CrowdSec victime d’un piratage : 3,4 Go de code source revendiqués par un hacker Mise à jour le 17 août à 11h00 CrowdSec confirme une fuite de son code source privé survenue en mai 2026 via GitHub, probablement liée à une compromission de TanStack ; aucune donnée client, mot de passe ou information personnelle n’aurait été exposée, et les tokens et identifiants concernés ont depuis été renouvelés. Un pirate affirme avoir dérobé 3,4 Go de code source à CrowdSec, entreprise française de cybersécurité spécialisée dans la détection et le blocage des adresses IP malveillantes. Plus de 300 dépôts de développement seraient concernés, dont des projets liés à la console, aux API et à l’infrastructure de l’entreprise. Une importante fuite de données est revendiquée contre CrowdSec, entreprise française qui développe des outils de cybersécurité permettant notamment de détecter des comportements malveillants et de bloquer les adresses IP utilisées lors d’attaques. Le 16 septembre 2026, un utilisateur utilisant le pseudonyme mrwho a publié sur un forum cybercriminel une annonce intitulée « CrowdSec Full Source Code ». Le pirate affirme avoir récupéré environ 3,4 Go de code source non public après avoir obtenu un accès grâce à une clé d’API exposée. Cette méthode d’accès reste, à ce stade, une affirmation du cybercriminel. :::embed ::: Plus de 300 dépôts de CrowdSec revendiqués Selon les éléments publiés, l’archive contiendrait plus de 300 dépôts de développement associés à CrowdSec. FrenchBreaches a examiné un « tree file », une liste présentant les noms des différents projets qui feraient partie de l’archive. Elle comporte plusieurs centaines de dépôts rattachés à l’organisation crowdsecurity. On y retrouve notamment des projets faisant référence à la console CrowdSec, à ses API, à des services internes, au renseignement sur les cybermenaces, à l’intelligence artificielle, à l’analyse de données et à l’infrastructure cloud. Des noms comme console, console-api, console-backend, core-services, cti-api, cti-service ou encore terraform-infra apparaissent dans la liste examinée. Un dépôt nommé .github-private est également présent. Certains projets de CrowdSec sont toutefois open source et déjà accessibles publiquement. La présence d’un dépôt dans cette liste ne signifie donc pas automatiquement que son contenu était confidentiel. Des fichiers internes et des secrets techniques pourraient être exposés Selon les informations accompagnant la revendication, l’archive ne contiendrait pas uniquement du code informatique. Des fichiers de configuration susceptibles de contenir des informations sensibles feraient également partie des données récupérées. Il pourrait notamment s’agir de clés d’accès, clés d’API, jetons d’authentification, mots de passe ou identifiants techniques utilisés par différents services. La présence d’un secret dans un fichier ne signifie toutefois pas qu’il est encore exploitable. Les clés et jetons concernés peuvent notamment avoir été révoqués ou remplacés après la découverte de la compromission. Des noms et adresses e-mail de contributeurs pourraient également apparaître dans les informations associées aux dépôts. Une clé d’API exposée aurait permis le piratage Le pirate affirme que son accès initial aurait été rendu possible par une clé d’API exposée. Une telle clé peut permettre à un logiciel ou à un utilisateur de s’authentifier auprès d’un service. Les possibilités offertes dépendent ensuite des autorisations qui lui sont associées. La publication ne précise toutefois pas où cette clé aurait été découverte, à quel service elle appartenait ni quelles permissions elle permettait d’obtenir. Il n’est donc pas encore possible de déterminer comment une éventuelle clé exposée aurait permis au pirate d’accéder à plusieurs centaines de dépôts. Pourquoi le vol de code source est particulièrement sensible Contrairement à une fuite classique contenant des noms, adresses ou numéros de téléphone, cette revendication concerne principalement la propriété intellectuelle et l’infrastructure technique de CrowdSec. Du code source interne peut permettre de mieux comprendre le fonctionnement d’un service, son architecture et certaines interactions entre ses différents composants. Des attaquants peuvent également analyser ces fichiers à la recherche de vulnérabilités, erreurs de configuration, identifiants oubliés ou mécanismes internes qui ne sont normalement pas visibles publiquement. Cette dimension est d’autant plus sensible que CrowdSec est elle-même une entreprise spécialisée dans la cybersécurité. Cela ne signifie cependant pas qu’une vulnérabilité exploitable a été découverte dans les fichiers revendiqués. Les clients et utilisateurs de CrowdSec sont-ils concernés ? Les informations disponibles ne permettent pas d’affirmer qu’une importante base contenant les données personnelles des clients ou utilisateurs de CrowdSec a également été récupérée. La revendication porte principalement sur du code source, des dépôts de
CrowdSec : piratage et fuite de données — ce que l’on sait, que faire
