Optic 2000 : IDOR exploitée, 7 898 PDF de franchisés exfiltrés

Le 24 mai 2026, un acteur identifié sous le pseudonyme AplaGroup a publié sur un forum cybercriminel un lot de documents internes attribués au réseau d'opticiens Optic 2000. Selon la revendication, 7 898 fichiers PDF issus d'un dossier « Invoice » et un fichier de données JSON auraient été exfiltrés via une interface d'administration franchisés hébergée sur un sous-domaine du groupe. Source primaire : Cyberattaque.org, 25 mai. Recoupement : la fiche FrenchBreaches datée du 25 mai.

À ce stade, Optic 2000 n'a pas communiqué publiquement sur l'incident. La revendication d'AplaGroup doit être traitée comme un point de départ d'enquête, pas comme une preuve d'exfiltration intégrale — la pratique usuelle des opérateurs de fuite est de gonfler le volume.

La faille décrite

Selon l'attaquant, l'intrusion n'a pas reposé sur un malware mais sur une faille d'autorisation dans une interface interne destinée aux franchisés. Après s'être procuré les identifiants d'un magasin du réseau, AplaGroup affirme avoir exploré le portail jusqu'à un système de génération de PDF dont l'URL contenait un identifiant numérique séquentiel. En incrémentant cet identifiant, l'attaquant aurait pu récupérer les documents associés à d'autres franchisés sans contrôle d'autorisation côté serveur.

Le schéma porte un nom : IDOR — Insecure Direct Object Reference, classifiée CWE-639 — exposition d'une ressource appartenant à un autre utilisateur faute de vérification que la session courante a le droit d'y accéder. La même classe de faille avait permis, en avril 2026, le siphonnage du portail ANTS / France Titres par un mineur de 15 ans, avec 11,7 millions de comptes touchés selon le bilan publié par le ministère de l'Intérieur le 21 avril 2026.

Ce qui est revendiqué

• 7 898 fichiers PDF dans un répertoire « Invoice » du portail franchisés.
• Un fichier de données JSON associé.
• Les champs potentiellement exposés, cités par l'attaquant : nom, prénom, adresses de livraison et de facturation, e-mails, numéros de mobile, numéros de fax, informations de franchisés, références de commandes, et PDF de factures ou bons de commande.

Le périmètre ne semble pas inclure de bases médicales ou de données de santé liées aux clients finaux : la fuite vise un portail B2B de gestion des points de vente affiliés, pas le système de prise de rendez-vous ni les dossiers patients.

Statut

Le volume revendiqué (7 898 PDF) est plausible au vu des extraits diffusés. Le périmètre des champs personnels reste à confirmer sur la base d'un échantillon vérifiable indépendamment. La notification CNIL est obligatoire dans les 72 heures suivant la prise de connaissance d'une violation de données à caractère personnel ; à la date de ce post, aucun avis public d'Optic 2000 ni de la CNIL n'est paru.

Que faire si vous êtes franchisé

1. Présumez vos identifiants exposés. Si vos accès au portail Optic 2000 datent d'avant le 24 mai, rotation des mots de passe et activation du MFA partout où c'est disponible. Demandez à la tête de réseau si un journal des accès historiques de votre compte peut vous être communiqué.
2. Vérifiez vos factures. Les attaques par usurpation de fournisseur — fausses factures imitant le format réel, IBAN substitué — sont la suite logique d'une fuite de PDF de facturation. Tout virement sortant doit être validé par téléphone avec le contact habituel, pas via l'e-mail qui réclame le paiement.
3. Communication aux clients. Si vos données clients sont susceptibles d'avoir été incluses dans le périmètre exfiltré, la responsabilité de l'information incombe au responsable de traitement. Cadrez le partage des responsabilités avec la tête de réseau avant que la CNIL ne tranche à votre place.

Que faire si vous opérez un portail B2B avec ce profil de risque

1. Audit des contrôles d'autorisation par identifiant d'objet. Tout endpoint qui prend un ?id=12345 dans l'URL et renvoie une ressource doit, sur chaque requête, vérifier que la session courante a le droit d'accéder à cet identifiant. Pas seulement à la première requête de la session ; à chaque requête. C'est la base de l'OWASP API Security Top 10 — BOLA / IDOR est en haut de la liste depuis 2019.
2. Identifiants opaques plutôt que séquentiels. Un UUID ou un identifiant tiré au hasard ne supprime pas l'IDOR (le contrôle d'autorisation reste indispensable), mais il supprime l'énumération triviale par incrémentation. C'est de la défense en profondeur, pas un substitut.
3. Journaux d'accès et anomalies de volume. Un compte unique qui télécharge 7 898 PDF en quelques heures est un signal exploitable côté SOC. Un seuil de débit par session et une alerte au-delà sont des contrôles à coût nul pour ce type d'attaque.

Contexte

C'est, en l'état des informations publiques, le quatrième incident d'une enseigne du commerce français revendiqué publiquement sur un forum cybercriminel en mai 2026, après Bouygues Telecom (11 mai), Pierre & Vacances (14 mai) et Almerys (21 mai). Le point commun n'est pas la sophistication — c'est l'inverse : trois des quatre exploitations reposent sur des défauts d'authentification ou d'autorisation côté application web, le quatrième sur un accès à un outil interne. Les portails métier B2B exposés à Internet, configurés il y a plusieurs années pour faciliter le travail d'un réseau de partenaires, sont une surface d'attaque sous-investie en sécurité applicative par rapport au site grand public.

La récurrence de l'IDOR sur des portails français en 2026 — ANTS en avril, Optic 2000 en mai — n'est pas un hasard statistique. La classe de faille est connue depuis vingt ans ; elle reste dominante parce que les tests de sécurité applicative qualifient surtout les flux clients, et beaucoup moins les interfaces partenaires où la priorité historique est le confort d'usage.