L'actualité de la semaine en matière de violations de données 23 septembre 2026

La plateforme de commerce électronique BigCommerce a confirmé une faille dans sa chaîne d'approvisionnement liée à la compromission d'identifiants provenant de l'application tierce Ribon, qui a touché plusieurs de ses commerçants clients.

BigCommerce est une plateforme de commerce électronique SaaS hébergée dans le cloud que les entreprises utilisent pour créer et gérer des boutiques en ligne sans avoir à développer leur propre infrastructure commerciale. La société a confirmé le 17 septembre que des identifiants appartenant aux applications tierces Ribon et Ribon 1.5, détenues et exploitées par Be A Part Of, une société du groupe Fastr, avaient été compromis et utilisés pour injecter des scripts malveillants dans un petit nombre de boutiques en ligne de commerçants.

Le site de vente en ligne de spiritueux Master of Malt, basé au Royaume-Uni, fait partie des clients de BigCommerce ayant reçu des notifications de violation de données. Le détaillant a confirmé que des pirates avaient accédé aux informations des clients, notamment leurs noms complets, adresses e-mail, numéros de téléphone et adresses postales de livraison.

La plateforme d'engagement client Brevo a été victime d'une attaque par la chaîne d'approvisionnement qui a entraîné l'injection de code malveillant dans plus de 100 000 sites web.

Le 10 septembre, un cybercriminel a exploité une vulnérabilité dans la gestion par Brevo de l’authentification unique SAML (SSO) pour accéder à 138 comptes, dont un appartenant au fournisseur de stockage de cryptomonnaies Trezor. Les attaquants ont envoyé des e-mails de hameçonnage à partir de six des comptes compromis et ont exporté les contacts de 43 autres. Après que Brevo eut bloqué cet accès non autorisé, les attaquants sont revenus le 14 septembre, utilisant une clé API Cloudflare à longue durée de vie compromise pour déployer un « worker » qui a injecté des scripts malveillants dans brevo.com, sibforms.com et trois fichiers JavaScript intégrés par les clients de Brevo sur leurs sites web.

Selon certaines informations, le code malveillant aurait été diffusé pendant environ quatre heures, et plus de 100 000 sites web auraient été touchés au cours de cette période.

Le cabinet d'avocats américain Greenberg Traurig a été poursuivi devant le tribunal fédéral de Manhattan à la suite de la divulgation d'une fuite de données ayant exposé des informations personnelles sensibles appartenant à plusieurs de ses clients.

Au début du mois d’août, Greenberg Traurig a confirmé qu’un individu non autorisé avait accédé à un nombre limité de documents et les avait publiés sur le dark web ; les clients concernés ont été informés peu après. Le cabinet a déclaré que ses systèmes n’avaient pas été compromis ni piratés et qu’il avait continué à fonctionner sans interruption. Les informations concernées par cette violation comprenaient des noms, des coordonnées, des dates de naissance et des numéros de Sécurité sociale.

Cet incident vient s'ajouter àune liste de plus en plus longue de cabinets d'avocats américains pris pour cible par des cybercriminels ces derniers mois. Des cabinets de renom, notamment Quinn Emanuel, McDermott, Herbert Smith Freehills Kramer, Goodwin Procter et WilmerHale, ont tous signalé récemment des violations de sécurité.

Une agence numérique japonaise a révélé une fuite de données touchant les informations personnelles d'environ 240 000 personnes.

Fin juin, des pirates informatiques ont accédé à des fichiers du Government Solution Service (GSS) japonais en utilisant le compte d'un employé chargé de la maintenance et de l'exploitation. Une enquête menée par la suite a permis de déterminer, en juillet, qu'une faille de sécurité dans un logiciel VPN avait été exploitée pour obtenir cet accès. Les attaquants ont compromis plus de 246 000 enregistrements contenant des noms, des adresses, des adresses e-mail et des numéros de téléphone appartenant à des utilisateurs, des fonctionnaires, du personnel administratif, ainsi qu'à des entreprises et des particuliers travaillant avec le GSS.

L'agence n'a pas précisé le nom du produit VPN exploité, mais a confirmé que la vulnérabilité ciblée avait déjà été rendue publique avant que l'attaque ne soit détectée. Elle a indiqué qu'elle renforcerait ses pratiques de gestion des vulnérabilités en conséquence.

L'université Ludwig-Maximilian de Munich (LMU Munich), en Allemagne, mène actuellement une enquête sur une cyberattaque au cours de laquelle un pirate informatique inconnu a accédé à un système contenant des informations sensibles sur les étudiants.

L'université LMU de Munich, l'une des plus grandes universités d'Allemagne avec plus de 52 000 étudiants, a annoncé le 19 septembre qu'un pirate informatique avait accédé à des données d'inscription stockées sur l'un de ses systèmes informatiques. L'université a précisé qu'il n'y avait aucune preuve que les données concernées aient été modifiées ou supprimées, et qu'à ce jour, rien n'indiquait que les informations volées aient été publiées ou utilisées à mauvais escient.

Les données potentiellement concernées comprennent les noms des étudiants, leurs dates de naissance, leurs coordonnées, leurs adresses e-mail, leurs coordonnées bancaires ainsi que des informations sur leurs cursus et leurs diplômes antérieurs.