Incidents de
Une opération d'espionnage informatique parrainée par un État, attribuée au groupe chinois APT31, a compromis les systèmes informatiques internes du Parlement finlandais en 2020, touchant des comptes de messagerie appartenant à des parlementaires.
Des attaquants ont exploité une faille zero-day dans l'appliance de transfert de fichiers Accellion (FTA) vieillissante pour pénétrer la banque centrale de Nouvelle-Zélande, accédant à des fichiers commercialement et personnellement sensibles ; le nettoyage a coûté à la Banque de réserve environ 3,5 millions de dollars néo-zélandais.
Début 2023, un corpus de données provenant de l'entreprise de masques néo-zélandaise MEO a été découvert. Datant de décembre 2020, les données contenaient plus de 8 000 enregistrements de clients, dont des noms, des adresses, des numéros de téléphone et des mots de passe stockés sous forme d'empreintes MD5 Wordpress.
En décembre 2020, l'Université de Californie a subi une fuite de données due à une vulnérabilité chez un prestataire tiers, Accellion. La fuite a exposé de nombreuses données personnelles concernant à la fois les étudiants et le personnel, dont 547 000 adresses e-mail uniques, des noms, des dates de naissance, des genres, des numéros de sécurité sociale…
En décembre 2020, le site de promotion de livres NetGalley a subi une fuite de données. L'incident a exposé 1,4 million d'adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des adresses postales et IP, des numéros de téléphone, des dates de naissance et des mots de passe stockés sous forme d'empreintes SHA-1 salées.
En décembre 2020, le service de gestion de cabinets dentaires MMG Fusion a été victime d'une fuite de données qui a exposé 2,6 millions d'adresses e-mail uniques. Les données comprenaient également des rendez-vous de patients, des noms, des numéros de téléphone, des dates de naissance, des genres et des adresses postales.
En décembre 2020, le prestataire de services pour concessionnaires automobiles DriveSure a subi une fuite de données. L'incident a entraîné le téléchargement de 26 Go de données, partagées ensuite sur un forum de piratage. Les informations personnelles concernées comprenaient 3,6 millions d'adresses e-mail uniques, des noms, des numéros de téléphone et des adresses postales.
En juillet 2023, une liste de présumés participants aux Roblox Developers Conferences de 2017 à 2020 a circulé sur un forum. Les données contenaient 4 000 adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des dates de naissance, des numéros de téléphone, des adresses physiques et IP et des tailles de T-shirt
En décembre 2020, le département du Tourisme et des Loisirs de l'État de l'Oklahoma a subi une fuite de données. L'incident a exposé 637 000 adresses e-mail réparties dans diverses tables, incluant des tranches d'âge associées à des commandes de brochures et des dates de naissance associées à des participations à des concours.
En décembre 2020, le fournisseur d'électricité britannique People's Energy a subi une fuite de données. La fuite a exposé près de 7 Go de fichiers contenant 359 000 adresses e-mail uniques, ainsi que des noms, des numéros de téléphone, des adresses physiques et des dates de naissance.
Des opérateurs du SVR russe ont trojanisé l'infrastructure de compilation de SolarWinds Orion, distribuant une mise à jour dotée d'une porte dérobée à 18 000 clients, dont les départements américains du Trésor, du Commerce, de la Sécurité intérieure, d'État et de l'Énergie. L'opération d'cyberespionnage étatique emblématique de la décennie.
En décembre 2020, la société de recherche économique Capital Economics a subi une fuite de données qui a exposé 263 000 dossiers clients. Les données exposées comprenaient des adresses e-mail et postales, des noms, des numéros de téléphone, des intitulés de poste et l'employeur des clients concernés.
En décembre 2020, GamingMonk, la « plus grande communauté esport » d'Inde (depuis rachetée par MPL Esports et redirigée vers ce dernier), a subi une fuite de données. L'incident a exposé 655 000 adresses e-mail uniques ainsi que des noms, des identifiants, des numéros de téléphone, des dates de naissance et des empreintes bcrypt de mots de passe.
Le groupe Black Shadow a compromis l'assureur israélien Shirbit, dérobant cartes d'identité, passeports, documents financiers et médicaux, et exigeant une rançon en bitcoin grimpant jusqu'à un million de dollars. Devant le refus de Shirbit, les attaquants ont divulgué les données clients par étapes.
En novembre 2020, une collection de plus de 23 000 sites web prétendument compromis connue sous le nom de Cit0day a été mise à disposition en téléchargement sur plusieurs forums de piratage.
Le groupe RansomExx a chiffré plus de 1 000 serveurs du Superior Tribunal de Justiça du Brésil, paralysant pendant plus d'une semaine la deuxième plus haute juridiction du pays, lors de la cyberattaque la plus grave jamais menée contre une institution publique brésilienne.
En octobre 2020, 17 fuites de données jusqu'alors non divulguées ont été mises en vente, dont celle du service thaïlandais de recherche de restaurants, d'hôtels et d'attractions Wongnai.
Les dossiers d'environ 33 000 patients du prestataire finlandais de psychothérapie Vastaamo ont été dérobés en 2018 dans une base de données non chiffrée dépourvue de mot de passe root. Après l'échec de l'extorsion de l'entreprise en octobre 2020, l'attaquant a adressé des demandes de rançon directement à environ 30 000 patients. Le fondateur a finalement été acquitté ; Aleksanteri Kivimäki a été condamné à 6 ans et 3 mois de prison.
En septembre 2021, une base de données PostgreSQL accessible publiquement appartenant au service Playbook a été identifiée. Gérée par la société de capital-risque Plug and Play Ventures, la base de données était exposée depuis octobre 2020 et contenait plus de 50 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des emplois…
En octobre 2020, la plateforme indienne d'épicerie bigbasket a subi une fuite de données qui a exposé plus de 20 millions de dossiers clients. Les données ont d'abord été vendues avant d'être divulguées publiquement en avril de l'année suivante et comprenaient des adresses e-mail, IP et physiques, des noms, des numéros de téléphone, des dates de naissance…
En octobre 2021, une sauvegarde de base de données dérobée au service de partage de modèles 3D Thingiverse a commencé à circuler largement au sein de la communauté de piratage. Datant d'octobre 2020, le fichier de 36 Go contenait 228 000 adresses e-mail uniques, le plus souvent accompagnées de commentaires laissés sur des modèles 3D.
En octobre 2020, le jeu en ligne pour enfants Animal Jam a subi une fuite de données qui a ensuite été partagée le mois suivant au sein de communautés de piratage en ligne. Les données contenaient 46 millions de comptes d'utilisateurs avec plus de 7 millions d'adresses e-mail uniques.
Fin 2020, le site japonais de photos de famille Famm a subi une fuite de données qui a ensuite exposé 1,3 million d'enregistrements clients, dont 535 000 adresses e-mail uniques. Les données concernées comprenaient également des noms, des dates de naissance, des genres et des mots de passe stockés sous forme d'empreintes SHA-256.
En octobre 2020, le fournisseur de VPN LimeVPN a subi une fuite de données qui a exposé les informations personnelles de dizaines de milliers de clients. Les données comprenaient des adresses e-mail, IP et postales, des noms, des numéros de téléphone, des historiques d'achat et des mots de passe stockés sous forme de hachages MD5 salés.