Incidents de
En décembre 2018, le portail d'emploi indien IIMJobs a subi une fuite de données qui a exposé 4,1 millions d'adresses e-mail uniques. Les données comprenaient également des noms, numéros de téléphone, localisations géographiques, dates de naissance, intitulés de poste, candidatures et lettres de motivation, ainsi que des mots de passe stockés sous forme d'empreintes MD5 non salées.
Aux alentours de décembre 2018, la plateforme publicitaire en ligne BannerBit a subi une fuite de données. Contenant 213 000 adresses e-mail uniques et des mots de passe en texte clair, les données ont été fournies à HIBP par un tiers. Plusieurs tentatives ont été faites pour contacter BannerBit, mais aucune réponse n'a été reçue.
En décembre 2018, le site web Town of Salem produit par BlankMediaGames a subi une fuite de données. Signalées à HIBP par DeHashed, les données contenaient 7,6 millions d'adresses e-mail uniques d'utilisateurs aux côtés de noms d'utilisateur, d'adresses IP, d'historiques d'achats et de mots de passe stockés sous forme de hachages phpass.
En mai 2019, le forum de détournement de comptes et de SIM swapping OGusers a subi une fuite de données. La fuite a exposé une sauvegarde de base de données datant de décembre 2018, publiée sur un forum de piratage rival. Elle comprenait 161 000 adresses e-mail uniques réparties sur 113 000 utilisateurs du forum et d'autres tables de la base de données.
En décembre 2018, le site de jeux de rôle sur table Roll20 a subi une fuite de données. Près de 4 millions de clients ont été touchés par la fuite et ont vu leurs adresses e-mail et IP, leurs noms, leurs hachages bcrypt de mots de passe et les 4 derniers chiffres de leurs cartes de crédit exposés.
En septembre 2021, le site thaïlandais d'enseignement de l'anglais Ajarn a découvert qu'il avait été victime d'une fuite de données remontant à décembre 2018. La fuite a été signalée à HIBP par l'entreprise elle-même et comprenait 266 000 adresses e-mail, noms, genres, numéros de téléphone et autres informations personnelles.
Vers décembre 2018, le centre commercial numérique Wanelo a subi une fuite de données. Les données ont ensuite été mises en vente sur une place de marché du dark web aux côtés d'un ensemble d'autres fuites de données en avril 2019.
En décembre 2018, le site de cartographie Mappery a subi une fuite de données qui a exposé plus de 205 000 adresses e-mail uniques. L'incident a également exposé des noms d'utilisateur, la localisation géographique de l'utilisateur et des mots de passe stockés sous forme d'empreintes SHA-1 non salées.
En décembre 2018, le site web slovaque de visionnage de films en ligne gratuit Bombuj.eu a subi une fuite de données. L'incident a exposé plus de 575 000 adresses e-mail uniques et des mots de passe stockés sous forme de hachages MD5 non salés. Aucune réponse n'a été reçue de Bombuj.eu lorsqu'il a été contacté au sujet de l'incident.
La plateforme de questions-réponses Quora a révélé qu'un tiers non autorisé avait accédé aux données d'environ 100 millions d'utilisateurs, dont les noms, adresses e-mail, mots de passe salés et hachés, ainsi que des contacts et données démographiques importés.
L'application de messagerie vidéo Dubsmash a été compromise en décembre 2018, exposant environ 162 millions de comptes avec des adresses e-mail, des noms d'utilisateur et des empreintes de mots de passe PBKDF2 qui ont ensuite été mises en vente sur la place de marché du dark web Dream Market par le courtier GnosticPlayers.
En décembre 2018, le réseau social de partage de photos Fotolog a subi une fuite de données qui a exposé 16,7 millions d'adresses e-mail uniques. Les données comprenaient également des noms d'utilisateur et des empreintes de mots de passe SHA-256 non salées.
Des opérateurs attribués à l'État chinois sont restés présents sans être détectés sur la base de données de réservation des clients de Starwood depuis 2014, survivant à l'acquisition de 2016 par Marriott. Révélation en 2018 : 500 millions d'enregistrements clients exposés, dont 5,25 millions de numéros de passeport non chiffrés.
En novembre 2018, la plateforme de modpacks Minecraft connue sous le nom de Technic a subi une fuite de données. Technic a rapidement divulgué la fuite et indiqué que les données touchées comprenaient les adresses e-mail et IP de plus de 265 000 utilisateurs uniques, des journaux de discussion, des messages privés et des mots de passe stockés sous forme de condensats bcrypt avec un facteur…
Des attaquants ont dérobé la base de données clients du groupe de commerce en ligne polonais Morele.net, exposant les données d'environ 2,2 millions de clients et lançant une campagne de hameçonnage par SMS réclamant un faux « complément » de 1 PLN via une passerelle de paiement contrefaite. L'UODO polonais a infligé son amende RGPD record d'alors, de 660 000 EUR.
En novembre 2018, le chercheur en sécurité Bob Diachenko a identifié une base de données non protégée que l'on pensait être hébergée par un agrégateur de données. Après une enquête plus approfondie, les données ont été liées à la société de marketing Data & Leads.
En novembre 2018, le chercheur en sécurité Bob Diachenko a identifié une base de données non protégée hébergée par l'agrégateur de données « Adapt ». Fournisseur de « contacts de qualité à jour », le service a exposé plus de 9,3 M de dossiers uniques de personnes et d'informations sur leurs employeurs, dont leurs noms, employeurs, intitulés de poste,…
En novembre 2018, le service de bac à sable WordPress permettant de créer des sites web temporaires WP Sandbox a découvert que son service était utilisé pour héberger un site de phishing tentant de collecter des comptes Microsoft OneDrive.
En novembre 2018, la Società Italiana degli Autori ed Editori (Société italienne des auteurs et éditeurs, ou SIAE) a été piratée, défigurée et près de 4 Go de données ont été divulgués publiquement via Twitter. Les données comprenaient les noms, adresses e-mail et mots de passe de plus de 14 000 utilisateurs enregistrés.
En octobre 2018, le chercheur en sécurité Bob Diachenko a identifié plusieurs bases de données exposées contenant des centaines de millions d'enregistrements. L'un de ces ensembles de données était une instance Elasticsearch sur AWS contenant des données de prospects commerciaux et 5,8 millions d'adresses e-mail uniques.
Des retraits frauduleux chez BankIslami ont déclenché la plus grande fuite du secteur bancaire pakistanais, avec les détails de plus de 19 000 cartes de paiement de 22 banques mis en vente sur le forum de carding Joker's Stash et encaissés via des distributeurs et terminaux de paiement à l'étranger.
Une intrusion pluriannuelle dans les systèmes informatiques de Cathay Pacific a exposé les données personnelles de 9,4 millions de passagers dans le monde, dont des numéros de passeport et de pièce d'identité, valant à la compagnie aérienne l'amende maximale de 500 000 £ infligée par l'ICO britannique avant le RGPD.
En octobre 2018, le site d'éducation et de services de courtage en métaux précieux GoldSilver a subi une fuite de données qui a exposé 243 000 adresses e-mail uniques, couvrant à la fois des clients et des abonnés à la liste de diffusion.
En octobre 2018, le service de réservation de restaurants Eatigo a subi une fuite de données qui a exposé 2,8 millions de comptes. Les données comprenaient des adresses e-mail, des noms, des numéros de téléphone, des profils de réseaux sociaux, des genres et des mots de passe stockés sous forme d'empreintes MD5 non salées.