La fuite de 45M d’enregistrements de McGraw-Hill : pourquoi les erreurs de configuration Salesforce sont la nouvelle crise SaaS

Une mauvaise configuration Salesforce qui s’étend à 13,5 millions de comptes

McGraw-Hill a publiquement confirmé le 14 avril 2026 qu’elle avait « identifié un accès non autorisé à un ensemble limité de données issues d’une page hébergée par Salesforce sur sa plateforme ». La confirmation n’est venue qu’après la menace du groupe d’extorsion ShinyHunters de publier 45 millions d’enregistrements volés si une rançon n’était pas versée. ShinyHunters a ensuite publié — et le débordement a été mesurable de façon indépendante : Have I Been Pwned rapporte 13,5 millions de comptes ajoutés à son index depuis plus de 100 Go de fichiers fuités, selon la couverture de BleepingComputer et de The Register.

L’écart entre la revendication de 45M par ShinyHunters et le chiffre de 13,5M vérifié de façon indépendante est typique du reporting des groupes d’extorsion — les attaquants gonflent les chiffres, les défenseurs les sous-estiment. Le fait important n’est pas lequel est correct, mais qu’une seule page mal configurée hébergée par Salesforce a alimenté des millions d’enregistrements dans une fuite publique.

Ce que contiennent réellement les données exposées

The Record from Recorded Future News résume ce que McGraw-Hill dit être exposé : noms, adresses physiques, numéros de téléphone et adresses e-mail. L’analyse de TechRepublic précise ce qui n’est pas exposé : numéros de sécurité sociale, informations de comptes financiers et données d’étudiants issues des plateformes éducatives. Cette frontière compte. La gravité d’une fuite dépend fortement du fait que les données volées soient des données personnelles réglementées (qui exigent notification formelle et amendes) ou des données de contact (qui alimentent le phishing mais déclenchent moins de conséquences légales).

Pour le business de McGraw-Hill, le risque pragmatique est le phishing multi-étapes : les attaquants savent déjà que la victime utilise des produits McGraw-Hill, connaissent ses coordonnées et peuvent fabriquer des fraudes à la facture, des phishings de réinitialisation de mot de passe ou des e-mails d’usurpation de fournisseur très crédibles. Les données « à faible sensibilité » ne sont à faible risque que jusqu’au moment où un adversaire les combine avec d’autres fuites.

Pourquoi l’écosystème Salesforce est la nouvelle crise SaaS

Ce n’est pas un problème isolé à McGraw-Hill. The Record note que la mauvaise configuration Salesforce a « touché plusieurs organisations » ces dernières semaines — ShinyHunters scanne systématiquement les pages Salesforce exposées à travers leur base clients. L’analyse d’incident de Rescana cadre cela comme un problème structurel : les clients Salesforce déploient régulièrement des pages Experience Cloud, des portails communautaires et des formulaires publics sans mesurer qu’ils exposent des enregistrements de la base CRM sous-jacente.

La recette classique de mauvaise configuration Salesforce, récurrente à travers les fuites des trois dernières années :

• Profils Guest User trop permissifs qui accordent un accès non authentifié à trop d’objets.
• Classes Apex « without sharing » exposées à des endpoints publics.
• Pages communautaires publiques qui exposent involontairement des record IDs via des appels API.
• Pas de limitation de débit ni de détection d’anomalie sur les lectures agrégées depuis des endpoints publics.

Quand ces conditions se combinent, un scanner public peut énumérer de gros volumes de données CRM sans casser aucun système d’authentification.

Leçons de gouvernance pour les entreprises qui exploitent Salesforce

La couverture de Security Magazine souligne que McGraw-Hill « a sécurisé les pages concernées immédiatement » après détection. C’est la bonne réponse à incident mais le mauvais signal de gouvernance — la mauvaise configuration existait en premier lieu parce qu’aucune revue de sécurité pré-publication ne l’a attrapée. Quatre items de gouvernance que toute entreprise fortement Salesforce devrait imposer maintenant :

1. Revue obligatoire de posture de sécurité Salesforce avant toute mise en ligne de page communautaire/Experience Cloud. Utilisez l’outillage propre à Salesforce (Health Check, Security Center) plus un outil tiers de gestion de posture (AppOmni, Obsidian, Adaptive Shield).
2. Audit trimestriel des Guest User. Le profil Guest User devrait avoir l’accès objet minimal absolu. La plupart des fuites exploitent des permissions qui n’auraient jamais dû exister.
3. Outillage équivalent CSPM pour SaaS. Les concepts de Cloud Security Posture Management (référentiels de configuration, détection de dérive, scan continu) s’appliquent désormais aux plateformes SaaS — pas seulement à AWS et Azure.
4. DLP sur la sortie SaaS. Microsoft Defender for Cloud Apps, Netskope ou Varonis peuvent détecter les lectures en masse depuis des endpoints Salesforce et alerter avant que l’exfiltration complète ne s’achève.

Comment ShinyHunters s’insère dans le paysage d’extorsion 2026

ShinyHunters a évolué du credential-stuffer opportuniste à une opération d’extorsion systématique qui traite les mauvaises configurations SaaS comme une surface d’attaque industrialisée. Le rapport de SC Media cadre McGraw-Hill comme un incident dans une séquence d’événements liés à Salesforce rattachés à la même campagne. The National CIO Review catalogue le schéma ShinyHunters plus large : choisir une plateforme SaaS avec des problèmes systémiques de configuration, scanner à l’échelle, extorquer au plus haut.

L’implication stratégique pour les RSSI est claire : la prochaine grande fuite dans votre environnement viendra probablement non d’un zero-day sophistiqué mais d’une page SaaS que quelqu’un du marketing ou du produit a déployée le trimestre dernier sans impliquer la revue de sécurité.

Ce que cela signifie pour la gestion des risques en entreprise

L’incident McGraw-Hill accélérera trois bascules déjà en cours. Premièrement, le SaaS Security Posture Management (SSPM) passera du « nice to have » à l’outillage de base en entreprise. Deuxièmement, Salesforce et ses concurrents subiront une pression pour livrer des valeurs par défaut plus sûres — moins de permissions accordées par défaut aux profils Guest, avertissements plus agressifs à la publication de pages publiques. Troisièmement, les souscripteurs cyber-assurance ajouteront l’attestation de configuration SaaS à leurs questionnaires, créant des incitations financières pour les entreprises à documenter leur posture.

ShinyHunters n’a pas piraté McGraw-Hill. Une page publique a fait le travail pour eux. C’est le problème de sécurité SaaS 2026 en une phrase.

Sources et lectures complémentaires

• Educational company McGraw Hill says Salesforce misconfiguration led to data leak — The Record from Recorded Future News
• Data breach at edtech giant McGraw Hill affects 13.5 million accounts — BleepingComputer
• McGraw Hill linked to 13.5M-record data leak — The Register
• McGraw-Hill Confirms Data Exposure, Hackers Claim 45M Salesforce Records Leaked — TechRepublic
• McGraw Hill Data Breach Caused by Salesforce Misconfiguration — Security Magazine
• McGraw-Hill Salesforce Data Breach 2026 — Rescana
• McGraw-Hill downplays Salesforce misconfiguration-related breach — SC Media
• 13.5 Million Accounts Affected in Latest ShinyHunters Campaign — The National CIO Review