Table des matières
Imaginez-vous l’ampleur d’une cyberattaque qui pourrait affecter des milliers de personnes, des employés aux partenaires commerciaux, en passant par les clients d’une entreprise majeure ? C’est exactement ce qu’a vécu Eiffage, le géant du BTP, récemment ciblé par le groupe de hackers LAPSUS$. Découvrez comment cette attaque a été orchestrée et quelles sont ses conséquences pour les victimes.
Les 3 infos à ne pas manquer
Le 25 février 2026, le groupe LAPSUS$ a revendiqué une attaque contre Eiffage, un nom bien connu dans le secteur du bâtiment et des travaux publics. Le collectif a affirmé avoir exfiltré une base de données contenant précisément 175 942 enregistrements. Ces informations provenaient de NextSend, une plateforme interne de transfert de fichiers largement utilisée par Eiffage pour ses communications.
NextSend, développée par la société française Hegyd, permet l’envoi de fichiers volumineux entre collaborateurs et partenaires. Cette attaque a donc affecté non seulement les employés d’Eiffage, mais également un grand nombre de ses partenaires externes.
Parmi les 175 942 individus touchés, 50 336 sont directement employés par Eiffage, tandis que 125 606 sont des contacts externes, y compris des clients, sous-traitants et partenaires. Ces informations sensibles exposent les victimes à de potentiels attaques de phishing. Les pirates pourraient utiliser ces données pour créer des messages frauduleux très convaincants, ciblant spécifiquement ces personnes.
En réponse à ces menaces, Eiffage a mis en place une page d’avertissement sur son site web, avertissant les utilisateurs des risques liés aux arnaques de fausses factures et d’usurpation d’identité, notamment par l’utilisation de numéros SIRET et de TVA extraits des données compromises.
LAPSUS$ n’en est pas à son premier coup d’éclat contre des entreprises françaises. En janvier 2026, le groupe avait déjà fait parler de lui en piratant ENI, exposant les informations de milliers de clients professionnels. Cette stratégie de cibler des entreprises cotées en bourse s’inscrit dans leur logique de pression maximale, alimentant ce qu’ils appellent leur « wall of shame », une liste publique des victimes de leurs attaques.
Eiffage, un acteur majeur du secteur de la construction, réalise un chiffre d’affaires de 25 milliards d’euros, comme confirmé dans ses résultats annuels publiés le 24 février 2026. Cette entreprise cotée en bourse n’est pas la seule à avoir été ciblée par des cyberattaques de cette envergure. Des concurrents comme Bouygues et Vinci ont également dû faire face à des menaces similaires, soulignant la nécessité pour les entreprises de renforcer leurs mesures de sécurité pour protéger les données sensibles de leurs clients et partenaires.