Fuite chez SoundCloud

Le 16 décembre 2025, SoundCloud — la plateforme mondiale de streaming musical et de partage audio basée à Berlin — a révélé avoir détecté une activité non autorisée touchant environ 29,8 millions de comptes, soit environ 20% de sa base d'utilisateurs. L'entreprise a rendu l'incident public après que des utilisateurs ont signalé des problèmes d'accès et des erreurs 403 « Forbidden », notamment lors de connexions via un VPN.

Plutôt qu'une intrusion dans la base de données principale des utilisateurs, l'attaquant a obtenu l'accès à un système interne et s'en est servi pour associer des adresses e-mail privées aux informations déjà visibles sur les profils publics. Le jeu de données ainsi constitué reliait chaque e-mail divulgué à une identité de créateur, ce qui le rendait particulièrement propice au phishing ciblé, à l'usurpation d'identité et à l'extorsion. L'intrusion a été attribuée au groupe d'extorsion ShinyHunters, qui a tenté d'extorquer SoundCloud avant de diffuser les données en ligne en janvier 2026.

Les catégories de données exposées comprenaient :

• Adresses e-mail
• Noms et noms d'utilisateur / noms d'affichage
• Avatars de profil
• Nombres publics d'abonnés et d'abonnements
• Localisation géographique générale (le pays, dans certains cas)

SoundCloud a déclaré que les mots de passe, les informations de paiement et les messages privés n'avaient pas été consultés. Les enregistrements divulgués ont été indexés par Have I Been Pwned, et l'incident a depuis donné lieu à des actions collectives de consommateurs aux États-Unis.