne qui saisit les règlements, pas seulement de la direction.
Prévenez vos équipes administratives qu’un message citant un devis réel n’authentifie personne. C’est contre-intuitif, et c’est le cœur du sujet.

Si vous êtes une collectivité, ajoutez une quatrième ligne : vérifiez que votre circuit de validation prévoit qui, précisément, a le droit d’accepter une modification de coordonnées bancaires fournisseur. Dans la plupart des organisations que la question surprend, la réponse est « personne en particulier ».

Reconnaître une demande de paiement frauduleuse avant qu’elle ne parte, c’est l’objet de notre journée Cybersécurité pour les dirigeants et managers ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Un dernier mot sur la méthode. Nous avons signalé l’erreur de secteur en tête d’article parce qu’elle illustre une règle qui vaut aussi pour vous : une alerte de fuite se lit en vérifiant qui est réellement l’entreprise citée. Un mauvais secteur, c’est une mauvaise évaluation du risque, et donc une mauvaise décision.

Sources

FrenchBreaches, alerte « Papouille France (BLGCloud) », statut « Confirmée », 15 septembre 2026 : 75 Go, 240 177 fichiers, catégories de données, domaine papouillefrance.com, réserves sur l’authenticité et l’origine technique. Description sectorielle erronée relevée par nos soins.
Cyberattaque.org, « Papouille France touché par la fuite de son compte BLGCloud avec 75 Go et 240 000 fichiers exposés », 15 septembre 2026 : épisode 16, types de fichiers, devis et mandats signés de 2024, contexte de la campagne BLGCloud.
Papouille France, site papouillefrance.com, consulté le 16 septembre 2026 : activité (mobilier, puériculture, jouets, équipement de structures d’accueil), clientèle (crèches, micro-crèches, MAM, collectivités, maternités et pédiatrie), réponse aux marchés publics et facturation via Chorus Pro. Siège à Fleurines (Oise), confirmé par la page LinkedIn de l’entreprise.
ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
Cybermalveillance.gouv.fr, fiche « Fraude au faux fournisseur », consultée le 16 septembre 2026.
RGPD (règlement (UE) 2016/679), article 33.
Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.