Fuite de données chez American Tower : des codes d'accès de sites d'antennes exposés (extorsion ShinyHunters)

Le 12 juin 2026, le collectif d'extorsion ShinyHunters a affirmé avoir compromis American Tower Corporation, l'un des plus grands propriétaires mondiaux de pylônes de télécommunications sans fil, et dérobé plus de 5,2 millions d'enregistrements. Cette revendication s'inscrivait dans la vaste campagne « payer ou fuiter » menée par le groupe ce mois-là, qui a également visé des assureurs, des acteurs de santé et des entreprises du divertissement.

Une fois l'échéance passée, ShinyHunters a publié des données que le service d'alerte Have I Been Pwned a intégrées le 26 juin 2026 : 216 601 adresses e-mail uniques appartenant à des employés, sous-traitants, clients et prospects, accompagnées de noms, intitulés de poste, numéros de téléphone et adresses postales.

Une exposition de sécurité physique

Au-delà des données personnelles, les éléments divulgués comprendraient les coordonnées GPS de sites d'antennes, des inventaires d'équipements, des documents internes et des codes d'accès en clair aux portails de sites d'antennes-relais américains. Le groupe a également affirmé que les fichiers mentionnaient d'autres organisations, dont T-Mobile, Verizon et le Department of Homeland Security. Contrairement à un mot de passe, un code de portail ne peut pas être réinitialisé à distance : sa modification exige le déplacement d'un technicien sur chaque site.

American Tower n'avait ni confirmé ni démenti publiquement la violation dans les comptes rendus ultérieurs, et le chiffre de 5,2 millions d'enregistrements avancé par le groupe n'a pas été vérifié de manière indépendante.

Pourquoi c'est important

Les antennes-relais constituent une infrastructure partagée par tous les grands opérateurs américains : une fuite associant l'emplacement des sites à des codes d'accès valides transforme une violation de données en risque de sécurité physique pour les réseaux de télécommunications, pouvant faciliter sabotage ou vol d'équipements. L'incident montre comment la vague de vols de données SaaS et CRM de 2026 peut exposer des détails opérationnels d'infrastructures critiques, et pas seulement des listes de contacts clients.