Vision2i victime d’un piratage ? Des données de contacts WordPress revendiquées par une hackeuse Une fuite de données est revendiquée contre Vision2i.fr par une hackeuse utilisant le pseudonyme Sophia. Un échantillon publié le 8 septembre 2026 contient notamment des adresses e-mail et différentes informations associées à des contacts enregistrés sur le site WordPress. Le 8 septembre 2026, une utilisatrice d’un forum cybercriminel utilisant le pseudonyme Sophia a publié des données qu’elle présente comme provenant de Vision2i.fr. La publication est accompagnée d’un extrait de base de données contenant plusieurs enregistrements attribués au site. L’échantillon montre notamment des adresses e-mail, ainsi que plusieurs champs techniques liés à l’enregistrement et au statut des contacts. Pour des raisons de confidentialité, nous ne reproduisons aucune donnée permettant d’identifier les personnes présentes dans cet échantillon. Des données de contacts WordPress exposées L’échantillon publié présente une structure correspondant à une base de contacts utilisée par un site fonctionnant sous WordPress. Plusieurs champs sont directement visibles : • un identifiant ; • un identifiant utilisateur WordPress ; • un prénom ; • un nom ; • une adresse e-mail ; • la source du contact ; • l’identifiant du formulaire associé ; • le statut du contact ; • son éventuelle désinscription ; • une valeur technique de type hash ; • une date de création ; • différentes informations liées à la validation de l’adresse. Certaines entrées visibles dans l’échantillon remontent à 2019. Cette date ne permet toutefois pas de déterminer quand les informations auraient été récupérées par l’attaquante. Une base qui semble provenir d’Icegram Express La structure des données fournit un indice intéressant concernant leur origine. Les différents champs observés correspondent à ceux utilisés par le plugin WordPress Email Subscribers & Newsletters, également connu sous le nom Icegram Express, pour enregistrer ses contacts. Les données publiées semblent ainsi provenir d’une table de contacts associée à ce plugin. Cela permet d’identifier avec une certaine précision le composant ayant stocké les informations exposées. En revanche, cela ne permet pas de déterminer comment l’attaquante aurait réussi à accéder à cette base. Des adresses e-mail directement visibles Les adresses e-mail constituent la principale catégorie de données personnelles directement observable dans l’échantillon. Certaines entrées comportent également des informations supplémentaires permettant de contextualiser le contact, notamment sa source, son statut ou la date à laquelle il a été enregistré. Des champs destinés aux prénoms et noms sont également présents dans la structure de la base. L’association de ces informations peut faciliter la création de campagnes de phishing ciblées si les données revendiquées sont authentiques. Les valeurs « hash » ne sont pas nécessairement des mots de passe Un champ intitulé hash apparaît dans les données publiées. Sa présence ne signifie pas que des mots de passe utilisateurs ont été récupérés. Les valeurs techniques enregistrées dans ce type de table peuvent être utilisées par le plugin pour différentes fonctions internes et ne doivent donc pas être assimilées, sans élément supplémentaire, à des hashes de mots de passe. Aucun mot de passe en clair n’apparaît dans l’échantillon observé. Aucune donnée bancaire n’y est visible non plus. Une vulnérabilité publiée la veille de la revendication Un élément attire particulièrement l’attention concernant le calendrier de cette publication. Le 7 septembre 2026, soit la veille de la revendication visant Vision2i, une vulnérabilité référencée CVE-2026-12757 a été rendue publique concernant le plugin Icegram Express. La vulnérabilité affecterait les versions jusqu’à la 5.9.27 et dispose d’un score CVSS annoncé de 6,5/10. Elle permettrait à un attaquant non authentifié d’exécuter des shortcodes arbitraires en injectant une valeur contrôlée dans le nom d’un abonné. L’impact dépend ensuite des shortcodes disponibles et de la configuration du site concerné. Le plugin a connu d’autres vulnérabilités en 2026 Icegram Express a également été concerné par plusieurs autres vulnérabilités rendues publiques en 2026. Parmi celles-ci figure CVE-2026-1651, une injection SQL affectant les versions jusqu’à la 5.9.16. Cette vulnérabilité nécessiterait toutefois un compte administrateur, ce qui en fait une hypothèse moins évidente pour expliquer un accès initial au site. Une autre vulnérabilité, CVE-2026-81290, publiée fin août, concernait également Icegram Express et permettait une injection de script sans authentification dans certaines versions du plugin. Une faille d’Icegram Express a-t-elle été exploitée ? La proximité entre la publication d’une vulnérabilité concernant Icegram Express et la revendication de Sophia est notable. Elle ne constitue cependant pas une preuve que cette vulnérabilité a été exploitée contre Vision2i.
Vision2i : piratage et fuite de données — ce que l’on sait, que faire
