Incidents par type d’attaque :
Le détaillant de mode en ligne britannique ASOS a confirmé que des attaquants avaient utilisé des identifiants d'employé volés pour accéder à des données clients via des plateformes tierces, après que des acheteurs ont reçu des notifications push contrôlées par des pirates.
Astrana Health a révélé à la SEC que des attaquants ont eu recours à l'hameçonnage vocal, usurpant son numéro d'entreprise et imitant du personnel, pour accéder à des données confidentielles.
La fintech britannique Revolut a révélé qu'une partie non autorisée avait utilisé le domaine de messagerie d'une véritable agence gouvernementale pour soumettre des demandes frauduleuses et obtenir des données sensibles sur un nombre limité de clients, visant apparemment des utilisateurs fortunés.
Apollo Global Management a révélé qu'une attaque d'ingénierie sociale par téléphone avait donné aux intrus l'accès à ses systèmes cloud pendant quatre jours en juillet 2026, exposant noms, dates de naissance, coordonnées, adresses postales et numéros de sécurité sociale, dans le cadre d'une campagne plus large visant les sociétés financières.
Après le refus de RingCentral de payer une rançon, le groupe ShinyHunters a diffusé une archive de données exposant noms, adresses e-mail, numéros de téléphone et adresses postales liés à environ 1,6 million de comptes clients, volés lors d'une intrusion par ingénierie sociale plus tôt dans l'été.
L'entreprise française de gestion de la propriété intellectuelle Questel a confirmé qu'une attaque par hameçonnage vocal avait permis à ShinyHunters d'accéder à une partie de son environnement Microsoft 365, après que le groupe a publié des données que les index de fuites rattachent à environ 1,7 million d'enregistrements.
Le fournisseur américain de télésurveillance Brinks Home a confirmé un incident de cybersécurité après que ShinyHunters a affirmé avoir volé 4,9 millions d'enregistrements Salesforce et des journaux de chat du support via un appel de vishing Microsoft Entra.
Le spécialiste de la surveillance cardiaque iRhythm Technologies a révélé dans un dépôt auprès de la SEC que des attaquants avaient utilisé l'ingénierie sociale pour exfiltrer des données propriétaires et des informations de santé de patients depuis des applications métier hébergées par des tiers, puis exigé un paiement pour ne pas les divulguer.
Les autorités françaises ont confirmé qu'un attaquant avait détourné un compte utilisateur de Tchap pour accéder à des salons publics de la messagerie sécurisée de l'État, l'intrus affirmant avoir aspiré des dizaines de milliers de comptes et des centaines de milliers de messages.
Le premier opérateur de croisières au monde a commencé à informer près de 6 millions de personnes qu'un attaquant ayant manipulé un employé avait copié noms, coordonnées, dates de naissance et numéros de passeport et de permis de conduire, quelques semaines après la publication par ShinyHunters de données qu'il disait avoir volées.
Le câblo-opérateur et fournisseur d'accès américain Charter Communications a confirmé une violation de données après que ShinyHunters a menacé de divulguer des fichiers clients qu'il disait avoir extraits de l'environnement Salesforce de Charter, à la suite d'un hameçonnage vocal visant le compte Microsoft Entra d'un employé.
Un attaquant se faisant passer pour un client a infecté des postes du support de DigiCert et récupéré des codes d'initialisation de certificats EV ; 60 certificats révoqués, dont certains signaient Zhong Stealer.
La plateforme d'échange de contrats perpétuels Drift Protocol, basée sur Solana, a perdu environ 280 millions de dollars après qu'un attaquant a détourné les nonces durables de Solana pour s'emparer des pouvoirs d'administration de son Security Council, un vol que des analystes blockchain relient à la Corée du Nord.
Le 29 janvier 2026, Match Group — maison mère de Hinge, Match et OKCupid — a révélé une fuite après que le groupe ShinyHunters a détourné, par hameçonnage vocal, le compte Okta SSO d'un employé ; les données exposées incluent noms, dates de naissance, numéros de téléphone et adresses IP.
En août 2025, Google a confirmé qu'une instance CRM Salesforce contenant les coordonnées de prospects professionnels de Google Ads avait été piratée par ShinyHunters (UNC6040) via une attaque par vishing, exposant environ 2,55 millions d'enregistrements (raisons sociales, e-mails et numéros de téléphone).
Un développeur junior chez C&M Software — fournisseur autorisé par la Banque centrale pour la connectivité au système de paiement instantané Pix — a été payé environ 5 000 R$ pour livrer ses identifiants. Les attaquants ont utilisé cet accès pour vider environ 800 millions de R$ (148 millions de dollars) des comptes de réserve de six institutions financières brésiliennes en 2,5 heures.
Le 8 mars 2024, l'opérateur public France Travail a révélé une fuite de données exposant les informations personnelles de jusqu'à 43 millions de demandeurs d'emploi inscrits au cours des 20 dernières années, dont nom, date de naissance, numéro de sécurité sociale et coordonnées.
Un membre adolescent de Lapsus$ a compromis le Slack interne et les systèmes de développement de Rockstar Games par ingénierie sociale, puis a divulgué environ 90 séquences en cours de développement du jeu inédit Grand Theft Auto VI — l'une des plus grandes fuites de l'histoire du jeu vidéo.
Un individu de 18 ans affilié à Lapsus$ a manipulé un sous-traitant d'Uber par ingénierie sociale, a vaincu la MFA grâce à une campagne de bombardement de notifications d'une heure, puis a trouvé des identifiants administrateur codés en dur sur un partage interne qui ont déverrouillé les tableaux de bord AWS, G-Suite, Slack et HackerOne d'Uber.
Le groupe d'extorsion Lapsus$ a compromis l'ordinateur portable d'un ingénieur de support du sous-traitant Sitel d'Okta, obtenant une fenêtre d'accès de 25 minutes en janvier 2022 qui a touché deux locataires clients. L'intrusion n'est devenue publique que lorsque Lapsus$ a diffusé des captures d'écran en mars.
Plus de 700 clients de BDO Unibank, la plus grande banque des Philippines, ont perdu de l'argent par des virements en ligne non autorisés acheminés vers des comptes UnionBank sous l'alias « Mark Nagoyo » ; cinq suspects ont été arrêtés et BDO a remboursé les victimes.
Une campagne d'hameçonnage a compromis 47 comptes de messagerie du personnel de Service NSW, exposant 738 Go de données et environ 3,8 millions de documents ; environ 104 000 clients ont vu leurs informations personnelles, dont des permis de conduire et des certificats de naissance, volées.
Un fraudeur se faisant passer pour un client légitime d'Experian a obtenu les données personnelles de 24 millions de Sud-Africains et de 793 749 entreprises, dans ce qui est devenu l'une des plus grandes fuites de données de l'histoire de l'Afrique du Sud.
Des attaquants ont utilisé le spear-phishing téléphonique contre des employés de Twitter pour atteindre un outil d'administration interne « agent », détournant 130 comptes de premier plan dont ceux d'Obama, Musk, Bezos et Apple, et publiant une arnaque de doublement de Bitcoin qui a rapporté environ 118 000 $.