Veille menaces / Faille
CSCTelecom : quatre ans de SMS de banques et de compagnies aériennes dans une base de données ouverte
Les chercheurs de Cybernews ont trouvé une base de données ClickHouse accessible publiquement, appartenant à la filiale lettone de CSCTelecom, une société qui envoie des SMS pour le compte d'entreprises. Elle contenait plus de 125 millions de SMS d'octobre 2022 à septembre 2026, mis à jour en temps réel, avec le texte des messages, les numéros des destinataires et le nom des expéditeurs, dont Swedbank, SEB, airBaltic et le numéro d'urgence letton 112. Selon Artea, CSCTelecom a évoqué une faille de configuration des accès, dit l'avoir corrigée et n'avoir trouvé aucun signe d'attaque. Cybernews indique n'avoir aucune preuve qu'un acteur malveillant ait consulté la base.
- Secteur
- Tech et SaaS
- Point d'entrée
- Exposé ou mal configuré
- Produit ou fournisseur
- CSCTelecom, ClickHouse
- SMS lisibles dans la base ouverte (octobre 2022 à septembre 2026)[1]
- 125 M+
- Comment c'est arrivé
- Une base de données ClickHouse de la filiale lettone de CSCTelecom était accessible publiquement et mise à jour en temps réel, selon Cybernews, qui l'a trouvée le 28 septembre 2026. Artea cite la déclaration de CSCTelecom du 11 novembre, qui parle d'un incident de sécurité lié à une faille de configuration des accès identifiée.[1] Vérifié le 14 nov. 2026
- Ce qui a été volé
- Aucun vol n'a été signalé. La base ouverte contenait le texte des SMS, les numéros des destinataires, le nom des entreprises clientes et des métadonnées (horodatage, prix, routage réseau). Cybernews souligne que, la base étant mise à jour en temps réel, quiconque l'observait pouvait voir passer des codes d'authentification et des liens de réinitialisation de mot de passe. Selon Artea, les vérifications de CSCTelecom n'ont trouvé aucun signe d'attaque ni d'usage abusif des données.[1] Vérifié le 14 nov. 2026
- Qui est touché
- Les destinataires de SMS envoyés via CSCTelecom en Lettonie, en Lituanie et en Estonie. Cybernews cite parmi les expéditeurs Swedbank, SEB, ERGO, Compensa, Artea, airBaltic, CityBee, Barbora, Porsche et le numéro d'urgence letton 112. SEB indique n'utiliser ce service que pour une partie du marketing de ses fonds de pension et ne pas avoir été informée de l'incident ; Artea a suspendu son recours à CSCTelecom. Aucun nombre de personnes n'est donné.[1] Vérifié le 14 nov. 2026
- Acteur
- Non attribué
Chronologie
- Les chercheurs de Cybernews trouvent la base ouverte de CSCTelecom, qui contient des messages remontant au 20 octobre 2022. [1]
- Cybernews constate que la base n'est plus accessible. [1]
- CSCTelecom publie une déclaration, citée par Artea, sur un incident dû à une faille de configuration des accès, qu'elle dit corrigée, sans signe d'attaque relevé à ce stade. Cybernews indique que CSCTelecom n'avait pas répondu à sa propre demande de commentaire. [1]