Incidents de
En décembre 2018, le portail d'emploi indien IIMJobs a subi une fuite de données qui a exposé 4,1 millions d'adresses e-mail uniques. Les données comprenaient également des noms, numéros de téléphone, localisations géographiques, dates de naissance, intitulés de poste, candidatures et lettres de motivation, ainsi que des mots de passe stockés sous forme d'empreintes MD5 non salées.
Aux alentours de décembre 2018, la plateforme publicitaire en ligne BannerBit a subi une fuite de données. Contenant 213 000 adresses e-mail uniques et des mots de passe en texte clair, les données ont été fournies à HIBP par un tiers. Plusieurs tentatives ont été faites pour contacter BannerBit, mais aucune réponse n'a été reçue.
En décembre 2018, le site web Town of Salem produit par BlankMediaGames a subi une fuite de données. Signalées à HIBP par DeHashed, les données contenaient 7,6 millions d'adresses e-mail uniques d'utilisateurs aux côtés de noms d'utilisateur, d'adresses IP, d'historiques d'achats et de mots de passe stockés sous forme de hachages phpass.
En mai 2019, le forum de détournement de comptes et de SIM swapping OGusers a subi une fuite de données. La fuite a exposé une sauvegarde de base de données datant de décembre 2018, publiée sur un forum de piratage rival. Elle comprenait 161 000 adresses e-mail uniques réparties sur 113 000 utilisateurs du forum et d'autres tables de la base de données.
En décembre 2018, le site de jeux de rôle sur table Roll20 a subi une fuite de données. Près de 4 millions de clients ont été touchés par la fuite et ont vu leurs adresses e-mail et IP, leurs noms, leurs hachages bcrypt de mots de passe et les 4 derniers chiffres de leurs cartes de crédit exposés.
En septembre 2021, le site thaïlandais d'enseignement de l'anglais Ajarn a découvert qu'il avait été victime d'une fuite de données remontant à décembre 2018. La fuite a été signalée à HIBP par l'entreprise elle-même et comprenait 266 000 adresses e-mail, noms, genres, numéros de téléphone et autres informations personnelles.
Vers décembre 2018, le centre commercial numérique Wanelo a subi une fuite de données. Les données ont ensuite été mises en vente sur une place de marché du dark web aux côtés d'un ensemble d'autres fuites de données en avril 2019.
En décembre 2018, le site de cartographie Mappery a subi une fuite de données qui a exposé plus de 205 000 adresses e-mail uniques. L'incident a également exposé des noms d'utilisateur, la localisation géographique de l'utilisateur et des mots de passe stockés sous forme d'empreintes SHA-1 non salées.
En décembre 2018, le site web slovaque de visionnage de films en ligne gratuit Bombuj.eu a subi une fuite de données. L'incident a exposé plus de 575 000 adresses e-mail uniques et des mots de passe stockés sous forme de hachages MD5 non salés. Aucune réponse n'a été reçue de Bombuj.eu lorsqu'il a été contacté au sujet de l'incident.
La plateforme de questions-réponses Quora a révélé qu'un tiers non autorisé avait accédé aux données d'environ 100 millions d'utilisateurs, dont les noms, adresses e-mail, mots de passe salés et hachés, ainsi que des contacts et données démographiques importés.
L'application de messagerie vidéo Dubsmash a été compromise en décembre 2018, exposant environ 162 millions de comptes avec des adresses e-mail, des noms d'utilisateur et des empreintes de mots de passe PBKDF2 qui ont ensuite été mises en vente sur la place de marché du dark web Dream Market par le courtier GnosticPlayers.
En décembre 2018, le réseau social de partage de photos Fotolog a subi une fuite de données qui a exposé 16,7 millions d'adresses e-mail uniques. Les données comprenaient également des noms d'utilisateur et des empreintes de mots de passe SHA-256 non salées.
Des opérateurs attribués à l'État chinois sont restés présents sans être détectés sur la base de données de réservation des clients de Starwood depuis 2014, survivant à l'acquisition de 2016 par Marriott. Révélation en 2018 : 500 millions d'enregistrements clients exposés, dont 5,25 millions de numéros de passeport non chiffrés.
En novembre 2018, la plateforme de modpacks Minecraft connue sous le nom de Technic a subi une fuite de données. Technic a rapidement divulgué la fuite et indiqué que les données touchées comprenaient les adresses e-mail et IP de plus de 265 000 utilisateurs uniques, des journaux de discussion, des messages privés et des mots de passe stockés sous forme de condensats bcrypt avec un facteur…
Des attaquants ont dérobé la base de données clients du groupe de commerce en ligne polonais Morele.net, exposant les données d'environ 2,2 millions de clients et lançant une campagne de hameçonnage par SMS réclamant un faux « complément » de 1 PLN via une passerelle de paiement contrefaite. L'UODO polonais a infligé son amende RGPD record d'alors, de 660 000 EUR.
En novembre 2018, le chercheur en sécurité Bob Diachenko a identifié une base de données non protégée que l'on pensait être hébergée par un agrégateur de données. Après une enquête plus approfondie, les données ont été liées à la société de marketing Data & Leads.
En novembre 2018, le chercheur en sécurité Bob Diachenko a identifié une base de données non protégée hébergée par l'agrégateur de données « Adapt ». Fournisseur de « contacts de qualité à jour », le service a exposé plus de 9,3 M de dossiers uniques de personnes et d'informations sur leurs employeurs, dont leurs noms, employeurs, intitulés de poste,…
En novembre 2018, le service de bac à sable WordPress permettant de créer des sites web temporaires WP Sandbox a découvert que son service était utilisé pour héberger un site de phishing tentant de collecter des comptes Microsoft OneDrive.
En novembre 2018, la Società Italiana degli Autori ed Editori (Société italienne des auteurs et éditeurs, ou SIAE) a été piratée, défigurée et près de 4 Go de données ont été divulgués publiquement via Twitter. Les données comprenaient les noms, adresses e-mail et mots de passe de plus de 14 000 utilisateurs enregistrés.
En octobre 2018, le chercheur en sécurité Bob Diachenko a identifié plusieurs bases de données exposées contenant des centaines de millions d'enregistrements. L'un de ces ensembles de données était une instance Elasticsearch sur AWS contenant des données de prospects commerciaux et 5,8 millions d'adresses e-mail uniques.
Des retraits frauduleux chez BankIslami ont déclenché la plus grande fuite du secteur bancaire pakistanais, avec les détails de plus de 19 000 cartes de paiement de 22 banques mis en vente sur le forum de carding Joker's Stash et encaissés via des distributeurs et terminaux de paiement à l'étranger.
Une intrusion pluriannuelle dans les systèmes informatiques de Cathay Pacific a exposé les données personnelles de 9,4 millions de passagers dans le monde, dont des numéros de passeport et de pièce d'identité, valant à la compagnie aérienne l'amende maximale de 500 000 £ infligée par l'ICO britannique avant le RGPD.
En octobre 2018, le site d'éducation et de services de courtage en métaux précieux GoldSilver a subi une fuite de données qui a exposé 243 000 adresses e-mail uniques, couvrant à la fois des clients et des abonnés à la liste de diffusion.
En octobre 2018, le service de réservation de restaurants Eatigo a subi une fuite de données qui a exposé 2,8 millions de comptes. Les données comprenaient des adresses e-mail, des noms, des numéros de téléphone, des profils de réseaux sociaux, des genres et des mots de passe stockés sous forme d'empreintes MD5 non salées.
En octobre 2018, le service de télévision sur internet Pluto TV a subi une fuite de données qui a ensuite été largement partagée dans les communautés de pirates. Pluto TV « a décidé de ne pas informer proactivement les utilisateurs de la fuite » qui contenait 3,2 millions d'adresses e-mail et IP uniques, des noms, des noms d'utilisateur, des sexes, des dates de naissance…
En octobre 2018, le site dédié à la publication de photos dénudées et d'autres contenus érotiques d'épouses Wife Lovers a subi une fuite de données. La base de données sous-jacente alimentait au total 8 sites web pour adultes différents et contenait plus de 1,2 million d'adresses e-mail uniques.
En octobre et novembre 2018, le chercheur en sécurité Bob Diachenko a identifié plusieurs instances MongoDB non protégées que l'on pense hébergées par un agrégateur de données.
En octobre 2018, le service Minecraft russe VimeWorld a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un ensemble de données plus vaste. Les données comprenaient 3,1 millions d'enregistrements de noms d'utilisateur, d'adresses e-mail et IP et de mots de passe stockés sous forme de hachages MD5 ou bcrypt.
En septembre 2018, le chercheur en sécurité Bob Diachenko a découvert une vaste collection de données personnelles exposées dans une instance MongoDB non protégée. Les données semblent avoir été utilisées dans des campagnes marketing (probablement à des fins de spam) mais comportaient peu de données d'identification autres qu'une…
En septembre 2018, une collection de près de 42 millions de paires d'adresses e-mail et de mots de passe en clair a été téléversée sur le service anonyme de partage de fichiers kayo.moe.
Les opérateurs de Magecart ont injecté un JavaScript de vol de données de cartes dans la page de paiement de British Airways, dérobant les détails de cartes sur 380 000 transactions en 15 jours. L'ICO britannique a d'abord proposé une amende RGPD de 183,4 M£ — ramenée ensuite à 20 M£ après des arguments d'atténuation liés à l'impact du Covid.
En septembre 2018, l'application de rencontre Color Dating, destinée à mettre en relation des personnes d'origines ethniques différentes, a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un ensemble de données plus important. La fuite a exposé 220 000 adresses e-mail uniques ainsi que des biographies, des noms, des photos de profil et des hachages de mots de passe bcrypt.
En septembre 2018, le site allemand de réseau social Knuddels a subi une fuite de données. L'incident a exposé 808 k adresses e-mail uniques ainsi que des noms d'utilisateur, des noms réels, la ville de la personne et son mot de passe en clair. Knuddels a par la suite été condamné à une amende de 20 k€ pour cette fuite.
En avril 2024, plus d'un demi-million d'enregistrements provenant du site de jeux italien Multiplayer.it ont été publiés sur un forum de piratage populaire. Les données concernées comprenaient des adresses e-mail, des noms d'utilisateur et des empreintes de mots de passe MD5 salées.
En août 2018, la plateforme d'investissement en cryptomonnaie Atlas Quantum a subi une fuite de données. La fuite a divulgué les données personnelles de 261 000 investisseurs de la plateforme, notamment leurs noms, numéros de téléphone, adresses e-mail et soldes de compte.
En août 2018, le créateur de jeux interactifs furry pour adultes HTH Studios a subi une fuite de données touchant plusieurs référentiels de données clients. Plusieurs mois plus tard, les données sont apparues sur un forum de piratage populaire et comprenaient 411 000 adresses e-mail uniques ainsi que des adresses physiques et IP, des noms,…
En août 2018, l'entreprise de logiciels espions SpyFone a laissé des téraoctets de données exposés publiquement. Collectées subrepticement pendant que les cibles utilisaient leurs appareils, les données comprenaient des photos, des enregistrements audio, des messages texte et l'historique de navigation, exposés par le biais de plusieurs mauvaises configurations au sein…
À la mi-2018, le site de shopping de mode HauteLook figurait parmi un ensemble de sites compromis dont les données ont ensuite été vendues début 2019. Les données comprenaient plus de 28 millions d'adresses e-mail uniques ainsi que des noms, des genres, des dates de naissance et des mots de passe stockés sous forme d'empreintes bcrypt.
En août 2018, le site d'échange Roblox Rbx.Rocks a subi une fuite de données. Près de 25 000 enregistrements ont été envoyés à HIBP en novembre et comprenaient des noms, des adresses e-mail et des mots de passe stockés sous forme de hachages bcrypt. En juillet 2019, 125 000 enregistrements supplémentaires ont émergé, portant la taille totale de l'incident à 150 000.
Une variante du rançongiciel WannaCry s'est propagée à travers les équipements de fabrication Windows 7 non corrigés de TSMC, le plus grand fondeur de puces au monde, paralysant la production des usines de Hsinchu, Taichung et Tainan et causant environ 170 millions de dollars de pertes.
En juillet 2018, le personnel du site de jeux Lanwar a découvert une fuite de données qui, selon eux, remonte à un moment au cours des mois précédents. Les données contenaient 45 k noms, adresses e-mail, noms d'utilisateur et mots de passe en clair.
La start-up d'engagement commercial Apollo a laissé en 2018 une base de données de 9 milliards de points de données et plus de 200 millions de fiches de contact exposée sans mot de passe ; un sous-ensemble de 126 millions d'adresses e-mail uniques a été intégré à Have I Been Pwned après sa découverte par le chercheur Vinny Troia.
Des acteurs attribués à l'État chinois ont exfiltré les données personnelles et les dossiers de médication ambulatoire de 1,5 million de patients de SingHealth — dont le Premier ministre Lee Hsien Loong — dans le plus grave incident cyber de Singapour.
En juillet 2018, le service de création de vidéos dans le cloud Animoto a subi une fuite de données. La fuite a exposé 22 millions d'adresses e-mail uniques ainsi que des noms, des dates de naissance, le pays d'origine et des hachages de mots de passe salés.
En juillet 2018, l'entreprise de commerce électronique britannique Fashion Nexus a subi une fuite de données qui a exposé 1,4 million d'enregistrements. Plusieurs sites web développés par sa société sœur White Room Solutions ont été touchés par la fuite, parmi lesquels des sites tels que Jaded London et AX Paris.
En juillet 2018, le service de marque-pages sociaux et de partage ShareThis a subi une fuite de données. L'incident a exposé 41 millions d'adresses e-mail uniques ainsi que des noms et, dans certains cas, des dates de naissance et des hachages de mots de passe.
Mi-2018, le service d'abonnement social de livres électroniques Bookmate figurait parmi une série de sites qui ont été compromis et dont les données ont ensuite été vendues début 2019. Les données comprenaient près de 4 millions d'adresses e-mail uniques aux côtés de noms, de genres, de dates de naissance et de mots de passe stockés sous forme de hachages SHA-512 salés.
Mi-2018, la communauté de photographie en ligne 500px a subi une fuite de données. L'incident a exposé près de 15 millions d'adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des genres, des dates de naissance et un hachage de mot de passe MD5 ou bcrypt.
En juillet 2018, le jeu en ligne massivement multijoueur Stronghold Kingdoms a subi une fuite de données. Près de 5,2 millions de comptes ont été touchés par l'incident, qui a exposé des adresses e-mail, des noms d'utilisateur et des mots de passe stockés sous forme d'empreintes SHA-1 salées.
En juillet 2018, le service de santé et de remise en forme 8fit a subi une fuite de données. Les données sont ensuite apparues en vente sur une place de marché du dark web en février 2019 et comprenaient plus de 15 M d'adresses e-mail uniques ainsi que des noms, des genres, des adresses IP et des mots de passe stockés sous forme de hachages bcrypt.
En juillet 2018, l'entreprise indienne de location de voitures en libre-service Zoomcar a subi une fuite de données qui a ensuite été vendue sur une place de marché du dark web en 2020. La fuite a exposé plus de 3,5 millions d'enregistrements, dont des noms, des adresses e-mail et IP, des numéros de téléphone et des mots de passe stockés sous forme d'empreintes bcrypt.
La société de marketing de données Exactis a laissé une base de données de près de 340 millions d'enregistrements sur des particuliers et des entreprises exposée sur un serveur accessible publiquement, sans pare-feu. Chaque enregistrement contenait jusqu'à 400 champs de données de profilage personnel, des coordonnées à l'âge des enfants, en passant par la religion et les habitudes.
En juin 2018, le service World of Warcraft Light's Hope a subi une fuite de données qu'il a ensuite signalée lui-même à HIBP. Plus de 30 k utilisateurs uniques ont été touchés et leurs données exposées comprenaient des adresses e-mail, des dates de naissance, des messages privés et des mots de passe stockés sous forme de hachages bcrypt.
En juin 2018, le jeu de rôle en ligne massivement multijoueur (MMORPG) Mortal Online a subi une fuite de données. Un fichier contenant 570 000 adresses e-mail et mots de passe craqués a ensuite été distribué en ligne.
En juin 2018, le serveur de commande et de contrôle d'un botnet malveillant connu sous le nom de « Trik Spam Botnet » était mal configuré, exposant ainsi les adresses e-mail de plus de 43 millions de personnes.
En juin 2018, le Bureau de lutte contre la cybercriminalité de la police criminelle centrale estonienne a contacté HIBP et demandé de l'aide pour rendre consultable un ensemble de données de 655 000 adresses e-mail.
Mi-2018, le détaillant basé à Hong Kong Romwe a subi une fuite de données ayant exposé près de 20 millions de clients. Les données ont ensuite été vendues en ligne et incluent des noms, des numéros de téléphone, des adresses e-mail et IP, les localisations géographiques des clients et des mots de passe stockés sous forme de hachages SHA-1 salés.
En juin 2018, le détaillant de mode rapide SHEIN a subi une compromission de ses systèmes de paiement exposant environ 39 millions d'identifiants de comptes. En 2022, l'État de New York a infligé une amende de 1,9 million de dollars à la maison mère Zoetop pour avoir minimisé la fuite et omis d'avertir la plupart des victimes.
En mai 2018, le site web du service de distribution de billets Ticketfly a été défacé par un attaquant et a ensuite été mis hors ligne. L'attaquant aurait demandé une rançon pour partager les détails de la vulnérabilité avec Ticketfly mais n'a pas reçu de réponse et a par la suite publié les données de la fuite…
En mai 2018, le site de partage d'œuvres de fiction pour adultes connu sous le nom d'Adult-FanFiction.Org a vu 186 000 enregistrements exposés lors d'une fuite de données. Les données contenaient des noms, des adresses e-mail, des dates de naissance et des mots de passe stockés à la fois sous forme de hachages MD5 et en clair.
À la mi-2018, la plateforme de design d'intérieur Houzz a vu un fichier contenant des données utilisateurs récupéré par un tiers non autorisé. L'entreprise l'a appris fin 2018 et l'a divulgué début 2019. Environ 49 millions de comptes ont été exposés, dont des e-mails, des identifiants, des hachages de mots de passe salés et des localisations déduites de l'adresse IP.
En mai 2018, la place de marché de commerce social Poshmark a été piratée et environ 36 millions de comptes utilisateurs ont été exposés, dont des adresses e-mail, des noms, des identifiants, le genre, la localisation et des mots de passe hachés avec bcrypt. L'entreprise a confirmé l'incident en août 2019.
En mai 2018, le forum de piratage russe Lolzteam a subi une fuite de données qui a exposé 400 k membres. Les données touchées comprenaient des noms d'utilisateur et des adresses e-mail qui ont ensuite été redistribués via un autre forum de piratage.
En mai 2018, le site web sud-africain de consultation en ligne des amendes de circulation connu sous le nom de ViewFines a subi une fuite de données. Plus de 934 000 enregistrements contenant 778 000 adresses e-mail uniques ont été exposés et comprenaient des noms, des numéros de téléphone, des pièces d'identité officielles et des mots de passe stockés en clair.
En mai 2018, le forum de l'entreprise singapourienne de matériel informatique Creative Technology a subi une fuite de données qui a entraîné la divulgation de 483 000 adresses e-mail uniques. Fonctionnant sur une ancienne version de vBulletin, la fuite a également divulgué des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5 salés.
En mai 2018, le site web Linux Forums a subi une fuite de données qui a entraîné la divulgation de 276 k adresses e-mail uniques. Fonctionnant sur une ancienne version de vBulletin, la fuite a également divulgué des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5 salés.
Une violation de 2015 de la plateforme Zing du géant technologique vietnamien VNG a exposé environ 163 millions de comptes Zing ID, dont les identifiants, mots de passe, e-mails et numéros de téléphone se sont ensuite retrouvés en vente sur RaidForums.
L'entreprise de technologie éducative Chegg a révélé une fuite survenue en 2018 touchant environ 40 millions d'utilisateurs, exposant des e-mails, des noms et des hachages de mots de passe MD5 non salés ; la FTC a ensuite cité quatre fuites et ordonné à Chegg de revoir sa sécurité.
En avril 2018, le site de divertissement en ligne Funny Games a subi une fuite de données qui a divulgué 764 000 enregistrements, dont des noms d'utilisateur, des adresses e-mail et IP et des empreintes de mots de passe MD5 salées.
Des attaquants ont accédé aux systèmes de l'application de VTC Careem, basée à Dubaï, et volé les noms, courriels, numéros de téléphone et historiques de trajets d'environ 14 millions de passagers et 558 000 chauffeurs au Moyen-Orient, en Afrique du Nord et en Asie du Sud.
Des attaquants ont exploité les logiciels tiers reliant les banques mexicaines au SPEI, le système de paiement interbancaire de la banque centrale, en injectant des virements fantômes et en détournant environ 300 à 400 millions de pesos (~15-20 millions de dollars) retirés en espèces par des mules financières.
En avril 2018, une liste de credential stuffing contenant 111 millions d'adresses e-mail et de mots de passe, connue sous le nom de Pemiblanc, a été découverte sur un serveur français. La liste contenait des adresses e-mail et des mots de passe rassemblés à partir de différentes fuites de données et utilisés pour mener des attaques de prise de contrôle de comptes contre d'autres…
En avril 2018, la plateforme de gestion publicitaire connue sous le nom d'AerServ a subi une fuite de données. Rachetée par InMobi plus tôt dans l'année, la fuite d'AerServ a touché plus de 66 000 adresses e-mail uniques et comprenait également des coordonnées et des mots de passe stockés sous forme de hachages SHA-512 salés.
En avril 2018, la base de données d'art en ligne Artsy a subi une fuite de données qui est par conséquent apparue en vente sur une place de marché du dark web. Plus d'un million de comptes ont été touchés et comprenaient des adresses IP et e-mail, des noms et des mots de passe stockés sous forme de hachages SHA-512 salés.
En avril 2018, Emuparadise, qui se proclamait « le plus grand site de jeux rétro au monde », a subi une fuite de données. Le forum vBulletin compromis a exposé 1,1 million d'adresses e-mail, d'adresses IP, de noms d'utilisateur et de mots de passe stockés sous forme d'empreintes MD5 salées. Les données ont été fournies à HIBP par dehashed.com.
En mars 2018, Wendy's aux Philippines a subi une fuite de données qui a touché plus de 52 000 clients et candidats à l'emploi. La fuite a exposé de nombreuses informations personnelles, notamment des noms, des adresses e-mail et IP, des adresses physiques, des numéros de téléphone et des mots de passe stockés sous forme de hachages MD5.
En mars 2018, le site web zoophile connu sous le nom de Bestialitysextaboo a été piraté. Un ensemble de divers sites fonctionnant sur le même service ont également été compromis et les détails du piratage (y compris des liens vers les données) ont été publiés sur un forum populaire.
Le cabinet de conseil politique Cambridge Analytica a obtenu de manière abusive les données personnelles de jusqu'à 87 millions d'utilisateurs Facebook via une application de quiz de personnalité, exploitant l'API tierce permissive de Facebook pour collecter les réseaux d'amis et bâtir des profils de ciblage électoral. Le scandale a entraîné une amende record de 5 milliards de dollars de la FTC.
Citizen Lab a découvert des équipements d'inspection profonde de paquets Sandvine PacketLogic sur le réseau de Telecom Egypt, redirigeant secrètement les utilisateurs en masse vers des publicités d'affiliation et des scripts de minage de cryptomonnaie, tout en bloquant des dizaines de sites d'information et de défense des droits humains.
En février 2018, le site de photographie EyeEm a subi une fuite de données. La fuite a été identifiée au sein d'une collection d'autres incidents majeurs et a exposé près de 20 millions d'adresses e-mail uniques, des noms, des noms d'utilisateur, des biographies et des empreintes de mots de passe.
En février 2018, une vaste collection de près de 3 000 fuites de données présumées a été découverte en ligne. Bien que certaines de ces données aient déjà été vues dans Have I Been Pwned, 2 844 des fichiers, contenant plus de 80 millions d'adresses e-mail uniques, n'avaient jamais été observés auparavant.
En mars 2018, la Florida Virtual School (FLVS) a publié une notification de fuite de données sur son site web. L'école avait identifié une fuite de données survenue entre le 6 mai 2016 et le 12 février 2018, et un fichier XML contenant 368 000 enregistrements d'élèves a ensuite été retrouvé en circulation.
En février 2018, des données appartenant au site web automobile polonais autocentrum.pl ont été trouvées en ligne. Les données contenaient 144 000 adresses e-mail et mots de passe en texte clair.
Aux alentours de février 2018, le site d'emploi Jobandtalent a subi une fuite de données qui est ensuite apparue en vente avec d'autres fuites un an plus tard. L'incident a touché 11 millions d'abonnés et a exposé leurs noms, adresses e-mail et IP et des mots de passe stockés sous forme d'empreintes SHA-1 salées.
En février 2018, l'application MyFitnessPal d'Under Armour a été compromise, exposant environ 144 millions de comptes avec noms d'utilisateur, e-mails et mots de passe hachés via un mélange de SHA-1 et bcrypt ; les données ont ensuite été mises en vente par GnosticPlayers.
En janvier 2018, le site de modèles Joomla JoomlArt a exposé par inadvertance plus de 22 000 enregistrements clients uniques dans un ticket Jira. Les données exposées provenaient d'iJoomla et de JomSocial, deux services que JoomlArt avait acquis l'année précédente.
En janvier 2018, le site web immobilier indien PropTiger a subi une fuite de données qui a entraîné l'exposition d'un fichier de base de données de 3,46 Go, ensuite largement partagé sur un forum de piratage populaire 2 ans plus tard.
La plateforme d'échange de cryptomonnaies Coincheck, basée à Tokyo, a perdu 523 millions de jetons NEM (~530 M$ à l'époque) depuis un portefeuille chaud dépourvu de protection multi-signature. Le plus grand vol sur une plateforme d'échange de cryptomonnaies en une seule fois à l'époque — attribué par la suite au groupe Lazarus de Corée du Nord.
Le géant brésilien du e-commerce Netshoes a exposé les données personnelles — noms, identifiants fiscaux CPF, e-mails et historiques d'achat — d'environ 2 millions de clients, suscitant l'une des premières actions répressives majeures du parquet brésilien à la suite d'une violation de données.
En janvier 2018, le site de jeux pour enfants Club Penguin Rewritten (CPRewritten) a subi une fuite de données (remarque : CPRewritten est une recréation indépendante du jeu Club Penguin de Disney).
Une campagne de cyberespionnage pluriannuelle liée à la Direction générale de la Sûreté générale libanaise (GDGS) a dérobé des centaines de gigaoctets de données à des milliers de victimes dans plus de 21 pays, au moyen d'applications Android piégées et de logiciels malveillants pour ordinateurs.
Des journalistes de Tribune India ont démontré que des intermédiaires rémunérés pouvaient fournir des dossiers Aadhaar complets — y compris des données d'identité liées à la biométrie d'environ 1,1 milliard de résidents indiens — pour 500 roupies par dossier.
Vers janvier 2018, une collection de plus de 464 000 enregistrements clients du détaillant en ligne indien DailyObjects a été divulguée en ligne. Les données comprenaient des noms, des adresses postales et e-mail, des numéros de téléphone et des « codes PIN » stockés en clair.
En janvier 2020, la place de marché de mode indienne Elanic a vu 2,8 millions d'enregistrements avec 2,3 millions d'adresses e-mail uniques publiés publiquement sur un forum de piratage populaire. Elanic a confirmé avoir « vérifié les données qui avaient été extraites de l'un de nos serveurs de test où ces données étaient exposées publiquement » et que les…