Incidents par type d’attaque :
Ledger a confirmé que des portefeuilles vendus par son revendeur CryptoBilis cachaient un implant non autorisé, lié au vol de dizaines de millions de dollars en cryptos.
L'éditeur américain de logiciels K-12 Frontline Education a prévenu des districts scolaires qu'une faille logicielle tierce avait exposé des données d'employés, dont des numéros de sécurité sociale.
La plateforme de commerce en ligne BigCommerce a averti des marchands que des attaquants avaient compromis les identifiants des applications tierces Ribon et Ribon 1.5, les avaient utilisés pour injecter des scripts malveillants dans des boutiques et avaient accédé aux noms, e-mails, numéros de téléphone et adresses de livraison des acheteurs.
La fintech canadienne Wealthsimple a confirmé qu'une compromission de chaîne d'approvisionnement visant un logiciel tiers avait exposé des données personnelles — coordonnées, pièces d'identité, numéros d'assurance sociale et numéros de compte — d'une petite fraction de ses quelque trois millions de clients.
Une vague d'entreprises de sécurité et de technologie a révélé des vols de données après que des attaquants suivis sous le nom d'UNC6395 ont détourné des jetons OAuth volés à l'intégration du chatbot Drift de Salesloft pour exporter des données de centaines d'environnements Salesforce connectés.
Le constructeur ferroviaire suisse Stadler Rail a confirmé que des attaquants avaient utilisé des identifiants compromis pour voler des données techniques sur une plateforme partagée avec un fournisseur, et a refusé une demande de rançon d'environ 12,3 millions de dollars du gang Everest.
Des attaquants ont publié cinq versions malveillantes du paquet npm très utilisé de jscrambler sous le compte de mainteneur légitime, chacune exécutant un script de préinstallation déposant un voleur d'informations multiplateforme écrit en Rust sur les machines des développeurs.
Des attaquants ont compromis un prestataire frontend tiers et injecté du JavaScript malveillant sur le site de Polymarket, détournant environ 3 millions de dollars via des transactions frauduleuses.
Un identifiant d'API dormant a permis à des attaquants de compromettre la plateforme d'intelligence concurrentielle Klue et de récolter les jetons OAuth des applications connectées de ses clients, exfiltrant des enregistrements Salesforce d'entreprises comme Huntress et Recorded Future lors d'une attaque de la chaîne d'approvisionnement ensuite attribuée au groupe d'extorsion Icarus.
Un compte de contributeur détourné a servi à republier 144 paquets du populaire scope npm @mastra (agents d'IA) avec une dépendance malveillante typosquattée, easy-day-js, qui téléchargeait un cheval de Troie d'accès à distance multiplateforme et un voleur de cryptomonnaies sur toute machine de développeur ou système de build qui les installait.
Des attaquants ont dérobé une clé d'API CDN à Awesome Motive et altéré le JavaScript servi aux extensions WordPress OptinMonster, TrustPulse et PushEngage, créant en silence des comptes administrateurs malveillants et installant des portes dérobées sur les sites dont les administrateurs connectés chargeaient le code piégé.
Les chercheurs de Sonatype ont mis au jour « Atomic Arch », une campagne sur la chaîne d'approvisionnement dans laquelle des attaquants ont adopté des centaines de paquets orphelins de l'Arch User Repository et réécrit leurs scripts de compilation pour installer un paquet npm malveillant déposant un voleur d'identifiants Linux doté de capacités optionnelles de rootkit eBPF.
Un ver auto-réplicateur de la chaîne d'approvisionnement baptisé Miasma a compromis 73 dépôts répartis sur quatre organisations GitHub de Microsoft, plantant des fichiers de configuration qui dérobaient des identifiants cloud et développeur dès que les projets étaient ouverts dans des agents de codage IA comme Claude Code et Cursor.
Des chercheurs ont révélé IronWorm, un voleur d'informations auto-propagateur écrit en Rust qui a compromis 36 paquets npm, dérobant les secrets de développeurs et de pipelines CI puis republiant des paquets piégés à l'aide d'identifiants de publication npm volés.
Le 23 mai 2026, l'assureur santé numérique français Alan a alerté ses adhérents qu'une cyberattaque visant son prestataire de tiers-payant Almerys avait exposé leurs données personnelles — état civil, date de naissance, numéro de Sécurité sociale et informations de contrat — sans toucher aux données de paiement, mots de passe ni données de santé.
L'éditeur d'outils d'observabilité Grafana Labs a révélé qu'un attaquant avait utilisé un jeton de workflow GitHub non renouvelé après l'attaque de la chaîne d'approvisionnement npm TanStack pour télécharger son code source public et privé, avant de refuser la demande de rançon qui a suivi.
OpenAI a confirmé en mai 2026 que deux appareils d’employés avaient été compromis via l’attaque sur la chaîne d’approvisionnement du paquet npm TanStack, permettant l’exfiltration d’identifiants depuis des dépôts internes contenant ses certificats de signature logicielle.
Kaspersky a révélé que des installateurs signés téléchargés depuis le site officiel de DAEMON Tools contenaient une porte dérobée depuis le 8 avril 2026, infectant des milliers de machines dans plus de 100 pays et livrant des implants supplémentaires, dont QUIC RAT, à une douzaine de cibles choisies.
Le 4 mai 2026, un hacker sous le pseudonyme Lagui a mis en ligne une base d’environ 96 000 clients de La Redoute — noms, adresses postales, téléphones, e-mails et historiques de commandes/livraisons — que l’enseigne attribue à un incident de janvier 2026 chez son partenaire logistique Relais Colis.
Le 29 avril 2026, la Ville de Saint-Étienne et Saint-Étienne Métropole ont signalé un incident de sécurité chez leur prestataire de billetterie, entraînant la désactivation préventive des mots de passe et une réinitialisation imposée aux usagers de la billetterie en ligne.
Le 19 avril 2026, la plateforme cloud Vercel (créatrice de Next.js) a confirmé un incident de sécurité lié à la compromission d'un outil tiers, exposant des variables d'environnement non sensibles et un nombre limité de comptes clients.
Le distributeur français de jouets en ligne JeuJouet.com a alerté ses clients en avril 2026 après la compromission de sa plateforme e-commerce Magento dans une campagne d'exploitation massive, exposant potentiellement noms, e-mails, identifiants de compte et commandes ; aucune donnée bancaire concernée.
Le 15 avril 2026, la Direction générale de la police nationale (DGPN) a confirmé le piratage mi-mars de sa plateforme de formation en ligne e-campus, gérée par un prestataire ; le groupe HexDex revendique 176 317 profils d'agents incluant noms, emails professionnels, localisations et historiques de connexion.
Les données de billetterie en ligne des visiteurs du Château royal de Blois / Maison de la Magie ont été exposées lors du piratage de son prestataire Vivaticket (Tickeasy), divulguant noms, adresses e-mail et postales, dates de naissance, numéros de téléphone et de fax et numéros de TVA.