L'actualité de la semaine en matière de violations de données 30 septembre 2026

Le FBI aurait déclaré qu'il s'agissait d'un « incident majeur » et aurait alerté ses agents et son personnel de soutien à la suite d'une cyberattaque visant son portail de recrutement FBIJobs.gov.

La semaine dernière, le groupe de ransomware ShinyHunters a affirmé avoir piraté le portail de recrutement du FBI et volé des données concernant des milliers d’agents et de candidats. Le FBI a depuis diffusé une note interne à l’intention de son personnel, confirmant que des noms, adresses, intitulés de poste et numéros de Sécurité sociale avaient été exposés lors de cet incident. Fait inhabituel, les pirates ne réclament pas de rançon financière, mais exigent en revanche la rectification d’un rapport publié précédemment par le FBI qui, selon eux, donne une image erronée de leurs activités.

Cette attaque est la dernière en date d'une série croissante de cyberattaques visant des agences fédérales américaines. Le Bureau américain de l'alcool, du tabac, des armes à feu et des explosifs (ATF) a confirmé une autre fuite de données pas plus tard que le mois dernier.

Le FBI enquête également sur une autre fuite de données touchant une base de données du Pentagone relative au personnel, qui aurait pu exposer les informations personnelles de près de trois millions de personnes.

Entre octobre 2025 et juillet 2026, le système d'information du Centre de données sur les effectifs de la Défense (DMDC) a fait l'objet d'accès non autorisés de la part de certains utilisateurs. Le DMDC est l’un des principaux centres d’archivage du Pentagone pour les dossiers du personnel ; il contient des informations sur les militaires en service actif et dans la réserve, les employés civils, les sous-traitants, les retraités, les anciens combattants et les membres des familles des militaires. Cette violation a concerné 2,76 millions de personnes vivantes et 294 000 personnes décédées ; parmi les informations exposées figuraient notamment les numéros de sécurité sociale et des détails sur les fonctions occupées.

L'ampleur et le caractère sensible des données divulguées pourraient soulever d'importantes préoccupations en matière de sécurité nationale, d'autant plus que les fichiers compromis contenaient des informations détaillées sur les fonctions et les responsabilités du personnel militaire et civil.

La police de Dyfed-Powys, une force de police territoriale du Pays de Galles et la troisième plus grande force de police du Royaume-Uni, a confirmé avoir été victime d'une cyberattaque.

La région de Dyfed-Powys couvre les comtés de Carmarthenshire, Ceredigion, Pembrokeshire et Powys au Pays de Galles. La police a déclaré avoir été victime d'une cyberattaque le 14 septembre, un incident qui a perturbé certains de ses systèmes non destinés aux urgences. Bien qu'aucun élément ne permette de conclure que les données personnelles des citoyens aient été compromises, la police a reconnu que des informations concernant son personnel avaient pu être consultées ou compromises lors de cette attaque.

Les services de contact en ligne et par e-mail ont été indisponibles pendant un certain temps à la suite de l'attaque, mais ont depuis été rétablis. La police a confirmé qu'elle était restée pleinement opérationnelle tout au long de l'incident et que sa capacité à répondre aux appels d'urgence n'avait pas été affectée.

La plateforme d'échange de cryptomonnaies Bitget a confirmé que des pirates avaient dérobé environ 388 millions de dollars après avoir exploité une faille de sécurité dans un logiciel de sécurité tiers utilisé par la plateforme.

Le 24 septembre, Bitget a constaté des transferts non autorisés provenant de certains de ses portefeuilles et a temporairement suspendu les retraits des clients le temps de mener son enquête. Les fonds volés provenaient d'une partie des portefeuilles « chauds » et « tièdes » de la plateforme, les portefeuilles « froids » n'ayant pas été affectés. Alors que la plupart des fonds des clients sont conservés dans des portefeuilles « froids » hors ligne, les portefeuilles « chauds » et « tièdes » sont utilisés pour traiter les retraits, les transferts devant toujours être approuvés avant d'être signés.

Bitget n'a pas précisé comment l'attaquant avait réussi à obtenir un premier accès, mais l'enquête a révélé que celui-ci avait compromis un système backend critique au sein de l'infrastructure de ses portefeuilles et falsifié des données de transaction afin de déclencher le processus de validation.

Apple a publié le 28 septembre des mises à jour pour iOS et macOS afin de corriger une faille de type « zero-day » qui aurait pu être activement exploitée dans le cadre d'attaques ciblées.

Cette faille, référencée sous le numéro CVE-2026-86950, est un problème d’écriture hors limites dans le composant CoreGraphics qui peut être exploité pour permettre l’exécution de code arbitraire lors du traitement d’un fichier spécialement conçu à cet effet. Bien qu’Apple n’ait pas précisé comment le fichier malveillant est diffusé, CoreGraphics gère le rendu des graphiques 2D et des fichiers PDF sur l’ensemble du système d’exploitation, ce qui signifie qu’il pourrait potentiellement être transmis via des pages web, des pièces jointes d’e-mails ou des applications de messagerie, où l’aperçu automatique des pièces jointes et des liens pourrait permettre une exploitation de type « zéro clic ».

Par ailleurs, Apple a confirmé avoir pris connaissance d'un rapport indiquant que cette faille aurait pu être exploitée dans le cadre d'une attaque extrêmement sophistiquée visant des personnes spécifiques utilisant des versions d'iOS antérieures à la version 27.