Une base de données mal configurée a exposé près de 367 000 enregistrements, soit environ 7,92 Go de données internes à Nextcloud, le fournisseur européen de solutions cloud open source. Selon FrenchBreaches, qui a révélé l’incident, cette fuite provient d’une base Elasticsearch mal sécurisée et accessible publiquement. Parmi les données concernées figurent des factures, des contrats commerciaux, des courriels professionnels ainsi que des scripts techniques, mettant en lumière les risques liés aux erreurs de configuration, même pour des solutions souveraines.

Ce qu'il faut retenir

  • Une fuite de 367 000 enregistrements et 7,92 Go de données a été découverte dans une base Elasticsearch mal configurée chez Nextcloud.
  • Les fichiers exposés incluent des factures, contrats, courriels, scripts techniques et identifiants potentiellement intégrés à certains scripts.
  • Le ministère de l’Éducation nationale française utilise Nextcloud via la plateforme Apps.education.fr pour ses personnels, avec un espace de stockage standard de 100 Go par utilisateur.
  • Nextcloud affirme que aucun serveur client n’a été compromis et que la fuite résulte d’une erreur interne, non d’une faille logicielle.
  • Des organismes publics allemands et des hébergeurs européens sont également mentionnés dans les documents exposés.
  • Cet incident rappelle que la souveraineté numérique ne garantit pas une sécurité absolue sans une configuration rigoureuse des infrastructures.

Une fuite massive révélée par une base mal sécurisée

Le fournisseur allemand Nextcloud, connu pour ses solutions cloud open source utilisées comme alternatives européennes à Google Drive ou Microsoft OneDrive, a été confronté à une fuite de données majeures. Selon FrenchBreaches, une base Elasticsearch mal configurée a rendu accessible publiquement 367 000 enregistrements, représentant 7,92 Go de données internes. Cette exposition, découverte par des chercheurs, a permis l’accès à des documents sensibles, soulignant les dangers des erreurs de configuration, même pour des acteurs spécialisés dans la sécurité.

Les fichiers concernés couvrent un large éventail : 71 000 fichiers PDF, 53 000 images PNG, 23 000 fichiers Markdown, ainsi que des factures, contrats et courriels professionnels. Certains documents contenaient des coordonnées d’entreprises clientes, des adresses email d’employés ou des informations sur des partenaires technologiques, exposant ainsi des données personnelles et professionnelles.

Des scripts techniques exposés, un risque pour la sécurité des clients ?

Parmi les éléments les plus sensibles figuraient des scripts Shell et Python, utilisés pour déployer Nextcloud chez certains clients. Selon FrenchBreaches, certains de ces scripts contenaient des identifiants techniques ou des paramètres de connexion intégrés directement dans le code. Bien que Nextcloud affirme que ces éléments ne permettent pas, à eux seuls, de compromettre des infrastructures clientes, ils pourraient fournir des indices précieux à des acteurs malveillants cherchant à identifier des vulnérabilités potentielles. Cette situation rappelle l’importance de sécuriser non seulement les données, mais aussi les outils de déploiement.

Les organismes publics allemands et plusieurs hébergeurs européens sont également mentionnés dans les documents exposés, ce qui pourrait avoir des répercussions sur la confiance des utilisateurs institutionnels en matière de cybersécurité.

L’Éducation nationale française concernée, mais pas ses serveurs

En France, l’utilisation de Nextcloud prend une dimension particulière puisque le ministère de l’Éducation nationale et de la Jeunesse l’intègre via la plateforme Apps.education.fr. Ce service, accessible aux personnels de l’Éducation nationale avec leurs identifiants académiques, offre un espace de stockage sécurisé de 100 Go par défaut, permettant le partage et la synchronisation de documents professionnels tout en respectant le RGPD. Les usages incluent le stockage de fichiers, l’accès mobile, le partage collaboratif et la protection des échanges.

Nextcloud a tenu à préciser que aucun serveur client, partenaire ou utilisateur n’a été compromis lors de cet incident. L’entreprise attribue la fuite à une erreur de configuration de son infrastructure interne, et non à une vulnérabilité du logiciel Nextcloud lui-même. La base de données a été sécurisée rapidement après son signalement, et l’éditeur indique ne disposer d’aucun élément suggérant une exploitation malveillante des données publiées.

La souveraineté numérique ne suffit pas sans cybersécurité rigoureuse

Cet incident met en lumière une réalité souvent soulignée par les experts : le choix d’une solution souveraine ou européenne ne constitue pas, en soi, une garantie absolue de sécurité. Comme le rappelle FrenchBreaches, la protection des données repose sur la qualité des logiciels, mais aussi sur la configuration des infrastructures, les procédures internes et les bonnes pratiques de cybersécurité mises en œuvre par les organisations. Pour les administrations françaises ayant opté pour Nextcloud, comme le ministère de l’Éducation nationale ou celui de l’Intérieur, cet événement souligne l’importance des audits réguliers et de la supervision des infrastructures.

Des spécialistes rappellent que la cybersécurité est un processus continu, nécessitant une vigilance constante, même pour les solutions les plus abouties. La fuite chez Nextcloud sert ainsi d’exemple pour illustrer que la souveraineté numérique, bien qu’essentielle, doit s’accompagner d’une gestion rigoureuse des risques.

Et maintenant ?

Nextcloud devrait renforcer ses protocoles de configuration et de surveillance de ses infrastructures internes pour éviter tout incident similaire. Pour les utilisateurs institutionnels, comme ceux de l’Éducation nationale, cet événement pourrait accélérer la mise en place d’audits supplémentaires et de formations renforcées en cybersécurité. Les prochaines semaines seront déterminantes pour évaluer l’impact de cette fuite sur la confiance des utilisateurs et sur les éventuelles mesures correctives mises en œuvre par l’éditeur. Reste à voir si des investigations complémentaires révéleront des traces d’exploitation malveillante des données exposées.

Cet incident rappelle également aux administrations françaises l’importance de diversifier leurs solutions cloud et de ne pas dépendre d’un seul acteur, même européen, sans une politique de sécurité robuste. La cybersécurité reste un enjeu majeur pour les services publics, où la protection des données sensibles est une priorité absolue.

Selon FrenchBreaches, la fuite concernait principalement des factures, contrats commerciaux, courriels professionnels, documents techniques et scripts d’installation. Parmi les fichiers figuraient également des images, des fichiers PDF et des scripts contenant parfois des identifiants techniques.

Nextcloud a précisé que la fuite concernait uniquement des données internes et qu’aucun serveur client, y compris ceux utilisés par le ministère de l’Éducation nationale via Apps.education.fr, n’a été compromis. Le ministère utilise Nextcloud pour ses personnels, mais l’incident ne touche pas directement les instances clientes.