L'actualité de la semaine en matière de violations de données 9 septembre 2026

Le FBI a annoncé le 2 septembre qu'il menait une enquête sur une éventuelle fuite de données qui aurait pu exposer plus de 153 millions de permis de conduire appartenant à des personnes résidant aux États-Unis et au Canada.

Un site du dark web appelé Nexus affirme vendre des millions de copies numérisées de documents d'identité appartenant à plus de 170 millions de personnes en Amérique du Nord. Les données volées comprendraient plus de 153 millions de permis de conduire, plus de 10 millions de cartes d'identité et plus de trois millions de documents de voyage et de pièces d'identité internationales. Le FBI a confirmé qu'il enquêtait sur cette affaire, mais a refusé de faire d'autres commentaires, l'enquête étant toujours en cours.

Si ces allégations s'avèrent exactes, il pourrait s'agir de l'une des plus importantes fuites de données concernant des documents d'identité délivrés par les pouvoirs publics jamais enregistrées en Amérique du Nord, exposant ainsi des dizaines de millions de personnes au risque d'usurpation d'identité et de fraude.

Dans le cadre d'une nouvelle fuite massive de données d'utilisateurs, une base de données qui contiendrait 32,8 millions d'enregistrements d'utilisateurs de Condé Nast serait proposée à la vente pour 15 000 dollars sur un forum de cybercriminalité en russe.

Condé Nast est un groupe américain de médias de masse dont le portefeuille éditorial, très populaire, comprend notamment Vogue, The New Yorker, GQ, Glamour, WIRED et Vanity Fair. La base de données, qui aurait été mise en vente le 7 septembre 2026, contiendrait 32 815 767 enregistrements d'utilisateurs, comprenant des adresses e-mail, des noms, des adresses postales, le sexe, les dates de naissance et des numéros de téléphone. La liste ne comprend pas de mots de passe, de hachages de mots de passe, de noms d'utilisateur ni de données de cartes de paiement.

Condé Nast n'a pour l'instant ni confirmé publiquement cette violation de données, ni fait de commentaire concernant l'annonce de mise en vente.

La région ANZ a également été touchée par cette vague de fuites massives de données utilisateur : le prestataire de services éducatifs Mathspace a confirmé que plus d'un million de personnes, parmi lesquelles des élèves, des membres du personnel scolaire et des parents, ont été touchées par une récente fuite de données.

Mathspace a confirmé que des tiers non autorisés avaient accédé à un système de reporting interne entre le 10 et le 27 août en exploitant une faille de sécurité dans son installation logicielle auto-hébergée. Un correctif de sécurité qui aurait pu empêcher cette intrusion n’avait pas été installé pendant la période concernée. Les données exportées comprennent les identifiants utilisateur, les noms d’utilisateur, les prénoms et noms de famille, les adresses e-mail, les pays, les fuseaux horaires, les types d’utilisateurs, le statut de vérification de l’adresse e-mail, les dates de dernière activité, les dates de dernière connexion et les dates d’inscription.

L'entreprise a déclaré ne pas avoir encore identifié les responsables de cette violation de données et n'avoir trouvé, à ce jour, aucune preuve indiquant que les données volées aient été publiées, partagées ou vendues. Mathspace a confirmé qu'au total, 1 079 819 personnes avaient été touchées en Australie et en Nouvelle-Zélande.

Une cyberattaque perpétrée en juin contre Baylor Genetics, une société de génomique clinique basée au Texas, a entraîné la divulgation d'informations de santé protégées sous forme électronique (ePHI) concernant près de 2,8 millions de personnes.

Baylor Genetics, une société spécialisée dans le diagnostic génomique clinique qui fournit des services de tests génétiques aux hôpitaux, a détecté une activité suspecte au sein de son réseau informatique vers le 15 juin 2026. Une enquête menée par la suite a permis d'établir qu'un tiers non autorisé avait accédé à une partie de son réseau informatique entre le 11 et le 17 juin 2026. Cette violation a depuis été répertoriée sur le site web du Bureau des droits civils du HHS, confirmant que les données de santé protégées (ePHI) de 2 810 878 personnes ont été exposées ou volées lors de cet incident.

Les informations divulguées comprennent les noms, les dates de naissance, les données relatives aux examens médicaux, les résultats d'analyses de laboratoire et les informations relatives à l'assurance maladie. Les numéros de Sécurité sociale d'un petit nombre de patients ont également été compromis.

Deux grands cabinets d'avocats américains, Quinn Emanuel et McDermott, ont tous deux confirmé le 3 septembre avoir été victimes de fuites de données.

Quinn Emanuel a déclaré avoir identifié un accès non autorisé à des fichiers stockés via un seul compte utilisateur temporairement compromis au sein d’une application logicielle ; un nombre limité de documents de clients a été affecté et les parties concernées ont déjà été informées. McDermott a quant à lui confirmé séparément un incident isolé d’ingénierie sociale impliquant un seul utilisateur et un nombre limité de documents. On ignore pour l’instant si ces deux violations sont liées et qui est responsable de chacun de ces incidents.

Ces deux incidents sont les derniers en date d'une série croissante d'attaques visant des cabinets d'avocats américains. De grands cabinets, parmi lesquels Herbert Smith Freehills Kramer, Goodwin Procter et WilmerHale, ont tous signalé des fuites de données au cours des derniers mois.