RingCentral : une possible violation de données concernant 1,6 million de personnes

Des données personnelles dérobées lors d’une attaque d’ingénierie sociale

RingCentral, société proposant des services cloud de communication d’entreprise et de centre de contacts, a signalé un incident susceptible d’avoir concerné environ 1,6 million de personnes.

L’activité non autorisée aurait eu lieu en juillet. L’entreprise l’a attribuée à une campagne sophistiquée d’ingénierie sociale. RingCentral affirme avoir détecté et bloqué l’intrusion, puis avoir lancé une enquête avec l’aide d’une société indépendante spécialisée en criminalistique numérique.

L’incident a été détecté le 14 août 2026. Selon les informations communiquées par l’entreprise, aucune nouvelle activité non autorisée n’aurait été observée après les mesures de confinement et de remédiation.

RingCentral affirme également que l’incident n’aurait concerné qu’une partie limitée de sa clientèle. Les personnes potentiellement touchées auraient été contactées directement ; selon l’entreprise, les personnes n’ayant reçu aucune notification ne seraient pas concernées.

Quelles informations pourraient avoir été publiées en ligne

Le service de surveillance HaveIBeenPwned a ajouté jeudi à sa base de données les informations contenues dans l’archive publiée par les attaquants.

Le jeu de données contiendrait environ 1,6 million d’adresses e-mail uniques associées à :

• des noms ;
• des adresses physiques ;
• des numéros de téléphone.

RingCentral n’a toutefois pas confirmé le nombre définitif de personnes concernées. Il n’a pas non plus été établi publiquement que l’intégralité de l’archive était authentique ou qu’elle représentait l’ensemble des données dérobées.

La combinaison d’adresses e-mail, de noms, de numéros de téléphone et d’adresses physiques accroît le risque d’attaques ciblées. Un cybercriminel peut utiliser ces informations pour rédiger des messages crédibles en se faisant passer pour un collègue, un fournisseur, un responsable informatique ou RingCentral elle-même.

Le risque ne se limite pas au phishing par e-mail. Ces mêmes données peuvent servir à mener des appels frauduleux, des tentatives d’usurpation d’identité, des demandes de paiement falsifiées ou de nouvelles campagnes d’ingénierie sociale contre les organisations concernées.

La revendication de ShinyHunters reste à vérifier

RingCentral n’a officiellement attribué l’attaque à aucun groupe criminel précis. ShinyHunters a toutefois ajouté l’entreprise à son site de fuite de données accessible via le réseau Tor à la fin du mois de juillet.

Le groupe a affirmé avoir dérobé plus de 623 Go de données. Environ une semaine plus tard, faute d’avoir reçu le paiement demandé, il aurait publié une archive de 280 Go, en la présentant comme du matériel volé à RingCentral.

Ces affirmations n’ont pas été confirmées par l’entreprise. Plusieurs aspects de l’incident restent donc à éclaircir : l’identité des attaquants, l’authenticité de l’ensemble des fichiers, le volume total des données dérobées et la correspondance entre les éléments publiés et les systèmes de RingCentral.

Le chiffre de 1,6 million de personnes doit également être considéré comme une estimation potentielle. Le jeu de données contient environ 1,6 million d’adresses e-mail uniques, mais cela ne correspond pas nécessairement au même nombre de personnes effectivement touchées.

Le cœur de la plateforme n’aurait pas été compromis

RingCentral fournit des services de téléphonie d’entreprise, de messagerie d’équipe, de visioconférence et de collaboration assistée par l’intelligence artificielle. Son offre comprend également des fonctionnalités dédiées aux centres de contacts et aux interactions avec les clients.

Selon l’entreprise, l’incident n’a pas touché le cœur de la plateforme et n’a entraîné aucune interruption opérationnelle. Les services continuent donc de fonctionner, tandis que l’enquête se concentre sur l’environnement depuis lequel les données auraient été dérobées.

Cette distinction ne réduit pas automatiquement l’impact sur la confidentialité. Une attaque peut laisser les services principaux opérationnels tout en exposant suffisamment d’informations pour cibler ultérieurement des utilisateurs, des employés ou des clients.

Aucune vulnérabilité technique, version logicielle concernée ou référence CVE n’a été communiquée. L’incident concerne une compromission attribuée à de l’ingénierie sociale, et non une faille logicielle répertoriée publiquement. Il n’existe donc, à ce stade, aucun élément permettant de le relier au catalogue KEV de la CISA.

Les mesures prises par RingCentral

RingCentral affirme avoir interrompu l’activité non autorisée et lancé une enquête interne avec l’aide d’une société externe spécialisée en criminalistique numérique.

Les mesures mentionnées par l’entreprise comprennent :

1. le blocage de l’activité suspecte ;
2. l’enquête sur l’environnement concerné ;
3. la surveillance continue des systèmes ;
4. la vérification de l’absence de nouvelles activités non autorisées ;
5. la notification directe des personnes considérées comme concernées ;
6. le maintien des services sans interruption.

On ignore si des informations techniques supplémentaires ont été publiées concernant la méthode utilisée par les attaquants, les systèmes atteints ou la manière dont l’ingénierie sociale aurait contourné les contrôles initiaux.

Que doivent faire les utilisateurs et les entreprises ?

Les utilisateurs de RingCentral devraient vérifier les communications reçues de l’entreprise, tout en authentifiant l’expéditeur par des canaux indépendants et en évitant d’utiliser les liens inclus dans les messages.

Il est recommandé de se méfier particulièrement :

• des e-mails demandant une réinitialisation du mot de passe ;
• des appels téléphoniques exigeant une vérification urgente ;
• des messages demandant des paiements ou des informations professionnelles ;
• des invitations à installer un logiciel ou à fournir des codes d’authentification ;
• des communications personnalisées mentionnant des clients, des sites ou des collègues.

Les identifiants potentiellement exposés ne doivent pas être réutilisés sur d’autres services. Si un mot de passe a également été utilisé ailleurs, il doit être remplacé par un mot de passe unique et robuste, avec activation de l’authentification multifacteur lorsque celle-ci est disponible.

Les entreprises devraient également avertir leurs équipes financières, administratives et de support client du risque d’utilisation frauduleuse de données réelles. Toute demande de paiement, de modification des coordonnées bancaires ou d’accès à un compte doit être vérifiée par un second canal préalablement connu.

L’absence d’interruption des services n’exclut pas de nouvelles tentatives de fraude. Pour les utilisateurs ayant reçu une notification, le principal risque pourrait se manifester lors de prochaines campagnes de phishing s’appuyant sur les données publiées.