L'actualité de la semaine en matière de violations de données 22 octobre 2025

Volkswagen, l'un des plus grands constructeurs automobiles au monde, aurait été victime du groupe de ransomware 8Base.

En septembre 2024, le groupe a déclaré publiquement avoir piraté les systèmes de Volkswagen. Connu pour déployer le ransomware Phobos et recourir à des tactiques de double extorsion, 8Base a affirmé avoir exfiltré des fichiers confidentiels le 23 septembre 2024, menaçant de les divulguer avant le 26 septembre. Bien qu’aucune donnée n’ait été divulguée immédiatement après l’expiration du délai, le groupe a par la suite répertorié sur son site du dark web les informations prétendument volées, notamment des factures, des documents comptables, des dossiers d’employés, des contrats, des certificats et de multiples accords de confidentialité.

Bien que Volkswagen affirme que son infrastructure informatique principale n'a pas été affectée, la réaction modérée de l'entreprise a soulevé des questions quant à l'ampleur réelle de l'incident et à la possibilité qu'un système tiers ait pu être compromis.

Vocus, quatrième opérateur de télécommunications d'Australie, a annoncé que 1 600 clients des services Internet à domicile et de téléphonie mobile avaient été touchés par une cyberattaque visant ses services de messagerie professionnelle et de téléphonie mobile.

Le 17 octobre, l'entreprise — propriétaire de Dodo et d'iPrimus — a détecté une activité suspecte au sein de son système de messagerie électronique. Une enquête a révélé un accès non autorisé à environ 1 600 comptes de messagerie, ce qui a entraîné des substitutions de carte SIM sur 34 comptes Dodo Mobile. En conséquence, Vocus a temporairement suspendu certains services afin de contenir le problème et d'entamer les opérations de rétablissement.

Vocus a déclaré qu'elle continuait à suivre la situation de près et qu'elle avait collaboré avec les clients concernés pour annuler les substitutions de carte SIM et rétablir leurs services.

Sotheby's, la maison de ventes aux enchères de luxe basée à New York, a révélé avoir été victime d'une cyberattaque en juillet dans une notification de violation de données adressée au bureau du procureur général du Maine (AGO).

La maison de ventes aux enchères de luxe a déclaré avoir découvert cette faille de sécurité en septembre. Au cours de son enquête, Sotheby's a établi que le pirate avait accédé à des fichiers contenant des données personnelles, notamment des noms, des numéros de Sécurité sociale et des informations relatives à des comptes bancaires. La société n'a pas encore confirmé le nombre de personnes concernées par cet incident.

Mango, l'enseigne de mode basée en Espagne, a informé ses clients d'une fuite de données impliquant l'un de ses prestataires de services marketing externes.

Le 14 octobre, l'entreprise a déclaré que des pirates informatiques avaient accédé aux données personnelles de ses clients à la suite d'une fuite de données chez un tiers. Les informations exposées comprennent les prénoms, le pays, le code postal, les adresses e-mail et les numéros de téléphone. Mango a précisé qu'aucune donnée financière ou d'identification sensible — telle que les numéros de carte bancaire, les coordonnées bancaires ou les identifiants de connexion — n'avait été compromise lors de cette attaque.

La faille trouve son origine chez un prestataire de services marketing tiers basé en Espagne, qui gérait les données des clients à des fins promotionnelles. Cet incident vient s'ajouter à une liste croissante de cyberattaques visant des enseignes espagnoles. Plus tôt cette année, El Corte Inglés et Tendam avaient également été victimes de failles similaires.

Le Bureau du commissaire à l'information (ICO) du Royaume-Uni a infligé une amende de 14 millions de livres sterling au géant de l'externalisation Capita, après le vol des données personnelles de 6,6 millions de personnes lors d'une cyberattaque.

Bien que la fuite ait eu lieu en mars 2023, il a été révélé par la suite que Capita avait également laissé un référentiel de fichiers non sécurisé en ligne, exposant ainsi les données de clients appartenant à plus de 90 organisations. L'ICO a déclaré que Capita « n'avait pas assuré la sécurité du traitement des données à caractère personnel », les exposant ainsi à un risque important. L'amende initiale de 45 millions de livres sterling a été réduite à l'issue de discussions entre Capita et l'autorité de régulation.