Incidents de
Une attaque par rançongiciel a chiffré les systèmes centraux d'Amedia, le plus grand groupe de presse locale de Norvège, arrêtant les rotatives et perturbant les systèmes d'abonnement et de publicité de plus de 70 titres servant environ 2 millions de lecteurs. Amedia a refusé de payer.
En décembre 2021, le forum Carding Mafia a subi une fuite de données qui a exposé les adresses e-mail de plus de 300 000 membres. Dédié au vol et au commerce de cartes de crédit volées, la fuite du forum a également exposé des noms d'utilisateur, des adresses IP et des mots de passe stockés sous forme de hachages MD5 salés.
En décembre 2021, le service de réservation en ligne FlexBooker a subi une fuite de données qui a exposé 3,7 millions de comptes. Les données comprenaient des adresses e-mail, des noms, des numéros de téléphone et, pour un petit nombre de comptes, des empreintes de mots de passe et des données partielles de cartes de crédit.
Une faille d'exécution de code à distance trivialement exploitable dans Apache Log4j 2, l'omniprésente bibliothèque de journalisation Java, a obtenu le score maximal CVSS 10.0 et exposé des centaines de millions d'appareils et d'applications dans le monde à une prise de contrôle instantanée via une simple chaîne de journalisation forgée.
En décembre 2021, des journaux du malware RedLine Stealer ont été laissés exposés publiquement avant d'être récupérés par le chercheur en sécurité Bob Diachenko. Les données comprenaient 441 000 adresses e-mail uniques, des noms d'utilisateur et des mots de passe en clair.
En décembre 2021, le distributeur indien Aditya Birla Fashion and Retail Ltd a été piraté et a fait l'objet d'une demande de rançon. La demande de rançon aurait été rejetée et des données contenant 5,4 M d'adresses e-mail uniques ont ensuite été publiées le mois suivant sur un forum de piratage populaire.
Plus de 700 clients de BDO Unibank, la plus grande banque des Philippines, ont perdu de l'argent par des virements en ligne non autorisés acheminés vers des comptes UnionBank sous l'alias « Mark Nagoyo » ; cinq suspects ont été arrêtés et BDO a remboursé les victimes.
En novembre 2021, le site immobilier indonésien Travelio a subi une fuite de données qui a exposé plus de 470 000 comptes clients. Les données comprenaient des adresses e-mail, des noms, des hachages de mots de passe, des numéros de téléphone et, pour certains comptes, des dates de naissance, des adresses postales et des jetons d'authentification Facebook.
En novembre 2021, l'hébergeur web ZAP-Hosting a subi une fuite de données qui a exposé plus de 60 Go de données contenant 746 000 adresses e-mail uniques. La fuite contenait également des journaux de discussion d'assistance, des adresses IP, des noms, des achats, des adresses physiques et des numéros de téléphone.
En novembre 2021, le site de webcams érotiques en direct et de chat pour adultes Stripchat a laissé plusieurs bases de données exposées et non sécurisées. En juin de l'année suivante, plus de 10 millions d'enregistrements Stripchat sont apparus sur un forum de piratage populaire. Les données exposées comprenaient des noms d'utilisateur, des adresses e-mail et des adresses IP.
En novembre 2021, la plateforme de trading en ligne Robinhood a subi une fuite de données après qu'un agent du service client a été victime d'ingénierie sociale. L'incident a exposé plus de 5 millions d'adresses e-mail de clients et 2 millions de noms de clients.
En novembre 2021, la plateforme d'échange de cryptomonnaies BTC-Alpha a subi une fuite de données consécutive à une attaque par rançongiciel, après quoi les données des clients ont été publiquement divulguées. Les données touchées comprenaient 362 000 adresses e-mail et IP, des noms d'utilisateur et des mots de passe stockés sous forme de hachages PBKDF2.
Une attaque par rançongiciel Hive contre le réseau de soins de santé de Terre-Neuve-et-Labrador a paralysé les systèmes informatiques à l'échelle de la province, forçant l'annulation de milliers de rendez-vous et d'interventions dans ce que les responsables ont qualifié de pire cyberattaque de l'histoire du Canada.
Le groupe Black Shadow, lié à l'Iran, a compromis l'hébergeur israélien Cyberserve, puis divulgué l'intégralité de la base de l'application de rencontres LGBTQ Atraf — y compris la localisation des utilisateurs et leur statut VIH — après le non-paiement d'une rançon d'un million de dollars.
En octobre 2021, l'hébergeur israélien CyberServe a été piraté et rançonné avant qu'une quantité substantielle de ses données clients ne soit divulguée publiquement par un groupe connu sous le nom de « Black Shadow ». Parmi les données figuraient le site de rencontres LGBTQ Atraf et l'institut médical Machon Mor.
En octobre 2021, le « leader mondial du divertissement généré par les utilisateurs » Jukin Media a subi une fuite de données. La fuite a exposé 13 Go de code, de configuration et de données comprenant 314 000 adresses e-mail uniques ainsi que des noms, numéros de téléphone, adresses IP et empreintes de mots de passe bcrypt.
Une cyberattaque attribuée à Predatory Sparrow a désactivé le système des cartes de carburant subventionné de l'Iran, paralysant le paiement dans la totalité des 4 300 stations-service du pays et détournant des panneaux d'affichage autoroutiers pour railler le Guide suprême Khamenei.
En octobre 2021, le site web d'animés en langue arabe désormais disparu Animeify a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. Les données comprenaient 808 000 adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des genres et des mots de passe en texte clair.
Le groupe Desorden a dérobé environ 400 Go de données clients couvrant 2003-2021 à la chaîne hôtelière de luxe thaïlandaise Centara, exigeant une rançon de 900 000 dollars que l'entreprise a refusé de payer.
Un attaquant a utilisé un compte VPN gouvernemental compromis pour interroger la base d'identité nationale RENAPER de l'Argentine sur l'ensemble des 45 millions d'Argentins. Les photos et détails d'identité du président, de la star du football Lionel Messi et d'autres personnalités publiques ont été publiés sur Twitter comme preuve. Les données ont été mises en vente sur un forum du dark web.
Le rançongiciel DeepBlueMagic a paralysé le centre médical israélien Hillel Yaffe, verrouillant l'ensemble des systèmes informatiques de l'hôpital. Hôpital public interdit de payer une rançon, il a fonctionné sur papier et systèmes de secours pendant des semaines, mettant environ deux mois à se rétablir totalement.
Un pirate a accédé au registre national d'identité argentin RENAPER au moyen d'un identifiant VPN gouvernemental volé, obtenant les données de carte d'identité et les photographies de l'ensemble de la population du pays, soit environ 45 millions de citoyens.
Au cours d'octobre 2021, 3,1 millions d'adresses e-mail associées à des comptes sur le site de capitalisation boursière de cryptomonnaies CoinMarketCap ont été découvertes en train d'être échangées sur des forums de piratage.
Une intrusion par rançongiciel utilisant une balise Cobalt Strike a contraint la plus grande banque privée de l'Équateur, Banco Pichincha, à mettre hors ligne ses distributeurs, sa banque en ligne et son application mobile pendant plusieurs jours.
En octobre 2021, le chercheur en sécurité Bob Diachenko a découvert une base de données exposée qu'il a attribuée à ActMobile, l'exploitant de Dash VPN et FreeVPN. Les données exposées comprenaient 1,6 million d'adresses e-mail uniques ainsi que des adresses IP et des hachages de mots de passe, qui ont tous ensuite été divulgués sur un…
Une mauvaise configuration de serveur a exposé l'intégralité du dépôt Git de Twitch à un attaquant anonyme, qui a diffusé 125 Go de données — le code source complet avec l'historique des commits, les outils internes et trois ans de chiffres de rémunération des créateurs — sous forme de torrent sur 4chan.
En octobre 2021, le site web de recrutement singapourien Protemps a subi une fuite de données qui a exposé près de 50 000 adresses e-mail uniques. Les données concernées comprennent des noms, des adresses e-mail et postales, des numéros de téléphone, des numéros de passeport et des mots de passe stockés sous forme de hachages MD5 sans sel, parmi de nombreuses autres…
En octobre 2021, le site de fantasy premier league (football) Fantasy Football Hub a subi une fuite de données qui a exposé 66 000 adresses e-mail uniques. Les données comprenaient des noms, des noms d'utilisateur, des adresses IP, des transactions et des mots de passe stockés sous forme d'empreintes MD5 WordPress.
En octobre 2021, des données du magasin allemand d'articles de fitness Fitmart ont été obtenues puis redistribuées en ligne. Les données comprenaient 214 000 adresses e-mail uniques accompagnées de mots de passe en clair, prétendument « déhachés » à partir de la version stockée d'origine.
Une base de données Elasticsearch non sécurisée a rendu librement accessibles sur Internet les numéros de passeport, données de visa et cartes d'arrivée de plus de 106 millions de visiteurs étrangers de la Thaïlande.
En septembre 2021, le bureau d'enregistrement de domaines et hébergeur web Epik a subi une importante fuite de données, prétendument en représailles à l'hébergement de sites web d'extrême droite. La fuite a exposé un énorme volume de données, non seulement des clients d'Epik, mais aussi des enregistrements WHOIS extraits appartenant à des particuliers et organisations qui…
En septembre 2021, le Republican Party of Texas a été piraté par un groupe se réclamant d'« Anonymous » en représailles à l'interdiction controversée de l'avortement dans l'État. Le défacement de septembre a été suivi d'une fuite de données et de documents qui incluaient du matériel provenant de l'hébergeur Epik.
En octobre 2024, près de 20 Go de données contenant 1,3 million d'adresses e-mail uniques provenant du magasin de fournitures pour motos Dennis Kirk ont circulé. Remontant à septembre 2021, les données contenaient également des achats effectués dans la boutique en ligne ainsi que des noms de clients, des numéros de téléphone et des codes postaux.
Fin 2021, des paires d'adresses e-mail et de mots de passe en clair du site de mixtapes de rap DatPiff sont apparues en vente sur un forum de piratage populaire. Les données remonteraient à une fuite antérieure et contenaient au total près de 7,5 millions de paires d'adresses e-mail et de mots de passe craqués.
Un jeu de données datant d'août 2021 — noms, adresses, numéros de téléphone, et numéros de sécurité sociale et dates de naissance chiffrés — a refait surface en mars 2024 et a été diffusé gratuitement, AT&T confirmant finalement que près de 73 millions de clients actuels et anciens étaient concernés.
En août 2021, la société de développement web Imavex a subi une fuite de données qui a exposé 878 000 adresses e-mail uniques. Les données comprenaient des enregistrements utilisateurs contenant noms, noms d'utilisateur et éléments de mot de passe, certains enregistrements contenant également des genres et des données partielles de carte bancaire, dont les derniers…
Vers août 2021, des centaines de gigaoctets de données d'entreprises rassemblées à partir de sources publiques ont été obtenues puis publiées sur un forum de piratage populaire.
Le gang de rançongiciels AvosLocker a attaqué l'antenne de Dubaï de l'hôpital ophtalmologique Moorfields, affilié au NHS, exfiltrant environ 60 Go de données de patients et de personnel — dont cartes d'identité, demandes d'assurance et dossiers internes — puis les divulguant en ligne.
En août 2021, le site web de ressources pédagogiques Have Fun Teaching a subi une fuite de données qui a divulgué 80 000 transactions WooCommerce, ensuite publiées sur un forum de piratage populaire.
John Binns, un Américain de 21 ans vivant en Turquie, a affirmé avoir piraté T-Mobile via un routeur GGSN exposé et exfiltré les données personnelles de 76,6 millions de clients actuels, anciens et potentiels.
Des attaquants ont compromis le centre de données du Federal Board of Revenue du Pakistan en exploitant une copie piratée de Microsoft Hyper-V, mettant hors service tous les sites web de l'administration fiscale et mettant en vente sur un forum russe du dark web l'accès réseau à 360 machines virtuelles.
En août 2021, une allégation a été faite selon laquelle l'entreprise brésilienne de restauration rapide « Habib's » aurait subi une fuite de données, qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste.
Une attaque par le rançongiciel RansomEXX a chiffré le centre de données de la région italienne du Latium, mettant hors ligne pendant plusieurs jours le portail de réservation de vaccination COVID-19 et déclenchant une enquête antiterroriste.
En août 2021, le site de sous-titrage Open Subtitles a subi une fuite de données suivie d'une demande de rançon. La fuite a exposé les données personnelles de près de 7 millions d'abonnés, comprenant des adresses e-mail et IP, des noms d'utilisateur, le pays de l'utilisateur et des mots de passe stockés sous forme de hachages MD5 non salés.
En juillet 2021, le site de critiques d'applications et de jeux Android AndroidLista a subi une fuite de données. L'incident a exposé 6,6 millions d'enregistrements d'utilisateurs contenant des adresses e-mail, des noms, des noms d'utilisateur et des mots de passe stockés sous forme de hachages SHA-1 salés, qui ont tous été ensuite publiés sur un forum de piratage populaire.
Une attaque par rançongiciel contre Transnet, l'entreprise logistique publique sud-africaine, a paralysé les opérations des terminaux à conteneurs de Durban, Ngqura, Port Elizabeth et Le Cap, contraignant l'opérateur à déclarer la force majeure. Durban — 60 % du trafic conteneurisé d'Afrique australe — est revenu à un dédouanement papier pendant une semaine.
Un acteur malveillant se faisant appeler ZeroX a exfiltré 1 To de données de Saudi Aramco via un sous-traitant tiers et a exigé une rançon de 50 millions de dollars, publiant des échantillons sur un forum de pirates derrière un compte à rebours de 662 heures.
Le service de sécurité nationale hongrois a utilisé le logiciel espion Pegasus de NSO Group pour pirater secrètement les téléphones de journalistes d'investigation, d'avocats et de critiques du gouvernement, plus de 300 numéros hongrois figurant sur une liste de cibles divulguée.
En juillet 2021, le site web britannique Guntrader a subi une fuite de données qui a exposé 112 000 adresses e-mail uniques. De nombreuses informations personnelles ont également été exposées, notamment des noms, des numéros de téléphone, des données de géolocalisation, des adresses IP et divers attributs d'adresses postales (villes pour tous les utilisateurs,…
Le gang RansomEXX a frappé l'opérateur télécom public équatorien CNT, perturbant son portail de paiement et ses centres d'appels et revendiquant le vol de plus de 190 Go de données d'entreprise et de clients.
Un wiper inédit nommé Meteor a paralysé le réseau ferroviaire national iranien, effaçant les ordinateurs des gares, immobilisant et retardant des centaines de trains, et défigurant les panneaux d'affichage avec un numéro à appeler : le bureau du Guide suprême Khamenei.
En juillet 2021, le site web de restaurants indonésien Qraved a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. La fuite a exposé près de 1 million d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des dates de naissance et des mots de passe stockés sous forme de hachages MD5.
Le portail suisse de comparaison de prix Comparis a été mis hors ligne par un rançongiciel et a fait face à une demande d'environ 400 000 dollars ; les enquêteurs ont ensuite constaté que les attaquants avaient accédé à certaines données internes de clients.
En juillet 2021, la boutique de montres en ligne indonésienne Jam Tangan (alias Machtwatch) a subi une fuite de données qui a exposé plus de 400 000 enregistrements clients, lesquels ont ensuite été publiés sur un forum de piratage populaire.
L'attaque par rançongiciel de REvil contre Kaseya VSA s'est propagée via un prestataire informatique jusqu'aux systèmes de caisse de Coop Suède, forçant la coopérative de supermarchés à fermer environ 800 magasins dans tout le pays.
Des affiliés de REvil ont exploité une faille zero-day d'injection SQL dans la plateforme de gestion à distance Kaseya VSA pour déployer un rançongiciel auprès d'environ 60 MSP et, à travers eux, d'environ 1 500 organisations en aval. La plus grande attaque par rançongiciel via la chaîne d'approvisionnement jamais enregistrée.
En janvier 2021, le forum d'escorts pour adultes ECCIE a subi une fuite de données qui a ensuite été publiée sur un forum de piratage populaire. Les données comprenaient 536 000 enregistrements d'utilisateurs avec des adresses e-mail et IP, des noms d'utilisateur, des dates de naissance et des empreintes de mots de passe MD5 salées.
En juin 2021, la maison d'édition française de littérature courte Short Édition a subi une fuite de données ayant exposé 505 000 enregistrements. Les données touchées incluaient des adresses e-mail et physiques, des noms, des noms d'utilisateur, des numéros de téléphone, des dates de naissance, des genres et des mots de passe stockés soit sous forme de SHA-1 salés, soit sous forme de SHA-512 salés…
En juin 2021, le site web de jeux (aujourd'hui disparu) HeatGames a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. La fuite a exposé près de 650 000 adresses e-mail uniques ainsi que des adresses IP, le pays et des empreintes MD5 salées de mots de passe.
Au milieu de l'année 2021, le service de « messagerie vintage réinventée » Phoenix a subi une fuite de données qui a exposé 75 000 adresses e-mail uniques. La fuite a également exposé des adresses IP, des noms d'utilisateur et des mots de passe.
En août 2022, une attaque contre le service de streaming russe « START » a été révélée. L'incident a entraîné l'exposition de 44 millions d'enregistrements contenant 7,4 millions d'adresses e-mail uniques. Les données concernées comprenaient également le pays de l'abonné et l'empreinte de son mot de passe.
Des affiliés de REvil ont chiffré les systèmes du plus grand transformateur de viande au monde, paralysant des usines de transformation de bœuf et de porc aux États-Unis, au Canada et en Australie. JBS a payé une rançon de 11 millions de dollars — l'un des plus importants paiements de rançongiciel publiquement confirmés à l'époque.
En août 2021, 38 millions d'enregistrements de l'entreprise indienne de commerce électronique IndiaMART ont été trouvés en vente sur un forum de piratage populaire. Datant de plusieurs mois auparavant, les données comprenaient plus de 20 millions d'adresses e-mail uniques ainsi que des noms, numéros de téléphone et adresses physiques.
En mai 2021, le site de triche pour Grand Theft Auto Online Paragon Cheats a subi une fuite de données qui a entraîné la fermeture du service. La fuite a exposé 188 000 enregistrements de clients comprenant des noms d'utilisateur, des adresses e-mail et IP.
Une compromission de la chaîne d'approvisionnement du fournisseur informatique aéronautique SITA a exposé les données d'environ 4,5 millions de passagers d'Air India : noms, informations de passeport, données de billetterie, numéros de fidélité et informations de cartes de paiement collectées sur près d'une décennie de réservations.
En mai 2022, le système de gestion des clients du NDIS (National Disability Insurance Scheme) du gouvernement australien a subi une fuite de données qui a ensuite été publiée sur un forum de piratage en ligne.
Les données personnelles d'environ 279 millions d'Indonésiens — plus que la population vivante du pays — ont été extraites de l'agence nationale d'assurance maladie BPJS Kesehatan et mises en vente sur le forum de piratage RaidForums.
Une attaque par le rançongiciel Zeppelin a paralysé le Waikato District Health Board de Nouvelle-Zélande, mettant hors service les systèmes cliniques et les lignes téléphoniques de cinq hôpitaux pendant des semaines, reportant des interventions chirurgicales et divulguant des données de patients et de personnel sur le dark web.
Le rançongiciel Conti a paralysé le Health Service Executive irlandais, forçant l'annulation de rendez-vous externes à l'échelle nationale pendant des semaines. Conti a fourni le déchiffreur gratuitement ; la récupération a tout de même coûté plus de 100 M€ selon les estimations.
Les opérateurs de Conti ont piégé un utilisateur du HSE pour qu'il télécharge une pièce jointe Excel malveillante ; le rançongiciel qui en a résulté a contraint le Health Service Executive à arrêter tous les systèmes informatiques de santé en Irlande et a exfiltré 700 Go de données, dont des informations médicales sur la vaccination COVID-19. Le coût de la remise en état a dépassé 100 millions d'euros.
Un mot de passe VPN réutilisé a permis à DarkSide de chiffrer les systèmes de facturation de Colonial Pipeline. L’opérateur a arrêté 5 500 miles de pipeline pendant six jours, payé 4,4 M$, et déclenché une urgence fédérale.
En avril 2021, le site de triche pour Roblox SirHurt a subi une fuite de données ayant exposé plus de 90 000 enregistrements de clients. Les données exposées incluaient des adresses e-mail et IP, des noms d'utilisateur et des mots de passe stockés sous forme de hachages MD5.
En avril 2021, le « plus grand site de recherche d'amis par e-mail du Japon » Atmeltomo a subi une fuite de données qui a ensuite été vendue sur un forum de piratage populaire. La fuite a exposé 1,3 million d'enregistrements avec 580 000 adresses e-mail uniques ainsi que des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5 non salés.
En avril 2021, le forum de détournement de comptes et de SIM swapping OGusers a subi une fuite de données, la quatrième depuis décembre 2018. La fuite a ensuite été vendue sur un forum de piratage rival et contenait des noms d'utilisateur, des adresses e-mail et IP, ainsi que des mots de passe stockés sous forme de hachages MD5 salés ou argon2.
Au cours du premier semestre 2021, LinkedIn a été ciblé par des attaquants qui ont extrait des données de centaines de millions de profils publics avant de les vendre en ligne.
En avril 2021, le détaillant espagnol Phone House aurait subi une attaque par rançongiciel qui a également exposé d'importants volumes de données de clients. Attribuée au rançongiciel Babuk, une collection de données présentée comme un sous-ensemble d'un corpus plus vaste a été publiée sur un site du dark web et contenait 5,2 millions d'e-mail…
Le gang Babuk a compromis le distributeur de mobiles espagnol The Phone House et divulgué environ 100 Go de données clients — noms, numéros d'identité, coordonnées bancaires et de contact concernant jusqu'à 3 millions de personnes — après le refus de l'entreprise de payer.
En avril 2021, la société de courtage indienne Upstox a subi une fuite de données. L'incident a exposé de nombreuses informations personnelles concernant plus de 100 000 clients, dont des noms, des genres, des dates de naissance, des adresses postales, des informations bancaires et des mots de passe stockés sous forme de hachages bcrypt.
En avril 2021, SlideTeam, « la plus grande collection au monde de diapositives de présentation pré-conçues », a vu 1,4 million d'enregistrements compromis, qui ont ensuite été publiés sur un forum de piratage populaire l'année suivante.
Les données de 533 millions d'utilisateurs Facebook de 106 pays — dont numéros de téléphone, identifiants Facebook, noms complets, localisations, dates de naissance et certaines adresses e-mail — ont été publiées gratuitement sur un forum de piratage de bas niveau. Ces données avaient été collectées via une faille de l'importateur de contacts corrigée par Facebook en 2019.
Un trésor de 8,2 To lié à la fintech indienne MobiKwik — couvrant prétendument jusqu'à 99 millions d'utilisateurs avec documents KYC, données Aadhaar et de cartes — a été mis en vente sur un forum du dark web, dans une violation que l'entreprise a répétée niée.
En mars 2021, le service russe de streaming en ligne KinoKong a subi une fuite de données qui a ensuite été redistribuée dans le cadre d'un corpus de données plus vaste. La fuite a exposé plus de 800 k adresses e-mail uniques ainsi que des noms, des noms d'utilisateur, des adresses IP et des hachages de mots de passe MD5.
En avril 2021, 13 To de données compromises de Domino's India sont apparues en vente sur un forum de piratage, après quoi l'entreprise a reconnu une fuite de données majeure qu'elle faisait remonter à mars. Les données compromises comprenaient 22,5 millions d'adresses e-mail uniques, des noms, des numéros de téléphone, des historiques de commandes et des adresses postales.
En mars 2021, le site de fans de mangas MangaDex a subi une fuite de données qui a entraîné l'exposition de près de 3 millions d'abonnés. Les données comprenaient des adresses e-mail et IP, des noms d'utilisateur et des mots de passe stockés sous forme d'empreintes bcrypt. Les données ont ensuite circulé au sein de groupes de piratage.
En mars 2021, le service d'application de stationnement mobile ParkMobile a subi une fuite de données qui a exposé les données personnelles de 21 millions de clients. Les données touchées comprenaient des adresses e-mail, des noms, des numéros de téléphone, des plaques d'immatriculation de véhicules et des mots de passe stockés sous forme de hachages bcrypt.
La compagnie aérienne espagnole Air Europa a exposé les coordonnées et les données complètes de cartes de paiement — y compris les codes CVV — d'environ 489 000 clients sur 1,5 million d'enregistrements, et a été condamnée à 600 000 euros d'amende par l'AEPD pour sécurité insuffisante et notification tardive de 41 jours.
En mars 2021, le forum Carding Mafia a subi une fuite de données qui a exposé les adresses e-mail de près de 300 000 membres. Dédié au vol et au commerce de cartes de crédit volées, la fuite du forum a également exposé des noms d'utilisateur, des adresses IP et des mots de passe stockés sous forme de hachages MD5 salés.
En mars 2021, Luxottica, le plus grand fabricant de lunettes au monde, a subi une fuite de données via l'un de ses partenaires, qui a exposé les informations personnelles de plus de 70 millions de personnes.
En mars 2021, 4 millions d'enregistrements provenant d'IDC Games ont été partagés sur un forum de piratage public. Les données comprenaient des noms d'utilisateur, adresses e-mail et mots de passe stockés sous forme d'empreintes MD5 salées.
En mars 2021, l'entreprise brésilienne d'EdTech Descomplica a subi une fuite de données qui a ensuite été publiée sur un forum de piratage populaire. Les données comprenaient près de 5 millions d'adresses e-mail, des noms, les 6 premiers et 4 derniers chiffres ainsi que la date d'expiration de cartes de crédit, des historiques d'achat et des mots de passe…
En mars 2021, le réseau social autoproclamé « plus gentil et plus intelligent » Liker a subi une fuite de données, prétendument en représailles à la fuite de données de Gab et à l'extraction de données de Parler.
En mars 2021, le compte Stripe du service aujourd'hui disparu WeLeakInfo a été détourné par « pompompurin » après l'acquisition d'un nom de domaine expiré associé à une adresse e-mail utilisée pour gérer le compte.
Le groupe lié à la Chine Hafnium a enchaîné quatre zero-days d'Exchange Server (ProxyLogon) pour implanter des web shells et voler des e-mails ; après le correctif d'urgence de Microsoft, l'exploitation de masse par plusieurs groupes a compromis plus de 60 000 organisations dans le monde.
Malaysia Airlines a révélé un incident de sécurité des données s'étalant sur neuf ans chez un prestataire informatique tiers gérant son programme de fidélité Enrich, exposant les noms des membres, leurs coordonnées, dates de naissance et données de grand voyageur.
En février 2021, le service de réseau social alt-tech Gab a subi une fuite de données. L'incident a exposé près de 70 Go de données, dont 4 millions de comptes utilisateurs, un petit nombre de journaux de discussions privées ainsi qu'une liste de groupes publics et de publications publiques faites sur le service.
En février 2021, une série de services VPN « gratuits » ont été compromis, dont SuperVPN et GeckoVPN, exposant plus de 20 millions d'enregistrements. Les données apparaissaient ensemble dans un seul fichier, un petit nombre d'enregistrements provenant également de FlashVPN, ce qui suggère que les trois marques pourraient partager la même plateforme.
Une plateforme néerlandaise de billetterie en ligne a laissé une sauvegarde de base de données exposée sur un serveur Azure non sécurisé ; un attaquant a téléchargé les données de 1,9 million de personnes et exigé 7 bitcoins (~337 000 $) pour ne pas les divulguer.
En février 2021, la plateforme de streaming indienne Gemplex a subi une fuite de données qui a exposé 4,6 millions de comptes utilisateurs. Les données touchées comprenaient des informations sur les appareils, des noms, des numéros de téléphone, des adresses e-mail et des empreintes bcrypt de mots de passe.
En février 2021, une série de failles de sécurité particulièrement graves ont été identifiées dans le système NurseryCam conçu pour permettre aux parents de surveiller à distance leurs enfants pendant qu'ils sont à la crèche. Ces failles ont entraîné l'exposition de plus de 10 000 enregistrements de parents avant la fermeture du service.
Yandex a révélé que l'un des trois administrateurs disposant d'un accès privilégié à son service de messagerie vendait un accès non autorisé aux boîtes mail des utilisateurs, compromettant 4 887 boîtes avant que l'équipe de sécurité interne ne détecte l'abus lors d'un contrôle de routine.
Le rançongiciel HelloKitty a chiffré des appareils de CD Projekt Red et exfiltré le code source de Cyberpunk 2077, The Witcher 3, Gwent et d'une version inédite de The Witcher 3. CDPR a refusé de payer ; les données ont été vendues aux enchères et auraient été cédées à un acheteur privé.
Des hacktivistes ont détourné le registre national de domaine du Sri Lanka et redirigé une dizaine de domaines .lk de premier plan — dont Google.lk et Oracle.lk — vers une page de propagande politique, en exploitant des identifiants administrateur exposés sur le dark web depuis 2012.
En février 2021, le service lituanien d'autopartage CityBee a annoncé avoir subi une fuite de données qui a exposé les informations personnelles de 110 000 clients. La fuite a exposé des noms, des adresses e-mail, des pièces d'identité officielles et des mots de passe stockés sous forme de hachages SHA-1 non salés.
En janvier 2023, il a été signalé que la boutique en ligne norvégienne KomplettFritid avait subi une fuite de données remontant à février 2021. L'incident a exposé 140 k fiches clients comprenant des adresses postales, e-mail et IP, des noms, des numéros de téléphone et des mots de passe.
En janvier 2021, la plateforme de réseaux sociaux iranienne désormais disparue Raychat a subi une fuite de données qui a exposé 939 000 adresses e-mail uniques. Les données comprenaient des noms, des adresses IP, des chaînes user-agent de navigateur et des mots de passe stockés sous forme de hachages bcrypt. Les données ont été fournies à HIBP par dehashed.com.
À la mi-2021, Risk Based Security a signalé qu'une base de données provenant de Ducks Unlimited était échangée en ligne. Les données dataient de janvier 2021 et contenaient 1,3 million d'adresses e-mail uniques, réparties entre une liste de membres et une liste d'utilisateurs du site web.
En janvier 2021, le site web indien d'échange de livres Bookchor a subi une fuite de données qui a exposé un demi-million de dossiers clients. Les données exposées comprenaient des adresses e-mail et IP, des noms, des genres, des dates de naissance, des numéros de téléphone et des mots de passe stockés sous forme de hachages MD5 non salés.
En janvier 2021, le FBI, en partenariat avec le NHTCU néerlandais, le BKA allemand et d'autres forces de l'ordre internationales, a démantelé le logiciel malveillant le plus dangereux au monde : Emotet.
En janvier 2021, plus de 11 millions d'adresses e-mail uniques ont été découvertes par Night Lion Security, accompagnées d'une grande quantité d'informations personnelles, dont des noms, des adresses postales et IP, des numéros de téléphone et des dates de naissance.
Des employés du service municipal de santé néerlandais GGD ont volé des données personnelles — dont les numéros d'identité nationaux BSN — des systèmes COVID-19 CoronIT et HPzone, puis les ont vendues sur Telegram, Snapchat et Wickr pour 30 à 60 € par personne.
La plus grande fuite de données personnelles de l'histoire du Brésil : des bases de données concernant environ 223 millions de personnes — noms, identifiants fiscaux CPF, images faciales, salaires et scores de crédit — ont été mises en vente sur un forum du dark web, les soupçons pointant vers des données de bureau de crédit.
En janvier 2021, Oxfam Australia a été victime d'une fuite de données qui a exposé 1,8 million d'adresses e-mail uniques de donateurs de l'association caritative. Les données ont été mises en vente sur un forum de piratage populaire et comprenaient également des noms, des numéros de téléphone, des adresses, des genres et des dates de naissance.
En janvier 2021, le site de quiz Daily Quiz a subi une fuite de données qui a exposé plus de 8 millions d'adresses e-mail uniques. Les données comprenaient également des noms d'utilisateur, des adresses IP et des mots de passe stockés en clair.
En janvier 2021, l'agence de voyages française Bourse des Vols a subi une fuite de données qui a exposé 1,46 million d'adresses e-mail uniques réparties sur plus de 1 200 fichiers .sql et plus de 9 Go de données.
En janvier 2021, le site désormais disparu Date Hot Brunettes, qui proposait un service pour « rencontrer des femmes délaissées sachant garder un secret », a subi une fuite de données. L'incident a exposé 1,5 million d'adresses e-mail uniques ainsi que des adresses IP, des noms d'utilisateur, des biographies saisies par les utilisateurs et des hachages de mots de passe MD5.
En janvier 2021, le site web d'armes à feu guns.com a subi une fuite de données. La fuite a exposé 376 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des adresses postales, des achats d'armes, des données partielles de cartes bancaires, des dates de naissance et des mots de passe stockés sous forme d'empreintes bcrypt.
En janvier 2021, la plateforme indienne d'organisation de mariages WedMeGood a subi une fuite de données qui a exposé 1,3 million de clients. La fuite a exposé 41,5 Go de données comprenant des adresses e-mail et physiques, des noms, des genres, des numéros de téléphone et des hachages de mots de passe. Les données ont été fournies à HIBP par dehashed.com.
Début 2021, le site de torrents polonais Devil-Torrents.pl a subi une fuite de données. Un sous-ensemble des données comprenant 63 000 adresses e-mail uniques et des mots de passe craqués a ensuite été diffusé sur un service populaire de partage de fuites de données.
La base de données clients de Ho. Mobile, l'opérateur à bas coût de Vodafone Italie, a été volée et mise en vente sur le dark web — exposant les données personnelles et SIM d'environ 2,5 millions d'abonnés italiens et entraînant un remplacement massif des cartes SIM.
En mars 2021, une fuite de données massive a été révélée, touchant des millions de clients d'Adecco en Amérique du Sud, et a ensuite été vendue sur un forum de piratage populaire.
Début 2023, plus de 200 millions d'enregistrements récupérés par scraping depuis Twitter sont apparus sur un forum de piratage populaire. Les données ont été obtenues courant 2021 en exploitant une API qui permettait de faire correspondre des adresses e-mail à des profils Twitter.
En janvier 2021, le site parodique Windows93 a subi une fuite de données du sous-site Myspace93 après qu'une application bêta a été exploitée pour télécharger des fichiers du serveur.