Featured

Après McKinsey, un agent IA identifie des failles de sécurité au BCG et chez Bain

La start-up de cybersécurité CodeWall a détecté des vulnérabilités majeures au sein de plateformes internes des deux cabinets.

17 Avr. 2026 à 05:00
Après McKinsey, un agent IA identifie des failles de sécurité au BCG et chez Bain
© Chanelle M -peopleimages/Adobe Stock

En mars dernier, l’outil d’IA interne de McKinsey, Lilli, avait déjà été infiltré par la start-up.

à lire aussi

BCG : une faille sur des milliards de données

Le 12 mars dernier, l’agent IA de CodeWall identifie, sur le portail de BCG X, une API accessible publiquement permettant d’exécuter des requêtes sur une base de données… sans la moindre authentification.

Cette API donne accès à l’entrepôt de données Workforce Analytics du BCG, utilisé pour produire des benchmarks, notamment en matière de rémunération, à partir de données externes (certaines payantes).

Résultat : une ouverture directe sur un ensemble de données colossal – plus de 3 000 milliards de lignes – comprenant des centaines de millions de profils individuels, avec des historiques professionnels détaillés (postes, salaires, compétences), ainsi que des données de mobilité ou de comparaison des rémunérations.

Mais ce point d’entrée ne se limite pas à cette seule base. À travers cette faille, il est également possible d’accéder à d’autres bases de données, contenant des informations particulièrement sensibles :

  • des données de fusions-acquisitions (M&A), utilisées pour l’analyse de cibles ; 
  • des informations détaillées sur les achats d’entreprises, comme les dépenses cloud par service et par région ;
  • une base de données salariale interne au BCG, incluant la rémunération de senior partners ;
  • ainsi que des données RH internes, comme les revues de performance des consultants.

Plus problématique encore, les droits associés permettent non seulement de consulter, mais aussi de modifier ces données. Selon CodeWall, une telle configuration ouvre la possibilité de compromettre les analyses produites par le cabinet.

Contacté par Consultor, le bureau de Paris du BCG transmet une déclaration de la communication mondiale du cabinet. « Contrairement à ce qui est indiqué par Codewall, aucune donnée confidentielle client ni information sensible du BCG n’a été exposée à un risque. Cette vulnérabilité concernait un environnement isolé de données, hébergeant uniquement des données sous licence, anonymisées et accessibles publiquement. Celle-ci a été corrigée en quelques heures. » 

48 heures très précisément, selon CodeWall.

Pour rappel, le BCG X est piloté à l’échelle mondiale par le Français Sylvain Duranton depuis 2022. 

Bain : un identifiant accessible publiquement à l’origine de la faille

Dans la foulée, CodeWall teste Bain avec une hypothèse simple : les trois cabinets ayant des pratiques similaires, le même type de failles peut exister ailleurs.

L’agent autonome met 18 minutes pour obtenir un accès à Pyxis, la plateforme de veille concurrentielle de Bain – utilisée par une partie du pôle Private Equity du cabinet, selon le Financial Times. Une rapidité qui s’explique : comme le reconnaît CodeWall, l’agent IA « savait ce qu’il cherchait», ayant déjà identifié des schémas comparables chez McKinsey ou au BCG.

Cette fois, la faille tient à un oubli, à savoir un fichier contenant un identifiant et son mot de passe accessible en clair. Moyennant ce point d’entrée, l’agent IA accède à des bases incluant notamment :

  • des données transactionnelles de consommateurs à très grande échelle, « anonymisées, mais incluant des codes postaux, des tranches de revenus, etc. » ;
  • des sets de données construits pour des clients de la solution, « en particulier des retailers du Fortune 500, des compagnies aériennes ou des marques de luxe »;
  • près de 10 000 conversations avec un chatbot interne, dont certaines impliquent des employés d’entreprises clientes de Pyxis. Un exemple de conversation : « Combien de clients [telle entreprise] a-t-elle perdus face [à telle autre] ? », avec les noms des sociétés qui apparaissent.

Comme pour le BCG, les niveaux d’accès vont au-delà d’une simple consultation, avec une possibilité de modification des données.

Contacté par nos soins, le bureau de Paris de Bain partage également la déclaration de la communication mondiale. « Dès que le cabinet a été informé d’une vulnérabilité affectant Pyxis, il a lancé une investigation avec le soutien d’experts externes en cybersécurité, et a rapidement corrigé la vulnérabilité identifiée. » Ajoutant que la plateforme concernée « ne stocke pas de données propriétaires clients et fonctionne de manière indépendante de ses systèmes de conseil », Bain indique « qu’aucun accès à des données confidentielles clients ni à des informations commerciales sensibles n’a été constaté ». Les mesures de sécurité associées à cette plateforme auraient été « renforcées ».

Selon CodeWall, la faille identifiée a été corrigée en moins de 24 heures.

Une pression croissante avec le développement des IA

La dernière annonce d’Anthropic portant sur les risques liés au déploiement de sa nouvelle solution Mythos – compte tenu des capacités de détection des failles –, donne une idée de l’ampleur des défis à venir pour les cabinets de conseil et leurs clients.

Bain & Company Boston Consulting Group
17 Avr. 2026 à 05:00
tuyau

Un tuyau intéressant à partager ?

Vous avez une information dont le monde devrait entendre parler ? Une rumeur de fusion en cours ? Nous voulons savoir !

écrivez en direct à la rédaction !

commentaire (0)

Soyez le premier à réagir à cette information

1024 caractère(s) restant(s).

signaler le commentaire

1024 caractère(s) restant(s).
10 + 3 =

Monde

Adeline
Monde
cybersécurité, faille, agent IA, ss2i, IA, Bain, BCG, piratage, API, risques
15411
Bain & Company Boston Consulting Group
2026-04-17 10:03:40
0
Non
Cybersécurité : des vulnérabilités sur les outils de BCG et Bain
Des failles détectées par la start-up CodeWall exposent des données sensibles du BCG et de Bain. Les cabinets contestent la nature « critique » de ces données.