Incidents de
En décembre 2023, des centaines de gigaoctets de données prétendument issues du fournisseur indien d'accès Internet et de télévision numérique Hathway sont apparues sur un site web de piratage populaire. L'incident a exposé de nombreuses informations personnelles, dont 4,7 millions d'adresses e-mail uniques ainsi que des noms, des adresses postales et IP, des numéros de téléphone…
Fin 2023, la bijouterie en ligne GLAMIRA a subi une fuite de données qu'elle a attribuée à « une personne non autorisée [ayant] brièvement accédé à l'un de nos serveurs ». Les données ont ensuite été publiées sur un forum de piratage populaire et comprenaient 875 000 adresses e-mail, des noms, des numéros de téléphone et des achats.
En décembre 2023, le site de vidéos fétichistes de gonflables et de ballons InflateVids a subi une fuite de données. L'incident a exposé plus de 13 000 adresses e-mail uniques ainsi que des noms d'utilisateur, adresses IP, genres et empreintes de mots de passe SHA-1.
Le groupe Sandworm, lié à la Russie, a détruit des milliers de serveurs virtuels et de postes de travail chez Kyivstar, le premier opérateur mobile ukrainien, privant de service quelque 24 millions d'abonnés et perturbant les alertes aériennes, la banque et les paiements lors de la plus dommageable cyberattaque contre les télécoms ukrainiens depuis l'invasion de 2022.
LockBit 3.0 a chiffré les centres de données du fournisseur cloud italien Westpole, mettant hors service la plateforme Urbi de PA Digitale — qui dessert 1 300 administrations publiques italiennes, dont 540 communes, la présidence du Quirinale, l'ISTAT, la Banque d'Italie et le ministère de l'Environnement. Paie, services aux citoyens et flux de travail des collectivités ont été dégradés pendant des semaines.
Fin 2023, le magasin d'électroménager néerlandais Welhof a subi une fuite de données. L'incident a exposé plus de 100 000 adresses e-mail uniques ainsi que des noms, des adresses physiques et le montant des achats effectués.
Le gang de rançongiciel RA World a compromis le réseau national de laboratoires médicaux ALAB Laboratoria en Pologne, dérobant des résultats d'analyses et des numéros d'identité PESEL de patients. ALAB a refusé de payer, et les criminels ont publié les données médicales sensibles de dizaines de milliers de patients, dans ce qui est devenu la plus grande fuite de données médicales de Pologne.
En juin 2024, une fuite de données provenant de la marque de mode française Zadig & Voltaire a été publiée publiquement sur un forum de piratage populaire. Les données comprenaient des noms, des adresses e-mail et postales, des numéros de téléphone et des genres.
En novembre 2023, l'application de gestion de cuisine KitchenPal a subi une fuite de données qui a exposé 146 k lignes de données. Contacté au sujet de l'incident, KitchenPal a indiqué que le corpus de données provenait d'un environnement de pré-production, tout en reconnaissant qu'il contenait un petit nombre d'utilisateurs à des fins de débogage…
En avril 2024, 15 millions d'enregistrements du fleuriste en ligne Blooms Today ont été mis en vente sur un forum de piratage populaire. Les données les plus récentes du corpus de la fuite dataient de novembre 2023 et figuraient aux côtés de 3,2 millions d'adresses e-mail uniques, de noms, de numéros de téléphone, d'adresses physiques et de données partielles de cartes bancaires…
Le rançongiciel LockBit a perturbé la filiale américaine de courtage-négociation d'ICBC, la plus grande banque mondiale, bloquant le règlement de plus de 9 milliards de dollars de transactions sur les bons du Trésor américain. Le personnel de la banque a envoyé les détails de règlement critiques sur clé USB, par messager, à travers Manhattan. 62 milliards de dollars de bons du Trésor n'ont pas pu être livrés en une seule journée.
En novembre 2023, plus de 800 000 dossiers d'utilisateurs ont été collectés sur le site Chess et publiés sur un forum de piratage populaire. Les données comprenaient l'adresse e-mail, le nom, le nom d'utilisateur et la localisation géographique de l'utilisateur. 446 000 dossiers collectés supplémentaires ont été fournis ultérieurement et ajoutés à HIBP.
En novembre 2023, une publication sur un forum de piratage populaire affirmait que des millions d'enregistrements LinkedIn avaient été extraits et divulgués. À l'examen, les données se sont révélées être une combinaison de données légitimes extraites de LinkedIn et d'adresses e-mail construites à partir des noms des personnes concernées.
Les opérateurs du rançongiciel Rhysida ont détruit des serveurs, exigé environ 600 000 £ et divulgué 600 Go de données internes lorsque la British Library a refusé de payer. Le catalogue principal n'est revenu en ligne — en lecture seule — qu'en janvier 2024. La reprise absorbe 40 % des réserves financières de la bibliothèque.
Les opérateurs de LockBit ont exploité la vulnérabilité Citrix Bleed (CVE-2023-4966) pour pénétrer dans l'activité de pièces détachées et de distribution de Boeing. Boeing n'a pas payé ; LockBit a divulgué environ 45 Go de données, dont des journaux Citrix, des sauvegardes de courriels, des listes de fournisseurs et des données tarifaires de 2020.
Un acteur malveillant a utilisé l'identifiant volé d'un compte de service — exposé via le compte Google personnel d'un employé — pour accéder au système de gestion des dossiers de support client d'Okta, lisant des fichiers HAR contenant des jetons de session et permettant le détournement de session contre des clients dont 1Password, BeyondTrust et Cloudflare.
En octobre 2023, le cabinet de conseil japonais Toumei a subi une fuite de données. La fuite a exposé plus de 100 millions de lignes et 10 Go de données, dont 77 000 adresses e-mail uniques accompagnées de noms, de numéros de téléphone et d'adresses postales.
Des attaquants ont utilisé des identifiants réutilisés issus de fuites antérieures pour accéder à des comptes 23andMe, puis ont exploité la fonctionnalité « DNA Relatives » pour collecter des données de généalogie et de profils génétiques de 6,9 millions d'utilisateurs à partir des connexions de proches compromis.
Un robot Telegram fournissait à la demande les noms, photos, noms des parents, numéros de téléphone et adresses d'électeurs bangladais à partir d'un numéro NID à 10 chiffres, divulgués via l'une des 174 organisations ayant accès au serveur d'identité nationale de la Commission électorale.
En février 2024, 200 000 enregistrements Facebook Marketplace prétendument obtenus auprès d'un sous-traitant de Meta en octobre 2023 ont été publiés sur un forum de piratage populaire. Les données contenaient 77 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des identifiants de profil Facebook et des localisations géographiques.
En septembre 2023, le fournisseur de cloud gaming Shadow a subi une fuite de données ayant exposé plus d'un demi-million d'enregistrements de clients. Les données incluaient des adresses e-mail et physiques, des noms et des dates de naissance.
Le gang de rançongiciel Medusa a piraté la Corporation philippine d'assurance maladie, exfiltrant environ 750 Go de données sensibles de membres et de dossiers médicaux et exigeant une rançon de 300 000 dollars ; le gouvernement a refusé de payer et les données ont été divulguées.
Une attaque par rançongiciel a paralysé environ 80 % des systèmes informatiques du Conseil des consommateurs de Hong Kong, les attaquants exfiltrant environ 65 Go de données et exigeant une rançon de 500 000 dollars que l'organisme a refusé de payer.
En septembre 2023, plus de 100 Go de journaux de voleurs d'informations et de listes de bourrage d'identifiants intitulés « Naz.API » ont été publiés sur un forum de piratage populaire. L'incident contenait une combinaison de paires adresse e-mail et mot de passe en clair ainsi que le service sur lequel elles avaient été saisies, et des paires d'identifiants autonomes…
Une attaque par rançongiciel contre le fournisseur cloud régional IFX Networks s'est propagée à plus de 50 entités publiques et privées colombiennes — dont le ministère de la Santé, le pouvoir judiciaire et la Surintendance de l'industrie et du commerce — et a touché 762 organisations en Amérique latine.
Une attaque par rançongiciel sur le Lanka Government Cloud du Sri Lanka a chiffré environ 5 000 comptes de messagerie gov.lk — dont le Cabinet Office — et, les sauvegardes ayant également été chiffrées, a détruit définitivement environ trois mois de courriels gouvernementaux.
Scattered Spider a vishé un agent du helpdesk IT de MGM, obtenu les droits admin Okta, puis laissé ALPHV déclencher un rançongiciel. Les casinos sont restés hors-ligne dix jours ; pertes pour MGM > 100 M$.
En septembre 2023, plus d'un million de lignes de données de l'entreprise de robots éducatifs Sphero ont été publiées sur un forum de piratage populaire. Les données contenaient 832 000 adresses e-mail uniques accompagnées de noms, noms d'utilisateur, dates de naissance et localisations géographiques.
En août 2023, l'entreprise portugaise de décoration intérieure Market Moveis a subi une fuite de données qui a touché 28 000 enregistrements. Les enregistrements exposés se limitaient à des noms et des adresses e-mail.
En août 2023, le ministère de la Justice des États-Unis a annoncé une opération multinationale impliquant des actions aux États-Unis, en France, en Allemagne, aux Pays-Bas et au Royaume-Uni pour perturber le botnet et le logiciel malveillant connu sous le nom de Qakbot et démanteler son infrastructure.
Scattered Spider s'est fait passer pour un employé de Caesars lors d'un appel à un prestataire tiers de support informatique et a convaincu le prestataire d'accorder des identifiants Okta, puis a exfiltré des données de fidélité clients dont des numéros de sécurité sociale et des permis de conduire. Caesars a payé environ 15 millions de dollars de rançon ; le FBI a ensuite gelé une part substantielle des fonds avec l'aide de Chainalysis.
En août 2023, PlayCyberGames, qui « permet aux utilisateurs de jouer à n'importe quel jeu doté d'une fonction LAN ou utilisant une adresse IP », a subi une fuite de données qui a exposé 3,7 millions d'enregistrements clients. Les données comprenaient des adresses e-mail, des noms d'utilisateur et des hachages de mots de passe MD5 avec une valeur constante dans le champ « salt ».
Des pirates liés à l'État chinois ont exploité des failles ProxyShell non corrigées de Microsoft Exchange pour rester indétectés plus d'un an dans les systèmes de la Commission électorale britannique, accédant aux données du registre électoral d'environ 40 millions d'électeurs.
En août 2023, le site MagicDuel Adventure a subi une fuite de données qui a exposé 138 000 enregistrements d'utilisateurs. Les données comprenaient des noms de joueurs, des adresses e-mail et IP ainsi que des empreintes de mots de passe bcrypt.
Des attaquants ont exploité une faille zero-day d'Ivanti Endpoint Manager Mobile (CVE-2023-35078, CVSS 10.0) pour compromettre une plateforme TIC partagée par 12 ministères norvégiens, l'exploitation remontant à au moins avril 2023.
Le groupe hacktiviste pro-russe Anonymous Sudan a submergé le portail gouvernemental kényan eCitizen sous un trafic DDoS, coupant l'accès à environ 5 000 services publics et perturbant M-Pesa, les jetons d'électricité et le traitement des visas pendant plusieurs jours.
En juillet 2023, Perception Point a publié un rapport sur une opération d'hameçonnage baptisée « Manipulated Caiman ». Ciblant principalement les citoyens du Mexique, la campagne tentait d'accéder aux comptes bancaires des victimes via des attaques de harponnage utilisant des pièces jointes malveillantes.
En juin 2023, des données appartenant à la « place de marché n° 1 des entreprises au Royaume-Uni » Rightbiz sont apparues sur un forum de piratage populaire. Comprenant plus de 18 millions de lignes de données, la fuite incluait 65 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des adresses physiques.
Un site web mal configuré du registre des naissances et des décès du gouvernement bangladais a exposé les noms, adresses, numéros de téléphone et numéros d'identité nationale de plus de 50 millions de citoyens, découvert par hasard via une recherche Google.
En juin 2023, la Fédération Française de Rugby a subi une fuite de données et une tentative de rançon. La fuite a exposé 282 000 adresses e-mail uniques ainsi que des noms, des dates de naissance et des numéros de téléphone.
En septembre 2023, le détaillant de livres australien Dymocks a annoncé une fuite de données. Les données dataient de juin 2023 et contenaient 1,2 million d'enregistrements avec 836 000 adresses e-mail uniques. La fuite a également exposé des noms, des dates de naissance, des genres, des numéros de téléphone et des adresses postales.
En juin 2023, un clone du célèbre forum de piratage « BreachForums » précédemment fermé a subi une fuite de données qui a exposé plus de 4 000 enregistrements. La fuite était due à une sauvegarde exposée de la base de données MyBB, qui comprenait des adresses e-mail et IP, des noms d'utilisateur et des hachages de mots de passe Argon2.
Le portail central e-gouvernement de la Turquie a été pillé pour les dossiers d'environ 85 millions de citoyens et résidents, avec numéros d'identité, adresses, téléphones, liens familiaux, données de santé et financières vendus en ligne et mis à jour quasiment en temps réel.
En mai 2023, le détaillant sud-africain JD Group a annoncé une fuite de données touchant un certain nombre de ses actifs en ligne, notamment Bradlows, Everyshop, HiFi Corp, Incredible (Connection), Rochester, Russells et Sleepmasters.
Cl0p a exploité la CVE-2023-34362 dans MOVEit Transfer de Progress Software pour rançonner plus de 2 700 organisations, dont la BBC, British Airways et le département américain de l’Énergie.
Une vaste attaque DDoS de plusieurs jours contre la « Banque de sujets » (Trapeza Thematon), la plateforme d'examens du lycée grec, a perturbé les examens nationaux avec jusqu'à 280 000 connexions par seconde et 165 millions de requêtes depuis 114 pays, la plus grande attaque contre un organisme public grec.
En mai 2023, une liste de credential stuffing de 6,3 millions de paires d'adresses e-mail et de mots de passe polonais est apparue sur un forum local. Probablement obtenu par un logiciel malveillant exécuté sur les machines des victimes, chaque enregistrement comprenait une adresse e-mail et un mot de passe en texte clair ainsi que le site web sur lequel les identifiants étaient utilisés.
Le gang de rançongiciel Play a compromis le fournisseur informatique suisse Xplain et a divulgué environ 65 000 documents sur le darknet, dont des fichiers sensibles de l'Administration fédérale provenant des départements de la justice, de la police et de la défense.
Le rançongiciel Play a compromis le prestataire suisse de services informatiques Xplain, exfiltrant 1,3 million de fichiers. Environ 65 000 documents appartenant à l'Administration fédérale suisse — y compris des contenus classifiés, des données personnelles et des mots de passe lisibles — ont été publiés sur le site de fuite de Play sur le dark web en juin 2023.
Storm-0558, basé en Chine, a falsifié des jetons d'authentification à l'aide d'une clé de signature grand public Microsoft volée et a lu les courriels d'environ 25 organisations — dont le Département d'État américain, le Département du Commerce et l'ambassadeur des États-Unis en Chine. La « cascade d'erreurs » qui l'a rendu possible est devenue un cas emblématique de la garde des clés par les fournisseurs cloud.
En mai 2023, des vagues coordonnées d'attaques ont exploité des vulnérabilités des pare-feu Zyxel pour compromettre 22 entreprises énergétiques danoises, forçant certains opérateurs à passer en mode îlotage, dans ce que SektorCERT a qualifié de plus grand incident cyber visant les infrastructures critiques du Danemark à ce jour.
Le gang de rançongiciel LockBit a paralysé pendant plusieurs jours la plus grande banque islamique d'Indonésie, puis a divulgué 1,5 To de données concernant quelque 15 millions de clients et d'employés après le non-paiement d'une rançon de 20 millions de dollars.
En janvier 2025, une fuite de données provenant du site colombien de Le Coq Sportif a été publiée sur un forum de piratage populaire. Les données comprenaient près de 80 k adresses e-mail uniques, la fuite remontant à mai 2023.
En avril 2023, des données du site d'emploi israélien Jobzone ont été publiées en ligne. Les données comprenaient 30 000 enregistrements contenant des adresses e-mail, des noms, des numéros de sécurité sociale, des genres, des dates de naissance, des noms de pères et des adresses physiques.
En avril 2023, le service de location indien RentoMojo a subi une fuite de données. La fuite a exposé plus de 2 millions d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone, de passeport et Aadhaar, des genres, des dates de naissance, des achats et des hachages de mots de passe bcrypt.
En avril 2023, la place de marché d'identités volées Genesis Market a été fermée par le FBI et une coalition d'agences de maintien de l'ordre du monde entier dans le cadre de l'« Opération Cookie Monster ».
Un pirate utilisant le pseudonyme « 9Near » a menacé de divulguer les données personnelles de 55 millions de Thaïlandais, prétendument issues de l'application de santé gouvernementale Mor Prom ; un sergent de l'armée a ensuite été identifié et s'est rendu.
Une intrusion du rançongiciel Black Basta chez le géant britannique de l'externalisation Capita a exposé les données de pension et personnelles d'environ 6,6 millions de personnes, entraîné une amende de 14 millions de livres de l'ICO et coûté plus de 25 millions de livres à l'entreprise.
À la mi-2023, 300 Go de données contenant plus de 100 millions d'enregistrements de la plateforme chinoise de chat vidéo « Tigo », datant de mars de la même année, ont été découverts. Les données contenaient plus de 700 000 noms uniques, noms d'utilisateur, adresses e-mail et IP, genres, photos de profil et messages privés.
Des acteurs liés à la Corée du Nord ont trojanisé le client softphone 3CXDesktopApp, diffusant le maliciel SmoothOperator via une mise à jour signée légitimement à une base de plus de 600 000 organisations clientes — la première compromission en cascade documentée de la chaîne d'approvisionnement logicielle, elle-même rendue possible par une compromission antérieure du logiciel de trading X_TRADER.
Ferrari a révélé qu'un acteur malveillant avait pénétré ses systèmes et exigé une rançon concernant des données de contact clients volées — noms, adresses, e-mails et numéros de téléphone — que le constructeur de luxe a refusé de payer.
Le prêteur australien de crédit à la consommation Latitude Financial a révélé que des attaquants avaient exfiltré 14 millions d'enregistrements — dont 7,9 millions de numéros de permis de conduire et 53 000 numéros de passeport — grâce à des identifiants dérobés à un prestataire de services.
En mars 2024, des millions de lignes de données provenant de l'entreprise de médias néo-zélandaise MediaWorks ont été publiées sur un forum de piratage populaire. L'incident a exposé 163 000 adresses e-mail uniques fournies par des visiteurs ayant participé à des concours en ligne et comprenait des noms, des adresses postales, des numéros de téléphone, des dates…
En mars 2023, DC Health Link a découvert une fuite de données qui a ensuite été publiée publiquement sur un forum de fuites de données populaire. Les données touchées comprenaient 48 000 adresses e-mail uniques ainsi que des noms, des genres, des dates de naissance, des adresses postales, des numéros de téléphone et des numéros de sécurité sociale. et « IntelBroker ».
Début 2023, le site web de "masturbation mutuelle" CityJerks a subi une fuite de données qui a exposé 177 000 adresses e-mail uniques. La fuite comprenait également des données du site TruckerSucker, "application de rencontre pour de VRAIS CAMIONNEURS et de VRAIS HOMMES", l'ensemble combiné des données exposant aussi des noms d'utilisateur, des adresses IP, des dates…
En février 2023, le site de recherche d'admissions en école doctorale TheGradCafe a subi une fuite de données qui a divulgué les dossiers personnels de 310 000 utilisateurs. Les données comprenaient des adresses e-mail, des noms et noms d'utilisateur, des genres, des localisations géographiques et des mots de passe stockés sous forme de condensats bcrypt.
En août 2023, le CERT Pologne a observé une campagne de phishing qui a collecté les identifiants de 68 000 victimes. La campagne collectait des adresses e-mail et des mots de passe via un e-mail de phishing se faisant passer pour une confirmation de bon de commande.
En mars 2023, l'unité indienne de crédit non bancaire HDB Financial Services a subi une fuite de données qui a divulgué plus de 70 millions d'enregistrements clients. Contenant 1,6 million d'adresses e-mail uniques, la fuite a également divulgué des noms, des dates de naissance, des numéros de téléphone, des genres, des codes postaux et des informations de prêt appartenant aux…
La première fintech du Nigeria a subi une série d'incidents de transferts non autorisés en 2023, dont un détournement de 2,9 milliards de NGN (4,2 M$) réparti sur 28 comptes et une perte ultérieure de 19 milliards de NGN (24 M$) via un accès marchand TPE détourné, entraînant des injonctions Mareva pour geler des milliers de comptes bénéficiaires.
En février 2023, The Kodi Foundation a subi une fuite de données qui a exposé plus de 400 000 enregistrements d'utilisateurs. Attribuée à un compte appartenant à « un membre de confiance mais actuellement inactif de l'équipe d'administration du forum », la fuite impliquait que le compte administrateur avait créé une sauvegarde de base de données qui a ensuite été…
Des affiliés de LockBit ont chiffré le plus grand libraire du Canada, mettant le site web et les systèmes de paiement en magasin hors ligne pendant des semaines. Indigo a publiquement refusé la rançon ; LockBit a publié les données personnelles d'employés.
En février 2023, le fournisseur de télécommunications russe Convex a été piraté par "Anonymous" qui a ensuite publié publiquement 128 Go de données, affirmant qu'elles révélaient une surveillance gouvernementale illégale. Les données divulguées contenaient 150 000 adresses e-mail, IP et postales uniques, des noms et des numéros de téléphone.
En février 2023, le service européen de transferts aéroportuaires Terravision a subi une fuite de données. La fuite a exposé plus de 2 millions d'enregistrements de données clients comprenant des noms, des numéros de téléphone, des adresses e-mail, des condensats salés de mots de passe et, dans certains cas, la date de naissance et le pays d'origine.
Une base de données cloud non sécurisée et sans mot de passe appartenant au service d'autopartage iRent de Hotai Motor a exposé environ 4,2 téraoctets de données concernant plus de 400 000 clients, dont des photos de permis de conduire, des selfies et des numéros de carte bancaire partiels.
En février 2023, des données prétendument issues du service de protection contre la fraude Eye4Fraud ont été mises en vente sur un forum de piratage populaire. S'étendant sur des dizaines de millions de lignes avec 16 millions d'adresses e-mail uniques, les données étaient réparties sur 147 tables totalisant 65 Go et comprenaient à la fois des utilisateurs directs du…
En août 2023, 2,6 millions d'enregistrements de données extraits de Duolingo ont été largement diffusés sur un forum de piratage populaire. Obtenues en énumérant une API vulnérable, les données étaient déjà apparues à la vente en janvier 2023 et contenaient des adresses e-mail, des noms, les langues en cours d'apprentissage, des XP (points d'expérience),…
En janvier 2023, le Pitt Meadows School District 42 en Colombie-Britannique a subi une fuite de données. L'incident a exposé les noms et adresses e-mail d'environ 19 000 élèves et membres du personnel, qui ont par la suite été redistribués sur un forum de piratage populaire.
En janvier 2023, le service de réservation de patinoires britannique Planet Ice a subi une fuite de données. L'incident a exposé les données personnelles de 240 000 personnes, dont des adresses e-mail et postales, des numéros de téléphone, des sexes, des dates de naissance et des mots de passe stockés sous forme de hachages MD5.
Des affiliés de LockBit ont chiffré les systèmes d'exportation internationale de Royal Mail, paralysant tous les services postaux vers l'étranger depuis le Royaume-Uni pendant six semaines. Royal Mail a publiquement refusé la demande de rançon de 65,7 M£ ; LockBit a divulgué progressivement les données exfiltrées.
En janvier 2023, la filiale japonaise de l'assureur Zurich a subi une fuite de données qui a exposé 2,6 millions d'enregistrements clients comprenant plus de 756 000 adresses e-mail uniques. Les données ont par la suite été publiées sur un forum de piratage populaire et comprenaient également des noms, des genres, des dates de naissance et des détails sur les véhicules assurés.
En janvier 2023, 1,4 million d'enregistrements de la place de marché de véhicules en ligne Autotrader sont apparus sur un forum de piratage populaire. Autotrader a déclaré que les « données en question concernent des annonces anciennes qui étaient généralement accessibles publiquement sur notre site à l'époque et ouvertes à des méthodes de collecte automatisées ».
En février 2023, le service de camps technologiques pour enfants iD Tech a vu près d'1 million d'enregistrements publiés sur un forum de piratage populaire. Les données comprenaient 415 000 adresses e-mail uniques, noms, dates de naissance et mots de passe en clair qui semblent avoir fait l'objet d'une fuite le mois précédent.