Les plus grandes fuites de données de 2024

2024 a battu des records sur plusieurs dimensions : la plus grande fuite de santé aux États-Unis (Change Healthcare), le plus gros dump unique de données personnelles (National Public Data) et la compromission de clients cloud la plus lourde de conséquences (Snowflake). Voici un récapitulatif classé des incidents marquants de l’année.

1. Rançongiciel Change Healthcare (février)

Change Healthcare, filiale d’UnitedHealth Group, a été touchée par le rançongiciel ALPHV/BlackCat via un portail Citrix sans MFA. Les données personnelles et de santé d’environ 100 millions d’Américains ont été volées, et le traitement des ordonnances aux États-Unis a été perturbé pendant des semaines. Coût déclaré par UnitedHealth : plus de 2,87 milliards de dollars.

2. Fuite National Public Data (avril–août)

Une compromission du courtier de données National Public Data (NPD) a fait surface sur des forums criminels à partir d’avril 2024, et un dump complet de 2,7 milliards d’enregistrements a été publié en août. Les enregistrements contenaient numéros de sécurité sociale, noms, adresses et dates de naissance — collectés à partir de registres publics sans consentement des personnes. La maison mère a déposé le bilan en octobre.

3. Compromissions de clients Snowflake (avril–juillet)

Des acteurs — notamment un groupe identifié comme UNC5537 — ont utilisé des identifiants collectés par infostealers pour s’authentifier sur des locataires Snowflake sans MFA. Au moins 165 organisations ont été touchées, dont AT&T (métadonnées d’appels de presque tous les clients mobiles, ≈110M), Ticketmaster (560 millions d’enregistrements), Santander, Advance Auto Parts et Neiman Marcus.

4. Fuite des relevés d’appels AT&T (juillet)

Séparément de l’incident Snowflake, AT&T a divulgué que les métadonnées d’appels et SMS de presque tous les clients mobiles (≈110M) sur une période de six mois avaient été volées via la compromission Snowflake. Le contenu n’était pas exposé, mais les métadonnées ont permis une analyse de graphe social à grande échelle.

5. Compromission Ticketmaster (Live Nation, mai)

Une partie des compromissions Snowflake a touché la maison mère de Ticketmaster, Live Nation, exposant environ 560 millions d’enregistrements clients avec noms, adresses, numéros de téléphone, données partielles de cartes bancaires et historique d’événements.

6. Attaque Synnovis (laboratoire pathologie NHS, juin, UK)

Le groupe russophone Qilin a rançonné Synnovis, un prestataire de pathologie pour les hôpitaux NHS de Londres. Le traitement des analyses de sang a été perturbé pendant des semaines ; des centaines de milliers de dossiers ont fuité ; le Royaume-Uni a déclaré un « incident critique ».

7. Exchange WazirX (juillet, Inde)

Lazarus Group (Corée du Nord) a volé 230 millions de dollars en cryptomonnaie à l’exchange indien WazirX après avoir compromis un portefeuille multi-signature via spear-phishing d’un ingénieur.

8. CDK Global (concessionnaires automobiles, juin, US)

Une attaque par rançongiciel contre CDK Global, plateforme logicielle utilisée par environ 15 000 concessionnaires automobiles américains, a provoqué une panne de plusieurs semaines des ventes dans la distribution automobile américaine — l’un des impacts ransomware les plus lourds dans le retail via un fournisseur unique.

Tendances

Trois tendances ont dominé 2024 :

• Compromission de clients cloud via identifiants volés : la cohorte Snowflake rappelle que la sécurité du fournisseur cloud est nécessaire mais pas suffisante — la MFA du client compte autant.
• Risque de concentration dans les infrastructures critiques : un intermédiaire de facturation, un laboratoire de pathologie, une plateforme de concessionnaires — chacun un point unique de défaillance pour toute une industrie.
• Extorsion pure de données remplaçant le chiffrement : les opérations de rançongiciel sautent de plus en plus l’étape de chiffrement et monétisent uniquement par la pression du site de fuite, parce que les sauvegardes se sont suffisamment améliorées pour affaiblir le levier du déchiffrement.

Le catalogue complet est consultable sur la page incidents.