🔴 Alerte cybersécurité — 24 mars 2026
Un acteur malveillant revendique l’exfiltration de 590 téraoctets de données. OVHcloud reste silencieux. Voici ce que l’on sait.
⚠️ Avertissement : Cette revendication n’a pas encore été confirmée par OVHcloud ni par des sources indépendantes vérifiées. Les informations ci-dessous reflètent l’état des connaissances au 24 mars 2026 à 2h (heure de Paris). Lisez avec esprit critique.
Le 23 mars 2026, une annonce choc a circulé sur des forums spécialisés dans le cybercrime : un acteur malveillant affirme avoir extrait des quantités colossales de données chez OVHcloud, le champion français de l’hébergement et du cloud computing. Si la revendication s’avère exacte, il s’agirait de l’une des plus importantes fuites de données jamais enregistrées en Europe.
1. Ce que revendique l’attaquant
L’annonce mentionne un accès à un « compte parent » d’OVHcloud ainsi qu’à des serveurs associés. Les données prétendument exfiltrées se répartissent en trois grandes catégories :
Nom, prénom, numéro de téléphone, adresse électronique, code postal, ville et adresse postale. Un échantillon concret de données d’un particulier français a été diffusé publiquement en guise de preuve.
Code source complet, bases de données, médias et configurations serveur — avec possibilité de recherche ciblée par site ou par client, ce qui rendrait l’exploitation particulièrement redoutable.
Détails techniques par région géographique, notamment Europe et États-Unis, représentant un total revendiqué de 590 téraoctets répartis en plusieurs lots.
La mise en vente est proposée sans prix plancher, avec une commission de 30 % reversée aux intermédiaires — un modèle courant sur les forums de cybercriminalité.
🔍 Mise en perspective : À titre de comparaison, la fuite chez Yahoo en 2016 avait concerné 3 milliards de comptes, celle de LinkedIn en 2021 environ 700 millions d’utilisateurs. 1,6 million de clients d’un hébergeur européen avec les codes sources de leurs sites hébergés représente un risque de compromission en cascade bien plus grave que de simples données de contact.
2. OVHcloud en bref : un géant européen sous pression
OVHcloud, fondée en 1999 à Roubaix (Nord, France) par Octave Klaba, s’est imposée comme le premier fournisseur de cloud indépendant d’Europe. Son modèle repose sur une intégration verticale rare : conception de ses propres serveurs, gestion de ses data centers et exploitation d’un réseau fibre optique mondial.
1,6M
clients dans +140 pays
500K
serveurs en exploitation
46
data centers sur 4 continents
+6%
croissance organique T1 FY2026
En janvier 2026, OVHcloud avait renforcé sa posture de sécurité avec l’acquisition de Seald, une startup française spécialisée dans le chiffrement de bout en bout, et lancé un agent de sauvegarde gratuit pour ses clients Bare Metal. Des certifications de référence — ISO 27001 et SecNumCloud (qualification ANSSI) — étaient mises en avant.
Un historique d’incidents à ne pas oublier
OVHcloud n’en est pas à sa première épreuve. En mars 2021, l’incendie spectaculaire du data center SBG2 à Strasbourg avait détruit des infrastructures entières et entraîné des pertes définitives de données pour des milliers de clients — dont certains n’avaient aucune sauvegarde externe. L’incident avait conduit à des procédures judiciaires et à des indemnisations. Des attaques par déni de service (DDoS) d’une ampleur record ont également frappé l’entreprise à plusieurs reprises.
3. Risques immédiats pour les clients
Si la violation est confirmée, les conséquences pourraient être dévastatrices — et différentes selon le profil du client concerné.
👤 Pour les particuliers
- Exposition d’identité complète (nom, adresse, téléphone, e-mail)
- Risque accru de phishing personnalisé et d’usurpation d’identité
- Harcèlement ciblé rendu possible par la précision des données
🏢 Pour les entreprises et les indépendants
- Fuite du code source — potentiel vol de propriété intellectuelle
- Accès aux bases de données clients hébergées → risque de ransomware ciblé
- Exploitation des configurations serveurs pour des attaques en profondeur
- Atteinte à la réputation vis-à-vis de leurs propres clients
⚖️ Angle réglementaire : le RGPD en jeu
Le Règlement Général sur la Protection des Données (RGPD) impose à tout responsable de traitement de notifier toute violation présentant un risque pour les droits des personnes concernées dans un délai de 72 heures à la CNIL (en France). À ce stade, aucune notification publique n’a été émise. Le délai réglementaire court déjà.
4. Le silence d’OVHcloud : questions en suspens
Au 24 mars 2026 à 2h du matin (heure de Paris), le site institutionnel d’OVHcloud, son portail de statut des services et ses comptes officiels restaient totalement silencieux sur cette affaire. Aucun communiqué, aucune alerte, aucune mise en garde aux clients.
Ce mutisme contraste fortement avec la gravité des faits revendiqués, et alimente l’inquiétude au sein des communautés techniques francophones et internationales.
🧑💻 Ce que disent les experts en cybersécurité
L’accès à un compte de gestion privilégié (« compte parent ») ne garantit pas automatiquement un compromis total de tous les serveurs hébergés. Des vérifications indépendantes restent nécessaires pour confirmer l’authenticité et l’étendue réelle de la fuite. Il convient de distinguer ce qui a pu être accédé de ce qui a effectivement été exfiltré.
5. Que faire si vous êtes client OVHcloud ?
En attendant une communication officielle, voici les mesures de précaution à appliquer dès maintenant, par ordre de priorité :
- Changez immédiatement vos mots de passe — compte OVHcloud, panneau d’administration de votre hébergement, et tous les services connexes (CMS, bases de données, FTP).
- Activez l’authentification à deux facteurs (2FA) partout où c’est possible, en priorité sur votre compte OVHcloud.
- Surveillez vos comptes bancaires et vos adresses e-mail pour détecter toute activité suspecte ou tentative de phishing personnalisé.
- Contactez le support OVHcloud pour exiger des précisions sur la sécurité de vos données hébergées.
- Pour les sites web : auditez vos journaux d’accès (logs) et, si des données sensibles sont en jeu (données clients, e-commerce…), envisagez une migration temporaire vers un environnement isolé.
- Informez vos propres clients si vos services hébergent leurs données personnelles — votre obligation de transparence peut être engagée.
💡 Conseil supplémentaire : Si vous utilisez le même mot de passe OVHcloud sur d’autres services (messagerie, réseaux sociaux, banque), changez-les également immédiatement.
6. Conclusion
Si cette revendication se confirme, elle constituerait l’une des violations de données les plus importantes jamais enregistrées en Europe — touchant simultanément des millions de particuliers et d’entreprises. Elle pose une question de fond sur la capacité du leader européen du cloud à protéger les infrastructures qu’il héberge.
Dans un contexte où la souveraineté numérique française et européenne est régulièrement mise en avant comme argument commercial et politique, cet épisode rappelle une vérité simple : la confiance ne se décrète pas, elle se prouve — surtout face aux menaces réelles. Les clients, les autorités de régulation (CNIL, ANSSI) et les observateurs attendent désormais une réponse claire, rapide et transparente d’OVHcloud.
📡 À suivre : Toute communication officielle d’OVHcloud, toute notification à la CNIL ou toute vérification indépendante de l’échantillon de données sera déterminante pour évaluer l’ampleur réelle de cet incident. Revenez régulièrement consulter cet article, qui sera mis à jour dès que de nouvelles informations fiables seront disponibles.
7. Sources
- Annonce originale de la revendication — canal Telegram BreachedSupp (consultée le 24 mars 2026)
- Site institutionnel OVHcloud — actualités et résultats financiers 2026
- Communiqué de résultats du T1 FY2026 — OVHcloud
- Acquisition de Seald par OVHcloud — janvier 2026
- Documentation historique OVHcloud sur l’incendie de Strasbourg (2021) et les certifications de sécurité (ISO 27001, SecNumCloud/ANSSI)
Article rédigé le 24 mars 2026 — Contenu susceptible d’être mis à jour au fil des développements officiels.