848 000 enregistrements Twilio proposés à un quart de centime pièce, alors que les investisseurs paient 45 fois les bénéfices

Deux prix pour les mêmes clients

Sur Breach Forums, un pirate informatique répondant au nom de Satanic propose 848 000 enregistrements présentés comme des données de clients de Twilio SendGrid pour 2 000 dollars, soit environ un quart de centime de dollar pièce, dans une annonce qui remonte à avril 2025 ¹³. Twilio a examiné un échantillon et affirme↗ que « en l'état de nos connaissances … nous pensons qu'aucune de ces données n'est issue de SendGrid » ¹. Quant à la plateforme dont ces enregistrements seraient issus, elle a clôturé le 28 septembre à 44,07 milliards de dollars, contre 21,55 milliards fin 2025 ². Deux prix pour une même base de clients : cette semaine, ils se sont télescopés.

Un échantillon aux allures de fichier de prospection commerciale

Les champs annoncés en disent long. Adresses e-mail et numéros de téléphone, certes, mais aussi chiffre d'affaires, résultat opérationnel et effectifs des sociétés, performance SEO, hébergeurs, classements Cloudflare et Tranco, et stacks techniques détaillées jusqu'aux outils de CMS, de paiement et de CRM ¹. C'est la structure classique des fichiers de prospection B2B collectés par scraping, ceux que les vendeurs d'enrichissement de données écoulent à la ligne — pas celle des comptes d'une plateforme d'e-mailing.

C'est un argument en faveur du démenti de Twilio — une lecture que l'article de CX Today ne tente pas ¹. La date est l'autre angle mort : Hackread a été le premier à publier l'information, le 3 avril 2025↗, avant d'y ajouter, plus tard, l'insistance du pirate sur l'authenticité des données ³. Le premier test de sécurité du rallye de l'IA n'est qu'une redite.

Les 14 dollars de HSBC face à un rallye de 75 dollars

Meta a lancé Muse, son agent d'IA, le 8 septembre ; Twilio a depuis gagné environ 30 % et cote 45,3 fois les bénéfices attendus de l'an prochain ⁴. HSBC a dégradé le titre à « Reduce » le 25 septembre, avec un objectif de 211 dollars↗ : même dans un scénario haussier — des utilisateurs de Muse dix fois plus nombreux, dont 30 % passant chaque jour un appel de cinq minutes —, le revenu généré ne serait que d'environ 49,2 millions de dollars, soit de l'ordre de 14 dollars par action, contre une hausse de 75 dollars depuis le lancement ⁴.

Le titre a perdu 7,6 % ce jour-là↗ avant de remonter à 286,98 dollars au 28 septembre, au-dessus de l'objectif de 263,04 dollars du consensus des 30 analystes ⁵⁶². Rosenblatt, à 290 dollars, et TD Cowen, à 300 dollars, tiennent l'autre camp ⁵.

Le goutte-à-goutte en périphérie

La vraie actualité sécurité de la semaine a, elle aussi, épargné le cœur du dispositif. ReversingLabs a détaillé tw-pkgprobe-7731, un paquet npm se présentant comme un outil de test du programme de bug bounty de Twilio↗, qui exfiltrait dans l'une de ses versions les identifiants ACCOUNT_SID et AUTH_TOKEN ; Twilio a indiqué que les paquets avaient été retirés et qu'elle n'avait subi aucun incident de sécurité ⁷. S'y ajoutent les 33 millions de numéros de téléphone Authy et les 12 000 enregistrements d'appels divulgués en 2024, ni l'un ni l'autre ne constituant une intrusion directe dans l'infrastructure de Twilio elle-même ¹. Le cœur, lui, a tenu.

L'underground fixe le prix d'un client Twilio à un quart de centime de dollar ; le marché, lui, paie 45 fois les bénéfices pour faire confiance au même tuyau.

Ce qui tranchera

Aucune vérification indépendante n'a départagé les deux camps : l'échantillonnage réalisé par Twilio et l'affirmation d'authenticité du pirate informatique datent de près de 18 mois et n'ont toujours pas été conciliés ¹³. À surveiller : si la prochaine goutte atteint le cœur plutôt que la périphérie, ce que Meta dévoilera de l'utilisation de Muse, et les résultats du troisième trimestre, avec un chiffre d'affaires guidé entre 1,50 et 1,51 milliard de dollars↗ ⁶.