Scalingo : les données d’environ 90 000 personnes exfiltrées

Scalingo, fournisseur français de services cloud, a confirmé l’exfiltration de données concernant environ 90 000 personnes après la compromission de son instance interne de Metabase. L’incident est lié à l’exploitation de la vulnérabilité critique CVE-2026-72898, notée 10/10, permettant à un attaquant non authentifié d’obtenir un accès administrateur. Les informations exfiltrées comprennent notamment des noms, noms d’utilisateur, adresses e-mail, entreprises, localisations, métadonnées de comptes, informations GitHub, données limitées de facturation et différentes métadonnées techniques relatives aux applications et bases de données. Scalingo affirme que les mots de passe, données bancaires, secrets MFA, jetons d’accès, code source et contenu des bases de production de ses clients n’ont pas été compromis. L’entreprise a mis l’instance concernée hors ligne, appliqué le correctif et indiqué avoir informé la CNIL le 11 août ainsi que les clients concernés le 12 août.