Incidents par type d’attaque :
BK Japan, l'exploitant de l'application mobile japonaise de Burger King, a confirmé un accès non autorisé à sa base de membres exposant environ 11,18 millions d'enregistrements.
Le groupe sud-africain d'analyses médicales Ampath a confirmé un incident informatique et contesté le vol allégué de 80 millions d'enregistrements.
Le distributeur japonais de produits d'occasion Bookoff Group a révélé qu'un accès non autorisé au système d'adhésion d'une filiale pourrait avoir divulgué les données personnelles de jusqu'à environ 6,43 millions d'enregistrements de membres.
Le géant japonais du karaoké Daiichi Kosho a averti qu'une infection par un logiciel malveillant chez un sous-traitant externe pourrait avoir exposé les données personnelles d'environ 8,6 millions de clients et de 93 000 autres personnes traitées pour son compte.
La marketplace suisse en ligne Ricardo a révélé qu'une faille de sécurité avait exposé les noms, adresses postales et numéros de téléphone d'environ 890 000 comptes d'utilisateurs.
Le Danemark a révélé que des acteurs non identifiés avaient détourné l'accès légitime d'une entreprise privée au registre national des personnes (CPR) pour extraire les noms, adresses et numéros d'identification personnels d'environ 8,8 millions de personnes.
La DTU, au Danemark, a indiqué que des attaquants avaient volé des identifiants pour pénétrer son système DTUBasen, exposant les numéros CPR et d'autres données de jusqu'à 200 000 usagers.
Un script d'envoi défaillant généré par IA a exposé les adresses e-mail de 95 364 membres de Bee Cheng Hiang entre eux, première fuite liée à l'IA de Singapour.
Le Defense Manpower Data Center du Pentagone a révélé qu'une faille d'un système de partage de fichiers a exposé les données non chiffrées de plus de trois millions de militaires et de proches.
Le service polonais de facturation en ligne Fakturownia, utilisé par plus de 600 000 entreprises, a révélé qu'un attaquant avait accédé à ses serveurs pendant environ 38 heures et copié des données de comptes, de cocontractants, de factures et de paiements, ainsi que des empreintes de mots de passe et des jetons d'API.
Tokyo Metro a révélé qu'un tiers non autorisé avait accédé aux adresses e-mail d'environ 59 000 clients inscrits à son programme de fidélité Metpo, invitant les membres à se méfier de tentatives d'hameçonnage ultérieures.
Le groupe japonais de mobilité Park24 a indiqué qu'un accès non autorisé à son système d'autopartage Times Car avait exposé des données personnelles, dont des images de permis de conduire, d'environ 6,6 millions de membres.
Le courtier américain DriveWealth a indiqué qu'une attaque par ingénierie sociale a exposé des données personnelles historiques de clients fintech de Revolut, Stake et Hatch.
Le FBI a déclaré un incident de cybersécurité et averti son personnel que ses données personnelles pouvaient avoir été exposées après que le groupe ShinyHunters a revendiqué la compromission de son portail de recrutement FBIJobs.gov.
CenterPoint Energy a confirmé un accès non autorisé aux données de ses clients via un système externe, après qu'un pirate a affirmé avoir extrait 7,49 millions d'enregistrements d'une API dépourvue d'authentification.
Le Department of Highway Safety and Motor Vehicles de Floride a confirmé que des attaquants avaient utilisé un compte des forces de l'ordre compromis pour pénétrer sa base de conducteurs DAVID, tandis que le groupe d'extorsion ShinyHunters affirmait avoir dérobé plus de 200 000 dossiers de conducteurs.
Le service de partage d'images Gyazo, exploité par Helpfeel, a révélé qu'un attaquant avait exploité une faille de son serveur de téléversement d'images pour exécuter des commandes et atteindre sa base de données, exposant environ 23,6 millions de comptes utilisateurs et près de 490 millions de métadonnées d'images.
L'Agence numérique du Japon a révélé que des attaquants avaient exploité une vulnérabilité d'un produit VPN pour accéder à son Government Solution Service et dérober les informations personnelles d'environ 240 000 personnes, à l'aide du compte d'un employé de maintenance.
Le fournisseur de vérification d'identité IDScan.net a confirmé que des attaquants avaient dérobé plus de 150 millions de dossiers de permis de conduire et de pièces d'identité de ses systèmes cloud, après que les données ont été mises en vente sur un site du dark web permettant de rechercher n'importe quel individu aux États-Unis et au Canada.
L'entreprise de technologies de santé Veradigm a révélé que des attaquants avaient utilisé des identifiants dérobés à un prestataire tiers pour atteindre une API de service client et copier des données de patients, après que le gang de rançongiciel The Gentlemen a affirmé détenir environ 3,5 millions de dossiers.
Des chercheurs en sécurité ont révélé qu'une base de données Advance Passenger Information System non sécurisée, hébergée dans l'espace IP vietnamien, avait exposé environ 220 millions de dossiers de voyage de passagers et d'équipage couvrant 2017 à 2026, en raison de mauvaises configurations et d'identifiants par défaut.
Une base de 32,8 millions d'enregistrements d'utilisateurs présumés de Condé Nast, couvrant les lecteurs de Vogue, The New Yorker, GQ, WIRED et d'autres titres, a été mise en vente sur un forum cybercriminel russophone, élargissant une fuite de décembre 2025 qui avait exposé 2,3 millions de comptes WIRED.
La plateforme de fans de HYBE, Weverse, a révélé qu'une vulnérabilité d'une API de paiement exposée sur Internet avait divulgué des données d'achats, de paiements et de remboursements liées à 422 584 comptes, après une alerte de l'agence sud-coréenne KISA.
Chess.com a commencé à informer environ 4 500 utilisateurs que leurs informations personnelles avaient été exposées après qu'un acteur malveillant externe a obtenu un accès non autorisé à une application tierce de transfert de fichiers utilisée par la plateforme.