Fuites de données et cyberattaques marquantes

Passeports, selfies KYC, relevés IBAN et historique complet des transactions (y compris Bitcoin) transmis à un attaquant se faisant passer pour une agence officielle.

Cause : Demande d'usurpation d'une agence gouvernementale par email, avec identifiants d'authentification de domaine valides.

Fausses alertes sécurité envoyées depuis la véritable adresse help@trezor.io après compromission de la plateforme française Brevo ; 2 500 clics avant la coupure du domaine en 20 minutes.

Cause : Accès non autorisé au système d'envoi, utilisé pour expédier du phishing depuis des expéditeurs légitimes.

3 400 BTC restitués après une négociation menée sur la blockchain ; environ 598 BTC (47 M$) restent aux mains des attaquants malgré le qualificatif de « white hats ».

Cause : Bug du logiciel Elements permettant de créer des L-BTC sans contrepartie et de déclencher un peg-out.

Le gang ShinyHunters revendique le vol de plus de 200 000 dossiers de conducteurs via un compte institutionnel compromis, avec preuve à l'appui.

Cause : Identifiants d'un agent de police stockés sur son appareil personnel (version officielle) ; faille de reset revendiquée par les attaquants.

L'administration fiscale française confirme un accès illégitime à ses systèmes, ravivant le débat sur la sécurité du secteur public.

Cause : Identifiants d'agent usurpés et absence de MFA généralisée sur le système d'information fiscal.

La filiale logistique du groupe français CMA CGM a vu les commandes de clients majeurs bloquées et leurs données exfiltrées, entraînant des poursuites collectives aux États-Unis.

Cause : Rançongiciel ayant paralysé huit entrepôts européens ; le groupe CoinbaseCartel est cité dans les procédures judiciaires en cours.

Le portail gérant cartes grises, permis de conduire et cartes d'identité a exposé les données de millions de Français via une faille d'autorisation triviale à corriger.

Cause : Vulnérabilité IDOR élémentaire sur le portail : un identifiant modifié dans une requête API permettait d'accéder aux comptes d'autres usagers.

Le manufacturier français a vu des fichiers internes liés à la fabrication, l'ingénierie et les RH revendiqués par Cl0p, dans le sillage d'une campagne comparable à MOVEit visant l'ERP Oracle.

Cause : Zero-day pré-authentification dans Oracle E-Business Suite (CVE-2025-61882), exploité par le groupe Cl0p dans une campagne d'extorsion visant plus de 100 organisations.

Une nouvelle compromission chez le même opérateur, révélant des faiblesses persistantes dans la sécurisation des accès internes.

Cause : Second incident de sécurité distinct, environ 18 mois après la première fuite.

L'un des plus gros incidents télécom français, suivi d'une sanction record de la CNIL pour défaut de sécurisation des données.

Cause : Intrusion dans les systèmes internes, exfiltration de contrats et coordonnées bancaires ; amende CNIL de 42 millions d'euros.

Premier des deux incidents de sécurité distincts subis par l'opérateur en moins de deux ans.

Cause : Compromission d'un outil de gestion interne exposant contrats et coordonnées.

Un courtier en données peu connu du grand public a vu des dizaines d'années d'historiques personnels revendus sur des forums criminels.

Cause : Base de données d'un courtier en données exposée, contenant des historiques d'adresses et numéros de sécurité sociale.

Deux incidents distincts en 2024 : republication de données anciennes puis vol massif de métadonnées d'appels et SMS de presque tous les clients.

Cause : Fuite historique republiée puis vol séparé de journaux d'appels et SMS via un compte cloud Snowflake compromis.

L'une des plus grosses fuites de billetterie de l'histoire, exposant noms, emails et données de paiement partielles de clients dans le monde entier.

Cause : Compromission de comptes Snowflake clients dépourvus de MFA, dans le cadre d'une vague d'attaques sur plusieurs entreprises.

Noms, numéros de sécurité sociale et statuts d'inscription de la quasi-totalité des actifs et demandeurs d'emploi français exposés.

Cause : Accès non autorisé via des identifiants d'agents de conseillers Pôle emploi / France Travail compromis.

L'attaque a paralysé la facturation et le remboursement d'une large partie du système de santé américain pendant des semaines, avec une rançon payée estimée à 22 millions de dollars.

Cause : Ransomware ALPHV/BlackCat via des identifiants Citrix sans authentification multi-facteurs.

Données de santé (mutuelle, remboursements) de la moitié de la population française exposées via deux prestataires distincts touchés en parallèle.

Cause : Double compromission des systèmes de deux tiers-payants santé via des identifiants professionnels volés.

Données génétiques et généalogiques sensibles exposées, avec un ciblage revendiqué de profils juifs ashkénazes et chinois.

Cause : Credential stuffing sur des comptes réutilisant des mots de passe, puis exploitation de la fonctionnalité DNA Relatives pour élargir l'accès.

Un simple appel téléphonique au service d'assistance a permis de paralyser les casinos et hôtels du groupe pendant plusieurs jours, pour un coût estimé à 100 millions de dollars.

Cause : Ingénierie sociale par vishing auprès du support technique (groupe Scattered Spider), suivie d'un ransomware.

Quelques jours avant l'attaque contre MGM Resorts, le même groupe d'attaquants a visé Caesars, qui a choisi de payer la rançon.

Cause : Ingénierie sociale par vishing auprès du support technique (groupe Scattered Spider), rançon d'environ 15 millions de dollars payée.

La plus grande campagne d'extorsion de données via une seule vulnérabilité logicielle, touchant des centaines d'organisations à travers le monde.

Cause : Zero-day d'injection SQL dans MOVEit Transfer, exploitée en masse par le groupe Cl0p.

Le gestionnaire de mots de passe a vu ses sauvegardes clients volées ; l'impact réel dépend de la robustesse du mot de passe maître de chaque utilisateur.

Cause : Compromission du poste d'un développeur, puis vol de sauvegardes de coffres-forts chiffrés dans le cloud.

Un attaquant isolé a obtenu un accès administrateur complet à Slack, AWS, GSuite et aux outils financiers d'Uber en quelques heures.

Cause : Ingénierie sociale et MFA fatigue par un attaquant de 18 ans, accès total aux outils internes.

Plusieurs enseignes françaises ont notifié leurs clients d'une fuite de coordonnées (nom, email, téléphone) via un prestataire partagé.

Cause : Fuite via un prestataire commun de gestion de la relation client, touchant plusieurs enseignes en parallèle.

Emails et numéros de téléphone associés aux comptes ont été agrégés puis diffusés gratuitement, exposant des comptes anonymes à la ré-identification.

Cause : API vulnérable permettant d'associer un numéro de téléphone ou un email à un compte, exploitée pour du scraping massif.

L'hôpital a fonctionné en mode dégradé pendant des semaines après une attaque ayant chiffré son système d'information et exposé des données patients.

Cause : Ransomware LockBit ; rançon de 10 millions de dollars exigée et refusée par l'hôpital, données publiées en représailles.

L'opérateur mobile du groupe La Poste a mis plusieurs semaines à rétablir ses services après une attaque par rançongiciel.

Cause : Ransomware ayant paralysé la facturation et le support client pendant plusieurs semaines.

Données professionnelles et personnelles de la quasi-totalité des utilisateurs actifs agrégées et revendues sur des forums spécialisés.

Cause : Scraping massif de profils publics via l'API, sans exploitation d'une vulnérabilité au sens strict.

Numéros de téléphone, noms complets et localisations de plus d'un demi-milliard d'utilisateurs republiés gratuitement sur un forum de hackers.

Cause : Scraping massif via une fonctionnalité d'import de contacts, corrigée en 2019 mais déjà exploitée auparavant.

Des identifiants de professionnels de santé compromis ont permis d'extraire les données de centaines de milliers d'assurés de l'Assurance Maladie.

Cause : Identifiants professionnels de santé volés, utilisés pour interroger le téléservice ameli pro.

L'opérateur a confirmé un accès non autorisé à des données de clients professionnels via une de ses plateformes de gestion.

Cause : Intrusion sur une plateforme de gestion interne dédiée aux clients entreprises.

Attaque de la chaîne d'approvisionnement logicielle la plus marquante de la décennie, touchant des agences gouvernementales américaines et des entreprises du Fortune 500.

Cause : Implant malveillant injecté dans les mises à jour logicielles Orion par le groupe Nobelium.

L'une des plus grandes ESN françaises paralysée plusieurs jours par un ransomware, dans la même vague que l'attaque contre Groupe M6.

Cause : Ransomware Ryuk ayant chiffré une partie du système d'information de l'ESN.

Le groupe de télévision a maintenu ses antennes à l'antenne malgré une attaque ayant bloqué une large partie de son système d'information.

Cause : Ransomware Ryuk ayant paralysé plusieurs jours la diffusion et les systèmes internes du groupe audiovisuel.

Pôle emploi a alerté des centaines de milliers de demandeurs d'emploi après la découverte d'une campagne d'hameçonnage s'appuyant sur des données volées chez un partenaire.

Cause : Fuite de données chez un prestataire tiers, réutilisées ensuite pour une campagne de phishing ciblé.

Demandes de crédit, numéros de sécurité sociale et données bancaires exfiltrés depuis un compartiment de stockage cloud mal protégé.

Cause : Pare-feu applicatif web mal configuré (SSRF) exploité par une ancienne employée d'un sous-traitant cloud AWS.

Passeports, dates de naissance et données de cartes bancaires de centaines de millions de clients d'hôtels exposés sur une durée exceptionnellement longue.

Cause : Intrusion restée indétectée pendant environ quatre ans dans la base de réservation Starwood après son rachat.

Numéros de sécurité sociale, dates de naissance et adresses de près de la moitié des Américains exposés via une vulnérabilité web connue et négligée.

Cause : CVE connue dans Apache Struts, non corrigée malgré un correctif disponible depuis plusieurs mois.

La plus grande fuite de données jamais recensée : la totalité des comptes Yahoo de l'époque, révélée par vagues entre 2016 et 2017 pour des intrusions remontant à 2013.

Cause : Vol d'identifiants par des acteurs étatiques présumés, hachage MD5 obsolète pour les mots de passe.