C’est une histoire digne d’un thriller technologique qui vient d’être révélée. En août 2021, Leboncoin, leader de l’annonce automobile en France, a frôlé la catastrophe industrielle. Le coupable ? Une faille de sécurité héritée du rachat de l’Argus, restée endormie pendant des années.

Un samedi d’août sous haute tension

Tout commence un matin de week-end, en pleine période estivale. Zac, alors responsable de la sécurité (CISO) du Boncoin depuis seulement trois mois, découvre une alerte inhabituelle sur ses tableaux de bord : un fichier « ransomware » signé par le groupe Conti, l’une des organisations de cybercriminels russes les plus dangereuses au monde.

Le constat est immédiat : des millions de fichiers internes sont chiffrés et inaccessibles. Les pirates réclament une rançon pour ne pas divulguer les données de 30 millions de Français.

Le « Patient Zéro » : Le pare-feu de l’Argus

Pour comprendre comment des hackers russes ont pu s’infiltrer dans les serveurs de la tech française, les experts en forensic (criminologie informatique) ont dû remonter le temps. La « route cause » ou origine de l’attaque est stupéfiante : elle provient du système informatique de l’Argus.

Lors du rachat de la célèbre société centenaire par Leboncoin, les réseaux informatiques des deux entités ont été interconnectés. Malheureusement, un équipement réseau (firewall) de l’Argus avait été compromis par un attaquant trois ou quatre ans auparavant. En ouvrant les passerelles entre les deux entreprises, Leboncoin a, sans le savoir, offert une autoroute aux pirates déjà installés dans les murs de l’Argus.

Une « War Room » et des millions d’euros en jeu

Pendant un mois, Leboncoin a fonctionné en mode survie. Pour protéger les données des utilisateurs, le site leboncoin.fr a été totalement isolé du réseau interne de l’entreprise. Conséquence : les employés ne pouvaient plus rien produire.

• 1 500 ordinateurs changés : Pour repartir sur des bases saines, l’entreprise a dû racheter en urgence des stocks entiers de Chromebooks à la Fnac.
• Paralysie des ventes : Le secteur « télévente », qui gère les contrats avec les garages et agences immobilières, a été stoppé net. On estime la perte à des centaines de milliers d’euros par jour de blocage.
• Coût total : L’opération de sauvetage et les pertes d’exploitation ont coûté au groupe environ 2 millions d’euros.

La leçon de l’histoire

Si Leboncoin s’en est sorti sans fuite de données clients et avec une croissance préservée, cette crise souligne un risque majeur lors des fusions-acquisitions dans le secteur automobile : la dette technologique et sécuritaire.

Racheter une entreprise comme l’Argus, c’est acquérir son expertise et ses données, mais c’est aussi hériter de ses vulnérabilités. Comme le résume l’un des protagonistes : « Ils sont rentrés par une petite porte et se sont retrouvés au milieu de la Galerie des Glaces sans même savoir où ils étaient. »