Incidents de
Une opération d'espionnage informatique parrainée par un État, attribuée au groupe chinois APT31, a compromis les systèmes informatiques internes du Parlement finlandais en 2020, touchant des comptes de messagerie appartenant à des parlementaires.
Des attaquants ont exploité une faille zero-day dans l'appliance de transfert de fichiers Accellion (FTA) vieillissante pour pénétrer la banque centrale de Nouvelle-Zélande, accédant à des fichiers commercialement et personnellement sensibles ; le nettoyage a coûté à la Banque de réserve environ 3,5 millions de dollars néo-zélandais.
Début 2023, un corpus de données provenant de l'entreprise de masques néo-zélandaise MEO a été découvert. Datant de décembre 2020, les données contenaient plus de 8 000 enregistrements de clients, dont des noms, des adresses, des numéros de téléphone et des mots de passe stockés sous forme d'empreintes MD5 Wordpress.
En décembre 2020, l'Université de Californie a subi une fuite de données due à une vulnérabilité chez un prestataire tiers, Accellion. La fuite a exposé de nombreuses données personnelles concernant à la fois les étudiants et le personnel, dont 547 000 adresses e-mail uniques, des noms, des dates de naissance, des genres, des numéros de sécurité sociale…
En décembre 2020, le site de promotion de livres NetGalley a subi une fuite de données. L'incident a exposé 1,4 million d'adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des adresses postales et IP, des numéros de téléphone, des dates de naissance et des mots de passe stockés sous forme d'empreintes SHA-1 salées.
En décembre 2020, le service de gestion de cabinets dentaires MMG Fusion a été victime d'une fuite de données qui a exposé 2,6 millions d'adresses e-mail uniques. Les données comprenaient également des rendez-vous de patients, des noms, des numéros de téléphone, des dates de naissance, des genres et des adresses postales.
En décembre 2020, le prestataire de services pour concessionnaires automobiles DriveSure a subi une fuite de données. L'incident a entraîné le téléchargement de 26 Go de données, partagées ensuite sur un forum de piratage. Les informations personnelles concernées comprenaient 3,6 millions d'adresses e-mail uniques, des noms, des numéros de téléphone et des adresses postales.
En juillet 2023, une liste de présumés participants aux Roblox Developers Conferences de 2017 à 2020 a circulé sur un forum. Les données contenaient 4 000 adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des dates de naissance, des numéros de téléphone, des adresses physiques et IP et des tailles de T-shirt
En décembre 2020, le département du Tourisme et des Loisirs de l'État de l'Oklahoma a subi une fuite de données. L'incident a exposé 637 000 adresses e-mail réparties dans diverses tables, incluant des tranches d'âge associées à des commandes de brochures et des dates de naissance associées à des participations à des concours.
En décembre 2020, le fournisseur d'électricité britannique People's Energy a subi une fuite de données. La fuite a exposé près de 7 Go de fichiers contenant 359 000 adresses e-mail uniques, ainsi que des noms, des numéros de téléphone, des adresses physiques et des dates de naissance.
Des opérateurs du SVR russe ont trojanisé l'infrastructure de compilation de SolarWinds Orion, distribuant une mise à jour dotée d'une porte dérobée à 18 000 clients, dont les départements américains du Trésor, du Commerce, de la Sécurité intérieure, d'État et de l'Énergie. L'opération d'cyberespionnage étatique emblématique de la décennie.
En décembre 2020, la société de recherche économique Capital Economics a subi une fuite de données qui a exposé 263 000 dossiers clients. Les données exposées comprenaient des adresses e-mail et postales, des noms, des numéros de téléphone, des intitulés de poste et l'employeur des clients concernés.
En décembre 2020, GamingMonk, la « plus grande communauté esport » d'Inde (depuis rachetée par MPL Esports et redirigée vers ce dernier), a subi une fuite de données. L'incident a exposé 655 000 adresses e-mail uniques ainsi que des noms, des identifiants, des numéros de téléphone, des dates de naissance et des empreintes bcrypt de mots de passe.
Le groupe Black Shadow a compromis l'assureur israélien Shirbit, dérobant cartes d'identité, passeports, documents financiers et médicaux, et exigeant une rançon en bitcoin grimpant jusqu'à un million de dollars. Devant le refus de Shirbit, les attaquants ont divulgué les données clients par étapes.
En novembre 2020, une collection de plus de 23 000 sites web prétendument compromis connue sous le nom de Cit0day a été mise à disposition en téléchargement sur plusieurs forums de piratage.
Le groupe RansomExx a chiffré plus de 1 000 serveurs du Superior Tribunal de Justiça du Brésil, paralysant pendant plus d'une semaine la deuxième plus haute juridiction du pays, lors de la cyberattaque la plus grave jamais menée contre une institution publique brésilienne.
En octobre 2020, 17 fuites de données jusqu'alors non divulguées ont été mises en vente, dont celle du service thaïlandais de recherche de restaurants, d'hôtels et d'attractions Wongnai.
Les dossiers d'environ 33 000 patients du prestataire finlandais de psychothérapie Vastaamo ont été dérobés en 2018 dans une base de données non chiffrée dépourvue de mot de passe root. Après l'échec de l'extorsion de l'entreprise en octobre 2020, l'attaquant a adressé des demandes de rançon directement à environ 30 000 patients. Le fondateur a finalement été acquitté ; Aleksanteri Kivimäki a été condamné à 6 ans et 3 mois de prison.
En septembre 2021, une base de données PostgreSQL accessible publiquement appartenant au service Playbook a été identifiée. Gérée par la société de capital-risque Plug and Play Ventures, la base de données était exposée depuis octobre 2020 et contenait plus de 50 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des emplois…
En octobre 2020, la plateforme indienne d'épicerie bigbasket a subi une fuite de données qui a exposé plus de 20 millions de dossiers clients. Les données ont d'abord été vendues avant d'être divulguées publiquement en avril de l'année suivante et comprenaient des adresses e-mail, IP et physiques, des noms, des numéros de téléphone, des dates de naissance…
En octobre 2021, une sauvegarde de base de données dérobée au service de partage de modèles 3D Thingiverse a commencé à circuler largement au sein de la communauté de piratage. Datant d'octobre 2020, le fichier de 36 Go contenait 228 000 adresses e-mail uniques, le plus souvent accompagnées de commentaires laissés sur des modèles 3D.
En octobre 2020, le jeu en ligne pour enfants Animal Jam a subi une fuite de données qui a ensuite été partagée le mois suivant au sein de communautés de piratage en ligne. Les données contenaient 46 millions de comptes d'utilisateurs avec plus de 7 millions d'adresses e-mail uniques.
Fin 2020, le site japonais de photos de famille Famm a subi une fuite de données qui a ensuite exposé 1,3 million d'enregistrements clients, dont 535 000 adresses e-mail uniques. Les données concernées comprenaient également des noms, des dates de naissance, des genres et des mots de passe stockés sous forme d'empreintes SHA-256.
En octobre 2020, le fournisseur de VPN LimeVPN a subi une fuite de données qui a exposé les informations personnelles de dizaines de milliers de clients. Les données comprenaient des adresses e-mail, IP et postales, des noms, des numéros de téléphone, des historiques d'achat et des mots de passe stockés sous forme de hachages MD5 salés.
En octobre 2020, l'application d'édition de photos en ligne Pixlr a subi une fuite de données exposant 1,9 million d'abonnés. Les données concernées comprenaient des noms, des adresses e-mail, des profils de réseaux sociaux, le pays d'inscription et des mots de passe stockés sous forme de hachages SHA-512. Les données ont été fournies à HIBP par dehashed.com.
En octobre 2020, l'application de livraison de nourriture asiatique Chowbus a subi une fuite de données qui a conduit à l'envoi par e-mail de plus de 800 000 dossiers aux clients. L'e-mail contenait un lien vers un fichier CSV avec des données clients, dont des adresses postales, des noms, des numéros de téléphone et plus de 444 000 adresses e-mail uniques.
En octobre 2020, un chercheur a révélé que l'API de profils de Gravatar pouvait être énumérée sans limitation de débit. 167 millions d'enregistrements (noms, pseudonymes et empreintes d'e-mails) ont été extraits, et 114 millions des hachages MD5 ont été craqués pour révéler les adresses e-mail.
Le gang du rançongiciel Clop a piraté le géant allemand des logiciels d'entreprise Software AG, exigé une rançon de 23 millions de dollars, mis hors ligne les systèmes internes et divulgué plus d'un téraoctet de données volées de l'entreprise et de ses employés après l'échec des négociations.
En novembre 2020, un ensemble de fuites de données ont été rendues publiques, dont celle de la « plateforme de réussite entrepreneuriale » GeniusU. Remontant au mois précédent, les données comprenaient 1,3 million de noms, des adresses e-mail et IP, des genres, des liens vers des profils de réseaux sociaux et des mots de passe stockés sous forme d'empreintes bcrypt.
En septembre 2020, le service Nitro PDF a subi une fuite de données massive qui a exposé plus de 70 millions d'adresses e-mail uniques. La fuite a également exposé des noms, des empreintes de mots de passe bcrypt et les titres de documents convertis. Les données ont été fournies à HIBP par dehashed.com.
Fin 2020, la plateforme AdTech Eskimi a subi une fuite de données qui a exposé 26 millions d'enregistrements avec 1,2 million d'adresses e-mail uniques. Les données comprenaient des noms d'utilisateur, des dates de naissance, des genres et des mots de passe stockés sous forme d'empreintes MD5 non salées.
Une attaque par déni de service distribué en plusieurs vagues, avec un trafic dix fois supérieur à la normale, a brièvement perturbé les services bancaires et de télécommunications hongrois, ce que Magyar Telekom a qualifié de l'une des plus grandes cyberattaques jamais observées en Hongrie.
En mai 2023, 478 000 enregistrements d'utilisateurs du forum de piratage désormais disparu connu sous le nom de « RaidForums » ont été publiés sur un autre forum de piratage. Les données remontaient à septembre 2020 et comprenaient des adresses e-mail, des noms d'utilisateur, des dates de naissance, des adresses IP et des mots de passe stockés sous forme de hachages Argon2.
En septembre 2020, le site désormais disparu Games Box a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. Les données concernées comprenaient 1,4 million d'adresses e-mail ainsi que des noms d'utilisateur, des genres, des âges et des mots de passe stockés sous forme d'empreinte ou en clair.
En juin 2020, puis à nouveau en septembre de la même année, Horse Isle « The Secrent Land of Horses » a subi une fuite de données. L'incident a exposé 28 000 adresses e-mail uniques ainsi que des noms, noms d'utilisateur, adresses IP, genres, achats et mots de passe en clair.
Une base de données cloud mal configurée a exposé les dossiers d'environ 5,9 millions de clients de la plateforme de réservation hôtelière RedDoorz, ce qui en fait la plus grande violation de données de Singapour à l'époque et a valu une amende emblématique du PDPC à l'exploitant Commeasure.
En septembre 2020, le programme de récompenses cashback ShopBack a subi une fuite de données. L'incident a exposé plus de 20 millions d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone, le pays de résidence et des mots de passe stockés sous forme de hachages SHA-1 salés. Les données ont été fournies à HIBP par dehashed.com.
En mars 2023, le « centre commercial en ligne du Canada » Shopper+ a divulgué une fuite de données découverte sur un forum de piratage public. La fuite remontait à septembre 2020 et incluait 878 000 enregistrements de clients avec des adresses e-mail et physiques, des noms, des numéros de téléphone et, dans certains cas, des genres et des dates de naissance.
Le rançongiciel NetWalker a paralysé les systèmes de facturation et en ligne de l'unique fournisseur d'électricité de Karachi et exigé une rançon de 3,85 millions de dollars qui devait doubler à 7,7 millions ; face au refus de K-Electric, le groupe a divulgué en ligne une archive de 8,5 Go de données volées.
Une campagne d'hameçonnage a compromis 47 comptes de messagerie du personnel de Service NSW, exposant 738 Go de données et environ 3,8 millions de documents ; environ 104 000 clients ont vu leurs informations personnelles, dont des permis de conduire et des certificats de naissance, volées.
Le rançongiciel REvil (Sodinokibi) a chiffré environ 14 000 postes de travail de BancoEstado, l'une des plus grandes banques du Chili, la contraignant à fermer toutes ses agences du pays pendant une journée, tandis que les distributeurs, la banque en ligne et les fonds des clients restaient préservés grâce à la segmentation du réseau.
En septembre 2020, la plateforme de gestion et de réservation hôtelière RedDoorz a subi une fuite de données ayant exposé plus de 5,8 millions de comptes utilisateurs. Les données compromises incluaient des noms, des adresses e-mail, des numéros de téléphone, des genres, des dates de naissance et des mots de passe stockés sous forme de hachages bcrypt.
Le groupe APT28 (Fancy Bear), lié à la Russie, a forcé et accédé aux comptes de messagerie de parlementaires et d'employés norvégiens en août 2020, exfiltrant des données dans une opération que la Norvège a publiquement attribuée au GRU.
En 2024, des données relatives à un service inconnu désigné sous le nom de « Hopamedia » et remontant à 2020 sont apparues dans une base de données exposée publiquement. Les données comprenaient près de 24 millions d'enregistrements contenant adresse e-mail, nom, numéro de téléphone, le pays de la personne et son opérateur de télécommunications.
En août 2020, le détaillant indien Livpure a subi une fuite de données qui a exposé plus d'un million d'achats clients avec 270 mille adresses e-mail uniques. Les données comprenaient également des noms, des numéros de téléphone, des adresses postales et des détails sur les articles achetés.
Le rançongiciel Netwalker a chiffré les systèmes de l'agence nationale d'immigration argentine, interrompant tous les passages frontaliers pendant environ quatre heures et entraînant une demande de rançon de 4 millions de dollars que le gouvernement a refusé de payer.
Des attaquants ont compromis l'entreprise suédoise de sécurité physique Gunnebo, dérobé 19 Go de données et, après le refus de paiement de l'entreprise, divulgué des plans de chambres fortes de banques, des schémas d'alarme et les dispositifs de sécurité de clients de premier plan, dont un bâtiment du Parlement suédois.
Une campagne DDoS volumétrique soutenue a mis hors ligne la bourse de Nouvelle-Zélande pendant une partie de cinq jours de cotation consécutifs, interrompant les échanges car la bourse ne pouvait plus publier les annonces de marché, et provoquant un sévère blâme réglementaire.
En août 2020, Experian South Africa a subi une fuite de données qui a exposé les informations personnelles de dizaines de millions d'individus. Seuls 1,3 million des enregistrements contenaient des adresses e-mail, tandis que la plupart contenaient des numéros d'identité délivrés par le gouvernement, des noms, des adresses, des professions et des employeurs, entre…
Un fraudeur se faisant passer pour un client légitime d'Experian a obtenu les données personnelles de 24 millions de Sud-Africains et de 793 749 entreprises, dans ce qui est devenu l'une des plus grandes fuites de données de l'histoire de l'Afrique du Sud.
En août 2020, le site de transport public napolitain Unico Campania a été piraté et les données ont largement circulé. La fuite contenait 166 000 enregistrements d'utilisateurs avec des adresses e-mail et des mots de passe en clair.
En août 2020, le magasin de vêtements Bonobos a subi une fuite de données qui a exposé près de 70 Go de données contenant 2,8 millions d'adresses e-mail uniques. La fuite a également exposé des noms, des adresses physiques et IP, des numéros de téléphone, des historiques de commandes et des mots de passe stockés sous forme de hachages SHA-512 salés, dont…
En août 2020, l'application de suivi d'entraînement Jefit a subi une fuite de données. Les données ont ensuite été vendues au sein de la communauté du piratage et comprenaient plus de 9 millions d'adresses e-mail et IP, de noms d'utilisateur et de mots de passe stockés sous forme d'empreintes vBulletin ou argon2.
En août 2020, le site web de partage de vidéos et d'images explicites de gore et de cruauté envers les animaux a subi une fuite de données. La fuite a exposé 74 000 adresses e-mail uniques ainsi que des noms d'utilisateur, des adresses IP, des genres et des hachages de mots de passe SHA-1 non salés.
En octobre 2020, la nouvelle d'une fuite de données chez Lazada RedMart a éclaté, contenant des enregistrements aussi récents que juillet 2020 et vendus via une place de marché en ligne. Au total, les données contenaient 1,1 million d'adresses e-mail clients ainsi que des noms, des numéros de téléphone, des adresses postales, des numéros de carte de crédit partiels et des mots de passe…
Evil Corp a déployé le rançongiciel WastedLocker contre Garmin, mettant hors ligne les services aéronautiques flyGarmin, Garmin Connect et la messagerie satellite inReach pendant cinq jours. Garmin a versé une rançon estimée à 10 M$ malgré les sanctions de l'OFAC visant Evil Corp.
En juillet 2020, le site Utah Gun Exchange a subi une fuite de données qui touchait également plusieurs autres sites associés. Au total, 235 000 adresses e-mail uniques ont été exposées avant d'être échangées en ligne, accompagnées de noms, de noms d'utilisateur, de genres, d'adresses IP et de hachages de mots de passe.
Des attaquants ont utilisé le spear-phishing téléphonique contre des employés de Twitter pour atteindre un outil d'administration interne « agent », détournant 130 comptes de premier plan dont ceux d'Obama, Musk, Bezos et Apple, et publiant une arnaque de doublement de Bitcoin qui a rapporté environ 118 000 $.
En juillet 2020, la plateforme e-commerce française WiziShop a subi une fuite de données. La fuite a exposé 18 Go de données comprenant des noms, des numéros de téléphone, des dates de naissance, des adresses physiques et IP, des hachages de mots de passe SHA-1 et près de 3 millions d'adresses e-mail uniques.
En juillet 2020, le service Minecraft russe StreamCraft a subi une fuite de données qui a ensuite été redistribuée au sein d'un corpus de données plus vaste. Les données comprenaient 1,8 million d'enregistrements de noms d'utilisateur, d'adresses e-mail et IP et de mots de passe stockés sous forme d'empreintes MD5 ou bcrypt.
Vers juillet 2020, le service américain de livraison d'alcool en ligne Drizly a subi une fuite de données. Les données ont été vendues en ligne avant d'être largement redistribuées et contenaient 2,5 millions d'adresses e-mail uniques ainsi que des noms, des adresses postales et IP, des numéros de téléphone, des dates de naissance et…
En juin 2020, le fournisseur de solutions pour la restauration OrderSnapp a subi une fuite de données qui a exposé 1,3 million d'adresses e-mail uniques. Les données touchées comprenaient également des noms, des numéros de téléphone, des dates de naissance et des mots de passe stockés sous forme de hachages bcrypt. Les données ont été fournies à HIBP par dehashed.com.
Mi-2020, la plateforme d'histoires créées par les utilisateurs Wattpad a subi une fuite exposant environ 268,8 millions d'enregistrements, dont des noms, adresses e-mail, dates de naissance et mots de passe hachés en bcrypt. La base a d'abord été vendue en privé, puis diffusée gratuitement sur un forum de piratage.
En juin 2020, l'application bancaire numérique Dave a subi une fuite de données qui a exposé 7,5 millions de lignes de données et est ensuite apparue en téléchargement public sur un forum de piratage.
En juin 2020, le service d'examen en ligne ProctorU a subi une fuite de données qui a ensuite été largement partagée au sein des communautés de piratage en ligne. La fuite contenait 444 000 enregistrements d'utilisateurs, dont des noms, des adresses e-mail et postales, des numéros de téléphone et des mots de passe stockés sous forme de hachages bcrypt.
En juin 2020, le site web de décoration d'intérieur Havenly a subi une fuite de données qui a touché près de 1,4 million de membres du service. Les données exposées comprenaient des adresses e-mail, des noms, des numéros de téléphone, des localisations géographiques et des mots de passe stockés sous forme d'empreintes SHA-1, le tout ayant ensuite été partagé…
En juin 2020, le fabricant de portefeuilles matériels de cryptomonnaie Ledger a subi une fuite de données qui a exposé plus d'un million d'adresses e-mail. Les données ont d'abord été vendues avant d'être divulguées publiquement en décembre 2020 et comprenaient des noms, des adresses postales et des numéros de téléphone.
En juin 2020, le service de crédit indonésien Kreditplus a subi une fuite de données qui a exposé 896 k enregistrements contenant 769 k adresses e-mail uniques. La fuite a exposé de nombreuses informations personnelles, notamment des noms, la composition familiale, des informations sur les conjoints, les revenus et les dépenses, les religions et l'emploi…
En juin 2020, l'opérateur de bus égyptien Swvl a subi une fuite de données qui a touché plus de 4 millions de membres du service. Les données exposées comprenaient des noms, des adresses e-mail, des numéros de téléphone, des photos de profil, des données partielles de carte de crédit (type et 4 derniers chiffres) et des mots de passe stockés sous forme de condensats bcrypt, tous…
En juin 2020, l'entreprise de données d'entraînement pour l'IA Appen a subi une fuite de données exposant les informations de près de 5,9 millions d'utilisateurs, qui ont ensuite été vendues en ligne. La fuite comprenait des noms, des adresses e-mail et des mots de passe stockés sous forme de hachages bcrypt.
En juillet 2020, Promo, qui se proclame « créateur de vidéos marketing n°1 mondial », a subi une fuite de données qui a ensuite été largement partagée sur un forum de piratage. L'incident a exposé 22 millions d'enregistrements contenant près de 15 millions d'adresses e-mail uniques ainsi que des adresses IP, des sexes, des noms et des données salées…
En juin 2020, le service de parfums en ligne Scentbird a subi une fuite de données ayant exposé les informations personnelles de plus de 5,8 millions de clients. Des informations personnelles, dont des noms, des adresses e-mail, des genres, des dates de naissance, des mots de passe stockés sous forme de hachages bcrypt et des indicateurs de robustesse des mots de passe, ont été…
En juin 2020, le service brésilien de financement participatif Vakinha a subi une fuite de données qui a touché près de 4,8 millions de membres. Les données exposées comprenaient des adresses e-mail, des noms, des numéros de téléphone, des localisations géographiques et des mots de passe stockés sous forme de hachages bcrypt, le tout ayant ensuite été largement partagé…
En juin 2020, la plateforme de prêt mexicaine yotepresto.com a subi une fuite de données. Plus de 1,4 million de clients ont été touchés par cette fuite qui a divulgué des adresses e-mail et IP, des noms d'utilisateur et des mots de passe stockés sous forme d'empreintes bcrypt. Les données ont été fournies à HIBP par dehashed.com.
En 2020, un corpus de données contenant près d'un quart de milliard d'enregistrements répartis sur plus de 400 champs différents a été attribué à tort à la société de marketing par base de données Acxiom et a ensuite circulé au sein de la communauté de piratage.
En juin 2020, le site de développement web SitePoint a subi une fuite de données ayant exposé plus d'un million d'enregistrements de clients. Les données touchées incluaient des adresses e-mail et IP, des noms, des noms d'utilisateur, des biographies et des mots de passe stockés sous forme de hachages bcrypt.
Vers juin 2019, le service de livraison indien Dunzo a subi une fuite de données. Exposant 3,5 millions d'adresses e-mail uniques, la fuite de Dunzo comprenait également des noms, des numéros de téléphone et des adresses IP, le tout largement diffusé en ligne via un forum de piratage.
En juin 2020, la place de marché en ligne d'antiquités LiveAuctioneers a subi une fuite de données qui a ensuite été vendue en ligne puis largement redistribuée au sein de la communauté de piratage.
Mi-2020, un corpus de données de 437 Go attribué à une entité nommée « Acuity » a été créé puis largement diffusé. Cependant, la source n'a pas pu être attribuée avec certitude à une entreprise connue portant le nom d'Acuity.
Vers la mi-2020, Mashable a subi une fuite de données qui est ensuite apparue publiquement en novembre 2020. Les données comprenaient 1,4 million d'adresses e-mail uniques ainsi que des noms, des sexes, des jetons d'authentification expirés, des localisations physiques, des liens vers des profils de réseaux sociaux ainsi que les jours et mois de naissance.
En mai 2020, la société de marketing sur les réseaux sociaux Preen.Me a été la cible d'une attaque par rançon qui a entraîné la publication de centaines de milliers d'enregistrements. Plus de 236 000 adresses e-mail uniques ont été exposées lors de l'attaque, ainsi que des noms, des noms d'utilisateur et des liens vers des profils de réseaux sociaux.
En mai 2020, le forum de piratage Nulled.ch a été compromis et les données publiées sur un forum de piratage rival. Plus de 43 000 enregistrements ont été compromis, comprenant des adresses IP et e-mail, des noms d'utilisateur et des mots de passe stockés sous forme de hachages MD5 salés, ainsi que l'historique des messages privés de l'administrateur du site.
En décembre 2022, la société de recherche en investissement Zacks a annoncé une fuite de données. Le mois suivant, des rapports ont fait état d'un incident touchant 820 000 clients. Cependant, en juin 2023, un ensemble de données concernant près de 9 millions de clients de Zacks est apparu avant d'être largement diffusé sur un forum de piratage populaire.
En mai 2020, la place de marché en ligne pour artistes indépendants Minted a subi une fuite de données qui a exposé 4,4 millions d'enregistrements de clients uniques, ensuite vendus sur une place de marché du dark web. Les données exposées comprenaient également des noms, des adresses postales, des numéros de téléphone et des mots de passe stockés sous forme d'empreintes bcrypt.
En mai 2020, plus de 1,3 million d'enregistrements du jeu MMO Stalker Online ont été compromis. Les données comprenaient des adresses e-mail et IP, des noms d'utilisateur et des mots de passe hachés.
En avril 2020, le plus grand site de vente en ligne d'Indonésie, Tokopedia, a été compromis et environ 91 millions de comptes utilisateurs — noms, e-mails, mots de passe hachés et dates de naissance — ont été mis en vente sur des forums du dark web.
En avril 2020, la boutique d'applications Android indépendante Aptoide a subi une fuite de données. L'incident a entraîné l'exposition de 20 millions d'enregistrements de clients qui ont ensuite été partagés en ligne via un forum de piratage populaire.
En avril 2020, le fournisseur d'accès à Internet népalais Vianet a subi une fuite de données. L'attaque contre le FAI a entraîné l'exposition de 177 000 enregistrements clients, dont 94 000 adresses e-mail uniques. Des noms, des numéros de téléphone et des adresses postales ont également été exposés.
En avril 2020, la plateforme de commerce électronique brésilienne HomeRefill, aujourd'hui disparue, a subi une fuite de données qui a ensuite été rediffusée dans le cadre d'un corpus de données plus vaste. Les données comprenaient 187 000 adresses e-mail uniques ainsi que des noms, numéros de téléphone, dates de naissance et empreintes de mots de passe salées.
En avril 2020, le forum de détournement de comptes et de SIM swapping OGUsers a subi sa deuxième fuite de données en moins d'un an. Comme lors de la précédente fuite, les données exposées comprenaient des adresses e-mail et IP, des noms d'utilisateur, des messages privés et des mots de passe stockés sous forme de hachages MD5 salés.
En avril 2020, le site de vêtements imprimés personnalisés Teespring a subi une fuite de données qui a exposé 8,2 millions de dossiers clients. Les données comprenaient des adresses e-mail, des noms, des localisations géographiques et des identifiants de réseaux sociaux.
Alors que les confinements liés à la pandémie portaient l'usage de Zoom à des niveaux records, plus de 500 000 identifiants de comptes Zoom récoltés par credential stuffing ont été vendus ou distribués gratuitement sur le dark web, tandis que des réunions ouvertes étaient détournées lors d'une vague d'incidents perturbateurs de « zoombombing ».
En mars 2020, le site coréen de décoration intérieure ???? (Decorating the House) a subi une fuite de données qui a touché près de 1,3 million de membres. Diffusées via l'URL ggumim.co.kr, les données exposées comprenaient des adresses e-mail, des noms, des noms d'utilisateur et des numéros de téléphone, qui ont ensuite tous été partagés…
En mars 2020, l'entreprise irlandaise de logiciels de gestion de salles de sport Glofox a subi une fuite de données qui a exposé 2,3 millions d'enregistrements d'adhérents. Les données comprenaient des adresses e-mail, des noms, des numéros de téléphone, des genres, des dates de naissance et des mots de passe stockés sous forme d'empreintes MD5 sans sel.
En mars 2020, le service d'impression de photos Chatbooks a subi une fuite de données qui a ensuite été mise en vente sur une place de marché du dark web. La fuite contenait 15 millions de dossiers d'utilisateurs avec 2,5 millions d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des profils de réseaux sociaux et des hachages SHA-512 salés…
En juin 2020, 14 fuites de données jusque-là non divulguées sont apparues en vente, dont celle du service de livraison brésilien « James ». La fuite s'est produite en mars 2020 et a exposé 1,5 million d'adresses e-mail uniques, les localisations des clients exprimées en longitude et latitude et des mots de passe stockés sous forme d'empreintes bcrypt.
En mars 2020, le site de photos de banque d'images 123RF a subi une fuite de données qui a touché plus de 8 millions d'abonnés et a ensuite été vendue en ligne. La fuite comprenait des adresses e-mail, IP et postales, des noms, des numéros de téléphone et des mots de passe stockés sous forme de hachages MD5. Les données ont été fournies à HIBP par dehashed.com.
Les données personnelles de 538 millions de comptes Sina Weibo — dont les numéros de téléphone de 172 millions d'utilisateurs — ont été mises en vente sur le dark web pour environ 250 $, dans une fuite que Weibo a attribuée à un abus de correspondance de carnet d'adresses remontant à 2018. Le ministère chinois de l'Industrie a convoqué l'entreprise au sujet de sa gestion des données personnelles.
Une attaque par rançongiciel a contraint l'hôpital universitaire de Brno — l'un des plus grands hôpitaux de Tchéquie et un centre majeur de dépistage de la COVID-19 — à arrêter l'intégralité de son réseau informatique, à annuler des opérations et à réorienter les patients en urgence au plus fort de la pandémie naissante.
En mars 2020, un vaste ensemble d'informations personnelles désigné sous le nom de « Lead Hunter » a été fourni à HIBP après avoir été découvert exposé sur un serveur Elasticsearch accessible au public.
Vers mars 2020, le site de recrutement brésilien Catho a été compromis et est ensuite apparu aux côtés de 20 autres sites compromis mis en vente sur une place de marché du dark web. La fuite comprenait près de 11 millions de dossiers avec 1,2 million d'adresses e-mail uniques.
En février 2020, le réseau de marketing d'affiliation Tamodo a subi une fuite de données qui a ensuite été partagée sur un forum de piratage populaire. L'incident a exposé près de 500 000 comptes comprenant des noms, des adresses e-mail, des dates de naissance et des mots de passe stockés sous forme de condensats bcrypt.
En février 2020, le site web de jeux AnimeGame a subi une fuite de données. L'incident a touché 1,4 million d'abonnés et a exposé des adresses e-mail, des noms d'utilisateur et des mots de passe stockés sous forme de hachages MD5 salés. Les données ont ensuite été partagées sur un forum de piratage populaire et ont été fournies à HIBP par dehashed.com.
En février 2020, le site de cours de guitare TrueFire a subi une fuite de données qui a touché 600 000 membres. La fuite a exposé de nombreuses informations personnelles, dont des noms, des adresses e-mail et postales, des soldes de compte et des hachages de mots de passe MD5 non salés. Les données ont été fournies à HIBP par dehashed.com.
En février 2020, un immense trésor d'informations personnelles désigné sous le nom de "db8151dd" a été fourni à HIBP après avoir été découvert exposé sur un serveur Elasticsearch accessible publiquement.
En février 2020, la boutique en ligne de coques pour appareils électroniques grand public Slickwraps a subi une fuite de données. L'incident a entraîné l'exposition de 858 000 adresses e-mail uniques réparties entre des fiches clients et des abonnés à la newsletter.
Le rançongiciel Clop a chiffré des serveurs dorsaux d'INA Group, la plus grande compagnie pétrolière et chaîne de stations-service de Croatie, paralysant la facturation, les cartes de fidélité, les vignettes électroniques, les recharges mobiles et le paiement des factures de gaz, tandis que la vente de carburant se poursuivait.
En février 2020, l'entreprise de marketing israélienne Straffic a exposé une base de données contenant 140 Go de données personnelles. La base de données Elasticsearch accessible publiquement contenait plus de 300 millions de lignes avec 49 millions d'adresses e-mail uniques. Les données exposées comprenaient également des noms, des numéros de téléphone, des adresses physiques et des genres.
Début 2020, le service de livraison de repas Home Chef a subi une fuite de données qui a ensuite été revendue en ligne. La fuite a exposé les informations personnelles de près de 9 millions de clients, notamment les noms, adresses IP, codes postaux, les 4 derniers chiffres des numéros de carte bancaire et les mots de passe stockés sous forme d'empreintes bcrypt…
Début 2020, le site web indonésien d'électronique grand public Bhinneka a subi une fuite de données qui a exposé près de 1,3 million de dossiers clients. Les données comprenaient des adresses e-mail et physiques, des noms, des genres, des dates de naissance, des numéros de téléphone et des hachages de mots de passe salés.
En janvier 2020, l'application mobile permettant de « tout comparer » Wishbone a subi une nouvelle fuite de données faisant suite à celle de 2016. De nombreuses informations personnelles, dont près de 10 millions d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des localisations géographiques et d'autres données personnelles…
Début 2020, le service de rencontres en ligne MeetMindful a subi une fuite de données qui a exposé 1,4 million d'adresses e-mail uniques de clients. Les données comprenaient un vaste éventail d'informations personnelles utilisées pour trouver des partenaires amoureux, notamment des attributs physiques, la consommation d'alcool, de drogues et…
En janvier 2020, le créateur d'applications de voyage Ulmon a subi une fuite de données. Le service comptait près de 1,3 million d'enregistrements avec 777 000 adresses e-mail uniques, des noms, des mots de passe stockés sous forme de hachages bcrypt et, dans certains cas, des identifiants de profils de réseaux sociaux, des numéros de téléphone et des biographies.
En janvier 2020, le site de résolution de problèmes mathématiques Mathway a subi une fuite de données qui a exposé plus de 25 millions d'enregistrements. Les données ont ensuite été vendues sur une place de marché du dark web et comprenaient des noms, des identifiants Google et Facebook, des adresses e-mail et des empreintes de mots de passe salées.
Une attaque par rançongiciel a paralysé les usines du fabricant de machines à tisser Picanol à Ieper (Belgique), en Roumanie et en Chine, interrompant pendant plus d'une semaine la production qui emploie environ 2 300 salariés. La cotation de l'action Picanol a été suspendue durant la perturbation.
En janvier 2020, le service de rencontres en ligne Zoosk a subi une fuite de données qui a ensuite été largement partagée au sein des communautés de piratage en ligne. La fuite contenait 24 millions d'adresses e-mail uniques ainsi que des informations personnelles détaillées, dont des genres, des orientations sexuelles, des dates de naissance,…
En janvier 2020, l'application de rencontres basée à Barcelone MobiFriends a subi une fuite de données qui a exposé 3,5 millions d'adresses e-mail uniques. Les données comprenaient également des noms d'utilisateur, des genres, des dates de naissance et des empreintes de mots de passe MD5.
Une intrusion sophistiquée de plusieurs semaines a frappé le ministère autrichien des Affaires étrangères au Nouvel An 2020, attribuée par les médias autrichiens au groupe APT Turla lié à la Russie. Le ministère, qui gère environ 100 missions diplomatiques, a combattu une opération d'espionnage prolongée avant de déclarer ses systèmes nettoyés.
En janvier 2020, le forum espagnol de téléphonie mobile HTC Mania a subi une fuite de données du site basé sur vBulletin. L'incident a exposé 1,5 million d'adresses e-mail de membres, noms d'utilisateur, adresses IP, dates de naissance, empreintes de mots de passe MD5 salées et historiques de mots de passe.
En janvier 2020, le détaillant de vêtements en ligne Pampling a subi une fuite de données qui a exposé 383 000 adresses e-mail uniques de clients. Les données ont ensuite été partagées sur un forum de piratage populaire et comprenaient également des noms, des noms d'utilisateur et des hachages de mots de passe MD5 non salés.
Une partie non autorisée a exploité une faille dans l'application d'enregistrement prépayé de Virgin Mobile Polska pour accéder aux données personnelles de plus de 114 000 abonnés, dont les numéros d'identité PESEL et les données de carte d'identité. L'autorité polonaise de protection des données a infligé à l'opérateur une amende de près de 2 millions de PLN pour des tests de sécurité insuffisants.
Aux alentours de 2019 ou 2020, le service de streaming de films lituanien Filmai.in a subi une fuite de données exposant 645 000 adresses e-mail, des noms d'utilisateur et des mots de passe en clair.
En janvier 2021, NordLocker a fourni à HIBP 1,1 million d'adresses e-mail collectées par un logiciel malveillant anonyme. La campagne de malware s'est déroulée entre 2018 et 2020 et a infecté 3,25 millions d'ordinateurs, volant des fichiers, des identifiants et prenant des captures d'écran et des photos à l'aide de la webcam de l'ordinateur.