Entre le 17 et le 19 août 2026, un script automatisé est parvenu à copier un échantillon de nos bases de données. Nous revenons ici en détail sur les circonstances de cet incident et sur les mesures prises, dans un souci de transparence envers nos clients et partenaires.
Ce qui s'est passé
Le 9 août 2026, l'éditeur Metabase, solution que nous utilisons pour l'analyse de nos données, a publié une alerte de sécurité critique concernant l'un de ses composants.
Trois jours plus tard, des robots ont entrepris de balayer Internet à la recherche des serveurs vulnérables à cette faille. Nos journaux techniques recensent 86 adresses IP distinctes ayant tenté d'exploiter cette vulnérabilité sur notre infrastructure.
L'une de ces tentatives a abouti. Entre le 17 août au soir et le 19 août au matin, un script automatisé a eu accès à nos systèmes et copié un échantillon de nos bases, sur une durée d'activité effective d'un peu plus de six heures. Cet accès a été identifié et coupé le 20 août 2026.
L'ampleur réelle : un échantillon, pas nos bases
L'outil concerné plafonne chaque lecture à 2 000 lignes, et cette limite n'a pas été contournée.
La collecte a été entièrement automatisée et indiscriminée : aucune sélection, aucun filtre, aucun tri, aucun croisement entre catégories de données. Personne n'a été visé individuellement, et rien n'indique que ces données aient été exploitées.
Un point important limite la portée réelle de cet incident : les différentes tables copiées ne peuvent pas être croisées entre elles. Le plafond de lecture s'appliquant indépendamment à chaque table, les 2 000 premières lignes extraites diffèrent d'une table à l'autre, ainsi les personnes présentes dans l'échantillon « identité et coordonnées » ne sont pas nécessairement celles présentes dans les autres échantillons (droits et démarches, réponses aux questionnaires, éléments déclaratifs, historique de connexion).
Concrètement, en dehors de la table contenant les coordonnées, les données figurant dans les autres échantillons ne peuvent pas être rattachées à une identité précise : elles se présentent sous une forme pseudonymisée, sans possibilité technique d'établir un lien avec le nom, l'e-mail ou le téléphone d'une personne donnée.
Les données concernées
Les échantillons peuvent comporter : identité et coordonnées (prénom, nom, e-mail personnel, e-mail professionnel, téléphone), informations sur les droits et les démarches d'aides, réponses aux questionnaires de profil, éléments déclaratifs relatifs aux revenus, historique de connexion et préférences de consentement.
Ce qui n'est pas concerné
- Nos serveurs et l'application Klaro n'ont pas été compromis. L'incident est resté cantonné à un outil d'analyse interne.
- Aucun accès direct à nos bases de données n'a eu lieu ; nous l'avons vérifié par plusieurs sources indépendantes.
- L'accès était en lecture seule : aucune de vos données n'a été modifiée ni supprimée.
- Aucune donnée bancaire ni moyen de paiement, nous n’en collectons pas.
- Aucun mot de passe de compte utilisateur Klaro.
- Aucun document ou pièce justificative que vous nous auriez transmis.
- Aucun accès résiduel : l'outil concerné a été entièrement reconstruit, dans une version corrigée et non exposée.
Ce que nous avons fait
Dès la découverte de l’incident, nous avons :
- coupé l’accès,
- engagé un prestataire spécialisé en investigation numérique,
- renouvelé l’ensemble des identifiants et désormais chiffrés,
- reconstruit l’outil reconstruit.
Sur le plan légal, une plainte a été déposée, et la CNIL a été notifiée dans le délai légal.
L'investigation, complète, a confirmé que l'atteinte est restée circonscrite à cet outil.
Pourquoi cette information est publique
Le RGPD impose en principe d'informer individuellement chaque personne concernée par une violation de données. Il prévoit toutefois une exception lorsque cette information individuelle impliquerait un effort disproportionné : la loi autorise alors une communication publique équivalente (article 34, paragraphe 3, c).
C'est le cas ici, pour une raison technique précise. La requête exécutée par le script n'a ciblé personne : elle a simplement récupéré les 2 000 premières lignes affichées par l'outil à l'instant précis de son passage, sans critère de sélection ni de tri. Cet affichage dépend de l'état de la base à ce moment-là et n'est pas reproductible : il ne nous est pas possible de relancer la même opération pour reconstituer a posteriori la liste exacte des personnes dont les données figuraient dans cet instantané.
Nous ne sommes donc pas en mesure d'établir la liste des personnes concernées, ce qui exclut techniquement une notification individuelle.
Nous avons donc fait le choix, en cohérence avec ce cadre légal, de privilégier cette communication publique, complète et vérifiable par chacun.
Ce que nous vous recommandons
Le risque principal est celui du démarchage ou de l'hameçonnage. Restez vigilant face aux e-mails, SMS ou appels se présentant comme Klaro.
Nous ne vous demanderons jamais votre mot de passe, ni vos coordonnées bancaires, par e-mail, SMS ou téléphone.
En cas de doute sur un message reçu, ne cliquez pas et écrivez-nous à contact@klaro.fr.
Si vous recevez une invitation à créer un compte Klaro que vous n'avez pas demandée, ne l'utilisez pas et signalez-la nous.