L'actualité de la semaine en matière de violations de données 22 avril 2026

Des pirates informatiques auraient piraté le système de pompes hydrauliques de la place Saint-Marc à Venise, un lieu emblématique visité par des millions de personnes chaque année.

Des cybercriminels se faisant appeler « Infrastructure Destruction Squad » ou « Dark Engine » ont affirmé avoir obtenu un accès administratif au système de protection contre les inondations de la ville et ont menacé de désactiver les dispositifs de protection, ce qui aurait pu entraîner l'inondation des zones côtières. La violation présumée a débuté fin mars et a permis aux attaquants de prendre le contrôle de l'interface du système. Ces derniers ont diffusé des captures d'écran à titre de preuve et ont proposé un accès root complet pour 600 dollars, dans le but de mettre en évidence des vulnérabilités et d'exercer une pression politique.

Cet incident met en évidence la tendance croissante aux attaques visant les systèmes de technologie opérationnelle (OT) qui contrôlent les infrastructures critiques.

Basic-Fit, la plus grande chaîne européenne de salles de sport et de fitness, a révélé une fuite de données touchant les informations personnelles d'environ 1 million d'adhérents.

Le 13 avril, cette entreprise basée aux Pays-Bas, qui compte plus de 5 millions de membres et 1 500 clubs à travers l'Europe, a déclaré avoir détecté un accès non autorisé à ses systèmes. Bien que l'intrusion ait été bloquée en quelques minutes, une enquête a révélé que des données appartenant à des membres actifs dans plusieurs pays avaient déjà été téléchargées. Les informations compromises comprennent les noms, adresses e-mail, adresses postales, numéros de téléphone, dates de naissance et coordonnées bancaires.

Selon certaines informations, environ un million de membres en Espagne, en Allemagne, en France, en Belgique et au Luxembourg auraient été touchés. L'auteur de cette attaque reste inconnu, aucun groupe de ransomware n'ayant revendiqué la responsabilité de cet incident.

La société américaine Vercel, spécialisée dans les applications cloud, a révélé une faille de sécurité qui a permis à des acteurs malveillants d'accéder sans autorisation à ses systèmes internes.

L'incident trouve son origine dans la compromission de Context.ai, un outil d'IA tiers utilisé par un employé de Vercel. Cet employé s'était connecté à l'aide d'un compte Google Workspace et avait accordé à l'outil des autorisations étendues, notamment l'accès aux ressources de Google Cloud Platform. Or, l'outil avait déjà été compromis, ce qui a permis aux attaquants d'exploiter ces autorisations pour se déplacer latéralement au sein de l'environnement de Vercel et potentiellement accéder aux systèmes internes.

Bien que Vercel ait déclaré qu'aucune donnée sensible n'avait été exposée, des inquiétudes ont surgi après qu'un individu anonyme a partagé sur Telegram des captures d'écran qui montreraient, selon certaines allégations, un accès à des informations confidentielles. L'entreprise collabore désormais avec Mandiant et d'autres sociétés spécialisées dans la cybersécurité, a alerté les forces de l'ordre et coordonne ses efforts avec Context.ai afin d'évaluer toute l'ampleur de l'incident.

La société américaine d'éducation et d'édition McGraw Hill a déclaré que des pirates informatiques avaient exploité une erreur de configuration de Salesforce pour accéder à une partie de ses données internes.

McGraw Hill a récemment constaté un accès non autorisé à un ensemble limité de données provenant d'une page web hébergée sur Salesforce. La société a déclaré que cet incident semblait s'inscrire dans le cadre d'un problème plus large lié à une erreur de configuration au sein de l'environnement Salesforce, affectant plusieurs organisations. Elle a également précisé que cet incident n'avait pas donné lieu à un accès non autorisé à ses comptes Salesforce, à ses bases de données clients, à ses supports de formation ou à ses systèmes internes.

Cette fuite a été révélée parallèlement aux déclarations du groupe de ransomware ShinyHunters, qui a affirmé avoir dérobé 45 millions d'enregistrements Salesforce.

Inditex, la société mère de Zara, a détecté un accès non autorisé à des bases de données hébergées par des tiers et contenant des informations sur les transactions des clients.

Le 15 avril, l'entreprise a confirmé que cette violation trouvait son origine dans un incident de sécurité impliquant un ancien prestataire informatique et qu'elle avait touché plusieurs organisations opérant à l'international. Inditex a indiqué avoir immédiatement mis en œuvre des protocoles de sécurité et commencé à informer les autorités compétentes. Elle a également précisé que la base de données concernée ne contenait ni noms, ni adresses, ni mots de passe, ni coordonnées bancaires des clients.