Fuite chez Match Group (Hinge, Match, OKCupid)

Le 29 janvier 2026, Match Group — le conglomérat américain d'applications de rencontre derrière Hinge, Match et OKCupid — a révélé une fuite de données après que le groupe d'attaquants ShinyHunters a publiquement revendiqué le vol de données d'utilisateurs et de fichiers internes.

L'intrusion n'a pas exploité une faille logicielle. Les attaquants ont mené une campagne d'hameçonnage vocal (vishing) qui a poussé un employé à livrer ses identifiants Okta single sign-on (SSO) via un domaine sosie (matchinternal.com). Avec cet accès, ils ont atteint des tableaux de bord internes, la plateforme marketing mobile AppsFlyer et du stockage cloud, puis ont exfiltré des données.

Les catégories de données exposées signalées pour les utilisateurs concernés comprennent :

• Nom, prénom et identifiant de connexion
• Date de naissance
• Numéro de téléphone
• Adresse IP et user-agent (données d'appareil/de traçage)

Les estimations d'ampleur divergent fortement : ShinyHunters a annoncé environ 10 millions d'enregistrements et diffusé près de 1,7 Go de fichiers, tandis que le chiffre associé à cette divulgation est de 196 000 utilisateurs ; les échantillons vérifiés de façon indépendante étaient plus modestes encore. Match Group affirme n'avoir trouvé aucune preuve d'accès aux mots de passe, aux données financières ou aux messages privés, ces éléments n'étant pas stockés dans les systèmes compromis.

Match Group a agi rapidement pour mettre fin à l'accès non autorisé, a mandaté des experts externes et a entamé la notification des personnes concernées, laissant l'incident maîtrisé mais avec un jeu de données déjà en circulation.