L'actualité de la semaine en matière de violations de données 27 mai 2026

Plus de 5 000 dépôts GitHub ont été touchés par une campagne malveillante automatisée baptisée « Megalodon », qui utilisait de fausses demandes de fusion pour voler des informations sensibles.

Les attaques par la chaîne d'approvisionnement visant les dépôts open source JavaScript et Python continuent de se multiplier. Un incident récent a conduit GitHub, propriété de Microsoft, à signaler que des pirates avaient dérobé environ 3 800 dépôts internes après qu'un développeur eut installé une extension Visual Studio Code malveillante. Le groupe de pirates informatiques TeamPCP, spécialisé dans les attaques par la chaîne d'approvisionnement, a revendiqué cette attaque.

Plutôt que de modifier directement le code des applications, la campagne a injecté un fichier de workflow malveillant dans des dépôts via GitHub Actions, la plateforme CI/CD basée sur le cloud de GitHub destinée à la compilation, aux tests et au déploiement de logiciels. Au total, la campagne « Megalodon » aurait effectué 5 718 commits malveillants sur 5 561 dépôts en l'espace de six heures.

Les hôpitaux universitaires allemands sont confrontés à une fuite de données de patients à grande échelle après que des pirates informatiques inconnus ont pris pour cible un prestataire externe de services de facturation utilisé par des centres médicaux dans tout le pays.

Cette violation aurait touché Unimed, une société qui gère, pour le compte de nombreux hôpitaux allemands, les services de facturation destinés aux patients bénéficiant d'une assurance privée ou payant eux-mêmes leurs soins. Selon certaines informations, l'attaque aurait eu lieu à la mi-avril et aurait concerné des dizaines de milliers de patients liés aux hôpitaux universitaires de Cologne, Fribourg, Ulm, Heidelberg et Tübingen.

Les données compromises comprendraient notamment des noms, des adresses, des informations sur les médecins, des échanges relatifs à la santé avec le prestataire chargé de la facturation, ainsi que des coordonnées bancaires et des informations de paiement.

Beacon Mutual Insurance Company, l'un des principaux assureurs spécialisés dans l'indemnisation des accidents du travail, dont le siège se trouve dans le Rhode Island, a commencé à informer les personnes dont les données personnelles ont été compromises lors d'une récente attaque par ransomware.

L'entreprise a détecté l'attaque le 14 janvier 2026, et une enquête a révélé par la suite que les pirates avaient eu accès à certains systèmes entre le 7 et le 14 janvier. Au cours de cette période, les auteurs de l'attaque auraient copié des fichiers contenant des informations sensibles telles que des noms, des numéros de Sécurité sociale, des numéros de permis de conduire, des coordonnées bancaires, des informations relatives à l'assurance maladie et des dossiers médicaux.

Environ 162 000 personnes pourraient être concernées, dont plus de 131 000 résidents du Rhode Island. Beacon Mutual a indiqué qu'elle informait les personnes concernées et a invité toute personne pensant être concernée à contacter la compagnie.

American Lending Center, un organisme de crédit non bancaire basé en Californie et spécialisé dans les prêts aux petites entreprises et aux start-ups, a signalé avoir été victime d'une attaque par ransomware qui a compromis les données personnelles sensibles de 123 158 personnes.

La faille a été découverte le 27 juillet 2025, et une enquête a par la suite établi que les pirates avaient eu accès aux fichiers entre le 24 et le 30 juillet 2025. Les données exposées pourraient inclure des noms, des dates de naissance et des numéros de Sécurité sociale. L'enquête technique n'a été achevée que le 8 avril 2026, près de neuf mois après la première identification de l'incident.

Aucun groupe de ransomware connu n'a revendiqué publiquement la responsabilité de cette attaque, ce qui laisse supposer soit qu'une rançon a été versée, soit que les auteurs de l'attaque ne disposent pas d'un site public de divulgation d'informations.

Grafana Labs, la société à l'origine de Grafana, une plateforme d'analyse et de visualisation basée sur l'IA, a révélé qu'un acteur malveillant avait exploité un workflow GitHub Actions mal configuré, connu sous le nom de « Pwn Request », pour voler un jeton d'application GitHub privilégié. Cette faille aurait permis à l'attaquant d'exfiltrer du code source privé et de tenter d'extorquer de l'argent à l'entreprise.

Dans une série de publications sur X (anciennement Twitter), Grafana Labs a indiqué qu'un tiers non autorisé avait obtenu un jeton lui permettant d'accéder à son environnement GitHub et de télécharger du code source. Une « Pwn Request » est une vulnérabilité CI/CD présente dans les workflows GitHub Actions, dans le cadre de laquelle du code non fiable provenant de contributeurs externes est automatiquement exécuté, ce qui peut exposer les secrets du dépôt et accorder des droits d'écriture aux attaquants.

La responsabilité de cette attaque a été revendiquée publiquement par Coinbase Cartel, un groupe spécialisé dans le vol de données et l'extorsion qui serait lié à l'écosystème SLSH. Selon certaines informations, le groupe aurait exigé une rançon, que Grafana Labs a refusé de payer, invoquant les recommandations du FBI selon lesquelles le paiement d'une rançon ne garantit pas la restitution ou la suppression des données volées.