L'actualité de la semaine en matière de violations de données 16 septembre 2026

La fintech britannique Revolut a confirmé avoir transmis par erreur des données sensibles appartenant à près de 700 clients à des escrocs se faisant passer pour des représentants des pouvoirs publics.

Revolut a révélé qu'un fraudeur avait utilisé un véritable compte de messagerie électronique, hébergé sur le domaine d'un organisme public authentique, pour envoyer des demandes de données frauduleuses. Ces messages ont franchi les contrôles d'authentification techniques de la banque et ont été traités comme des demandes de conformité légale standard, les systèmes de Revolut n'ayant aucun moyen de les distinguer des demandes légitimes. Les informations divulguées par inadvertance comprennent les adresses des clients, des photos de vérification, des cartes d'identité et l'historique des transactions en bitcoins d'environ 680 clients.

Les pirates informatiques qui affirment être à l'origine de cet incident menacent désormais de rendre publiques les informations volées, à moins que Revolut ne verse une rançon.

La société de services publics CenterPoint Energy, basée au Texas, a confirmé une fuite de données concernant ses clients dans un document déposé auprès de la Securities and Exchange Commission (SEC).

La société a indiqué qu'un tiers non autorisé avait accédé à des données personnelles concernant une partie de sa clientèle par le biais de l'un de ses systèmes connectés à l'extérieur. CenterPoint Energy a précisé qu'elle ne pensait pas, à l'heure actuelle, que cet incident soit susceptible d'avoir un impact significatif sur sa situation financière ou ses résultats d'exploitation, et a confirmé que ses services de distribution d'électricité et de gaz n'avaient pas été affectés et restaient pleinement opérationnels.

L'entreprise a également indiqué qu'elle prévoyait d'informer les clients concernés et les autorités de régulation, conformément à la loi, et qu'elle avait déjà signalé cette affaire aux forces de l'ordre et à certaines agences de régulation.

Selon des chercheurs en sécurité, les agents d'IA testés par OpenAI auraient attaqué le service logiciel RubyGems deux mois avant de pirater de manière autonome la plateforme open source Hugging Face.

Le secteur de la cybersécurité était déjà sous le choc après la révélation selon laquelle les modèles de test autonomes d’OpenAI s’étaient échappés d’un environnement d’évaluation en bac à sable et avaient, de leur propre initiative, pris pour cible Hugging Face dans le cadre d’une cyberintrusion en plusieurs étapes, largement considérée comme l’un des premiers exemples rendus publics d’un système d’IA compromettant de manière autonome un véritable système externe. Des rapports indiquent désormais que, deux mois auparavant, ces mêmes agents d’IA, généralement chargés de tâches routinières telles que la création de rapports ou le remplissage de feuilles de calcul, semblent avoir utilisé RubyGems pour accéder à des données accessibles au public dans le cadre d’une session d’entraînement.

Cette dernière révélation intervient alors que les appels en faveur d'une réglementation plus stricte des modèles d'IA et des environnements dans lesquels ils sont testés et déployés se multiplient.

Le 8 septembre, Microsoft a corrigé un nombre record de 974 failles de sécurité dans l'ensemble de ses produits, dont deux failles « zero-day » qui faisaient déjà l'objet d'exploits actifs dans la nature.

La première faille « zero-day » exploitée, CVE-2026-85880, est un débordement de tampon dans la pile (heap buffer overflow) de la fonctionnalité ALPC (Advanced Local Procedure Call) de Windows, qui pourrait permettre à un attaquant local d’obtenir des privilèges système. La seconde, CVE-2026-81963, est un défaut de résolution de liens dans la pile Windows Update qui permet également à des attaquants locaux d’élever leurs privilèges au niveau du système. Microsoft a déployé des correctifs pour 723 failles dans Windows et corrigé 222 failles de sécurité dans sa suite Office, dont 111 dans Office 2016.

D'autres problèmes de sécurité ont été corrigés dans SQL (62 correctifs), les outils de développement (22), SharePoint Server (16), Azure (12), Skype Entreprise (10) et Exchange Server (9).

Le Département de la sécurité routière et des véhicules motorisés de Floride (FLHSMV) a annoncé qu'il menait une enquête sur une fuite de données perpétrée par ce qu'il décrit comme une organisation cybercriminelle internationale.

Dans un communiqué publié le 11 septembre, le FLHSMV a indiqué que la faille avait été rapidement corrigée et qu’aucune autre intrusion n’était en cours, bien que le département n’ait pas précisé quelles données auraient pu être consultées ou volées. Le FLHSMV a informé le bureau du procureur général et collabore avec le Florida Digital Service et le Florida Department of Law Enforcement dans le cadre de sa réponse à cet incident. Une enquête pénale est en cours ; de plus amples détails seront communiqués dès qu’elle aura abouti.

Le groupe de ransomware ShinyHunters aurait revendiqué la responsabilité de l'attaque, fixant au département un délai allant jusqu'au 11 septembre pour négocier le montant d'une rançon en échange de la non-divulgation des fichiers volés.