Rosello et Fils : 60 Go revendiqués chez un grossiste

Quand un groupe de rançongiciel annonce des « données de salariés », il ne parle pas d’un fichier de contacts. Il parle de bulletins de paie, de numéros de sécurité sociale, de RIB et parfois d’arrêts de travail.

C’est ce que le groupe Eclipse a inscrit dans sa revendication du 14 septembre 2026 contre Rosello et Fils, en annonçant environ 60 Go de données internes.

L’entreprise

Rosello et Fils est un grossiste en fruits et légumes établi à Saint-Laurent-Blangy, dans le Pas-de-Calais, présent depuis plus d’un siècle. Sa clientèle, principalement dans les Hauts-de-France, réunit la restauration commerciale et collective, des commerces de proximité et des grandes et moyennes surfaces.

Le détail a son importance : un grossiste livre tous les jours. Ses clients dépendent de ses commandes du matin.

Ce qui est revendiqué, et le statut réel

Eclipse annonce environ 60 Go et évoque des données relatives aux salariés, des documents financiers, des bases de données, des documents comptables et divers fichiers internes.

Le groupe n’a pas indiqué publiquement comment les systèmes auraient été compromis. Rosello et Fils n’a pas confirmé publiquement le périmètre de la compromission. Nous n’avons trouvé aucun communiqué de l’entreprise ni aucune reprise dans la presse régionale au 16 septembre.

Le statut à retenir est donc : revendiqué par un attaquant, sans confirmation de la victime. Le volume de 60 Go et la nature des données reposent entièrement sur les affirmations du groupe. Nous n’avons consulté ni site de revendication ni aucun fichier.

Eclipse utilise un compte à rebours avant publication complète, mécanisme habituel de la double extorsion : les données sont volées avant le chiffrement, pour faire peser la menace d’une diffusion en plus de celle de la paralysie.

Ce que cela change pour une entreprise qui sauvegarde bien

C’est le point que les dirigeants de PME comprennent souvent trop tard.

Une sauvegarde correcte, testée, hors ligne, permet de redémarrer. Elle ne fait rien contre la publication. Une entreprise peut restaurer ses serveurs en quarante-huit heures et voir ses bulletins de paie diffusés la semaine suivante.

La sauvegarde protège l’activité. Elle ne protège pas les personnes dont les données ont été copiées.

Cette dissociation a une conséquence pratique : le plan de reprise et le plan de notification sont deux dossiers distincts. Beaucoup d’entreprises ont le premier et découvrent le second en pleine crise.

Les salariés, victimes oubliées

Si la revendication se confirme, les premières personnes exposées ne sont pas les clients. Ce sont les employés.

Un dossier de paie réunit l’identité complète, l’adresse, la date de naissance, le numéro de sécurité sociale, la situation familiale, les coordonnées bancaires et la rémunération. Un dossier du personnel peut contenir davantage : arrêts de travail, reconnaissance de travailleur handicapé, saisies sur salaire. Les premiers sont des données de santé au sens de l’article 9 du RGPD, dont le traitement relève des catégories particulières.

L’obligation qui en découle est claire. L’article 34 du RGPD impose d’informer les personnes concernées dans les meilleurs délais lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. Les salariés sont des personnes concernées au même titre que les clients. L’article 33 impose par ailleurs la notification à la CNIL sous 72 heures après prise de connaissance, et la documentation de toute violation, notifiée ou non.

S’y ajoute une obligation que l’on oublie : l’article L. 2312-8 du code du travail prévoit l’information et la consultation du comité social et économique sur les questions intéressant l’organisation et la marche générale de l’entreprise. Une attaque qui arrête la production et expose les dossiers du personnel y entre sans discussion.

Ce qu’une PME de distribution devrait vérifier aujourd’hui

Ce n’est pas un plan de sécurité complet. Ce sont les quatre points qui font la différence entre trois jours d’arrêt et trois semaines.

Les commandes peuvent-elles se prendre sans le système ? Un grossiste sans logiciel de commande n’est pas un grossiste. Une procédure dégradée — téléphone, carnet, tournée figée sur la base de la semaine précédente — se décide à froid.

Les sauvegardes sont-elles hors d’atteinte ? Un disque monté en permanence sur le serveur est chiffré en même temps que lui. La question n’est pas « sauvegardons-nous », mais « quand avons-nous restauré pour de vrai ».

Qui détient les dossiers de paie ? Si la paie est externalisée, le prestataire est sous-traitant au sens de l’article 4, point 8, du RGPD, et l’article 28 exige un contrat qui encadre cette relation. Si elle est interne, demandez-vous qui peut ouvrir le dossier partagé où dorment les bulletins.

Qui parle aux clients le premier jour ? Une restauration collective qui ne reçoit pas sa livraison appelle à sept heures du matin. La personne qui répond doit savoir quoi dire.

Le point d’entrée le plus fréquent, enfin, n’est pas une prouesse technique : c’est un accès légitime récupéré. Nous avons décrit ce schéma dans l’attaquant se connecte, il n’entre pas. La double authentification sur les accès distants reste la mesure au meilleur rapport entre effort et effet.

Construire cette chaîne de décisions avant d’en avoir besoin, c’est l’objet de notre parcours Sûreté cyber pour PME et TPE : plan d’actions ; nos autres formations figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Nous mettrons cet article à jour si Rosello et Fils communique. D’ici là, une question à poser à votre responsable paie : si les bulletins des trois dernières années se retrouvaient en ligne demain, sauriez-vous dire combien de personnes prévenir ?

Sources

• Ransomware.live, fiche « Rosello et Fils – Eclipse », publication du 14 septembre 2026.
• Cyberattaque.org, « Rosello et Fils : près de 60 Go de données revendiqués par un ransomware », 14 septembre 2026 : volume annoncé, catégories de données revendiquées, absence d’explication sur le mode de compromission, absence de confirmation de l’entreprise, compte à rebours avant publication.
• FrenchBreaches, alerte « Rosello et Fils », 14 septembre 2026, statut « Revendiquée (ransomware) ».
• Rosello et Fils : activité de grossiste en fruits et légumes, siège à Saint-Laurent-Blangy (Pas-de-Calais), ancienneté et clientèle, d’après les relevés publics cités ci-dessus.
• RGPD (règlement (UE) 2016/679), articles 4, 9, 28, 33 et 34.
• Code du travail, article L. 2312-8.
• Aucun communiqué de Rosello et Fils ni aucune reprise dans la presse régionale trouvés au 16 septembre 2026. Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.