Le 11 septembre 2026, GreenGo, plateforme française de réservation d’hébergements, a informé ses utilisateurs d’un accès non autorisé à un outil interne d’analyse de données fondé sur le logiciel Metabase. Selon le message relayé le même jour, l’accès aurait été possible entre le 9 août et le 7 septembre 2026, découvert le 7 septembre à 19 h 20, puis coupé dans la soirée. GreenGo indique n’avoir eu connaissance du correctif que ce jour-là, avoir notifié la Commission nationale de l’informatique et des libertés et avoir déposé plainte. La veille, le 10 septembre 2026, le CERT-FR avait publié l’alerte CERTFR-2026-ALE-010 : une injection SQL non authentifiée dans Metabase, déjà corrigée par l’éditeur le 6 août, et de nombreuses compromissions d’instances vulnérables.

La carte des décisions n’est pas celle d’un voyageur isolé qui change son mot de passe. Elle concerne l’éditeur Metabase, la plateforme qui a connecté l’outil à ses réservations et à sa messagerie, les hébergeurs professionnels qui y publient leurs offres, et, le cas échéant, l’intégrateur qui a déployé l’instance. Chacun doit savoir qui est responsable de traitement, qui notifie, quelles preuves figer et contre qui ouvrir un recours. Les réserves sont nettes. Le message de GreenGo n’a été lu qu’à travers un relais de presse, pas dans sa version originale. Il n’est pas établi ici si l’instance était auto-hébergée ou dans le nuage de l’éditeur, ni si un prestataire l’avait installée. Le CERT-FR ne nomme pas GreenGo. Aucun contrat n’a été ouvert. Nul ne peut, à partir de ces seuls documents publics, conclure à la faute de l’éditeur, de la plateforme ou d’un hébergeur.

I. La crise vue d’en haut : l’éditeur, la plateforme et l’outil interne

A. Ce que les documents officiels permettent d’établir, et ce qu’ils ne permettent pas

Le premier document utile n’est pas un fil d’actualité. C’est le bulletin d’alerte CERTFR-2026-ALE-010 du 10 septembre 2026. Le CERT-FR y résume le risque : le 6 août 2026, Metabase a publié un avis de sécurité concernant une vulnérabilité critique permettant à un attaquant non authentifié de provoquer une injection SQL dans la base de données de l’application, et d’obtenir les droits administrateur de l’instance. La phrase suivante, plus grave pour une chaîne professionnelle, n’est pas une hypothèse. Le CERT-FR a connaissance de nombreuses compromissions de Metabase vulnérables.

L’éditeur avait déjà parlé, un mois plus tôt. Le CERT-FR date l’avis de sécurité Metabase du 6 août 2026 et en tire la conséquence opérationnelle : une fois l’injection obtenue, l’attaquant devient administrateur de l’instance. L’outil de tableaux de bord n’est alors plus un silo. Le bulletin d’alerte demande d’inspecter les clés API, les comptes administrateur, les identifiants des bases connectées et l’historique des requêtes. Le bulletin CERTFR-2026-AVI-1075 du 24 août 2026 avait déjà recensé plusieurs avis de sécurité du 6 et du 11 août, sans encore parler de nombreuses compromissions. L’alerte du 10 septembre change d’échelle : ce n’est plus seulement un correctif à appliquer, c’est un parc déjà attaqué.

GreenGo, dans le message du 11 septembre 2026, relie son incident à cette campagne. La plateforme décrit un outil interne, pas son site public. Elle date l’accès du 9 août au 7 septembre, soit dès les premiers jours après la publication du correctif, et affirme n’avoir appris l’existence de ce correctif que le 7 septembre. Elle dit n’avoir constaté qu’une consultation, sans modification ni suppression. Les données potentiellement lues comprendraient les noms, prénoms, dates de naissance, courriels, téléphones, informations de réservation et de séjour, avis, favoris, messages échangés via la messagerie GreenGo, données de parrainage et informations liées aux cartes cadeaux, y compris, le cas échéant, le code. Les paiements, selon la même notification, transitent par Stripe et ne seraient pas dans le périmètre. Les mots de passe seraient stockés sous forme d’empreintes Argon2. Ces affirmations engagent GreenGo ; elles n’ont pas été recoupées ici sur pièces.

Ce que ces documents ne permettent pas. Ils ne disent pas combien de comptes ont été effectivement consultés. Ils ne disent pas si l’instance GreenGo était exposée sur Internet au chemin /api/session/reset_password, dont le CERT-FR fait le marqueur de l’exploitation. Ils ne disent pas si Metabase Cloud, un infogérant ou un salarié interne administrait l’outil. Ils ne disent pas quels hébergeurs, quels voyageurs, quelles réservations précises figurent dans les journaux. Un hébergeur professionnel ne peut donc pas traiter le communiqué comme une preuve de fuite de son fichier clients ; il peut seulement le traiter comme un signal d’alerte qui l’oblige à demander le périmètre et à figer le sien.

B. Qui est responsable de traitement, qui applique le correctif, et qui notifie

Le règlement (UE) 2016/679 range les rôles avant les communiqués. L’article 4 définit le responsable du traitement comme la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement. Le sous-traitant est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. GreenGo, qui met en relation voyageurs et hébergeurs et centralise comptes, réservations et messages, détermine à l’évidence les finalités de ce fichier. Metabase, s’il ne fait que fournir un logiciel installé par le client, n’est pas nécessairement sous-traitant : un éditeur de licence n’entre dans l’article 28 que s’il traite des données pour le compte du client. S’il s’agit de Metabase Cloud, l’éditeur traite alors dans le nuage et le contrat de sous-traitance devient le document décisif. Cette distinction n’est pas académique : elle commande qui notifie, qui répond aux personnes concernées et qui supporte l’article 82.

L’article 28 impose au responsable de ne faire appel qu’à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le même article ajoute que le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Un hébergeur professionnel n’est pas le sous-traitant de GreenGo pour le fichier voyageurs de la plateforme ; il est souvent lui-même responsable du traitement de ses clients, et GreenGo peut être son sous-traitant ou un responsable conjoint, selon le contrat et la réalité des instructions. Inversement, GreenGo reste responsable du fichier qu’elle a constitué. La qualification se lit dans le contrat et dans les faits, pas dans un titre marketing.

L’article 32 vise à la fois le responsable et le sous-traitant : ils mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, en tenant compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement. Parmi les exemples figurent des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement. Un outil de business intelligence branché sur des réservations, des messages et des identités, et joignable depuis l’extérieur, n’est pas un tableur interne anodin. Le CERT-FR, le 10 septembre, recommande l’application des correctifs dans les plus brefs délais. Metabase, dès le 6 août, demandait la même chose aux instances auto-hébergées. Un mois s’est écoulé, d’après GreenGo, avant que la plateforme n’en ait connaissance. Ce délai, s’il est exact, devra être expliqué : abonnement aux avis de sécurité, infogérance, instance oubliée, correctif non testé. Il ne se présume pas faute ; il se documente.

L’article 33 organise la notification à l’autorité. En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, soixante-douze heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Le paragraphe 2 ajoute que le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. GreenGo dit avoir notifié la CNIL. La date exacte de cette notification n’est pas dans les documents lus. Le délai de 72 heures court à compter de la prise de connaissance, ici présentée comme le 7 septembre à 19 h 20, non à compter de la publication du correctif en août. Un sous-traitant qui aurait administré l’instance aurait dû alerter GreenGo sans attendre le communiqué aux utilisateurs.

L’article 34 commande la communication aux personnes lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique. Le message du 11 septembre, s’il a bien été envoyé aux utilisateurs, peut tenir lieu de cette communication, à condition de décrire la nature de la violation et les mesures, en des termes clairs et simples. Les hébergeurs professionnels ne sont pas de simples utilisateurs parmi d’autres : leurs messages avec les voyageurs, leurs calendriers et parfois les données de leurs propres clients ont pu être consultés. S’ils sont personnes concernées, ils doivent recevoir l’information. S’ils sont responsables de traitement pour une partie des données, ils peuvent avoir leur propre obligation de notifier, dès qu’ils ont un risque élevé à l’égard de leurs clients. La plateforme ne les en décharge pas par un mail unique.

Le droit des affaires entre professionnels sert ici à relire le contrat avant le communiqué. L’article 1103 du code civil dispose : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » L’article 1104 ajoute : « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public. » Bonne foi, pour une plateforme, ce n’est pas seulement prévenir le voyageur : c’est dire à l’hébergeur professionnel ce qui a pu être lu dans sa messagerie, dans ses réservations, et ce qui lui est demandé de faire vis-à-vis de ses propres clients.

II. La crise vue d’en bas : l’hébergeur, les preuves et les recours

A. Ce que chaque professionnel doit figer avant de parler, et pourquoi un correctif ne suffit pas

L’article 1353 du code civil rappelle la charge de la preuve : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » L’article 9 du code de procédure civile le dit pour le procès : « Il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention. » Un communiqué, même sincère, n’est pas un procès-verbal. Les journaux disparaissent, les sessions se révoquent, les clés se régénèrent. C’est précisément ce que GreenGo dit avoir fait les 7 et 8 septembre. Ces mesures de confinement sont utiles ; elles peuvent aussi effacer la trace de l’accès. Il faut donc copier avant d’assainir.

Le CERT-FR donne un marqueur concret. Les tentatives d’exploitation, écrit-il, sont caractérisées par la succession de deux requêtes : un POST vers le chemin de réinitialisation de mot de passe avec un code retour HTTP 400, puis un GET vers le chemin de l’utilisateur courant avec un code retour HTTP 200. GreenGo, Metabase s’il administre le nuage, l’infogérant s’il existe, doivent extraire ces journaux applicatifs et les journaux d’entrée, avec horodatage, adresses IP, identifiants de session et clés API créées. L’éditeur, dans le même bulletin, demande de révoquer les sessions en vidant la table core_session, d’inspecter les clés API, les comptes administrateur, les identifiants des bases connectées, l’historique des requêtes Metabase. Chaque opération doit laisser un procès-verbal : qui a agi, quand, sur quelle instance, avec quelle copie conservée. L’article 1366 du code civil donne à l’écrit électronique « la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité ». Une capture d’écran isolée, sans horodatage fiable, ne tient pas cette réserve.

L’hébergeur professionnel a sa propre liste, plus courte et plus urgente. Il conserve le contrat GreenGo, les conditions d’utilisation acceptées, les messages de la plateforme, le mail du 11 septembre s’il l’a reçu, le détail des réservations sur la période du 9 août au 7 septembre, les échanges avec les voyageurs, les factures, les éventuelles cartes cadeaux. Il note les appels, SMS ou courriels suspects qui reprendraient une réservation réelle : le relais de presse signale précisément ce risque de hameçonnage. Il n’écrit pas à ses propres clients un message alarmiste copié sur les réseaux ; il attend le périmètre, ou il les prévient s’il a déjà un risque élevé identifié de son côté. Il ne confirme pas une fuite qu’il n’a pas vue. Il demande à GreenGo, par écrit, la liste des données le concernant, la date de notification à la CNIL, le caractère auto-hébergé ou non de Metabase, l’identité de l’éventuel prestataire, et les mesures conservatoires déjà prises.

Si GreenGo reste silencieuse ou si les journaux menacent de disparaître, l’article 145 du code de procédure civile ouvre une voie avant tout procès : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » Un huissier, un expert, une sommation de communiquer les logs : ces mesures ne préjugent pas la faute. Elles empêchent que le confinement devienne une destruction de preuves. La compétence se choisit, aux termes du même article, entre le juge du fond possible et celui du lieu de la mesure.

Un correctif appliqué le 7 septembre ne clôt pas le dossier. Il arrête le vecteur décrit par le CERT-FR. Il ne dit pas ce qui a été lu pendant près d’un mois. Il ne dit pas si d’autres clés ont été créées. Il ne dit pas si un voyageur ou un hébergeur a déjà reçu un message de phishing bâti sur une vraie réservation. GreenGo annonce le renouvellement des codes de cartes cadeaux encore valides : c’est une mesure de limitation du risque, pas une preuve que le reste du fichier est indemne. L’hébergeur qui continue d’utiliser la plateforme après le 11 septembre a intérêt à tracer cette décision : il reste, il suspend les nouvelles mises en ligne, ou il bascule une partie de son calendrier. Chacune de ces options a un coût ; aucune n’est imposée par les documents publics.

B. Obligation contractuelle, clause limitative et force majeure : ce que le contrat permet encore

L’article 1231-1 du code civil pose le principe : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Entre GreenGo et un hébergeur, l’obligation n’est pas un zéro incident. Elle se lit dans le contrat : disponibilité, conservation des messages, information, assistance. Entre GreenGo et Metabase, ou entre GreenGo et un intégrateur, l’obligation est celle d’un logiciel ou d’une prestation informatique. La cour d’appel de Reims, le 28 avril 2026, n° 24/01502, à propos d’un prestataire ayant déployé un système ensuite frappé par un rançongiciel, a énoncé : « Le prestataire de services informatique chargé de la création et de l’élaboration de logiciels, sites web ou applications mobiles, prestations intellectuelles complexes par nature soumises à des aléas résultant de l’obligation de collaboration du client et de l’évolution rapide du secteur informatique, est tenu d’une obligation de moyens renforcée quant à la délivrance de l’ouvrage commandé. » La cour a retenu une responsabilité pour moitié et alloué, notamment, le coût de la rançon et de la remise en état. Cet arrêt ne dit rien de Metabase ni de GreenGo. Il dit qu’un prestataire chargé d’installer et de faire vivre un outil ne se libère pas en invoquant la seule complexité du secteur. Il lui appartient, selon la même cour, de rapporter la preuve « qu’il a accompli toute diligence en vue de l’obtention du résultat escompté ». Un intégrateur qui aurait laissé une instance Metabase exposée, sans veille de correctif entre le 6 août et le 7 septembre, devra cette preuve. L’éditeur qui n’administre pas l’instance n’est pas dans la même position : sa diligence se juge à la publication du correctif, à l’information des clients, à la qualité du correctif, pas à l’administration quotidienne chez GreenGo.

Les clauses limitatives tiendront ou tomberont selon le contrat réel. L’article 1231-3 du code civil dispose : « Le débiteur n’est tenu que des dommages et intérêts qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive. » La cour d’appel de Versailles, le 19 mai 2022, n° 20/05106, a confirmé la responsabilité de Claranet après un incident d’hébergement des données d’Amnesty International, tout en maintenant, pour le surplus, le jeu d’une clause limitative prévue au contrat. Le dispositif confirme le jugement « en ce qu’il a déclaré la société Claranet responsable de l’incident survenu le 28 juin 2017 quant à l’hébergement des données » et infirme pour le montant. Autrement dit : la responsabilité peut être retenue et l’indemnisation plafonnée, si la clause est valable et si l’obligation essentielle n’est pas vidée. Nul ne peut coller cette solution sur GreenGo sans lire ses conditions. On peut seulement savoir qu’il faudra les lire, et chercher la faute lourde si le plafond anéantit toute réparation alors que l’outil interne restait vulnérable un mois après un avis public.

La force majeure sera tentée. L’article 1218 du code civil la définit : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Une attaque qui exploite une faille déjà publiée, déjà corrigée, déjà relayée par un avis CERT-FR le 24 août, entre mal dans ce qui ne pouvait être raisonnablement prévu. Les effets, eux, pouvaient-ils être évités par des mesures appropriées, au premier rang desquelles le correctif et le blocage du chemin /api/session/reset_password ? Le CERT-FR le dit expressément. La cour d’appel de Douai, le 4 juin 2026, n° 24/00967, à propos de l’incendie d’un datacentre OVH, a rejeté la force majeure invoquée par l’hébergeur. L’espèce n’est pas une cyberattaque. Elle montre seulement qu’un incident majeur d’infrastructure, même extérieur, n’emporte pas à lui seul l’exonération de l’article 1218. Un éditeur ou une plateforme qui se bornerait à dire que c’est un pirate n’aurait pas épuisé la démonstration.

Hors contrat, l’article 1240 du code civil demeure : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Un hébergeur sans contrat direct avec Metabase, un voyageur professionnel, un partenaire de GreenGo peuvent tenter cette voie. Encore faut-il une faute, un préjudice et un lien. L’article 82 du règlement ouvre un droit propre : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le paragraphe 3 exonère celui qui prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. Le préjudice ne se déduit pas du seul communiqué. Une campagne de phishing, une réservation détournée, un code de carte cadeau utilisé, un temps passé à prévenir des clients, une perte d’exploitation : autant de chefs à chiffrer. Une simple anxiété, sans autre élément, a souvent du mal à emporter la conviction. Le tribunal judiciaire de Paris, le 13 février 2025, n° 21/07085, a rappelé le texte de l’article 82 tout en déboutant le demandeur dans l’espèce qui lui était soumise. La citation du règlement n’est pas une condamnation.

Deux chaînes se séparent donc. Vers l’amont : GreenGo contre Metabase ou contre l’intégrateur, sur le terrain du contrat de logiciel, de la maintenance, de la sous-traitance, de l’information tardive. Vers l’aval : l’hébergeur contre GreenGo, sur le terrain du contrat de plateforme, de la bonne foi, de la notification, du préjudice d’exploitation et de l’article 82. Les voyageurs, s’ils sont des professionnels, peuvent être dans la seconde chaîne. Les cartes cadeaux ajoutent un risque de détournement immédiat, que GreenGo dit traiter par le renouvellement des codes. Stripe, d’après la notification, reste hors du périmètre : ce n’est pas une raison pour ignorer un message qui se ferait passer pour le prestataire de paiement. Le CERT-FR, enfin, demande de signaler une compromission. Cette démarche n’est pas un procès ; elle documente la chronologie.

Conclusion

La faille Metabase n’est plus, depuis le 10 septembre 2026, un bulletin d’éditeur parmi d’autres : le CERT-FR parle de nombreuses instances compromises. GreenGo, le 11 septembre, inscrit son nom dans cette chaîne en indiquant un accès d’un mois à un outil interne branché sur des réservations et des messages d’hébergeurs. La décision utile n’est pas de commenter la campagne mondiale. Elle est de qualifier les rôles, de figer les journaux avant qu’ils ne soient purgés, de vérifier qui a notifié la CNIL et qui doit encore écrire à qui, puis de lire le contrat avant d’invoquer la force majeure ou une clause de plafond. L’éditeur a publié un correctif le 6 août. La plateforme dit n’en avoir eu connaissance que le 7 septembre. L’hébergeur professionnel, lui, n’a souvent que le mail du 11 septembre. Ces trois horloges ne racontent pas la même diligence. Elles commandent trois dossiers distincts, qui ne se règlent ni par un changement de mot de passe ni par un silence prudent.

Besoin d’un avis rapide sur votre dossier

Maître Reda KOHEN, avocat au Barreau de Paris, reçoit en consultation téléphonique les plateformes, hébergeurs professionnels, éditeurs et intégrateurs qui doivent qualifier leur rôle, figer les preuves et décider d’une notification ou d’un recours après une compromission d’outil interne. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet en joignant le contrat, le message d’information reçu, la chronologie du correctif et les journaux déjà conservés.