Fuite de données Turner Construction (Payout Kings)

Le 18 août 2026, Turner Construction Company — l'un des plus grands constructeurs généralistes et gestionnaires de chantiers des États-Unis — a commencé à notifier plus de 13 000 personnes que des attaquants avaient accédé à son réseau et dérobé des données personnelles sensibles. L'intrusion s'est déroulée entre le 2 et le 15 juillet 2026, et les informations exposées comprennent des numéros de sécurité sociale, des coordonnées bancaires et des numéros de passeport.

Le groupe d'extorsion Payout Kings a revendiqué l'attaque sur son site de fuite du dark web, affirmant avoir exfiltré environ 27,2 téraoctets de données de Turner. Selon la publication du groupe, le butin comprenait des documents d'ingénierie contenant des données personnelles d'employés, des fichiers de projets militaires, des dossiers juridiques et contentieux, de la correspondance, des documents financiers, des contrats et des accords de confidentialité.

Ce qui s'est passé

Turner a divulgué la fuite par le biais de déclarations aux procureurs généraux des États et de lettres de notification individuelles, faisant d'abord état de plusieurs milliers de résidents concernés dans des États dont la Californie et le Vermont, le décompte plus large dépassant 13 000 personnes. L'entreprise a indiqué que le jeu de données compromis contenait des identifiants très sensibles — numéros de sécurité sociale, coordonnées de comptes financiers et numéros de passeport — et a offert aux personnes concernées des services de protection de l'identité gratuits pendant cinq ans via IDShield et IDX.

L'ampleur du vol revendiqué, et la sensibilité des archives de projets d'un constructeur, ont rendu l'incident notable au-delà de la seule exposition de données personnelles. Les entreprises du BTP manipulent des plans, des contrats et de la correspondance pour des installations critiques et parfois classifiées ; la présence signalée de fichiers de projets militaires et d'accords de confidentialité a donc soulevé des inquiétudes dépassant les seules personnes directement notifiées.

Impact

• Des données personnelles — numéros de sécurité sociale, coordonnées bancaires et numéros de passeport — de plus de 13 000 personnes ont été exposées.
• Payout Kings affirme avoir dérobé environ 27,2 To de données, incluant selon lui des documents d'ingénierie, juridiques et de projets militaires sensibles.
• Les personnes concernées font face à un risque accru de vol d'identité et de fraude financière ; Turner a offert cinq ans de protection de l'identité.

Pourquoi c'est important

La fuite Turner montre pourquoi les grandes entreprises de construction et d'ingénierie sont des cibles de plus en plus prisées des rançongiciels et de l'extorsion : elles agrègent non seulement les données personnelles des employés et des partenaires, mais aussi la documentation de projets pour des clients d'infrastructures, d'entreprises et gouvernementaux. Lorsqu'une seule intrusion emporte plans, contrats et correspondance en même temps que des numéros de sécurité sociale et de passeport, les dégâts couvrent à la fois la fraude à l'identité individuelle et l'exposition potentielle d'informations sensibles sur des installations — une combinaison qui rend la pression au paiement et le risque en aval particulièrement aigus.