Violation de données chez Sysco (revendications d'extorsion de Qilin et ShinyHunters)

Le 22 juillet 2026, Sysco Corporation, premier distributeur de produits alimentaires pour la restauration aux États-Unis, a commencé à envoyer des lettres de notification aux personnes dont les données personnelles figuraient dans des fichiers dérobés sur ses systèmes. Selon cet avis, Sysco a constaté une activité non autorisée dans certaines parties de son environnement le 23 avril 2026, a appris le 5 mai que l'intrus avait pu obtenir des fichiers, puis a confirmé le 25 juin que ces fichiers contenaient des données personnelles comme des noms et des numéros de sécurité sociale. L'entreprise a signalé la violation aux régulateurs de plusieurs États, dont les procureurs généraux du Massachusetts et du Vermont, et a proposé aux personnes concernées 24 mois de protection d'identité via Experian IdentityWorks.

Deux revendications d'extorsion

Avant la notification de Sysco, la violation avait fait l'objet de deux revendications d'extorsion publiques distinctes. Le 6 mai 2026, le gang de rançongiciel Qilin a inscrit Sysco sur son site de fuite et menacé de publier les données volées si l'entreprise ne prenait pas contact. À la mi-juin, le groupe d'extorsion ShinyHunters a affirmé avoir volé plus de 61 millions d'enregistrements Salesforce chez Sysco, couvrant des données clients, des données de salariés et d'autres informations internes, et a donné à l'entreprise jusqu'au 18 juin pour payer.

L'échéance passée, ShinyHunters a publié des données que l'index de fuites Have I Been Pwned a recensées sous la forme de 2 691 852 adresses e-mail uniques appartenant à des salariés et à des clients, accompagnées de noms, numéros de téléphone, adresses postales, intitulés de poste, informations sur l'employeur et retours clients. Sysco n'a attribué publiquement l'intrusion à aucun des deux groupes, et il n'est pas établi que l'annonce de Qilin et les données Salesforce proviennent de la même compromission.

Pourquoi c'est important

Sysco approvisionne restaurants, hôpitaux, écoles et hôtels dans toute l'Amérique du Nord, si bien que son CRM contient les coordonnées et les informations de compte d'une très large clientèle professionnelle. L'incident s'inscrit dans la campagne menée en 2026 par ShinyHunters contre des environnements Salesforce, où les volumes annoncés correspondent à des lignes de base de données plutôt qu'à des personnes uniques, et montre qu'une même victime peut subir des tentatives d'extorsion qui se chevauchent de la part de groupes criminels sans lien entre eux.