L'actualité de la semaine en matière de violations de données 15 octobre 2025

La révélation par SonicWall, le mois dernier, d'une fuite de données sur son service de sauvegarde dans le cloud semble être bien plus grave qu'on ne le pensait initialement.

Le 8 octobre, à l'issue d'une enquête approfondie menée en collaboration avec Mandiant (filiale de Google), SonicWall a annoncé qu'un tiers non autorisé avait accédé aux fichiers de sauvegarde de configuration des pare-feu de tous les clients ayant utilisé le service de sauvegarde dans le cloud de SonicWall. Il s'agit d'une aggravation significative par rapport à l'évaluation initiale de l'entreprise datée du 17 septembre, qui estimait alors que seuls 5 % de sa base installée de pare-feu étaient concernés. Par ailleurs, SonicWall a réaffirmé que les fichiers exposés contenaient des identifiants et des données de configuration chiffrés.

L'entreprise invite tous ses clients à se connecter et à vérifier leurs appareils sans délai. Elle a également commencé à informer directement ses partenaires et ses utilisateurs, et a mis à disposition des outils permettant d'évaluer et de corriger les systèmes concernés.

Microsoft a averti que des pirates informatiques s'introduisaient dans des plateformes SaaS de gestion des ressources humaines, telles que Workday, afin de cibler des employés d'universités américaines et de détourner leurs salaires vers des comptes contrôlés par les attaquants.

Surnommé « le pirate des salaires », Microsoft Threat Intelligence a mis au jour une escroquerie à but lucratif menée par un acteur malveillant appelé Storm-2657, qui a compromis les comptes d’employés d’universités afin d’accéder aux dossiers RH et de détourner des paiements. Depuis mars 2025, ce groupe a exploité des techniques d’ingénierie sociale et l’absence d’authentification multifactorielle (MFA) pour pirater 11 comptes de messagerie dans trois universités. À partir de là, il a envoyé près de 6 000 e-mails de hameçonnage à 25 universités, utilisant des leurres tels que des alertes sanitaires sur le campus et des signalements de fautes professionnelles commises par des enseignants pour voler des identifiants de connexion via des attaques de type « adversary-in-the-middle » (AiTM).

Microsoft a indiqué qu'il s'agissait là d'une nouvelle variante de l'arnaque dite « Business Email Compromise » (BEC). Ces attaques n'exploitent pas des failles inhérentes aux plateformes RH elles-mêmes, mais tirent plutôt parti d'une adoption insuffisante de l'authentification multifactorielle (MFA) et de pratiques d'authentification peu rigoureuses.

Le 12 octobre 2025, la compagnie aérienne Qantas Airways a confirmé que des pirates informatiques avaient divulgué les données personnelles de plus de 5,7 millions de clients sur le dark web.

Qantas fait partie des nombreuses entreprises internationales — parmi lesquelles Toyota, Disney, Ikea, Air France et KLM — ciblées par le collectif de hackers « Scattered Lapsus$ Hunters ». Ce groupe aurait dérobé près d’un milliard d’enregistrements en juillet en ciblant les clients d’un géant des technologies cloud. Bien que les hackers n’aient pas piraté Salesforce directement, ils se sont fait passer pour de véritables employés de Salesforce lors d’appels passés aux services d’assistance informatique des entreprises concernées afin d’obtenir un accès. Dans le cas de Qantas, un centre d'appels situé aux Philippines aurait été utilisé pour obtenir cet accès.

Les données des passagers qui ont été divulguées comprennent les dates de naissance, les numéros de téléphone, les adresses, les adresses e-mail et les numéros de programme de fidélité. Qantas a confirmé qu'aucune information relative aux cartes de crédit, aux données financières ou aux passeports n'avait été compromise et que les comptes du programme de fidélité restaient sécurisés.

Dans un nouveau développement inquiétant, des cybercriminels exploitent abusivement un outil d'investigation numérique et de gestion des incidents (DFIR) pour mener des attaques par ransomware.

Velociraptor est une plateforme DFIR open source utilisée par les équipes de sécurité pour surveiller les terminaux dans les environnements Windows, Linux et macOS. Elle permet une collecte continue de données et une réponse rapide aux incidents de sécurité. Selon les chercheurs de Cisco Talos, lors d’une attaque observée à la mi-août 2025, les pirates ont utilisé cet outil pour déployer les familles de ransomware Warlock, LockBit et Babuk. Au cours de l'attaque, les pirates ont exploité des vulnérabilités de SharePoint sur site, connues sous le nom de ToolShell, pour obtenir un accès initial et déployer une version obsolète de Velociraptor (version 0.73.4.0). Cette version comportait une faille d'élévation de privilèges (CVE-2025-6264) qui permettait l'exécution de commandes arbitraires et la compromission totale des terminaux.

Selon les chercheurs, cela constitue un nouvel exemple illustrant comment les groupes d'auteurs de rançongiciels élargissent leur arsenal en transformant des outils légitimes — tant commerciaux qu'open source — en armes permettant de mener des attaques plus sophistiquées.

Shuffle, une plateforme de paris cryptos de premier plan, a confirmé une fuite de données après que son prestataire tiers chargé du service client a été piraté, exposant ainsi les données de la plupart de ses utilisateurs.

Le 10 octobre, Shuffle a annoncé que Fast Track, son prestataire de services de gestion de la relation client (CRM), avait été victime d'une fuite de données ayant entraîné la divulgation d'informations sur ses utilisateurs. L'entreprise faisait appel à Fast Track pour l'envoi automatisé d'e-mails et d'autres communications destinées à ses utilisateurs ; on suppose donc que des adresses e-mail et des messages figuraient parmi les données compromises. Shuffle a indiqué que ses spécialistes enquêtaient actuellement sur les circonstances de cette fuite et sur la destination potentielle des données volées.

Les informations divulguées comprennent les noms complets, les adresses e-mail, les adresses postales, les numéros de téléphone et l'historique complet des transactions. Cette fuite a également révélé les habitudes de pari et les journaux des messages adressés au service client, ce qui soulève des inquiétudes quant à la vie privée des utilisateurs et à une éventuelle utilisation abusive de données comportementales sensibles.