Legalstart, plateforme française d’accompagnement juridique et administratif très utilisée par les indépendants et les petites entreprises, a confirmé avoir été victime d’une cyberattaque. La cyberattaque Legalstart a permis l’exfiltration de données personnelles de clients après l’exploitation d’une faille critique dans un outil interne d’analyse de données, Metabase. L’entreprise a notifié l’incident à la CNIL et prévenu ses clients directement.
Cyberattaque Legalstart : que s’est-il passé ? #
Selon la notification adressée par Legalstart à ses clients, relayée par Fuites Infos et par Cyberattaque.org, la compromission a été détectée le 9 septembre 2026. L’entreprise a déclaré l’incident à la CNIL le 14 septembre 2026, comme l’exige le RGPD en cas de violation susceptible d’engendrer un risque pour les personnes concernées. Legalstart indique avoir immédiatement engagé une remédiation avec des experts en cybersécurité, révoqué les accès frauduleux et renforcé ses contrôles d’accès. L’entreprise a également déposé plainte pour accès frauduleux à un système de traitement automatisé de données.
À retenir : entre la détection d’une intrusion et sa notification officielle, plusieurs jours s’écoulent généralement le temps d’investiguer l’étendue réelle de la compromission. Ce délai n’est pas anormal, mais il explique pourquoi la communication initiale reste parfois prudente sur le volume exact de données touchées.
Quelles données ont été exposées ? #
D’après les éléments communiqués, les catégories de données suivantes ont été extraites :
| Donnée | Exposée ? |
|---|---|
| Nom et prénom | Oui |
| Adresse e-mail | Oui |
| Numéro de téléphone | Oui |
| Mot de passe | Non |
| Coordonnées bancaires | Non |
| Documents d’identité ou actes juridiques | Non |
Le volume total de comptes concernés n’a pas été rendu public à ce stade. Legalstart précise que les mots de passe, données bancaires et documents juridiques n’ont pas été extraits, ce qui limite le risque de fraude financière directe mais n’élimine pas le risque d’hameçonnage ciblé, puisque les attaquants disposent de suffisamment d’informations pour se faire passer de façon crédible pour l’entreprise ou un organisme administratif.
La cause : une faille critique dans l’outil Metabase #
La compromission provient de l’exploitation d’une vulnérabilité touchant Metabase, un outil open source d’analyse et de visualisation de données que Legalstart utilisait en interne. Il s’agit très probablement de CVE-2026-72898, une injection SQL non authentifiée notée 10,0 sur 10 en CVSS, documentée par SentinelOne et par OffSec. Cette faille provient d’une absence d’assainissement des entrées utilisateur sur un point de terminaison de réinitialisation de mot de passe, dont le contenu est concaténé directement dans une requête SQL au lieu d’être traité via une requête préparée. Une exploitation réussie permet à un attaquant non authentifié d’obtenir un accès administrateur complet à l’instance Metabase, et donc aux données des bases connectées.
La réponse de Legalstart et la notification à la CNIL #
Au-delà de la révocation des accès et du renforcement des contrôles, Legalstart a recommandé à ses clients de rester vigilants face aux e-mails et appels suspects se faisant passer pour l’entreprise ou pour un organisme administratif, de surveiller leurs comptes pour toute activité anormale, et de ne jamais communiquer un code d’accès par téléphone ou e-mail : l’entreprise rappelle qu’elle ne demande jamais ce type d’information à ses clients. La notification à la CNIL s’inscrit dans l’obligation légale de déclaration sous 72 heures après la prise de connaissance d’une violation de données à caractère personnel présentant un risque pour les personnes concernées.
Que faire si vous êtes client Legalstart ? #
- Vérifiez si votre adresse e-mail apparaît dans d’autres fuites connues avec un outil comme Have I Been Pwned, pour évaluer votre exposition globale.
- Changez votre mot de passe Legalstart par précaution, même s’il n’a pas été extrait selon l’entreprise, et utilisez un générateur de mot de passe robuste pour éviter toute réutilisation avec d’autres services.
- Méfiez-vous des e-mails et appels qui citent votre nom, votre e-mail ou votre numéro de téléphone pour paraître légitimes : notre guide pour analyser un e-mail de phishing détaille les vérifications techniques à effectuer (en-têtes, SPF, DKIM, DMARC) avant de cliquer sur un lien ou de répondre.
- Signalez toute tentative suspecte via la plateforme PHAROS ou 17Cyber si vous êtes ciblé par une tentative de fraude qui exploite ces données.
- Comprenez vos droits : notre article sur le rôle de la CNIL explique ce qu’implique une notification de violation de données et les recours possibles pour les personnes concernées.
Points clés #
- Legalstart a détecté une intrusion le 9 septembre 2026 et notifié la CNIL le 14 septembre 2026 après extraction de noms, prénoms, e-mails et numéros de téléphone de clients.
- Mots de passe, données bancaires et documents juridiques n’auraient pas été exposés selon l’entreprise.
- La cause probable est l’exploitation d’une faille Metabase critique (CVSS 10,0), un outil interne d’analyse de données, illustrant le risque que représentent les outils tiers connectés aux systèmes de production.
- Le principal risque pour les clients concernés est le phishing ciblé exploitant ces données pour paraître crédible.
- Vérifiez votre exposition, changez vos identifiants par précaution et restez vigilant face aux sollicitations se présentant comme venant de Legalstart.