Notre enquête sur la fuite de données chez Accenture [Rapport éclair]

Un acteur menaceur connu sous le nom de “ 888 ” a publié sur un forum de cybercriminalité 35 Go de code source et de données d’identification présumées appartenant à Accenture. Accenture a confirmé l’incident. Alix et l’équipe CybelAngel ont examiné indépendamment les preuves.

Que se passe-t-il chez Accenture ?

Le 6 juillet 2026, un acteur malveillant opérant sous le pseudonyme “ 888 ” a publié une annonce sur le forum de cybercriminalité PwnForums, affirmant avoir volé 35 Go de données d’Accenture et proposant le dataset à la vente en une transaction unique payable uniquement en Monero. Selon l’annonce, le contenu comprend le code source, les clés de chiffrement RSA, les clés SSH, les tokens d’accès personnel (PAT) d’Azure, les clés d’accès à Azure Storage et les fichiers de configuration extraits d’un dépôt privé de Azure DevOps hébergé sous une URL de production accenture.com.

Accenture Il a confirmé l'incident à BleepingComputer Le 8 juillet, la société a qualifié cette situation d’exceptionnelle et a précisé que les mesures prises ont permis de remédier à l’incident sans nuire aux opérations ou à la prestation des services. La société n’a pas confirmé le volume ou les catégories spécifiques de données revendiquées par l’acteur menaçant, et elle n’a pas commenté publiquement si des environnements clients ont été touchés. dit Cybersecurity Dive la source de l’intrusion avait été identifiée, bien que l’entreprise n’ait pas révélé comment les attaquants avaient pu accéder au système en premier lieu.

Qui est 888 ?

L’alias “ 888 ” n’est pas nouveau pour les observateurs d’Accenture. Le même acteur Il a tenté de vendre un ensemble de données lié à Accenture en juin 2024, qui selon eux contenait des données concernant environ 32 826 employés actuels et anciens, provenant présumément d’une violation interne d’un outil de vidéoconférence effectuée par un tiers. Accenture a publiquement contesté l’ampleur de cette allégation à l’époque, affirmant que le dossier en question ne faisait référence qu’à trois personnes plutôt que à des dizaines de milliers d’employés annoncés. Ce motif mérite d’être souligné car il suggère que les annonces “ 888 ” peuvent exagérer le volume des recrutements ou réétiqueter des candidatures anciennes afin de renforcer leur crédibilité avant une vente.

L’acteur est un utilisateur enregistré de PwnForums depuis août 2023, occupe un rôle de modérateur sur le site et a accumulé un score de réputation de 4 469 sur plus de 2 600 posts, ce qui indique une activité soutenue sur le forum plutôt qu’une simple apparition ponctuelle. En dehors d’Accenture, le nom “ 888 ” est également associé à des violations présumées chez Decathlon, Credit Suisse, Shell, Heineken et UNICEF, bien que les détails de ces allégations varient en termes de crédibilité.

Ce que nous avons vérifié indépendamment

Pour étayer la description de la vente, “888” a joint une capture d’écran montrant les résultats de la commande de clone d’un dépôt privé de Azure DevOps, ainsi qu’un grand fichier texte que l’acteur a décrit comme un exemple. Notre équipe REACT a examiné de manière indépendante ce fichier et a confirmé qu’il ne s’agit pas d’un échantillon limité, mais bien d’une liste récursive complète des éléments de l’environnement exposé, d’une longueur d’environ 250 Mo et de plus de 6,17 millions de lignes. L’architecture du fichier et sa convention de nommage par projet correspondent à celle du dépôt de Azure DevOps représenté sur la capture d’écran, ce qui confirme la déclaration de l’acteur selon laquelle il possède un ensemble de données conséquent.

La liste recense environ 87 applications distinctes. Parmi celles-ci, 56 comprennent des fichiers d’identification spécifiques à l’environnement, tels que .env.production, .env.development et .env.staging, indiquant que des secrets et des chaînes de connexion étaient stockés à l’échelle dans les arbres de sources d’application. Plusieurs applications de back-end incluent des sauvegardes de bases de données SQL enregistrées avec des fichiers d’administrateur et du code d’authentification, qui peuvent contenir des données de l’utilisateur et des informations relatives aux identifiants. L’arbre mentionne également des artefacts de certificat TLS et de demande de signature de certificat pointant vers les hôtes de staging et production de *.accenture.com, ainsi que vers environ 325 feuilles de calcul Excel et des ensembles de données CSV et JSON supplémentaires qui semblent contenir des données personnelles, notamment des noms, des adresses e-mail et des rôles d’utilisateur.

Un détail mérité d’être souligné est que plusieurs des dossiers d’applications de niveau supérieur portent le nom et la marque de certains clients d’Accenture, et les applications font également référence à des intégrations avec des fournisseurs de SaaS et de contenu externes. Si les fichiers .env associés étaient effectivement exposés, les clés API et les tokens appartenant à ces tiers pourraient également se trouver dans le dataset, ce qui étend le potentiel d’impact bien au-delà d’Accenture elle-même. À Cybernews, une inquiétude similaire a été exprimée., Il note que la présence de tant de fichiers .env suggère que les données ont pu être extraites depuis une machine de développement plutôt qu'un référentiel correctement géré, car les fichiers d'environnement sont généralement exclus du code envoyé sur des plateformes comme GitHub.

Pourquoi cela importe-t-il pour les tiers

L’aspect le plus significatif de cet incident n’est pas le code source lui-même, mais les informations d’identification qui l’accompagnent. Les Identifiants d’accès personnels pour Azure DevOps permettent un accès programmatique aux référentiels et pipelines. Les clés d’accès à Azure Storage permettent un accès direct aux comptes de stockage dans le cloud. Les clés RSA et SSH permettent un déplacement latéral vers les infrastructures de build, de déploiement et de serveur si elles restent valides. Comme Les analystes de SQ Magazine ont observé, Dans le cas d’incursions de la part de fournisseurs comme celle-ci, le matériel de certification est ce que les acheteurs paient réellement, car il ouvre des portes que le code source seul ne peut pas ouvrir. Toute organisation ayant intégré ses propres environnements, son code ou ses certifications dans les référentiels Azure DevOps gérés par Accenture devrait considérer ces certifications comme potentiellement exposées jusqu’à ce que l’on prouve le contraire, même en l’absence de confirmation de la part d’Accenture selon laquelle une relation client spécifique a été affectée.

La présence de dossiers d’applications de marque client dans l’arbre de répertoires constitue le principal vecteur d’exposition auprès des tiers, et c’est précisément ce type de risque en aval qui transforme une violation de la part d’un fournisseur en incident dans la chaîne d’approvisionnement. L’histoire récente en est instructive : des incidents comme la violation de Vercel plus tôt cette année ont montré comment la compromission de l’environnement d’une entreprise peut se propager jusqu’aux informations de connexion et aux données de configuration de bien plus vastes groupes d’organisations en aval.

Quelles organisations devraient agir maintenant

Trois actions doivent figurer sur la liste des priorités pour tout équipe de sécurité travaillant avec des environnements gérés par Accenture :

• Roter tous les jetons d’accès personnel Azure, les clés d’accès à Azure Storage, les clés RSA et les clés SSH associés aux référentiels ou pipelines gérés par Accenture, et considérer le contenu actuel comme compromis jusqu’à ce que Accenture confirme le contraire.
• Contactez directement votre équipe Accenture pour obtenir une confirmation quant à la présence ou non de vos environnements, code ou identifiants dans le dataset exposé.
• Surveiller les annonces de vente et l’activité du forum de l’acteur pour détecter des signes d’escalade, de mouvement des prix ou de ventes conclues, ce qui modifierait substantiellement le calcul des risques.

Comment CybelAngel peut aider

Notre équipe surveille activement la publication de l’annonce, l’activité du forum de l’acteur et l’ensemble de l’environnement PwnForums pour détecter toute nouvelle publication de données, toute modification du prix ou tout changement dans l’état de l’annonce. Services de renseignement sur les cyberrisques, En procédant à des enquêtes ciblées, nous pouvons déterminer si les actifs de votre organisation figurent dans le contenu divulgué et nous de prévention contre les violations de données Le module surveille en permanence l’ensemble de l’écosystème criminel afin de détecter les informations d’identification et les données de configuration exposées liées à votre environnement.

Si votre organisation utilise des référentiels Azure DevOps, des pipelines ou des comptes de stockage gérés par Accenture et que vous souhaitez bénéficier d’une évaluation ciblée de votre exposition potentielle, veuillez contacter notre équipe.