Incidents de
En décembre 2016, plus de 200 millions de « profils d'enrichissement de données » ont été trouvés en vente sur le darknet. Le vendeur prétendait que les données provenaient d'Experian et, bien que cette affirmation ait été rejetée par l'entreprise, les données elles-mêmes se sont avérées légitimes, suggérant qu'elles pouvaient provenir d'autres…
Le groupe Sandworm, lié à la Russie, a déployé Industroyer (CrashOverride), le premier logiciel malveillant conçu spécifiquement pour attaquer les réseaux électriques, contre un poste de transmission de Kyiv, coupant l'électricité d'environ un cinquième de la capitale pendant près d'une heure.
En décembre 2016, une énorme liste de paires d'adresses e-mail et de mots de passe est apparue dans une « combo list » désignée sous le nom d'« Anti Public ». La liste contenait 458 millions d'adresses e-mail uniques, dont beaucoup avec plusieurs mots de passe différents piratés depuis divers systèmes en ligne.
En décembre 2016, le forum de la plateforme publique de calcul distribué basée sur la blockchain Ethereum a subi une fuite de données. La base de données contenait plus de 16 000 adresses e-mail uniques ainsi que des adresses IP, des messages privés de forum et des mots de passe hachés (majoritairement) en bcrypt.
En décembre 2016, un attaquant a compromis le site web de PayAsUGym, exposant les données personnelles de plus de 400 000 clients. Les données ont par conséquent été divulguées publiquement et largement diffusées via Twitter.
En décembre 2016, le forum du site Mr Excel, dédié aux astuces et solutions Microsoft Excel, a subi une fuite de données. Le piratage du forum vBulletin a conduit à l'exposition de plus de 366 000 comptes ainsi que des adresses e-mail et IP, des dates de naissance et des mots de passe salés hachés en MD5.
En décembre 2016, le forum du site web de biohacking Biohack.me a subi une fuite de données qui a exposé 3 400 comptes. Les données comprenaient des noms d'utilisateur, des adresses e-mail et des mots de passe hachés ainsi que les messages privés des membres du forum. Les données ont été soumises à HIBP par les opérateurs de Biohack.me eux-mêmes.
Fin 2016, le site de jeu de mode Fashion Fantasy Game a subi une fuite de données. L'incident a exposé 2,3 millions de comptes utilisateurs uniques et les empreintes de mots de passe MD5 correspondantes sans sel. Les données ont été transmises à Have I Been Pwned grâce à rip@creep.im.
Vers décembre 2016, le service en ligne de serveurs privés World of Warcraft Warmane a subi une fuite de données. L'incident a exposé plus de 1,1 million de comptes comprenant des noms d'utilisateur, des adresses e-mail, des dates de naissance et des hachages MD5 salés des mots de passe.
Fin 2016, la principale plateforme vidéo en ligne chinoise Youku a subi une fuite de données exposant environ 92 millions de comptes utilisateur uniques ainsi que des noms d'utilisateur et des mots de passe hachés en MD5, qui ont ensuite circulé sur des places de marché du dark web.
En novembre 2016, on a appris que des pirates échangeaient les détails de centaines de milliers de comptes pornographiques xHamster. Au total, les données contenaient près de 380 000 enregistrements d'utilisateurs uniques comprenant des adresses e-mail, des noms d'utilisateur et des hachages MD5 non salés des mots de passe.
Une campagne ratée du botnet Mirai visant une faille de routeur a fait planter environ 900 000 routeurs Deutsche Telekom, privant les clients allemands d'internet, de téléphone et de télévision pendant deux jours en novembre 2016.
Vers novembre 2016, la société de gestion de l'optimisation pour les moteurs de recherche RankWatch a exposé publiquement une base de données MongoDB sans mot de passe, à la suite de quoi ses données ont été exfiltrées et publiées sur un forum en ligne.
En juin 2017, on a appris que CashCrate avait subi une fuite de données exposant 6,8 millions de dossiers. La compromission du site de rémunération contre sondages remontait à novembre 2016 et a exposé des noms, des adresses postales, des adresses e-mail et des mots de passe stockés en texte clair pour les anciens comptes, ainsi que de faibles hachages MD5…
Une version réactivée du wiper Shamoon (Disttrack) a détruit des milliers d'ordinateurs au sein d'organismes gouvernementaux saoudiens, dont l'Autorité générale de l'aviation civile, écrasant les secteurs d'amorçage avec l'image d'un enfant syrien noyé.
Une faille d'inclusion de fichier local a permis aux attaquants de dérober 412 millions de comptes sur les sites pour adultes et de rencontres de FriendFinder Networks, dont AdultFriendFinder. La plupart des mots de passe étaient stockés en clair ou en SHA-1 non salé, et les comptes « supprimés » ne l'avaient jamais réellement été.
En novembre 2016, le développeur de jeux Suba Games a subi une fuite de données qui a entraîné l'exposition de 6,1 millions d'adresses e-mail uniques. Les données concernées comprenaient également des noms d'utilisateur et des mots de passe, dont la plupart circulaient en clair dans le fichier compromis après avoir été craqués à partir d'empreintes MD5 salées.
En octobre 2016, le service de bannissement Minecraft connu sous le nom de MCBans a subi une fuite de données entraînant l'exposition de 120 000 enregistrements d'utilisateurs uniques. Les données contenaient des adresses e-mail et IP, des noms d'utilisateur et des empreintes de mots de passe de format inconnu.
Une attaque DDoS massive du botnet Mirai contre le fournisseur de DNS managé Dyn a mis hors ligne Twitter, Netflix, Spotify, GitHub, Reddit et des dizaines d'autres grands sites aux États-Unis et en Europe, démontrant comment un botnet d'objets connectés compromis pouvait perturber de larges pans d'Internet.
En octobre 2016, l'entreprise de divertissement pour adultes Friend Finder Networks a subi une fuite de données massive. L'incident a touché plusieurs ressources en ligne distinctes détenues par l'entreprise, la plus importante étant le site Adult FriendFinder, présenté comme « la plus grande communauté sexe et échangiste au monde ».
Fin 2016, une énorme liste de paires d'adresses e-mail et de mots de passe est apparue dans une « combo list » désignée sous le nom d'« Exploit.In ». La liste contenait 593 millions d'adresses e-mail uniques, dont beaucoup avec plusieurs mots de passe différents piratés à partir de divers systèmes en ligne.
En octobre 2016, des données prétendument obtenues auprès du site web chinois GFAN ont fait surface et contenaient 22,5 millions de comptes. Bien qu'il existe des preuves de la légitimité des données, en raison de la difficulté à vérifier de manière catégorique cette fuite chinoise, elle a été signalée comme « non vérifiée ».
En octobre 2016, un volumineux fichier Mongo DB contenant des dizaines de millions de comptes a été partagé publiquement sur Twitter (le fichier a depuis été supprimé). La base de données contenait plus de 58 millions d'adresses e-mail uniques ainsi que des adresses IP, des noms, des adresses postales, des genres, des intitulés de poste, des dates de naissance et des numéros de téléphone…
En octobre 2016, la plateforme française de partage de vidéos Dailymotion a été victime d'une fuite exposant environ 85,2 millions de comptes utilisateurs, avec adresses email et noms d'utilisateur, et des hachages bcrypt de mots de passe pour près de 18 millions d'entre eux.
Vers octobre 2016, le site Pokémon espagnol Pokémon Negro a subi une fuite de données. L'attaque a entraîné la divulgation de 830 000 comptes comprenant des adresses e-mail et IP ainsi que des mots de passe en texte clair. Pokémon Negro n'a pas répondu lorsqu'il a été contacté au sujet de la fuite.
En septembre 2016, des données prétendument obtenues du site de jeux chinois connu sous le nom d'Aipai.com et contenant 6,5 M de comptes ont été divulguées en ligne. Bien qu'il existe des indices que les données soient authentiques, en raison de la difficulté à vérifier de manière catégorique cette fuite chinoise, elle a été marquée comme « non vérifiée ».
Deux fuites distinctes — révélées en 2016 mais remontant à 2013 et 2014 — ont exposé l'intégralité des comptes Yahoo existants. Trois milliards de comptes : la plus grande exposition de données d'une seule entreprise de l'histoire.
En août 2016, il a été signalé que le service de création et d'hébergement de serveurs Minecraft Pocket Edition connu sous le nom de Leet avait subi une fuite de données qui a touché 6 millions d'abonnés.
En septembre 2016, le nouveau site web eThekwini eServices en Afrique du Sud a été lancé avec plusieurs failles de sécurité qui ont conduit à la fuite des informations personnelles et des factures de services publics de plus de 98 000 résidents, réparties sur 82 000 adresses e-mail uniques.
En septembre 2016, le site d'investissement immobilier Real Estate Mogul a vu une instance MongoDB compromise et 5 Go de données téléchargés par une partie non autorisée. Les données contenaient des annonces immobilières incluant des adresses ainsi que les noms, numéros de téléphone et 308 000 adresses e-mail uniques des vendeurs.
En septembre 2016, des données auraient été obtenues depuis le site chinois connu sous le nom de uuu9.com et contenaient 7,5 millions de comptes. Bien qu'il existe des preuves que les données sont authentiques, en raison de la difficulté à vérifier formellement cette fuite chinoise, elle a été signalée comme « non vérifiée ».
En septembre 2016, plus de 16 Go de journaux provenant d'un service identifié comme étant digimon.co.in ont été obtenus, très probablement à partir d'une instance MongoDB non protégée. Le service a cessé de fonctionner peu de temps après et aucune information ne subsiste sur sa nature précise.
En septembre 2016, le site de rémunération au clic ClixSense a subi une fuite de données qui a exposé 2,4 millions d'identités d'abonnés. Les données compromises ont ensuite été publiées en ligne par les attaquants qui affirmaient qu'il s'agissait d'un sous-ensemble d'une fuite de données plus importante totalisant 6,6 millions de dossiers.
En septembre 2016, près de 21 Go de données du site web français utilisé comme « moyen normalisé et décentralisé d'échange pour la publication d'articles de newsgroups » NemoWeb ont été divulgués à partir de ce qui semble avoir été une base Mongo DB non protégée.
En 2016, une liste de plus de 33 millions de personnes du monde de l'entreprise américaine provenant du service NetProspex de Dun & Bradstreet a été divulguée en ligne. D&B estiment que ces données de marketing ciblé ont été perdues par un client qui les leur avait achetées.
En août 2016, l'éditeur suisse en libre accès connu sous le nom de MDPI a vu 17,5 Go de données obtenues à partir d'une instance Mongo DB non protégée. Les données contenaient des échanges d'e-mails entre MDPI et ses auteurs et relecteurs, comprenant 845 000 adresses e-mail uniques.
En août 2016, le forum du site de fans de Pocket PC PPCGeeks a subi une fuite de données qui a exposé plus de 490 000 enregistrements. La fuite du forum vBulletin a exposé des adresses e-mail et IP, des noms d'utilisateur, des dates de naissance et des mots de passe stockés sous forme de hachages MD5 salés.
En août 2016, le site de recrutement technologique GeekedIn a laissé une base de données MongoDB exposée et plus de 8 millions d'enregistrements ont été extraits par un tiers inconnu. Les données compromises avaient été initialement récupérées sur GitHub en violation de ses conditions d'utilisation et contenaient des informations exposées dans des profils publics,…
En août 2016, le forum d'Epic Games a subi une fuite de données, prétendument due à une vulnérabilité d'injection SQL dans vBulletin. L'attaque a entraîné l'exposition de 252 000 comptes, comprenant des noms d'utilisateur, des adresses e-mail et des empreintes MD5 salées de mots de passe.
En août 2016, le forum Unreal Engine a subi une fuite de données, prétendument due à une vulnérabilité d'injection SQL dans vBulletin. L'attaque a entraîné l'exposition de 530 000 comptes, dont des noms d'utilisateur, des adresses e-mail et des hachages MD5 salés des mots de passe.
En août 2016, le forum de jeu russe connu sous le nom de Cross Fire (ou cfire.mail.ru) a été piraté, ainsi qu'un certain nombre d'autres forums du fournisseur de messagerie russe mail.ru. Le forum vBulletin contenait 12,8 millions de comptes, notamment des noms d'utilisateur, des adresses e-mail et des mots de passe stockés sous forme de hachages MD5 salés.
En août 2016, le site de jeux russe connu sous le nom de Пара Па (ou parapa.mail.ru) a été piraté, de même que plusieurs autres forums hébergés par le fournisseur de messagerie russe mail.ru. Le forum vBulletin contenait 4,9 millions de comptes, dont des noms d'utilisateur, des adresses e-mail et des mots de passe stockés sous forme de hachages MD5 salés.
En août 2016, l'application mobile permettant de « tout comparer » connue sous le nom de Wishbone a subi une fuite de données. Les données contenaient 9,4 millions d'enregistrements avec 2,2 millions d'adresses e-mail uniques et constituaient prétendument un sous-ensemble de l'ensemble de données complet.
En août 2016, les données compromises du forum vBulletin de GSM-Hosting sont apparues en vente aux côtés de dizaines d'autres services piratés. La fuite a touché 2,6 millions d'utilisateurs du service et comprenait des adresses e-mail et IP, des identifiants et des empreintes MD5 salées de mots de passe.
En août 2016, le forum Grand Theft Auto GTAGaming a été piraté et près de 200 000 comptes utilisateurs ont été divulgués. Le forum, basé sur vBulletin, comprenait des identifiants, des adresses e-mail et des empreintes de mots de passe.
En juillet 2016, le site d'actualités sur les jeux DLH.net a subi une fuite de données qui a exposé 3,3 millions d'identités d'abonnés. Outre les clés utilisées pour échanger et activer des jeux sur la plateforme Steam, la fuite a également entraîné l'exposition d'adresses e-mail, de dates de naissance et de hachages de mots de passe MD5 salés.
En août 2016, Roblox a divulgué une fuite de données ayant affecté plus de 50 000 utilisateurs. L'incident de sécurité a touché des adresses e-mail et IP, des noms d'utilisateur, des achats et des soldes de Robux laissés exposés sur un serveur de test.
Des pirates revendiquant le nom 1937CN ont détourné les écrans d'information des vols et les systèmes de sonorisation des principaux aéroports vietnamiens avec des messages anti-Vietnam sur la mer de Chine méridionale, et divulgué les données de 411 000 grands voyageurs de Vietnam Airlines.
En juillet 2016, un pirate connu sous le nom de Phineas Fisher a piraté le parti au pouvoir en Turquie (le Parti de la justice et du développement, ou « AKP ») et a obtenu l'accès à 300 000 e-mails. L'intégralité du contenu de ces e-mails a ensuite été publiée par WikiLeaks et rendue consultable.
En juin 2016, le site social pour adolescents connu sous le nom de i-Dressup a été piraté et plus de 2 millions de comptes utilisateurs ont été exposés. Au moment où le piratage a été signalé, les exploitants de i-Dressup étaient injoignables et la faille d'injection SQL sous-jacente restait ouverte, exposant prétendument un total de 5,5 millions de comptes.
En juillet 2016, le forum du jeu "Clash of Kings" a subi une fuite de données qui a touché 1,6 million d'abonnés. Les données concernées comprenaient des noms d'utilisateur, des adresses IP et e-mail et des mots de passe stockés sous forme de hachages MD5. Les données ont été fournies à HIBP par dehashed.com.
En juillet 2016, le forum officiel des développeurs de Dota2 a subi une fuite de données qui a exposé près de 2 millions d'utilisateurs. Le piratage du forum vBulletin a entraîné la divulgation d'adresses e-mail et IP, de noms d'utilisateur et de mots de passe stockés sous forme de hachages MD5 salés.
En juillet 2016, le site de rencontres musulman Shadi.com a subi une fuite de données ayant exposé les adresses e-mail de plus de 2 millions de membres. La fuite a également exposé des mots de passe stockés sous forme de hachages MD5 ainsi que leurs équivalents en clair.
En juillet 2016, une fuite de données du forum de bases de données désormais disparu « dBforums » est apparue en vente aux côtés de plusieurs autres piratés à la société mère, Penton.
En juillet 2016, le site Mac Forums, qui se présentait comme « The Ultimate Source For Your Mac », a subi une fuite de données. Le système basé sur vBulletin a exposé plus de 326 000 noms d'utilisateur, adresses e-mail et IP, dates de naissance et mots de passe stockés sous forme d'empreintes MD5 salées.
En 2016, le site dédié à aider les internautes à pirater des comptes de messagerie et de jeux en ligne, connu sous le nom d'Abusewith.us, a subi plusieurs fuites de données. Le site aurait eu un administrateur en commun avec le tristement célèbre site LeakedSource, tous deux ayant depuis été fermés.
Vers la mi-2016, le forum communautaire de cracking connu sous le nom de CrackingForum a subi une fuite de données. Le forum basé sur vBulletin a exposé 660 000 adresses e-mail et IP, des noms d'utilisateur et des hachages MD5 salés.
En juillet 2016, le service de livraison de repas basé en Inde FreshMenu a subi une fuite de données. L'incident a exposé les données personnelles de plus de 110 000 clients et comprenait leurs noms, adresses e-mail, numéros de téléphone, adresses postales et historiques de commandes.
En juillet 2016, le site d'anime Funimation a subi une fuite de données qui a touché 2,5 millions de comptes. Les données contenaient des noms d'utilisateur, des adresses e-mail, des dates de naissance et des empreintes SHA1 salées de mots de passe.
Début 2017, GPS Underground figurait parmi un ensemble de sites web vBulletin compromis trouvés en vente en ligne. La fuite remontait à la mi-2016 et comprenait 670 000 enregistrements avec des identifiants, des adresses e-mail et IP, des dates de naissance et des empreintes MD5 salées de mots de passe.
En juillet 2016, le site aujourd'hui disparu Kaneva, le service permettant de « construire et explorer des mondes virtuels », a subi une fuite de données qui a exposé 3,9 millions d'enregistrements utilisateurs. Les données comprenaient des adresses e-mail, des noms d'utilisateur, des dates de naissance et des empreintes de mots de passe MD5 salées.
En juillet 2016, le site désormais disparu de listes de jeux en ligne gratuits OnRPG a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. L'incident a exposé un peu plus d'1 million d'adresses e-mail et IP, ainsi que des noms d'utilisateur et des mots de passe stockés sous forme de hachages MD5 salés.
En 2016, le réseau mondial de jeu en LAN aujourd'hui disparu Tunngle a subi une fuite de données qui a exposé 8,2 millions d'adresses e-mail uniques. Les données compromises comprenaient également des noms d'utilisateur, des adresses IP et des mots de passe stockés sous forme de hachages MD5 salés.
En juillet 2016, le forum Web Hosting Talk a subi une fuite de données qui a ensuite été mise en vente. La fuite du forum basé sur vBulletin a exposé 515 000 enregistrements d'utilisateurs comprenant des noms d'utilisateur, des adresses e-mail, des adresses IP et des hachages MD5 salés des mots de passe.
Vers juin 2016, le site immobilier StreetEasy a subi une fuite de données. Au total, 988 000 adresses e-mail uniques figuraient dans la fuite, accompagnées de noms, de noms d'utilisateur et d'empreintes SHA-1 de mots de passe, l'ensemble ayant été mis en vente sur une place de marché du dark web en février 2019.
À la mi-2016, le service d'annuaire téléphonique et d'adresses Whitepages faisait partie d'une série de sites dont les données ont été compromises puis vendues début 2019. Les données comprenaient plus de 11 millions d'adresses e-mail uniques ainsi que des noms et des mots de passe stockés sous forme de hachage SHA-1 ou bcrypt.
En juin 2016, le site de rencontres Muslim Match a vu 150 000 adresses e-mail exposées. Les données comprenaient des discussions et des messages privés entre personnes en quête de relations ainsi que de nombreux autres attributs personnels, dont des mots de passe hachés en MD5.
En juin 2016, le site HLTV, « la référence du Counter Strike compétitif », a été piraté et 611 000 comptes ont été exposés. L'attaque a entraîné l'exposition des noms, noms d'utilisateur, adresses e-mail et empreintes bcrypt des mots de passe.
Les unités 26165 (APT28) et 31165 (APT29) du GRU russe ont compromis le Comité national démocrate, la campagne de Hillary Clinton et le DCCC. Des courriels volés ont été diffusés de manière sélective via « DCLeaks », « Guccifer 2.0 » et WikiLeaks pour influencer l'élection présidentielle américaine de 2016.
Un e-mail de harponnage porteur du logiciel malveillant PlugX a compromis JTB, la plus grande agence de voyages du Japon, exposant les données personnelles — dont des milliers de numéros de passeport — de jusqu'à 7,93 millions de clients.
En juin 2016, le studio de développement de jeux Facepunch a subi une fuite de données qui a exposé 343 000 utilisateurs. Les données compromises comprenaient des noms d'utilisateur, des adresses e-mail et IP, des dates de naissance et des empreintes de mots de passe MD5 salées. Facepunch a indiqué avoir eu connaissance de l'incident et en avoir averti les personnes concernées à l'époque.
En juin 2016, le jeu multijoueur en ligne Evony a été piraté et plus de 29 millions de comptes uniques ont été exposés. L'attaque a entraîné l'exposition de noms d'utilisateur, d'adresses e-mail et IP et d'empreintes MD5 de mots de passe (sans sel).
Vers la mi-2016, le service italien de création de forums connu sous le nom de ForumCommunity a subi une fuite de données. L'incident a touché plus de 776 000 adresses e-mail uniques ainsi que des noms d'utilisateur et des empreintes de mots de passe MD5 non salées. Aucune réponse n'a été reçue de ForumCommunity lorsqu'il a été contacté.
Vers juillet 2016, le site de mangas connu sous le nom de mangafox.me a subi une fuite de données. Le forum basé sur vBulletin a exposé 1,3 million de comptes comprenant des noms d'utilisateur, des adresses e-mail et IP, des dates de naissance et des empreintes de mots de passe MD5 salées.
En juin 2016, l'application Facebook connue sous le nom d'Uiggy a été piratée et 4,3 millions de comptes ont été exposés, dont 2,7 millions étaient associés à une adresse e-mail. Les comptes divulgués ont également exposé des noms, des genres et l'identifiant Facebook des propriétaires.
Les identifiants d'environ 360 millions de comptes MySpace antérieurs à 2013 ont été mis en vente sur le dark web en 2016. Les mots de passe étaient stockés sous forme de hachages SHA-1 non salés, rendant trivialement cassable l'une des plus grandes fuites d'identifiants jamais divulguées.
En mai 2015, près de 100 000 enregistrements d'utilisateurs ont été extraits du site de torrents hongrois connu sous le nom de Teracod. Les données ont ensuite été découvertes en cours de partage par torrent et comprenaient des adresses e-mail, des mots de passe, des messages privés entre membres et l'historique d'appairage des adresses IP utilisant le service.
En juillet 2016, un tweet a été publié avec un lien vers une présumée fuite de données de BlueSnap, une passerelle de paiement et un fournisseur de comptes marchands mondial. Les données contenaient 324 000 enregistrements de paiement répartis sur 105 000 adresses e-mail uniques et incluaient des attributs personnels tels que le nom, l'adresse du domicile et le numéro de téléphone.
En mai 2016, le site de jeux en ligne Army Force Online a subi une fuite de données qui a exposé 1,5 million de comptes. Les données compromises se trouvaient régulièrement échangées en ligne et comprenaient des noms d'utilisateur, des adresses e-mail et IP ainsi que des mots de passe MD5.
En mai 2016, le site Fur Affinity destiné aux personnes s'intéressant aux personnages animaux anthropomorphes (également connus sous le nom de « furries ») a été piraté. L'attaque a exposé 1,2 million d'adresses e-mail (de nombreux comptes avaient une adresse « première » et « dernière » différente associée) et des mots de passe hachés.
Quelque temps avant mai 2016, le forum connu sous le nom de « Rosebutt Board » a été piraté et 107 000 comptes ont été exposés. Ce forum se décrivant comme le « premier forum pour les amateurs de fisting anal, de prolapsus, d'insertions énormes et de rosebutt » a vu des adresses e-mail et IP, des noms d'utilisateur et des hachages de mots de passe MD5 salés faiblement stockés piratés…
En mai 2016, le service de serveur multijoueur pour Minecraft Shotbow a annoncé avoir subi une fuite de données. L'incident a entraîné l'exposition de plus d'un million d'adresses e-mail uniques, de noms d'utilisateur et de hachages de mots de passe SHA-256 salés.
En mai 2016, le forum de la communauté de cracking connu sous le nom de Nulled.cr a été piraté et 599 000 comptes utilisateurs ont été divulgués publiquement. Les données compromises comprenaient des adresses e-mail et IP, des hachages de mots de passe MD5 salés faibles et des centaines de milliers de messages privés entre membres.
En mai 2016, le forum de jeux vietnamien GameVN a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. Les données divulguées du forum basé sur XenForo comprenaient 1,4 million d'adresses e-mail uniques, des noms d'utilisateur, des adresses IP et des empreintes de mots de passe MD5 salées.
La police sud-coréenne a attribué la violation du détaillant en ligne Interpark — exposant les données personnelles de plus de 10 millions d'acheteurs — à l'agence de renseignement nord-coréenne, qui a utilisé le harponnage avant d'exiger une rançon en bitcoins de plusieurs millions de dollars.
Une archive de 1,4 Go contenant des fichiers internes, des dossiers de comptes clients et près d'un million de numéros de cartes de paiement stockés en clair a été diffusée en ligne, incluant des dossiers sur la famille royale Al Thani du Qatar, le personnel d'Al Jazeera et des cibles de renseignement présumées.
En avril 2016, le service de livraison de repas en ligne Foodora a subi une fuite de données qui a ensuite été largement redistribuée en ligne. La fuite comprenait les informations personnelles de centaines de milliers de clients de plusieurs pays, dont leurs noms, adresses de livraison, numéros de téléphone et…
En avril 2016, des données clients provenant de l'application de streaming connue sous le nom de « 17 » ont été mises en vente sur une place de marché d'un service caché Tor. Les données contenaient plus de 4 millions d'adresses e-mail uniques ainsi que des adresses IP, des noms d'utilisateur et des mots de passe stockés sous forme de hachages MD5 non salés.
Une base de données MongoDB mal configurée a laissé l'intégralité du fichier électoral national mexicain — 93,4 millions d'enregistrements comprenant noms, adresses, dates de naissance et numéros d'identité nationale — accessible publiquement sur le cloud d'Amazon, sans mot de passe, pendant des mois.
Aux alentours d'avril 2016, la société KnownCircle, spécialisée dans « l'automatisation marketing pour les agents et les prestataires de services professionnels », a vu un grand volume de données récupéré par une partie externe.
Une base de données de 6,6 Go contenant les numéros d'identité nationaux, noms complets, noms des parents, adresses et dates de naissance de 49,6 millions de citoyens turcs a été divulguée en clair en ligne, exposant la quasi-totalité de la population adulte.
Vers avril 2016, le site web de jeux Guns and Robots a subi une fuite de données entraînant l'exposition de 143 000 enregistrements uniques. Les données contenaient des adresses e-mail et IP, des identifiants et des empreintes SHA-1 de mots de passe.
Des pirates ont défiguré le site web de la Commission électorale des Philippines et divulgué l'intégralité de sa base de données d'inscription des électeurs — des dossiers sur environ 55 millions d'électeurs, dont 15,8 millions d'empreintes digitales et 1,3 million de numéros de passeport d'expatriés — dans l'une des plus grandes fuites gouvernementales jamais survenues.
En janvier 2021, des données provenant de plusieurs services compromis, dont Tuned Global, ont été diffusées sur un forum de piratage public. La fuite semble remonter à 2016 et comprend 985 000 enregistrements contenant des adresses e-mail, des noms, un petit nombre d'adresses postales et de numéros de téléphone, ainsi que des mots de passe stockés…
En mars 2016, le site web pour adultes Naughty America a été piraté et les données ont ensuite été vendues en ligne. La fuite comprenait des données provenant de nombreux systèmes avec divers attributs d'identité personnelle, le plus volumineux d'entre eux contenant des mots de passe stockés sous forme d'empreintes MD5 facilement craquables.
En mars 2016, le service de protection contre les attaques DDoS Staminus a été « massivement piraté », entraînant une panne de plus de 20 heures et la divulgation des identifiants de clients (avec des empreintes MD5 non salées), de tickets de support, de numéros de carte de crédit et d'autres données sensibles.
En mars 2016, le développeur de jeux polonais CD Projekt RED a subi une fuite de données. Le piratage de leur forum a entraîné l'exposition de près de 1,9 million de comptes ainsi que de noms d'utilisateur, d'adresses e-mail et de mots de passe SHA1 salés.
En février 2016, le portail et service de messagerie russe KM.RU a été la cible d'une attaque qui a ensuite été détaillée sur Reddit. Protestant prétendument contre « la politique étrangère de la Russie à l'égard de l'Ukraine », KM.RU faisait partie de plusieurs sites russes touchés par la fuite et a impacté près de 1,5 M de comptes…
En février 2016, le site de rencontres mate1.com a subi une énorme fuite de données entraînant la divulgation des informations de plus de 27 millions d'abonnés. Les données comprenaient des informations profondément personnelles sur leur vie privée, notamment leurs habitudes de consommation de drogue et d'alcool, leurs niveaux de revenus et leurs fétiches sexuels, ainsi que…
En février 2016, la société de jeux russe Nival a été la cible d'une attaque qui a ensuite été détaillée sur Reddit. Protestant prétendument contre « la politique étrangère de la Russie à l'égard de l'Ukraine », Nival faisait partie de plusieurs sites russes touchés par la fuite et a vu plus de 1,5 million de comptes compromis, comprenant…
En février 2016, le mod de simulation de camionnage en ligne TruckersMP a subi une fuite de données qui a exposé 84 000 comptes utilisateurs. Pour la première fois sur « Have I Been Pwned », les données compromises ont été soumises directement par l'organisation elle-même victime de la fuite.
En février 2016, le site web de la distribution Linux connue sous le nom de Linux Mint a été piraté et l'ISO infectée par une porte dérobée. Le site hébergeait également un forum phpBB qui a ensuite été mis en vente avec près de 145 k adresses e-mail, mots de passe et autres informations personnelles d'abonnés.
En février 2016, le site slovaque de suivi de torrents SkTorrent a été piraté et plus de 117 000 enregistrements ont été divulgués en ligne. Le dump de données comprenait des noms d'utilisateur, des adresses e-mail et des mots de passe stockés en clair.
Vers février 2016, des données prétendument obtenues auprès de V-Tight Gel (gel de resserrement vaginal) ont fait surface. Bien que l'ensemble de données ait été intitulé V-Tight, il contenait 50 autres noms de domaine (majoritairement liés au bien-être), pour la plupart détenus par la même entité.
Des opérateurs de Lazarus ont envoyé des instructions SWIFT frauduleuses via la Fed de New York pour virer 951 millions de dollars du compte de réserve de la Bangladesh Bank. Une faute de frappe sur un virement a bloqué 850 M$ ; 81 M$ se sont tout de même échappés vers des casinos philippins.
En février 2016, le jeu de rythme musical connu sous le nom de Flash Flash Revolution a été piraté et 1,8 million de comptes ont été exposés. Outre les adresses e-mail et IP, le forum vBulletin a également exposé des empreintes de mots de passe MD5 salées.
Vers janvier 2016, le site Minecraft World Map, conçu pour partager des cartes créées pour le jeu, a été piraté et plus de 71 000 comptes d'utilisateurs ont été exposés. Les données comprenaient des noms d'utilisateur, des adresses e-mail et IP ainsi que des mots de passe salés et hachés.
Début 2016, le forum du client BitTorrent uTorrent a subi une fuite de données qui a été révélée plus tard dans l'année. La base de données du forum basé sur IP.Board contenait 395 000 comptes, dont des noms d'utilisateur, des adresses e-mail et des hachages de mots de passe MD5 sans sel.
En janvier 2016, le site web d'esport Battlefy a subi une fuite de données qui a exposé 83 000 enregistrements de clients. Les données touchées comprenaient des adresses e-mail, des noms d'utilisateur et des mots de passe stockés sous forme de hachages bcrypt.
En janvier 2016, le revendeur de comptes piratés EpicNPC a subi une fuite de données qui a affecté 409 000 abonnés. Les données concernées comprenaient des noms d'utilisateur, des adresses IP et e-mail et des mots de passe stockés sous forme d'empreintes MD5 salées. Les données ont été fournies à HIBP par dehashed.com.
Aux alentours de 2016, le site web d'animés Anime-Planet a subi une fuite de données qui a touché 369 000 abonnés. Les données exposées comprenaient des noms d'utilisateur, des adresses IP et e-mail, des dates de naissance et des mots de passe stockés sous forme de hachages MD5 non salés et, pour les comptes plus récents, de hachages bcrypt.
En janvier 2016, le forum du célèbre logiciel de torrent BitTorrent a été piraté. Le forum basé sur IP.Board stockait les mots de passe sous forme de faibles hachages SHA1 salés et les données compromises comprenaient également des noms d'utilisateur, des adresses e-mail et IP.
En janvier 2016, le site de jeu D3Scene a subi une fuite de données. Le forum vBulletin compromis a exposé 569 000 adresses e-mail, adresses IP, noms d'utilisateur et mots de passe stockés sous forme de hachages MD5 salés. Les données ont été fournies à HIBP par dehashed.com.
En janvier 2016, la communauté Minecraft connue sous le nom de Lifeboat a été piratée et plus de 7 millions de comptes ont fuité. Lifeboat a eu connaissance de l'incident pendant trois mois avant que la fuite ne soit rendue publique, mais a choisi de ne pas avertir ses clients.
Vers janvier 2016, la communauté Android britannique connue sous le nom de MoDaCo a subi une fuite de données qui a exposé 880 000 identités d'abonnés. Les données comprenaient des adresses e-mail et IP, des noms d'utilisateur et des mots de passe stockés sous forme d'empreintes MD5 salées.
En janvier 2016, le monde virtuel en ligne connu sous le nom d'Onverse a été piraté et 800 000 comptes ont été exposés. Outre des adresses e-mail et IP, le site a également exposé des hachages de mots de passe MD5 salés.
Mi-2015, le site Minecraft néerlandais ServerPact a été piraté et 73 000 comptes ont été exposés. Outre des dates de naissance et des adresses e-mail et IP, le site a également exposé des hachages de mots de passe SHA1 utilisant le nom d'utilisateur comme sel.
Vers début 2016, le site de jeu Xpgamesaves (XPG) a subi une fuite de données entraînant l'exposition de 890 000 enregistrements d'utilisateurs uniques. Les données contenaient des adresses e-mail et IP, des noms d'utilisateur et des hachages MD5 salés des mots de passe.