Incidents dans le secteur :
Une base de 32,8 millions d'enregistrements d'utilisateurs présumés de Condé Nast, couvrant les lecteurs de Vogue, The New Yorker, GQ, WIRED et d'autres titres, a été mise en vente sur un forum cybercriminel russophone, élargissant une fuite de décembre 2025 qui avait exposé 2,3 millions de comptes WIRED.
La plateforme de fans de HYBE, Weverse, a révélé qu'une vulnérabilité d'une API de paiement exposée sur Internet avait divulgué des données d'achats, de paiements et de remboursements liées à 422 584 comptes, après une alerte de l'agence sud-coréenne KISA.
Une fuite chez le générateur de musique par IA Suno, rendue publique en juillet 2026 via 404 Media et Have I Been Pwned, a exposé plus de 55 millions d'enregistrements d'utilisateurs.
Le groupe d'extorsion ShinyHunters a publié des données qu'il affirme avoir volées à Madison Square Garden Sports — propriétaire des Knicks et des Rangers — après l'expiration d'une échéance de rançon impayée.
Des attaquants ont exploité une faille de vérification dans l'outil de récupération de compte assisté par IA d'Instagram, High Touch Support, pour déclencher des réinitialisations de mot de passe et détourner 20 225 comptes avant que Meta ne détecte et désactive l'outil.
Le service de streaming sud-coréen TVING a révélé un accès non autorisé aux données de ses membres ; une enquête gouvernementale a ensuite établi qu'une clé d'accès de développeur volée avait exposé 39,54 millions de comptes et 361 actifs techniques, dont du code source.
En mai 2026, l'entreprise de gestion de voyages d'affaires BCD Travel a été présentée comme victime de la campagne d'extorsion « payer ou divulguer » de ShinyHunters. Des données prétendument obtenues auprès de BCD ont ensuite été publiées publiquement début juin et contenaient 396 000 adresses e-mail uniques.
Révélée vers le 22 mai 2026, la médiathèque numérique départementale de la Haute-Garonne (Média31) a été compromise via l'exploitation de vulnérabilités du site, exposant les données d'environ 765 usagers : noms, e-mails, dates de naissance, villes et identifiants de connexion.
En mai 2026, la société de services immobiliers Cushman & Wakefield a été la cible d'une campagne d'extorsion « payer ou divulguer » menée par le groupe ShinyHunters. Après la menace, le groupe a publiquement diffusé des données qu'il prétendait avoir obtenues auprès de la société, composées principalement d'adresses e-mail C&W ainsi que…
Mediaworks Hungary, groupe de presse largement considéré comme faisant partie de l'écosystème médiatique progouvernemental du Premier ministre Viktor Orbán, a annoncé une grave cyberattaque après la publication par le groupe d'extorsion World Leaks d'environ 15 millions de fichiers (8,5 To), dont des fiches de paie, des contrats et des communications internes.
Le 29 avril 2026, l’association française de critique des médias Acrimed a révélé une cyberattaque visant sa boutique en ligne, exposant les adresses e-mail, mots de passe chiffrés et historiques de commandes des clients ; noms, adresses postales, téléphones et données bancaires seraient épargnés.
En avril 2026, des données prétendument obtenues auprès de CTT, le service postal national du Portugal, ont été publiées sur un forum de piratage public. Les données comprenaient 468 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des numéros de suivi de colis pouvant être utilisés pour récupérer l'historique de suivi du colis.
L’Agence Nationale des Fréquences (ANFR), autorité publique chargée de la gestion du spectre radioélectrique en France, a été victime d’une cyberattaque
En avril 2026, l'entreprise de sécurité résidentielle ADT a confirmé une fuite de données par ShinyHunters, qui avait inscrit l'entreprise sur son site web dans le cadre d'une tentative d'extorsion « payer ou divulguer ». La fuite a touché 5,5 M d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des adresses postales.
En avril 2026, Canada Life a été victime d'une campagne d'extorsion de type « payer ou divulguer » menée par le groupe ShinyHunters. Le groupe a ensuite publié les données qui contenaient plus de 200 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des adresses physiques et, dans certains cas, des tickets de support client.
En avril 2026, le collectif de piratage ShinyHunters a affirmé avoir obtenu des données de Pitney Bowes dans le cadre d'une campagne d'extorsion plus large qui a également nommé plusieurs autres organisations.
En avril 2026, le célèbre collectif de pirates ShinyHunters a affirmé avoir obtenu un volume important de données appartenant à l'exploitant de croisières Carnival et a tenté d'extorquer l'organisation pour empêcher la divulgation des données.
Le réseau social Bluesky a subi environ une journée de pannes touchant les fils, les notifications, les fils de discussion et la recherche, à la suite de ce qu'il a confirmé être une attaque par déni de service distribué sophistiquée ; le groupe hacktiviste pro-iranien 313 Team l'a revendiquée.
Le 16 avril 2026, un acteur malveillant connu sous le pseudonyme ChimeraZ a affirmé diffuser une base d'environ 6 600 enregistrements volée à ETAI (Infopro Digital Automotive), exposant identifiants d'entreprise, coordonnées et mots de passe hachés de garages français.
Rockstar Games a confirmé qu'une quantité limitée d'informations internes non significatives avait été consultée lors d'une violation chez un tiers, après que ShinyHunters a affirmé avoir atteint les instances Snowflake du studio grâce à des jetons volés chez le fournisseur d'analytique Anodot et lancé un ultimatum « payer ou fuiter ».
En avril 2026, le cabinet de courtage en immobilier commercial Marcus & Millichap a été désigné comme l'une des multiples victimes présumées du groupe de piratage et d'extorsion ShinyHunters.
En avril 2026, le groupe de pirates ShinyHunters a affirmé avoir compromis Amtrak. Le groupe compromet généralement les instances Salesforce des organisations avant de réclamer une rançon puis, à défaut de paiement, de divulguer publiquement les données.
En avril 2026, la plateforme de quiz musicaux SongTrivia2 a subi une fuite de données qui a ensuite été publiée sur un forum de piratage public. Les données contenaient au total 291 000 adresses e-mail uniques provenant soit de connexions Google OAuth, soit de comptes créés sur le site, ces derniers contenant également des bcrypt…
En mars 2026, une violation de l'une des nombreuses itérations du forum de piratage BreachForums, connue sous le nom de « Version 5 », a été divulguée publiquement. L'incident a exposé 340 000 adresses e-mail uniques ainsi que des noms d'utilisateur et des hachages de mots de passe argon2.