Incidents dans le secteur :
Le groupe d'extorsion ShinyHunters a publié des données qu'il affirme avoir volées à Madison Square Garden Sports — propriétaire des Knicks et des Rangers — après l'expiration d'une échéance de rançon impayée.
Des attaquants ont exploité une faille de vérification dans l'outil de récupération de compte assisté par IA d'Instagram, High Touch Support, pour déclencher des réinitialisations de mot de passe et détourner 20 225 comptes avant que Meta ne détecte et désactive l'outil.
En mai 2026, l'entreprise de gestion de voyages d'affaires BCD Travel a été présentée comme victime de la campagne d'extorsion « payer ou divulguer » de ShinyHunters. Des données prétendument obtenues auprès de BCD ont ensuite été publiées publiquement début juin et contenaient 396 000 adresses e-mail uniques.
Révélée vers le 22 mai 2026, la médiathèque numérique départementale de la Haute-Garonne (Média31) a été compromise via l'exploitation de vulnérabilités du site, exposant les données d'environ 765 usagers : noms, e-mails, dates de naissance, villes et identifiants de connexion.
En mai 2026, la société de services immobiliers Cushman & Wakefield a été la cible d'une campagne d'extorsion « payer ou divulguer » menée par le groupe ShinyHunters. Après la menace, le groupe a publiquement diffusé des données qu'il prétendait avoir obtenues auprès de la société, composées principalement d'adresses e-mail C&W ainsi que…
Le 29 avril 2026, l’association française de critique des médias Acrimed a révélé une cyberattaque visant sa boutique en ligne, exposant les adresses e-mail, mots de passe chiffrés et historiques de commandes des clients ; noms, adresses postales, téléphones et données bancaires seraient épargnés.
En avril 2026, des données prétendument obtenues auprès de CTT, le service postal national du Portugal, ont été publiées sur un forum de piratage public. Les données comprenaient 468 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des numéros de suivi de colis pouvant être utilisés pour récupérer l'historique de suivi du colis.
L’Agence Nationale des Fréquences (ANFR), autorité publique chargée de la gestion du spectre radioélectrique en France, a été victime d’une cyberattaque
En avril 2026, l'entreprise de sécurité résidentielle ADT a confirmé une fuite de données par ShinyHunters, qui avait inscrit l'entreprise sur son site web dans le cadre d'une tentative d'extorsion « payer ou divulguer ». La fuite a touché 5,5 M d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des adresses postales.
En avril 2026, Canada Life a été victime d'une campagne d'extorsion de type « payer ou divulguer » menée par le groupe ShinyHunters. Le groupe a ensuite publié les données qui contenaient plus de 200 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des adresses physiques et, dans certains cas, des tickets de support client.
En avril 2026, le collectif de piratage ShinyHunters a affirmé avoir obtenu des données de Pitney Bowes dans le cadre d'une campagne d'extorsion plus large qui a également nommé plusieurs autres organisations.
En avril 2026, le célèbre collectif de pirates ShinyHunters a affirmé avoir obtenu un volume important de données appartenant à l'exploitant de croisières Carnival et a tenté d'extorquer l'organisation pour empêcher la divulgation des données.
Le 16 avril 2026, un acteur malveillant connu sous le pseudonyme ChimeraZ a affirmé diffuser une base d'environ 6 600 enregistrements volée à ETAI (Infopro Digital Automotive), exposant identifiants d'entreprise, coordonnées et mots de passe hachés de garages français.
En avril 2026, le cabinet de courtage en immobilier commercial Marcus & Millichap a été désigné comme l'une des multiples victimes présumées du groupe de piratage et d'extorsion ShinyHunters.
En avril 2026, le groupe de pirates ShinyHunters a affirmé avoir compromis Amtrak. Le groupe compromet généralement les instances Salesforce des organisations avant de réclamer une rançon puis, à défaut de paiement, de divulguer publiquement les données.
En avril 2026, la plateforme de quiz musicaux SongTrivia2 a subi une fuite de données qui a ensuite été publiée sur un forum de piratage public. Les données contenaient au total 291 000 adresses e-mail uniques provenant soit de connexions Google OAuth, soit de comptes créés sur le site, ces derniers contenant également des bcrypt…
En mars 2026, une violation de l'une des nombreuses itérations du forum de piratage BreachForums, connue sous le nom de « Version 5 », a été divulguée publiquement. L'incident a exposé 340 000 adresses e-mail uniques ainsi que des noms d'utilisateur et des hachages de mots de passe argon2.
Le 24 mars 2026, le service de streaming d'animés Crunchyroll a confirmé une fuite de données liée à la compromission d'un prestataire de support tiers (Telus), exposant les données de tickets de support — noms, e-mails, adresses IP et données bancaires partielles — un pirate revendiquant ~8 M de tickets et ~6,8 M d'adresses e-mail uniques.
En mars 2026, la plateforme de données marchandes pilotée par l'IA Woflow a été désignée comme victime par le groupe d'extorsion de données ShinyHunters. Le groupe a ensuite publié des dizaines de milliers de fichiers prétendument obtenus auprès de l'entreprise, représentant plus de 2 To de données.
En février 2026, un acteur malveillant a affirmé avoir piraté l'intranet du groupe audiovisuel européen RTL Group, exposant un annuaire interne de plus de 27 000 salariés et ex-salariés : noms, e-mails professionnels, adresses, numéros de téléphone et informations de poste.
Les adhérents de la Fédération française de voitures radio commandées (FFVRC) seraient concernés par une fuite revendiquée touchant près de 98 000 personnes. D'après la revendication, 97 795…
En février 2026, Substack a révélé qu'un tiers non autorisé avait extrait ses systèmes, exposant environ 697 313 enregistrements d'utilisateurs : adresses e-mail, numéros de téléphone, noms, identifiants utilisateur et Stripe et métadonnées de profil ; les mots de passe et données financières n'ont pas été touchés.
En janvier 2026, Panera Bread a subi une fuite de données qui a exposé 14 millions d'enregistrements. Après l'échec d'une tentative d'extorsion, les attaquants ont publié les données publiquement, comprenant 5,1 millions d'adresses e-mail uniques ainsi que des informations de compte associées telles que des noms, des numéros de téléphone et des adresses physiques.
Le 6 janvier 2026, une base de données du service de musique « Philharmonie à la Demande » (PAD) de la Philharmonie de Paris a été mise en ligne, exposant 47 561 comptes — noms, adresses e-mail, identifiants et profils professionnels — dans une fuite revendiquée par un acteur nommé HexDex2.
En décembre 2025, des données du programme français Pass'Sport ont été publiées sur un forum de piratage populaire. Initialement attribuées à tort à la CAF (Caisse d'allocations familiales), les données contenaient 6,5 millions d'adresses e-mail uniques touchant 3,5 millions de foyers.
En décembre 2025, une base de données de la plateforme de financement participatif brésilienne APOIA.se a été publiée sur un forum en ligne. En janvier 2026, l'entreprise a confirmé avoir subi une fuite de données. L'incident a exposé 451 000 adresses e-mail uniques ainsi que des noms et des adresses postales.
Le 16 décembre 2025, la plateforme de contenu pour adultes Pornhub a révélé le vol de données analytiques historiques de certains abonnés Premium — adresses e-mail et historique de recherche/visionnage — via le prestataire tiers Mixpanel ; ShinyHunters revendique ~200 millions d'enregistrements et réclame une rançon.
En novembre 2025, l'outil de pratique de programmation en ligne CodeStepByStep a subi une fuite de données qui a exposé 17 000 dossiers, lesquels ont ensuite été publiés en ligne. Le mois suivant, un autre ensemble de données a été divulgué, portant le total à 103 000.
Entre le 10 et le 13 novembre 2025, la dernière phase de l'Operation Endgame a été coordonnée depuis le siège d'Europol à La Haye. Les actions visaient l'un des plus importants infostealers, Rhadamanthys, le cheval de Troie d'accès à distance VenomRAT et le botnet Elysium, qui jouaient tous un rôle clé dans…
En novembre 2025, l'International Kiteboarding Organization a subi une fuite de données qui a exposé 340 000 enregistrements utilisateurs. Les données ont ensuite été mises en vente sur un forum de piratage et comprenaient des adresses e-mail, noms, noms d'utilisateur et, dans de nombreux cas, la ville et le pays de l'utilisateur.
En novembre 2025, Beckett Collectibles a subi une fuite de données accompagnée d'une défiguration du contenu de son site web. Les données dérobées ont ensuite été mises en vente sur un forum de piratage réputé, certaines parties ayant par la suite été divulguées publiquement.
En novembre 2025, des données issues du forum automobile Zilvia.net dédié aux Nissan 240SX Silvia et Z Fairlady ont été divulguées. La fuite a exposé 288 000 adresses e-mail uniques ainsi que des noms d'utilisateur, des adresses IP et des empreintes MD5 de mots de passe salées provenant de la plateforme basée sur vBulletin.
En octobre 2025, les données de près de 4 millions d'utilisateurs de MyVidster ont été publiées sur un forum de piratage public. Distinct de la fuite de 2015, cet incident a exposé des noms d'utilisateur, des adresses e-mail et, dans un petit nombre de cas, des photos de profil.
En octobre 2025, la plateforme de publication Substack a subi une fuite de données qui a ensuite circulé plus largement en février 2026. La fuite a exposé 663 000 enregistrements de titulaires de comptes contenant des adresses e-mail ainsi que des informations de profil publiquement visibles provenant des comptes Substack, telles que…
Fin octobre 2025, des données dérobées au parti politique hongrois TISZA ont été publiées en ligne avant d'être largement rediffusées. Provenant d'une compromission du service TISZA Világ plus tôt dans le mois, la fuite a exposé 200 000 enregistrements de données personnelles comprenant des adresses e-mail ainsi que…
En décembre 2025, 2,3 millions d'enregistrements d'utilisateurs du magazine WIRED, prétendument obtenus auprès de la société mère Condé Nast, ont été publiés en ligne. Les données les plus récentes remontaient au mois de septembre précédent et exposaient des adresses e-mail et des noms d'affichage ainsi que, pour un petit nombre d'utilisateurs, leur nom, leur numéro de téléphone,…
En octobre 2025, une réincarnation du forum de piratage BreachForums, qui avait déjà été fermé à plusieurs reprises, a été mise hors ligne par une coalition de forces de l'ordre.
En juin 2025, 107 000 adresses e-mail uniques de clients auraient été obtenues auprès de TheSqua.re, « le moyen le plus simple de trouver votre prochain appartement avec services ». Les données comprenaient également des noms, des numéros de téléphone et des villes, qui ont ensuite été publiés sur un forum de piratage populaire.
En mai 2025, une coalition d'agences de répression a démantelé l'infrastructure criminelle derrière les logiciels malveillants utilisés pour lancer des attaques par rançongiciel, dans le cadre d'une nouvelle phase de l'« Operation Endgame ».
En mai 2025, la plateforme sud-américaine de services de mobilité Ualabee a vu des centaines de milliers d'enregistrements récupérés par scraping depuis une interface de sa plateforme. Les données comprenaient 472 000 adresses e-mail uniques accompagnées de noms, de photos de profil, de dates de naissance et de numéros de téléphone.
Une fuite de données révélée le 1er avril 2025 a exposé des données de contact de personnes liées à Reporterre, le média indépendant français d'écologie, dont noms, prénoms, adresses courriel et adresses postales.
En mars 2025, des données prétendument issues de German Doner Kebab ont été publiées sur un forum de piratage populaire. Les données comprenaient 162 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des adresses postales. German Doner Kebab a ensuite envoyé un avis de divulgation aux personnes concernées.
En mars 2025, une attaque de phishing a réussi à accéder au compte Mailchimp de Troy Hunt et à exporter automatiquement une liste de personnes abonnées à la newsletter de son blog personnel.
En mars 2025, des données prétendument issues d'une fuite du service de syndics de copropriété ADDA ont été publiées sur un forum de piratage public. Les données contenaient plus de 1,8 M d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des hachages de mots de passe MD5.
En mars 2026, la plateforme de compagnon IA NSFW Cuties AI a subi une fuite de données qui a ensuite été publiée sur un forum de piratage public. L'incident a exposé 144 000 adresses e-mail uniques ainsi que des noms d'affichage, des avatars, des invites et des descriptions utilisés pour générer des images IA pour adultes, ainsi que des URL vers…
En février 2025, des données provenant d'une fuite antérieure d'Adpost ont refait surface. Le jeu de données contenait 3,3 M d'enregistrements, dont des adresses e-mail, des noms d'utilisateur et des noms d'affichage. Adpost a ensuite publié un avis de divulgation et indiqué avoir imposé une réinitialisation des identifiants, parmi d'autres mesures.
En janvier 2025, le forum Rezeptwelt (« monde des recettes » en allemand) destiné aux propriétaires de Thermomix a subi une fuite de données. L'incident a exposé les informations de 3,1 millions d'utilisateurs enregistrés, notamment des noms, des adresses e-mail et postales, des numéros de téléphone, des dates de naissance et des biographies (généralement liées à la cuisine).
En janvier 2025, une fuite de données de la maison d'édition Scholastic a fait surface. La fuite contenait 4,2 millions d'adresses e-mail uniques, beaucoup des enregistrements incluant également un nom, un numéro de téléphone et une adresse physique.
En décembre 2024, des données prétendument issues de la plateforme brésilienne de génération de prospects Speedio ont été mises en vente sur un forum de piratage populaire. Les données auraient été obtenues à partir d'une instance Elasticsearch non sécurisée et contenaient plus de 62 millions d'enregistrements, principalement des informations commerciales publiques…
Les données d'utilisateurs de Wakanim figuraient dans un serveur ElasticSearch mal configuré et accessible publiquement, regroupant ~95 millions d'enregistrements issus de 17 fuites françaises : noms, e-mails, adresses postales et IP, numéros de téléphone.
En décembre 2024, des données présentées comme provenant d'une fuite de l'entreprise de marketing multiniveau Young Living Essential Oils ont été publiées sur un forum de piratage populaire. Les données contenaient 1,1 million d'adresses e-mail uniques ainsi que des noms, le pays du compte et, dans de nombreux cas, la date de naissance.
Le 18 novembre 2024, l'hebdomadaire Le Point a révélé une fuite imputée à un sous-traitant de gestion des abonnés compromis, exposant les noms, adresses postales et e-mail ainsi que les numéros de téléphone d'environ 900 000 lecteurs actuels et anciens.
Vers le 13 novembre 2024, le service français de télévision en streaming Molotov a révélé une fuite de données exposant environ 10,8 millions d'adresses email, ainsi que les noms et dates de naissance des utilisateurs les ayant renseignés ; aucun mot de passe ni donnée bancaire n'a été touché.
En septembre 2024, la base de données d'authentification d'Internet Archive — 31 millions d'enregistrements comprenant e-mails, pseudonymes et empreintes de mots de passe bcrypt — a été dérobée, suivie d'une défiguration du site et d'une vague d'attaques DDoS.
En août 2024, plus de 332 millions de lignes d'adresses e-mail ont été publiées sur un forum de piratage populaire. La publication prétendait que les adresses avaient été récupérées auprès de la société de cybersécurité SOCRadar, mais une enquête menée pour leur compte a conclu que « l'acteur a simplement utilisé des fonctionnalités inhérentes à la plateforme…
En juillet 2024, AnimeLeague a révélé une fuite de données touchant ses services. Les données ont été mises en vente sur un forum de piratage populaire et comprenaient 2 bases de données couvrant à la fois des enregistrements d'inscription à des événements et un vidage du forum de discussion phpBB.
En juillet 2024, le site du forum Husky Owners a été défiguré et lié à une fuite de données utilisateurs contenant 16 000 enregistrements. Les données exposées comprenaient des noms d'utilisateur, adresses e-mail, dates de naissance et fuseaux horaires.
En juillet 2024, une fuite de données de la plateforme sociale désormais disparue consacrée au cannabis BudTrader a été mise en vente sur un forum de piratage. Remontant au mois précédent, la fuite du site web a exposé 2,7 millions d'adresses e-mail, de noms d'utilisateur et de hachages de mots de passe WordPress.
En juin 2024, la société de recherche en investissement Zacks aurait été victime d'une fuite, et des données ont ensuite été publiées sur un forum de piratage populaire. Cela fait suite à une autre fuite de données de Zacks confirmée par l'organisation en 2023, la fuite ultérieure divulguant des millions d'enregistrements supplémentaires représentant…
Un accès obtenu par hameçonnage a permis à BlackSuit (lié à la Russie) de chiffrer l'infrastructure de KADOKAWA et la plateforme de partage vidéo Niconico, mettant les services hors ligne pendant deux mois. KADOKAWA a versé environ 2,9 M$ en cryptomonnaies — et BlackSuit a tout de même divulgué les 1,5 To dérobés.
En juin 2024, Advance Auto Parts a confirmé avoir subi une fuite de données mise en vente sur un forum de piratage populaire. Liée à un accès non autorisé aux services cloud Snowflake, la fuite a exposé un grand nombre d'enregistrements concernant à la fois des clients et des employés.
En mai 2024, la société australienne de billetterie d'événements Ticketek a signalé une fuite de données liée à une plateforme cloud tierce. Le mois suivant, les données sont apparues en vente sur un forum de piratage populaire et ont ensuite été reliées à une série de fuites du service de stockage cloud Snowflake.
Un cluster malveillant suivi sous le nom d'UNC5537 / ShinyHunters a utilisé des identifiants collectés par des logiciels infostealers pour se connecter à environ 160 tenants clients Snowflake dépourvus de MFA. Parmi les victimes : AT&T, Ticketmaster, Santander, LendingTree, Advance Auto Parts, Neiman Marcus et Bausch Health. Ticketmaster à elle seule a exposé les données d'environ 560 millions d'utilisateurs.
En mai 2024, le service de logiciel espion pcTattletale a subi une fuite de données qui a défiguré le site web et publié des dizaines de gigaoctets de données sur la page d'accueil, prétendument parce que pcTattletale n'avait pas répondu à un précédent signalement de vulnérabilité de sécurité.
En mai 2024, le site d'actualités conservateur The Post Millennial a subi une fuite de données. La fuite a entraîné le défacement du site web et la publication de liens vers 3 corpus de données différents comprenant des centaines de rédacteurs et d'éditeurs (IP, adresse postale et e-mail exposés), des dizaines de milliers de…
En avril 2024, près de 6 millions d'enregistrements de citoyens salvadoriens ont été publiés sur un forum de piratage populaire. Les données incluaient des noms, des dates de naissance, des numéros de téléphone, des adresses physiques et près de 1 million d'adresses e-mail uniques. De plus, plus de 5 millions de photos de profil correspondantes étaient également incluses dans la fuite.
En août 2024, une fuite de données provenant du service de stylisme en ligne Lookiero a été publiée sur un forum de piratage populaire. Remontant à mars 2024, les données comprenaient 5 M d'adresses e-mail uniques, de nombreux enregistrements incluant également le nom, le numéro de téléphone et l'adresse postale.
En mars 2024, la marque indienne d'audio et d'objets connectés boAt a subi une fuite de données qui a exposé 7,5 millions de dossiers clients. Les données comprenaient des adresses physiques et e-mail, des noms et des numéros de téléphone, qui ont tous été ensuite publiés sur un forum de piratage populaire du clear web.
En mars 2024, des millions d'enregistrements extraits du service de chasse et de gestion des terres HuntStand ont été publiés publiquement sur un forum de piratage populaire. Les données comprenaient 2,8 millions d'adresses e-mail uniques, de nombreux enregistrements contenant également nom, date de naissance et pays.
En mars 2024, WoTLabs (statistiques et ressources World of Tanks) a subi une fuite de données et une défiguration de son site web attribuées aux « chromebook breachers ». La fuite a exposé les données personnelles de 22 000 membres du forum, notamment des adresses e-mail et IP, des noms d'utilisateur, des dates de naissance et des fuseaux horaires.
En juillet 2024, des données extraites d'une API Life360 mal configurée ont été publiées en ligne après avoir été obtenues plusieurs mois auparavant. Les enregistrements comprenaient 443 k adresses e-mail uniques et, dans la plupart des cas, les noms et numéros de téléphone correspondants (certains enregistrements étaient nuls ou masqués).
Début 2024, un large corpus de données de DemandScience (une société détenue par Pure Incubation) est apparu en vente sur un forum de piratage populaire. Attribuée plus tard à une fuite d'un système hérité mis hors service, la fuite contenait des données étendues qui étaient en grande partie des informations de contact professionnelles agrégées…
En février 2024, la plateforme de conception visuelle assistée par IA Cutout.Pro a subi une fuite de données qui a exposé 20 millions d'enregistrements. Les données comprenaient des adresses e-mail et IP, des noms et des hachages de mots de passe MD5 salés qui ont ensuite été largement diffusés sur un forum de piratage populaire et des canaux Telegram.
En janvier 2024, des données ont été récupérées par scraping depuis Trello et mises en vente sur un forum de piratage populaire. Contenant plus de 15 millions d'adresses e-mail, de noms et de noms d'utilisateur, les données ont été obtenues en énumérant une ressource accessible publiquement à l'aide d'adresses e-mail issues de corpus de fuites précédentes.
En juin 2024, une fuite de données provenant de la marque de mode française Zadig & Voltaire a été publiée publiquement sur un forum de piratage populaire. Les données comprenaient des noms, des adresses e-mail et postales, des numéros de téléphone et des genres.
En novembre 2023, plus de 800 000 dossiers d'utilisateurs ont été collectés sur le site Chess et publiés sur un forum de piratage populaire. Les données comprenaient l'adresse e-mail, le nom, le nom d'utilisateur et la localisation géographique de l'utilisateur. 446 000 dossiers collectés supplémentaires ont été fournis ultérieurement et ajoutés à HIBP.
En novembre 2023, une publication sur un forum de piratage populaire affirmait que des millions d'enregistrements LinkedIn avaient été extraits et divulgués. À l'examen, les données se sont révélées être une combinaison de données légitimes extraites de LinkedIn et d'adresses e-mail construites à partir des noms des personnes concernées.
En octobre 2023, le cabinet de conseil japonais Toumei a subi une fuite de données. La fuite a exposé plus de 100 millions de lignes et 10 Go de données, dont 77 000 adresses e-mail uniques accompagnées de noms, de numéros de téléphone et d'adresses postales.
En septembre 2023, le fournisseur de cloud gaming Shadow a subi une fuite de données ayant exposé plus d'un demi-million d'enregistrements de clients. Les données incluaient des adresses e-mail et physiques, des noms et des dates de naissance.
En septembre 2023, plus de 100 Go de journaux de voleurs d'informations et de listes de bourrage d'identifiants intitulés « Naz.API » ont été publiés sur un forum de piratage populaire. L'incident contenait une combinaison de paires adresse e-mail et mot de passe en clair ainsi que le service sur lequel elles avaient été saisies, et des paires d'identifiants autonomes…
En juin 2023, la Fédération Française de Rugby a subi une fuite de données et une tentative de rançon. La fuite a exposé 282 000 adresses e-mail uniques ainsi que des noms, des dates de naissance et des numéros de téléphone.
En juin 2023, un clone du célèbre forum de piratage « BreachForums » précédemment fermé a subi une fuite de données qui a exposé plus de 4 000 enregistrements. La fuite était due à une sauvegarde exposée de la base de données MyBB, qui comprenait des adresses e-mail et IP, des noms d'utilisateur et des hachages de mots de passe Argon2.
Cl0p a exploité la CVE-2023-34362 dans MOVEit Transfer de Progress Software pour rançonner plus de 2 700 organisations, dont la BBC, British Airways et le département américain de l’Énergie.
En mai 2023, une liste de credential stuffing de 6,3 millions de paires d'adresses e-mail et de mots de passe polonais est apparue sur un forum local. Probablement obtenu par un logiciel malveillant exécuté sur les machines des victimes, chaque enregistrement comprenait une adresse e-mail et un mot de passe en texte clair ainsi que le site web sur lequel les identifiants étaient utilisés.
En janvier 2025, une fuite de données provenant du site colombien de Le Coq Sportif a été publiée sur un forum de piratage populaire. Les données comprenaient près de 80 k adresses e-mail uniques, la fuite remontant à mai 2023.
En avril 2023, des données du site d'emploi israélien Jobzone ont été publiées en ligne. Les données comprenaient 30 000 enregistrements contenant des adresses e-mail, des noms, des numéros de sécurité sociale, des genres, des dates de naissance, des noms de pères et des adresses physiques.
En avril 2023, le service de location indien RentoMojo a subi une fuite de données. La fuite a exposé plus de 2 millions d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone, de passeport et Aadhaar, des genres, des dates de naissance, des achats et des hachages de mots de passe bcrypt.
En août 2023, 2,6 millions d'enregistrements de données extraits de Duolingo ont été largement diffusés sur un forum de piratage populaire. Obtenues en énumérant une API vulnérable, les données étaient déjà apparues à la vente en janvier 2023 et contenaient des adresses e-mail, des noms, les langues en cours d'apprentissage, des XP (points d'expérience),…
En février 2023, le service de camps technologiques pour enfants iD Tech a vu près d'1 million d'enregistrements publiés sur un forum de piratage populaire. Les données comprenaient 415 000 adresses e-mail uniques, noms, dates de naissance et mots de passe en clair qui semblent avoir fait l'objet d'une fuite le mois précédent.
En décembre 2022, plus de 400 Go de données appartenant à la plateforme de gestion de la clientèle des restaurants SevenRooms ont été mis en vente sur un forum de piratage populaire. Les données incluaient 1,2 million d'adresses e-mail uniques ainsi que des noms et des achats.
En décembre 2022, des attaquants ont manipulé par ingénierie sociale un employé des RH d'Activision pour qu'il divulgue des informations, ce qui a conduit à la fuite de près de 20 000 dossiers d'employés. Les données contenaient 16 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des intitulés de poste et le lieu de travail de l'employé.
Un membre adolescent de Lapsus$ a compromis le Slack interne et les systèmes de développement de Rockstar Games par ingénierie sociale, puis a divulgué environ 90 séquences en cours de développement du jeu inédit Grand Theft Auto VI — l'une des plus grandes fuites de l'histoire du jeu vidéo.
En septembre 2022, le site de vengeance Get Revenge On Your Ex a subi une fuite de données qui a exposé près de 80 000 adresses e-mail uniques. Les données couvraient à la fois des clients et des victimes, incluant des noms, des adresses IP et postales, des numéros de téléphone, des historiques d'achats et des mots de passe en clair.
En septembre 2022, le forum Android taïwanais APK.TW a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. La fuite a exposé 2,5 millions d'adresses e-mail uniques ainsi que des adresses IP, des noms d'utilisateur et des hachages de mots de passe MD5 salés.
En août 2022, le service de streaming européen Wakanim a subi une fuite de données qui a ensuite été annoncée et vendue sur un forum de piratage populaire. La fuite a exposé 6,7 millions d'enregistrements clients comprenant des adresses e-mail, IP et physiques, des noms et des noms d'utilisateur.
En août 2022, le site web Latest Pilot Jobs a subi une fuite de données qui est ensuite apparue sur un forum de piratage populaire avant d'être redistribuée dans le cadre d'un corpus de données plus vaste. Les données comprenaient 119 k adresses e-mail uniques ainsi que des noms, des noms d'utilisateur et des hachages de mots de passe MD5 non salés.
En août 2022, le service de livraison d'excréments en ligne Shitexpress a subi une fuite de données ayant exposé 24 000 adresses e-mail uniques. Les adresses provenaient de factures, de cartes-cadeaux, de promotions et d'enregistrements PayPal.
En juillet 2022, le site de téléchargement direct Exvagos a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. La fuite a exposé 2,1 millions d'adresses e-mail uniques ainsi que des adresses IP, des noms d'utilisateur, des dates de naissance et des empreintes de mots de passe MD5.
En février 2023, des données appartenant au service de livraison de produits alimentaires asiatiques et hispaniques Weee sont apparues sur un forum de piratage populaire. Remontant à la mi-2022, les données comprenaient 1,1 million d'adresses e-mail uniques issues de 11 millions de lignes de commandes contenant des noms, des numéros de téléphone et des instructions de livraison.
En juillet 2022, le site Adopt Me Trading Values, dédié à l'évaluation de la valeur des échanges d'animaux de compagnie dans le jeu Roblox « Adopt Me! », a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus large.
Vers la mi-2022, « the ultimate hub of memes » MemeChat a subi une fuite de données qui a exposé 7,4 millions d'enregistrements. Attribuée à une instance Elasticsearch mal configurée, la fuite contenait 4,3 millions d'adresses e-mail uniques accompagnées de noms d'utilisateur.
En juin 2022, le site pour adultes TNAFlix a subi une fuite de données qui a ensuite été rediffusée dans le cadre d'un corpus de données plus vaste. Les données comprenaient 1,4 million d'enregistrements d'adresses e-mail et IP, de noms d'utilisateur et de mots de passe en clair.
En mai 2022, le site web de sondages QuestionPro a été la cible d'une tentative d'extorsion liée à une prétendue fuite de données. Plus de 100 Go de données contenant 22 millions d'adresses e-mail uniques (dont certaines semblent générées par la plateforme) auraient été extraits du service, ainsi que des adresses IP…
En octobre 2022, le service dédié à la recherche d'amis sur Discord connu sous le nom de E-Pal a divulgué une fuite de données. Les données compromises comprenaient plus de 100 000 adresses e-mail uniques et noms d'utilisateur couvrant environ 1 million de commandes. Les données ont ensuite été diffusées via un forum de piratage populaire.
Début 2022, un collectif connu sous le nom d'IT Army, dont l'objectif déclaré est de "désanonymiser complètement la plupart des utilisateurs russes en divulguant des centaines de gigaoctets de bases de données", a publié plus de 30 Go de données prétendument issues du service de messagerie russe CDEK.
En mai 2023, la nouvelle d'une fuite de données du serveur Minecraft turc connu sous le nom de CraftRise a été révélée. Les données de plus de 2,5 millions d'utilisateurs ont ensuite été partagées sur un forum de piratage populaire et comprenaient des adresses e-mail, des noms d'utilisateur, des localisations géographiques et des mots de passe en clair.
En juillet 2024, une fuite de données attribuée à Explore Talent a été publiée publiquement sur un forum de piratage populaire. Contenant 5,7 millions de lignes avec 5,4 millions d'adresses e-mail uniques, l'incident a été décrit par diverses sources comme s'étant produit entre début 2022 et 2023 et contient également des noms, des numéros de téléphone et…
Le groupe Lapsus$ a pris le contrôle du compte Amazon Web Services d'Impresa, le plus grand conglomérat médiatique du Portugal, mettant hors ligne le journal Expresso et les chaînes de télévision SIC, défigurant leurs sites web et détournant le compte Twitter vérifié d'Expresso, dans ce que les autorités ont qualifié de plus grande attaque par rançongiciel du pays.
En janvier 2022, une vulnérabilité dans la plateforme de Twitter a permis à un attaquant de constituer une base de données des adresses e-mail et des numéros de téléphone de millions d'utilisateurs du réseau social.
Une attaque par rançongiciel a chiffré les systèmes centraux d'Amedia, le plus grand groupe de presse locale de Norvège, arrêtant les rotatives et perturbant les systèmes d'abonnement et de publicité de plus de 70 titres servant environ 2 millions de lecteurs. Amedia a refusé de payer.
En novembre 2021, le site de webcams érotiques en direct et de chat pour adultes Stripchat a laissé plusieurs bases de données exposées et non sécurisées. En juin de l'année suivante, plus de 10 millions d'enregistrements Stripchat sont apparus sur un forum de piratage populaire. Les données exposées comprenaient des noms d'utilisateur, des adresses e-mail et des adresses IP.
En octobre 2021, le « leader mondial du divertissement généré par les utilisateurs » Jukin Media a subi une fuite de données. La fuite a exposé 13 Go de code, de configuration et de données comprenant 314 000 adresses e-mail uniques ainsi que des noms, numéros de téléphone, adresses IP et empreintes de mots de passe bcrypt.
En octobre 2021, le site web d'animés en langue arabe désormais disparu Animeify a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. Les données comprenaient 808 000 adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des genres et des mots de passe en texte clair.
En octobre 2021, le chercheur en sécurité Bob Diachenko a découvert une base de données exposée qu'il a attribuée à ActMobile, l'exploitant de Dash VPN et FreeVPN. Les données exposées comprenaient 1,6 million d'adresses e-mail uniques ainsi que des adresses IP et des hachages de mots de passe, qui ont tous ensuite été divulgués sur un…
Une mauvaise configuration de serveur a exposé l'intégralité du dépôt Git de Twitch à un attaquant anonyme, qui a diffusé 125 Go de données — le code source complet avec l'historique des commits, les outils internes et trois ans de chiffres de rémunération des créateurs — sous forme de torrent sur 4chan.
Vers août 2021, des centaines de gigaoctets de données d'entreprises rassemblées à partir de sources publiques ont été obtenues puis publiées sur un forum de piratage populaire.
En août 2021, une allégation a été faite selon laquelle l'entreprise brésilienne de restauration rapide « Habib's » aurait subi une fuite de données, qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste.
Le service de sécurité nationale hongrois a utilisé le logiciel espion Pegasus de NSO Group pour pirater secrètement les téléphones de journalistes d'investigation, d'avocats et de critiques du gouvernement, plus de 300 numéros hongrois figurant sur une liste de cibles divulguée.
En janvier 2021, le forum d'escorts pour adultes ECCIE a subi une fuite de données qui a ensuite été publiée sur un forum de piratage populaire. Les données comprenaient 536 000 enregistrements d'utilisateurs avec des adresses e-mail et IP, des noms d'utilisateur, des dates de naissance et des empreintes de mots de passe MD5 salées.
En juin 2021, le site web de jeux (aujourd'hui disparu) HeatGames a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. La fuite a exposé près de 650 000 adresses e-mail uniques ainsi que des adresses IP, le pays et des empreintes MD5 salées de mots de passe.
En août 2022, une attaque contre le service de streaming russe « START » a été révélée. L'incident a entraîné l'exposition de 44 millions d'enregistrements contenant 7,4 millions d'adresses e-mail uniques. Les données concernées comprenaient également le pays de l'abonné et l'empreinte de son mot de passe.
En avril 2021, le « plus grand site de recherche d'amis par e-mail du Japon » Atmeltomo a subi une fuite de données qui a ensuite été vendue sur un forum de piratage populaire. La fuite a exposé 1,3 million d'enregistrements avec 580 000 adresses e-mail uniques ainsi que des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5 non salés.
Au cours du premier semestre 2021, LinkedIn a été ciblé par des attaquants qui ont extrait des données de centaines de millions de profils publics avant de les vendre en ligne.
En mars 2021, le service russe de streaming en ligne KinoKong a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. La fuite a exposé plus de 800 k adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5.
En avril 2021, 13 To de données compromises de Domino's India sont apparues en vente sur un forum de piratage, après quoi l'entreprise a reconnu une fuite de données majeure qu'elle faisait remonter à mars. Les données compromises comprenaient 22,5 millions d'adresses e-mail uniques, des noms, des numéros de téléphone, des historiques de commandes et des adresses postales.
En mars 2021, Luxottica, le plus grand fabricant de lunettes au monde, a subi une fuite de données via l'un de ses partenaires, qui a exposé les informations personnelles de plus de 70 millions de personnes.
En février 2021, une série de services VPN « gratuits » ont été compromis, dont SuperVPN et GeckoVPN, exposant plus de 20 millions d'enregistrements. Les données apparaissaient ensemble dans un seul fichier, un petit nombre d'enregistrements provenant également de FlashVPN, ce qui suggère que les trois marques pourraient partager la même plateforme.
En janvier 2021, la plateforme indienne d'organisation de mariages WedMeGood a subi une fuite de données qui a exposé 1,3 million de clients. La fuite a exposé 41,5 Go de données comprenant des adresses e-mail et physiques, des noms, des genres, des numéros de téléphone et des hachages de mots de passe. Les données ont été fournies à HIBP par dehashed.com.
Début 2023, plus de 200 millions d'enregistrements récupérés par scraping depuis Twitter sont apparus sur un forum de piratage populaire. Les données ont été obtenues courant 2021 en exploitant une API qui permettait de faire correspondre des adresses e-mail à des profils Twitter.
En juillet 2023, une liste de présumés participants aux Roblox Developers Conferences de 2017 à 2020 a circulé sur un forum. Les données contenaient 4 000 adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des dates de naissance, des numéros de téléphone, des adresses physiques et IP et des tailles de T-shirt
En novembre 2020, une collection de plus de 23 000 sites web prétendument compromis connue sous le nom de Cit0day a été mise à disposition en téléchargement sur plusieurs forums de piratage.
En octobre 2020, un chercheur a révélé que l'API de profils de Gravatar pouvait être énumérée sans limitation de débit. 167 millions d'enregistrements (noms, pseudonymes et empreintes d'e-mails) ont été extraits, et 114 millions des hachages MD5 ont été craqués pour révéler les adresses e-mail.
En septembre 2020, le service Nitro PDF a subi une fuite de données massive qui a exposé plus de 70 millions d'adresses e-mail uniques. La fuite a également exposé des noms, des empreintes de mots de passe bcrypt et les titres de documents convertis. Les données ont été fournies à HIBP par dehashed.com.
Des attaquants ont utilisé le spear-phishing téléphonique contre des employés de Twitter pour atteindre un outil d'administration interne « agent », détournant 130 comptes de premier plan dont ceux d'Obama, Musk, Bezos et Apple, et publiant une arnaque de doublement de Bitcoin qui a rapporté environ 118 000 $.
En juillet 2020, Promo, qui se proclame « créateur de vidéos marketing n°1 mondial », a subi une fuite de données qui a ensuite été largement partagée sur un forum de piratage. L'incident a exposé 22 millions d'enregistrements contenant près de 15 millions d'adresses e-mail uniques ainsi que des adresses IP, des sexes, des noms et des données salées…
Vers juin 2019, le service de livraison indien Dunzo a subi une fuite de données. Exposant 3,5 millions d'adresses e-mail uniques, la fuite de Dunzo comprenait également des noms, des numéros de téléphone et des adresses IP, le tout largement diffusé en ligne via un forum de piratage.
Vers la mi-2020, Mashable a subi une fuite de données qui est ensuite apparue publiquement en novembre 2020. Les données comprenaient 1,4 million d'adresses e-mail uniques ainsi que des noms, des sexes, des jetons d'authentification expirés, des localisations physiques, des liens vers des profils de réseaux sociaux ainsi que les jours et mois de naissance.
En mai 2020, la société de marketing sur les réseaux sociaux Preen.Me a été la cible d'une attaque par rançon qui a entraîné la publication de centaines de milliers d'enregistrements. Plus de 236 000 adresses e-mail uniques ont été exposées lors de l'attaque, ainsi que des noms, des noms d'utilisateur et des liens vers des profils de réseaux sociaux.
En avril 2020, le site de vêtements imprimés personnalisés Teespring a subi une fuite de données qui a exposé 8,2 millions de dossiers clients. Les données comprenaient des adresses e-mail, des noms, des localisations géographiques et des identifiants de réseaux sociaux.
En mars 2020, le site coréen de décoration intérieure ???? (Decorating the House) a subi une fuite de données qui a touché près de 1,3 million de membres. Diffusées via l'URL ggumim.co.kr, les données exposées comprenaient des adresses e-mail, des noms, des noms d'utilisateur et des numéros de téléphone, qui ont ensuite tous été partagés…
Les données personnelles de 538 millions de comptes Sina Weibo — dont les numéros de téléphone de 172 millions d'utilisateurs — ont été mises en vente sur le dark web pour environ 250 $, dans une fuite que Weibo a attribuée à un abus de correspondance de carnet d'adresses remontant à 2018. Le ministère chinois de l'Industrie a convoqué l'entreprise au sujet de sa gestion des données personnelles.
En mars 2020, un vaste ensemble d'informations personnelles désigné sous le nom de « Lead Hunter » a été fourni à HIBP après avoir été découvert exposé sur un serveur Elasticsearch accessible au public.
En février 2020, le site de cours de guitare TrueFire a subi une fuite de données qui a touché 600 000 membres. La fuite a exposé de nombreuses informations personnelles, dont des noms, des adresses e-mail et postales, des soldes de compte et des hachages de mots de passe MD5 non salés. Les données ont été fournies à HIBP par dehashed.com.
En janvier 2020, le forum espagnol de téléphonie mobile HTC Mania a subi une fuite de données du site basé sur vBulletin. L'incident a exposé 1,5 million d'adresses e-mail de membres, noms d'utilisateur, adresses IP, dates de naissance, empreintes de mots de passe MD5 salées et historiques de mots de passe.
Aux alentours de décembre 2019, une prétendue fuite de données du service d'annuaire d'avocats Avvo a été publiée sur un forum de piratage en ligne et utilisée dans une arnaque d'extorsion (il est possible que l'exposition remonte à une date antérieure).
En décembre 2019, le forum du site JoyGames a subi une fuite de données qui a exposé 4,5 millions d'adresses e-mail uniques. Les données touchées comprenaient également des noms d'utilisateur, des adresses IP et des empreintes de mots de passe MD5 salées.
En décembre 2019, le site de jeu aujourd'hui disparu Unigame (créateur de Hunter Online) a subi une fuite de données qui a ensuite été redistribuée au sein d'un corpus de données plus vaste. Les données comprenaient 844 000 adresses e-mail et des hachages de mots de passe MD5 salés.
En octobre 2019, les chercheurs en sécurité Vinny Troia et Bob Diachenko ont identifié un serveur Elasticsearch non protégé contenant 1,2 milliard d'enregistrements de données personnelles.
En octobre 2019, le forum néerlandais de prostitution Hookers.nl a subi une fuite de données qui a exposé les informations personnelles de travailleuses du sexe et de leurs clients.
En septembre 2019, le forum de discussion sur les « lolcows » (personnes que l'on peut « traire » pour en tirer des rires) Kiwi Farms a subi une fuite de données. L'avis de divulgation indiquait que des adresses e-mail et IP, des dates de naissance et des contenus créés par les membres avaient tous été exposés lors de l'incident.
En août 2019, le site de création de bandes dessinées ToonDoo a subi une fuite de données. Les données ont ensuite été rediffusées sur un forum de piratage populaire en novembre, où les informations personnelles de plus de 6 millions d'abonnés ont été partagées.
En août 2019, le site d'emploi européen aujourd'hui disparu europa.jobs (lien vers le cache Google) a subi une fuite de données. L'incident a exposé 226 000 adresses e-mail uniques ainsi que de nombreuses informations personnelles, notamment des noms, des dates de naissance, des candidatures et des mots de passe.
En juillet 2019, MGM Resorts a découvert une fuite de données sur l'un de ses services cloud. La fuite comprenait 10,6 millions d'enregistrements de clients avec 3,1 millions d'adresses e-mail uniques remontant à 2017.
En juin 2019, le site web désormais disparu Condo.com a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un ensemble de données plus important. Les données concernées comprenaient 1,5 million d'adresses e-mail ainsi que des noms, des numéros de téléphone et, pour un petit nombre de dossiers, des adresses postales.
En mai 2019, l'Ordre des avocats de Rome a subi une fuite de données provoquée par un groupe se réclamant d'Anonymous Italy. Les données de dizaines de milliers d'avocats romains ont été extraites du système compromis et redistribuées en ligne.
En avril 2019, le service de gestion de PDF Lumin PDF a subi une fuite de données. La fuite n'a été divulguée publiquement qu'en septembre, lorsque 15,5 millions d'enregistrements de données d'utilisateurs sont apparus en téléchargement sur un forum de piratage populaire.
En janvier 2020, le constructeur de motos Royal Enfield a laissé une base de données exposée publiquement, ce qui a entraîné la publication accidentelle des données de plus de 400 000 clients. Les données touchées incluaient des adresses e-mail et physiques, des noms, des informations sur les motos, des profils de réseaux sociaux, des mots de passe et d'autres informations personnelles…
En décembre 2018, le réseau social de partage de photos Fotolog a subi une fuite de données qui a exposé 16,7 millions d'adresses e-mail uniques. Les données comprenaient également des noms d'utilisateur et des empreintes de mots de passe SHA-256 non salées.
En novembre 2018, le chercheur en sécurité Bob Diachenko a identifié une base de données non protégée que l'on pensait être hébergée par un agrégateur de données. Après une enquête plus approfondie, les données ont été liées à la société de marketing Data & Leads.
En novembre 2018, le chercheur en sécurité Bob Diachenko a identifié une base de données non protégée hébergée par l'agrégateur de données « Adapt ». Fournisseur de « contacts de qualité à jour », le service a exposé plus de 9,3 M de dossiers uniques de personnes et d'informations sur leurs employeurs, dont leurs noms, employeurs, intitulés de poste,…
En novembre 2018, la Società Italiana degli Autori ed Editori (Société italienne des auteurs et éditeurs, ou SIAE) a été piratée, défigurée et près de 4 Go de données ont été divulgués publiquement via Twitter. Les données comprenaient les noms, adresses e-mail et mots de passe de plus de 14 000 utilisateurs enregistrés.
En octobre et novembre 2018, le chercheur en sécurité Bob Diachenko a identifié plusieurs instances MongoDB non protégées que l'on pense hébergées par un agrégateur de données.
En septembre 2018, l'application de rencontre Color Dating, destinée à mettre en relation des personnes d'origines ethniques différentes, a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un ensemble de données plus important. La fuite a exposé 220 000 adresses e-mail uniques ainsi que des biographies, des noms, des photos de profil et des hachages de mots de passe bcrypt.
En septembre 2018, le site allemand de réseau social Knuddels a subi une fuite de données. L'incident a exposé 808 k adresses e-mail uniques ainsi que des noms d'utilisateur, des noms réels, la ville de la personne et son mot de passe en clair. Knuddels a par la suite été condamné à une amende de 20 k€ pour cette fuite.
En avril 2024, plus d'un demi-million d'enregistrements provenant du site de jeux italien Multiplayer.it ont été publiés sur un forum de piratage populaire. Les données concernées comprenaient des adresses e-mail, des noms d'utilisateur et des empreintes de mots de passe MD5 salées.
En août 2018, le créateur de jeux interactifs furry pour adultes HTH Studios a subi une fuite de données touchant plusieurs référentiels de données clients. Plusieurs mois plus tard, les données sont apparues sur un forum de piratage populaire et comprenaient 411 000 adresses e-mail uniques ainsi que des adresses physiques et IP, des noms,…
En juin 2018, le serveur de commande et de contrôle d'un botnet malveillant connu sous le nom de « Trik Spam Botnet » était mal configuré, exposant ainsi les adresses e-mail de plus de 43 millions de personnes.
À la mi-2018, la plateforme de design d'intérieur Houzz a vu un fichier contenant des données utilisateurs récupéré par un tiers non autorisé. L'entreprise l'a appris fin 2018 et l'a divulgué début 2019. Environ 49 millions de comptes ont été exposés, dont des e-mails, des identifiants, des hachages de mots de passe salés et des localisations déduites de l'adresse IP.
En mai 2018, le forum de piratage russe Lolzteam a subi une fuite de données qui a exposé 400 k membres. Les données touchées comprenaient des noms d'utilisateur et des adresses e-mail qui ont ensuite été redistribués via un autre forum de piratage.
En mai 2018, le forum de l'entreprise singapourienne de matériel informatique Creative Technology a subi une fuite de données qui a entraîné la divulgation de 483 000 adresses e-mail uniques. Fonctionnant sur une ancienne version de vBulletin, la fuite a également divulgué des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5 salés.
En mai 2018, le site web Linux Forums a subi une fuite de données qui a entraîné la divulgation de 276 k adresses e-mail uniques. Fonctionnant sur une ancienne version de vBulletin, la fuite a également divulgué des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5 salés.
En mars 2018, le site web zoophile connu sous le nom de Bestialitysextaboo a été piraté. Un ensemble de divers sites fonctionnant sur le même service ont également été compromis et les détails du piratage (y compris des liens vers les données) ont été publiés sur un forum populaire.
En décembre 2017, le forum belge de motos 2fast4u a découvert une fuite de données dans son système. La fuite du forum vBulletin a touché plus de 17 000 utilisateurs et a exposé des adresses e-mail, des noms d'utilisateur et des mots de passe MD5 salés.
En décembre 2017, il a été découvert que l'application de clavier virtuel ai.type avait laissé une énorme quantité de données accessibles publiquement dans une instance MongoDB non sécurisée.
En novembre 2017, la base de données télévisuelle ouverte connue sous le nom de TheTVDB.com a subi une fuite de données. Les données de la fuite ont été publiées sur un forum de piratage et comprenaient 182 000 enregistrements avec des noms d'utilisateur, des adresses e-mail et des condensats de mots de passe MySQL.
En avril 2018, le site Pokémon connu sous le nom de Smogon a annoncé avoir subi une fuite de données. La fuite remontait à septembre 2017 et touchait son forum basé sur XenForo. Les données exposées comprenaient des noms d'utilisateur, des adresses e-mail, des genres ainsi que des empreintes de mots de passe bcrypt et MD5.
En septembre 2017, on a appris que Taringa avait subi une fuite de données exposant 28 millions d'enregistrements. Connu sous le nom de « Reddit latino-américain », l'avis de divulgation de la fuite de Taringa indiquait que l'incident remontait au mois d'août de la même année.
En juin 2017, une base de données non sécurisée contenant plus de 10 millions de VIN (numéros d'identification de véhicule) a été découverte par des chercheurs. Provenant vraisemblablement de concessionnaires automobiles américains, les données comprenaient une multitude d'informations personnelles et de données de véhicules ainsi que 397 000 adresses e-mail uniques.
Des attaquants ont implanté un logiciel malveillant sur l'agence de presse d'État du Qatar en avril 2017 et l'ont exploité le 24 mai pour publier de fausses citations attribuées à l'Émir, fournissant le prétexte utilisé par l'Arabie saoudite, les Émirats arabes unis, Bahreïn et l'Égypte pour lancer un blocus du Qatar.
En avril 2017, le forum vBulletin du jeu Underworld Empire a subi une fuite de données qui a exposé 429 000 comptes. Les données ont ensuite été publiées sur un forum de piratage à la mi-février 2018, où elles ont été mises à disposition en téléchargement.
Aux alentours de mars 2017, le site web de partage de fichiers Bolt a subi une fuite de données entraînant l'exposition de 995 000 dossiers d'utilisateurs uniques. Les données provenaient de son forum vBulletin et contenaient des adresses e-mail et IP, des noms d'utilisateur et des hachages de mots de passe MD5 salés.
En février 2017, le forum du site pour adultes FreeOnes a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. Les données comprenaient 960 000 adresses e-mail uniques ainsi que des noms d'utilisateur, des adresses IP et des empreintes de mots de passe MD5 salées.
Mi-2019, la nouvelle d'une présumée fuite de données chez LiveJournal a éclaté. Elle faisait suite à de multiples signalements d'abus d'identifiants visant Dreamwidth à partir de 2018, un fork de LiveJournal partageant une part importante de sa base d'utilisateurs.
Début 2017, le forum du site web de jeux R2 Games a été piraté. R2 était déjà apparu sur HIBP en 2015 après un incident précédent. Celui-ci a exposé plus d'un million de comptes utilisateurs uniques et les hachages de mots de passe MD5 correspondants, sans sel.
En janvier 2017, un immense trésor de données provenant de River City Media a été découvert exposé en ligne. Les données contenaient près de 1,4 milliard d'enregistrements, dont des adresses e-mail et IP, des noms et des adresses physiques, le tout utilisé dans le cadre d'une gigantesque opération de spam.
En décembre 2016, le forum de la plateforme publique de calcul distribué basée sur la blockchain Ethereum a subi une fuite de données. La base de données contenait plus de 16 000 adresses e-mail uniques ainsi que des adresses IP, des messages privés de forum et des mots de passe hachés (majoritairement) en bcrypt.
En décembre 2016, le forum du site Mr Excel, dédié aux astuces et solutions Microsoft Excel, a subi une fuite de données. Le piratage du forum vBulletin a conduit à l'exposition de plus de 366 000 comptes ainsi que des adresses e-mail et IP, des dates de naissance et des mots de passe salés hachés en MD5.
En décembre 2016, le forum du site web de biohacking Biohack.me a subi une fuite de données qui a exposé 3 400 comptes. Les données comprenaient des noms d'utilisateur, des adresses e-mail et des mots de passe hachés ainsi que les messages privés des membres du forum. Les données ont été soumises à HIBP par les opérateurs de Biohack.me eux-mêmes.
En novembre 2016, on a appris que des pirates échangeaient les détails de centaines de milliers de comptes pornographiques xHamster. Au total, les données contenaient près de 380 000 enregistrements d'utilisateurs uniques comprenant des adresses e-mail, des noms d'utilisateur et des hachages MD5 non salés des mots de passe.
Vers novembre 2016, la société de gestion de l'optimisation pour les moteurs de recherche RankWatch a exposé publiquement une base de données MongoDB sans mot de passe, à la suite de quoi ses données ont été exfiltrées et publiées sur un forum en ligne.
Une faille d'inclusion de fichier local a permis aux attaquants de dérober 412 millions de comptes sur les sites pour adultes et de rencontres de FriendFinder Networks, dont AdultFriendFinder. La plupart des mots de passe étaient stockés en clair ou en SHA-1 non salé, et les comptes « supprimés » ne l'avaient jamais réellement été.
En novembre 2016, le développeur de jeux Suba Games a subi une fuite de données qui a entraîné l'exposition de 6,1 millions d'adresses e-mail uniques. Les données concernées comprenaient également des noms d'utilisateur et des mots de passe, dont la plupart circulaient en clair dans le fichier compromis après avoir été craqués à partir d'empreintes MD5 salées.
En octobre 2016, un volumineux fichier Mongo DB contenant des dizaines de millions de comptes a été partagé publiquement sur Twitter (le fichier a depuis été supprimé). La base de données contenait plus de 58 millions d'adresses e-mail uniques ainsi que des adresses IP, des noms, des adresses postales, des genres, des intitulés de poste, des dates de naissance et des numéros de téléphone…
En août 2016, il a été signalé que le service de création et d'hébergement de serveurs Minecraft Pocket Edition connu sous le nom de Leet avait subi une fuite de données qui a touché 6 millions d'abonnés.
En août 2016, le forum d'Epic Games a subi une fuite de données, prétendument due à une vulnérabilité d'injection SQL dans vBulletin. L'attaque a entraîné l'exposition de 252 000 comptes, comprenant des noms d'utilisateur, des adresses e-mail et des empreintes MD5 salées de mots de passe.
En août 2016, le forum Unreal Engine a subi une fuite de données, prétendument due à une vulnérabilité d'injection SQL dans vBulletin. L'attaque a entraîné l'exposition de 530 000 comptes, dont des noms d'utilisateur, des adresses e-mail et des hachages MD5 salés des mots de passe.
En août 2016, les données compromises du forum vBulletin de GSM-Hosting sont apparues en vente aux côtés de dizaines d'autres services piratés. La fuite a touché 2,6 millions d'utilisateurs du service et comprenait des adresses e-mail et IP, des identifiants et des empreintes MD5 salées de mots de passe.
En août 2016, le forum Grand Theft Auto GTAGaming a été piraté et près de 200 000 comptes utilisateurs ont été divulgués. Le forum, basé sur vBulletin, comprenait des identifiants, des adresses e-mail et des empreintes de mots de passe.
En juillet 2016, le site d'actualités sur les jeux DLH.net a subi une fuite de données qui a exposé 3,3 millions d'identités d'abonnés. Outre les clés utilisées pour échanger et activer des jeux sur la plateforme Steam, la fuite a également entraîné l'exposition d'adresses e-mail, de dates de naissance et de hachages de mots de passe MD5 salés.
En juillet 2016, une fuite de données du forum de bases de données désormais disparu « dBforums » est apparue en vente aux côtés de plusieurs autres piratés à la société mère, Penton.
Vers la mi-2016, le forum communautaire de cracking connu sous le nom de CrackingForum a subi une fuite de données. Le forum basé sur vBulletin a exposé 660 000 adresses e-mail et IP, des noms d'utilisateur et des hachages MD5 salés.
Début 2017, GPS Underground figurait parmi un ensemble de sites web vBulletin compromis trouvés en vente en ligne. La fuite remontait à la mi-2016 et comprenait 670 000 enregistrements avec des identifiants, des adresses e-mail et IP, des dates de naissance et des empreintes MD5 salées de mots de passe.
En juillet 2016, le forum Web Hosting Talk a subi une fuite de données qui a ensuite été mise en vente. La fuite du forum basé sur vBulletin a exposé 515 000 enregistrements d'utilisateurs comprenant des noms d'utilisateur, des adresses e-mail, des adresses IP et des hachages MD5 salés des mots de passe.
En juin 2016, le site HLTV, « la référence du Counter Strike compétitif », a été piraté et 611 000 comptes ont été exposés. L'attaque a entraîné l'exposition des noms, noms d'utilisateur, adresses e-mail et empreintes bcrypt des mots de passe.
Les unités 26165 (APT28) et 31165 (APT29) du GRU russe ont compromis le Comité national démocrate, la campagne de Hillary Clinton et le DCCC. Des courriels volés ont été diffusés de manière sélective via « DCLeaks », « Guccifer 2.0 » et WikiLeaks pour influencer l'élection présidentielle américaine de 2016.
Vers la mi-2016, le service italien de création de forums connu sous le nom de ForumCommunity a subi une fuite de données. L'incident a touché plus de 776 000 adresses e-mail uniques ainsi que des noms d'utilisateur et des empreintes de mots de passe MD5 non salées. Aucune réponse n'a été reçue de ForumCommunity lorsqu'il a été contacté.
Vers juillet 2016, le site de mangas connu sous le nom de mangafox.me a subi une fuite de données. Le forum basé sur vBulletin a exposé 1,3 million de comptes comprenant des noms d'utilisateur, des adresses e-mail et IP, des dates de naissance et des empreintes de mots de passe MD5 salées.
Les identifiants d'environ 360 millions de comptes MySpace antérieurs à 2013 ont été mis en vente sur le dark web en 2016. Les mots de passe étaient stockés sous forme de hachages SHA-1 non salés, rendant trivialement cassable l'une des plus grandes fuites d'identifiants jamais divulguées.
En mai 2016, le service de serveur multijoueur pour Minecraft Shotbow a annoncé avoir subi une fuite de données. L'incident a entraîné l'exposition de plus d'un million d'adresses e-mail uniques, de noms d'utilisateur et de hachages de mots de passe SHA-256 salés.
En mai 2016, le forum de la communauté de cracking connu sous le nom de Nulled.cr a été piraté et 599 000 comptes utilisateurs ont été divulgués publiquement. Les données compromises comprenaient des adresses e-mail et IP, des hachages de mots de passe MD5 salés faibles et des centaines de milliers de messages privés entre membres.
En mai 2016, le forum de jeux vietnamien GameVN a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. Les données divulguées du forum basé sur XenForo comprenaient 1,4 million d'adresses e-mail uniques, des noms d'utilisateur, des adresses IP et des empreintes de mots de passe MD5 salées.
En mars 2016, le développeur de jeux polonais CD Projekt RED a subi une fuite de données. Le piratage de leur forum a entraîné l'exposition de près de 1,9 million de comptes ainsi que de noms d'utilisateur, d'adresses e-mail et de mots de passe SHA1 salés.
En février 2016, le site web de la distribution Linux connue sous le nom de Linux Mint a été piraté et l'ISO infectée par une porte dérobée. Le site hébergeait également un forum phpBB qui a ensuite été mis en vente avec près de 145 k adresses e-mail, mots de passe et autres informations personnelles d'abonnés.
En février 2016, le jeu de rythme musical connu sous le nom de Flash Flash Revolution a été piraté et 1,8 million de comptes ont été exposés. Outre les adresses e-mail et IP, le forum vBulletin a également exposé des empreintes de mots de passe MD5 salées.
Début 2016, le forum du client BitTorrent uTorrent a subi une fuite de données qui a été révélée plus tard dans l'année. La base de données du forum basé sur IP.Board contenait 395 000 comptes, dont des noms d'utilisateur, des adresses e-mail et des hachages de mots de passe MD5 sans sel.
Vers la fin de 2015, le créateur de « produits de marketing à la performance » QuinStreet a vu un certain nombre de ses ressources en ligne compromises. L'attaque a touché 28 sites distincts, principalement des forums technologiques tels que flashkit.com, codeguru.com et webdeveloper.com (consultez la liste complète des sites).
Fin 2015, la communauté d'anime connue sous le nom de Nihonomaru a vu son forum vBulletin piraté et 1,7 million de comptes exposés. Les données compromises comprenaient des adresses e-mail et IP, des noms d'utilisateur et des empreintes de mots de passe salées.
Vers la fin de 2015, le forum de programmation programmingforums.org a subi une fuite de données entraînant l'exposition de 707 000 enregistrements d'utilisateurs uniques. Les données contenaient des adresses e-mail et IP, des noms d'utilisateur et des hachages MD5 salés de mots de passe.
En décembre 2015, le forum dédié aux discussions sur les photos de célébrités nues connu sous le nom de « The Fappening » (nommé d'après les fuites iCloud de 2014) a été compromis et 179 000 comptes ont été divulgués. Les données de membres exposées comprenaient des noms d'utilisateur, des adresses e-mail et des condensats salés de mots de passe.
En novembre 2015, près de 270 000 comptes du forum de support MajorGeeks ont été compromis. Les comptes étaient activement vendus et échangés en ligne et comprenaient des adresses e-mail, des empreintes de mots de passe salées et des adresses IP.
En novembre 2015, le fournisseur américain d'internet et de télévision par câble Comcast a subi une fuite de données qui a exposé 590 000 adresses e-mail de clients et mots de passe en texte clair. 27 000 comptes supplémentaires comportaient des adresses postales, l'ensemble des données étant vendu sur des forums clandestins.
En novembre 2015, l'éditeur de logiciels de forum vBulletin a subi une grave fuite de données. L'attaque a entraîné la divulgation de comptes d'utilisateurs de forums ainsi que de comptes clients, totalisant près de 519 000 enregistrements.
En octobre 2015, le forum de discussion PHP PHP Freaks a été piraté et 173 000 comptes utilisateurs ont été divulgués publiquement. La fuite comprenait plusieurs attributs de données personnelles ainsi que des mots de passe salés et hachés.
En octobre 2015, le site de piratage de jeux multijoueurs MPGH a été piraté et 3,1 millions de comptes d'utilisateurs ont été divulgués. La fuite du forum vBulletin contenait des noms d'utilisateur, des adresses e-mail, des adresses IP et des empreintes de mots de passe salées.
En octobre 2015, un jeu de données attribué au fournisseur de messagerie chinois NetEase (163.com et 126.com) a fait surface, exposant prétendument environ 234 millions d'adresses e-mail et de mots de passe en clair. NetEase a nié toute fuite ; HIBP classe l'incident comme non vérifié.
Vers septembre 2015, le forum PSP de PlayStation connu sous le nom de PSP ISO a été piraté et près de 1,3 million de comptes exposés. Outre des adresses e-mail et IP, le forum vBulletin a également exposé des hachages de mots de passe MD5 salés.
En septembre 2015, le forum Nintendo Wii U connu sous le nom de WIIU ISO a été piraté et 458 000 comptes ont été exposés. Outre des adresses e-mail et IP, le forum vBulletin a également exposé des hachages MD5 salés des mots de passe.
Vers septembre 2015, le forum XBOX 360 connu sous le nom de XBOX360 ISO a été piraté et 1,2 million de comptes ont été exposés. Outre des adresses e-mail et IP, le forum vBulletin a également exposé des hachages MD5 salés des mots de passe.
En septembre 2015, le forum de discussion Final Fantasy connu sous le nom de FFShrine a été compromis et les données ont été publiées publiquement. Environ 620 000 enregistrements ont été divulgués, contenant des adresses e-mail, des adresses IP et des empreintes salées de mots de passe.
En septembre 2015, le site de voyeurisme non consenti « The Candid Board » a subi une fuite de données. Le piratage du forum vBulletin a conduit à l'exposition de plus de 178 000 comptes ainsi que d'adresses e-mail et IP, de dates de naissance et de mots de passe salés hachés avec MD5.
En avril 2021, une sauvegarde de base de données accessible publiquement datant de 2015 de la société d'études de marché ClearVoice Surveys a été récupérée et redistribuée sur un forum de piratage populaire.
Un groupe se nommant l'Impact Team a piraté le site de rencontres adultères Ashley Madison, puis a divulgué les données de compte d'environ 32 millions d'utilisateurs — noms, e-mails, préférences sexuelles et historiques de paiement — après que la société mère Avid Life Media a refusé de fermer le site.
En juillet 2015, le forum IP.Board du site de jeu WildStar a subi une fuite de données qui a exposé les comptes de plus de 738 000 membres du forum. Les données étaient activement échangées sur des forums clandestins et comprenaient des adresses e-mail, des dates de naissance et des mots de passe.
Vers la mi-2015, le forum de CheapAssGamer.com a subi une fuite de données. La base de données du forum basé sur IP.Board contenait 445 000 comptes, dont des noms d'utilisateur, des adresses e-mail et IP et des hachages de mots de passe MD5 salés.
En juin 2015, le fabricant de manettes de jeu personnalisées Scuf Gaming a subi une fuite de données. L'incident a exposé 129 000 adresses e-mail uniques ainsi que des noms d'utilisateur, des noms d'affichage, des adresses IP et des hachages de mots de passe.
À la mi-2016, il est allégué que le site web pour adultes connu sous le nom d'Eroticy a été piraté. Près de 1,4 million de comptes uniques ont été trouvés en circulation fin 2016, contenant une multitude d'informations personnelles allant des adresses e-mail aux numéros de téléphone en passant par les mots de passe en clair.
En mai 2015, le forum Minecraft Pocket Edition a été piraté et plus de 16 000 comptes ont été divulgués publiquement. Prétendument piratées par @rmsg0d, les données du forum comprenaient de nombreuses informations personnelles pour chaque utilisateur. Le forum a depuis été mis hors service.
En mai 2015, le site de rencontres pour adultes Adult FriendFinder a été piraté et près de 4 millions d'enregistrements ont été publiés publiquement. La fuite de données comprenait des informations personnelles extrêmement sensibles sur les personnes, leur statut relationnel et leurs préférences sexuelles, combinées à des données personnelles identifiables.
En mai 2015, le site web polonais de modélisation 3D connu sous le nom d'Evermotion a subi une fuite de données entraînant l'exposition de 435 000 enregistrements d'utilisateurs uniques. Les données provenaient d'un forum vBulletin et contenaient des adresses e-mail, des noms d'utilisateur, des dates de naissance et des empreintes MD5 salées de mots de passe.
Probablement début 2015, le site de jeux vidéo GameTuts a subi une fuite de données et plus de 2 millions de comptes utilisateurs ont été exposés. Le site a ensuite fermé en juillet 2016 mais il a été identifié comme ayant été hébergé sur un forum vBulletin.
En mars 2015, le forum d'anime et de manga HongFire a subi une fuite de données. Le piratage de leur forum vBulletin a entraîné l'exposition de 1 million de comptes ainsi que des adresses e-mail et IP, noms d'utilisateur, dates de naissance et mots de passe MD5 salés.
En février 2015, le forum suédois connu sous le nom de Flashback a vu des données internes sensibles concernant 40 000 membres publiées par le tabloïd Aftonbladet. Les données auraient été vendues à ce dernier par Researchgruppen (le Groupe de recherche), qui a pour habitude de révéler l'identité d'utilisateurs autrement anonymes, principalement ceux…
En 2015, le forum indépendant désormais disparu consacré à la série animée Bleach a subi une fuite de données qui a exposé 144 000 dossiers d'utilisateurs. Les données touchées comprenaient des noms d'utilisateur, des adresses e-mail et des hachages de mots de passe MD5 salés.
En novembre 2014, le site sur l'acné acne.org a subi une fuite de données qui a exposé plus de 430 000 comptes de membres du forum. Les données étaient activement échangées sur des forums clandestins et comprenaient des adresses e-mail, des dates de naissance et des mots de passe.
Une attaque destructrice par wiper nord-coréenne, liée à la sortie du film « L'Interview qui tue », a détruit environ la moitié du parc informatique de Sony Pictures et divulgué des téraoctets de documents internes, d'e-mails et de films inédits.
En octobre 2014, le site de triches de jeux connu sous le nom de ILikeCheats a subi une fuite de données qui a exposé 189 000 comptes. Le forum basé sur vBulletin a divulgué des noms d'utilisateur, des adresses IP et e-mail et des empreintes MD5 faibles des mots de passe. Les données ont été fournies avec le soutien de dehashed.com.
En octobre 2014, le forum belge d'actualités sur les jeux 9Lives (aujourd'hui disparu) a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus large. La fuite a exposé 109 000 adresses e-mail uniques ainsi que des noms d'utilisateur et des hachages de mots de passe MD5 salés.
En septembre 2014, plusieurs grandes fuites de comptes utilisateurs sont apparues sur le Russian Bitcoin Security Forum, dont une comportant près de 5 millions d'adresses e-mail et de mots de passe, principalement sur le domaine mail.ru.
En septembre 2014, une fuite massive de comptes de Yandex, le géant russe des moteurs de recherche qui propose également des services de messagerie, a été révélée. Le million de comptes prétendument « compromis » a été divulgué en même temps que près de 5 millions de comptes mail.ru, les deux entreprises affirmant que les identifiants étaient…
En août 2014, le forum de piratage Roblox Vermillion a subi une fuite de données qui a exposé plus de 8 000 enregistrements d'abonnés. La fuite du forum MyBB a exposé des adresses e-mail et IP, des noms d'utilisateur, des dates de naissance et des hachages de mots de passe salés.
En juillet 2014, le forum iOS Insanelyi a été piraté par un attaquant connu sous le nom de Kim Jong-Cracks. Source d'informations populaire pour les utilisateurs d'appareils iOS jailbreakés sous Cydia, la fuite d'Insanelyi a divulgué plus de 104 000 adresses e-mail d'utilisateurs, noms d'utilisateur et mots de passe faiblement hachés (MD5 salé).
En février 2017, le site web des forces de l'ordre PoliceOne a confirmé avoir subi une fuite de données. La fuite contenait plus de 700 000 comptes qui sont apparus en vente auprès d'un courtier en données et comprenait des adresses e-mail et IP, des noms d'utilisateur et des hachages de mots de passe MD5 salés.
En juin 2014, le forum d'optimisation pour les moteurs de recherche Black Hat World a vu trois quarts de million de comptes compromis depuis son système. La fuite comprenait divers attributs personnellement identifiables qui ont été rendus publics sous la forme d'un script de base de données MySQL.
En mai 2014, le forum de l'antivirus Avast a été piraté et 423 000 enregistrements de membres ont été exposés. Le forum basé sur Simple Machines comprenait des noms d'utilisateur, des e-mails et des hachages de mots de passe.
Au début de l'année 2014, le site de jeux vidéo NextGenUpdate aurait subi une fuite de données qui a divulgué près de 1,2 million de comptes. La fuite comprenait notamment des noms d'utilisateur, des adresses e-mail, des adresses IP et des mots de passe salés et hachés.
En 2014, le réseau social pour les mères CafeMom a subi une fuite de données. Les données ont fait surface aux côtés d'un certain nombre d'autres fuites historiques, dont Kickstarter, Bitly et Disqus, et contenaient 2,6 millions d'adresses e-mail et des mots de passe en clair.
En mars 2014, l'éditeur de logiciels de home cinéma sur PC Boxee a vu ses forums compromis lors d'une attaque. Les attaquants ont obtenu l'intégralité de la base de données MySQL vBulletin et l'ont rapidement mise en téléchargement sur le forum Boxee lui-même.
En février 2014, Spirol Fastening Solutions, basé dans le Connecticut, a subi une fuite de données qui a exposé plus de 70 000 enregistrements clients. L'attaque aurait été menée en exploitant une vulnérabilité d'injection SQL qui a permis d'extraire des données du système CRM de Spirol, allant des noms des clients aux entreprises, en passant par les coordonnées…
En février 2014, le guide britannique des services et des entreprises connu sous le nom de Muslim Directory a été attaqué par le pirate connu sous le nom de @th3inf1d3l. Les données ont par conséquent été divulguées publiquement et comprenaient les comptes web de dizaines de milliers d'utilisateurs contenant des données telles que leurs noms, leur adresse postale, leur âge…
En février 2014, le site web de Forbes a succombé à une attaque qui a divulgué plus d'un million de comptes utilisateurs. L'attaque a été attribuée à la Syrian Electronic Army, prétendument en représailles à une « haine de la Syrie » perçue.
En février 2014, plus de 2 000 comptes Tesco avec des noms d'utilisateur, des mots de passe et des soldes de cartes de fidélité sont apparus sur Pastebin. Bien que la source de la fuite ne soit pas claire, beaucoup ont confirmé que les identifiants étaient valides pour Tesco, qui a effectivement des antécédents de sécurité en ligne médiocre.
En février 2014, le forum vBulletin du site sur la marijuana cannabis.com a été compromis et divulgué publiquement. Bien qu'aucune attribution publique de la fuite n'ait été établie, les données divulguées comprenaient plus de 227 000 comptes et près de 10 000 messages privés échangés entre les utilisateurs du forum.
En janvier 2014, l'une des plus grandes communautés de cybercriminels d'Europe de l'Est, connue sous le nom de « Verified », a été piratée. La fuite a exposé près de 17 000 utilisateurs du forum vBulletin, dont leurs messages privés et d'autres informations potentiellement personnellement identifiables.
En septembre 2014, un volumineux ensemble de près de 5 millions de noms d'utilisateur et de mots de passe a été publié sur un forum russe consacré au Bitcoin. Bien que couramment présenté comme 5 millions de « mots de passe Gmail », l'ensemble contenait également 123 000 adresses yandex.ru.
En janvier 2014, le service en ligne d'aide aux musiciens pour développer leur carrière ReverbNation a subi une fuite de données qui n'a été identifiée qu'en septembre de l'année suivante. La fuite contenait plus de 7 millions de comptes avec des adresses e-mail uniques et des mots de passe SHA1 salés.
En 2014, le forum ThisHabbo (un site de fans de Habbo.com, un site de réseautage social finlandais) est apparu dans une liste de sites compromis qui a depuis été retirée d'internet.
En décembre 2013, le forum vBulletin du site d'ingénierie sociale connu sous le nom d'« AstroPID » a été compromis et divulgué publiquement. Le site fournissait des conseils pour obtenir frauduleusement des biens et des services, souvent en fournissant une « PID » ou Product Information Description légitime.
En décembre 2013, le site de torrents Torrent Invites a été piraté et plus de 352 000 comptes ont été exposés. Le forum vBulletin contenait des noms d'utilisateur, des adresses e-mail et IP, des dates de naissance et des condensats MD5 salés de mots de passe.
En décembre 2013, une fuite touchant cette communauté de jeux en ligne basée en Slovaquie a exposé plus de 38 000 comptes qui ont été rapidement publiés en ligne. La fuite comprenait des adresses e-mail et des mots de passe hachés en MD5 sans sel, dont beaucoup ont été facilement reconvertis en texte clair.
En novembre 2013, Vodafone en Islande a subi une attaque attribuée au collectif de pirates turc « Maxn3y ». Les données ont par conséquent été exposées publiquement et comprenaient des noms d'utilisateur, des adresses e-mail, des numéros de sécurité sociale, des messages SMS, des journaux de serveur et des mots de passe provenant de divers systèmes internes…
En novembre 2013, le réseau social basé sur l'image We Heart It a subi une fuite de données. L'incident n'a été découvert qu'en octobre 2017 lorsque 8,6 millions d'enregistrements d'utilisateurs ont été envoyés à HIBP.
En septembre 2013, le client de partage de médias et de fichiers connu sous le nom d'iMesh a été piraté et environ 50 millions de comptes ont été exposés. Les données ont ensuite été mises en vente sur un site du dark web mi-2016 et comprenaient des adresses e-mail et IP, des noms d'utilisateur et des empreintes MD5 salées.
Fin 2013, le forum Crack Community, spécialisé dans les cracks de jeux, a été compromis et plus de 19 000 comptes ont été publiés en ligne. Construites sur la plateforme de forum MyBB, les données compromises comprenaient des adresses e-mail, des adresses IP et des mots de passe MD5 salés.
En septembre 2013, le forum Windows Win7Vista (depuis renommé forum « Beyond Windows 9 ») a été piraté et sa base de données interne a ensuite été divulguée. Le vidage comprenait les informations personnelles de plus de 200 000 membres ainsi que d'autres données internes extraites du forum.
En août 2013, le jeu de rôle en ligne massivement multijoueur (MMORPG) DragonNest a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. La fuite a exposé plus de 500 000 adresses e-mail uniques ainsi que des noms d'utilisateur, adresses IP et mots de passe en clair.
En août 2013, le jeu vidéo interactif Lord of the Rings Online a subi une fuite de données qui a exposé plus de 1,1 million de comptes de joueurs. Les données étaient activement échangées sur des forums clandestins et comprenaient des adresses e-mail, des dates de naissance et des empreintes de mots de passe.
À un moment de l'année 2013, 45 000 comptes ont été compromis sur le « General Discussion Forum » de Lounge Board, puis divulgués publiquement. Lounge Board était un forum MyBB lancé en 2012 et abandonné mi-2013 (la dernière activité dans les journaux datait d'août 2013).
En juin 2013, le site web taïwanais Yam.com a subi une fuite de données qui a été partagée sur un forum de piratage populaire en 2021. Les données comprenaient 13 millions d'adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des numéros de téléphone, des adresses postales, des dates de naissance et des empreintes MD5 de mots de passe non salées.
En mai 2013, le site de torrents AhaShare.com a subi une fuite qui a entraîné la publication de plus de 180 000 comptes d'utilisateurs. La fuite comprenait une multitude d'informations personnelles sur les utilisateurs inscrits et, malgré les affirmations selon lesquelles il ne diffusait pas de données personnelles identifiables, le site a également…
En mai 2013, le site de voyeurisme non consenti « Non Nude Girls » a subi une fuite de données. Le piratage du forum vBulletin a conduit à l'exposition de plus de 75 000 comptes ainsi que des adresses e-mail et IP, des noms et des mots de passe en clair.
En avril 2013, le jeu vidéo interactif Dungeons & Dragons Online a subi une fuite de données qui a exposé près de 1,6 million de comptes de joueurs. Les données étaient activement échangées sur des forums clandestins et comprenaient des adresses e-mail, des dates de naissance et des empreintes de mots de passe.
Aux alentours de 2013, OMGPOP, le créateur du jeu Draw Something, a subi une fuite de données. Anciennement connu sous le nom d'i'minlikewithyou ou iilwy, puis racheté par Zynga, la fuite a exposé plus de 7 millions de paires adresse e-mail / mot de passe en clair, qui ont ensuite été divulguées en 2019.
En août 2022, le réseau social littéraire BookCrossing a révélé une fuite de données remontant à une sauvegarde de base de données de novembre 2012. L'incident a exposé près de 1,6 million d'enregistrements, dont des noms, des noms d'utilisateur, des adresses e-mail et IP, des dates de naissance et des mots de passe en clair.
En août 2012, le forum dédié à gagner de l'argent avec le botting « The Botting Network » a subi une fuite de données qui a exposé 96 000 enregistrements d'utilisateurs. Ce forum vBulletin aujourd'hui disparu a divulgué 96 000 adresses e-mail, noms d'utilisateur, dates de naissance et condensats MD5 salés de mots de passe.
En octobre 2017, le site web malaisien lowyat.net a publié un article sur un vaste ensemble de données piratées touchant des millions de Malaisiens, après que quelqu'un l'eut mis en vente sur ses forums.
Le plus grand réseau social russe, VK, a été compromis vers 2012, exposant environ 93 millions de comptes avec noms, numéros de téléphone, adresses e-mail et mots de passe en clair. Les données ont été mises en vente en 2016 par le courtier « Peace ».
Fin 2011, une série de fuites de données en Chine a touché jusqu'à 100 millions d'utilisateurs, dont 7,5 millions provenant du site de jeux connu sous le nom de 17173. Bien qu'il existe des indices que les données soient authentiques, en raison de la difficulté à vérifier de manière catégorique cette fuite chinoise, elle a été marquée comme « non vérifiée ».
Aux alentours de 2011, le forum désormais disparu RuneScape Boards (également connu sous le nom de RSBoards) a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. Ce service basé sur vBulletin a exposé 223 000 adresses e-mail uniques ainsi que des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5 salés.
En décembre 2011, le plus grand forum en ligne de Chine connu sous le nom de Tianya a été piraté et des dizaines de millions de comptes ont été obtenus par l'attaquant. Les données divulguées comprenaient des noms, des noms d'utilisateur et des adresses e-mail.
En juin 2011, le groupe hacktiviste connu sous le nom de « LulzSec » a divulgué une dernière grande fuite de données qu'il a intitulée « 50 days of lulz ». Les données compromises provenaient de sources telles qu'AT&T, Battlefield Heroes et le site web hackforums.net.
Des intrus ont pénétré le PlayStation Network et Qriocity de Sony, compromettant les données personnelles d'environ 77 millions de comptes et provoquant une panne mondiale de 23 jours — l'une des plus grandes violations de données de consommateurs de son temps.
En décembre 2010, Gawker a été attaqué par le collectif de pirates « Gnosis » en représailles à ce qui aurait été un conflit entre Gawker et 4Chan. Les informations concernant les 1,3 million d'utilisateurs de Gawker ont été publiées avec les données des autres sites du groupe, dont Gizmodo et Lifehacker.
Une vague de trois semaines d'attaques par déni de service distribué a paralysé les sites web gouvernementaux, bancaires et médiatiques estoniens lors d'un différend avec la Russie, devenant la première cyberattaque visant un État-nation tout entier et le berceau de la doctrine de cyberdéfense de l'OTAN.