L'actualité de la semaine en matière de violations de données 29 octobre 2025

Une fuite massive de données de messagerie a été découverte ; elle aurait touché plus de 183 millions de comptes de messagerie, dont ceux de millions d'utilisateurs de Gmail.

Le service de notification des fuites de données « Have I Been Pwned » a révélé que les adresses e-mail et mots de passe volés avaient été collectés à l’aide d’un logiciel malveillant de type « infostealer ». Lors de cette fuite, survenue en avril, des cybercriminels ont discrètement recueilli des identifiants de connexion au fil du temps. Cette découverte a suscité de vives inquiétudes dans l’ensemble du secteur technologique quant à la sécurité des données personnelles et à la menace croissante que représentent les « infostealers », qui récoltent des informations sensibles à l’insu des utilisateurs pour les revendre sur le dark web.

Une attaque sophistiquée visant la chaîne d'approvisionnement a été découverte ; elle ciblait les développeurs de cryptomonnaies par le biais de paquets NuGet malveillants conçus pour ressembler au célèbre projet Nethereum.

Des chercheurs en cybersécurité ont découvert des paquets contrefaits se faisant passer pour Nethereum, une bibliothèque .NET de confiance utilisée pour les interactions avec la blockchain Ethereum et comptant des dizaines de millions de téléchargements. Ces paquets contrefaits, baptisés Netherеum.All et NethereumNet, utilisaient des techniques d'obfuscation avancées pour voler des clés privées, des mnémoniques, des fichiers JSON de stockage de clés et des données de transactions signées.

Les pirates ont eu recours à une technique de « typosquatting » par homoglyphe — consistant à remplacer la lettre latine « e » par un caractère cyrillique presque identique (U+0435) — afin de faire passer la version malveillante pour légitime aux yeux de développeurs peu méfiants. Pour renforcer leur crédibilité, les auteurs de la menace ont également gonflé le nombre de téléchargements du faux package, donnant l'impression qu'il avait été téléchargé 11,7 millions de fois.

Dans le cadre d'une nouvelle cyberattaque visant le secteur de la grande distribution, Toys "R" Us Canada a alerté ses clients d'une fuite de données ayant entraîné la divulgation d'informations personnelles issues de ses bases de données.

Le détaillant canadien de jouets a indiqué que l'incident remontait au mois de juillet, lorsque des cybercriminels avaient accédé à des données clients avant de les divulguer en ligne. Les notifications envoyées aux clients concernés ont révélé que les informations compromises comprenaient des noms, des adresses e-mail, des adresses postales et des numéros de téléphone. Bien qu'aucune information financière ni aucun mot de passe n'ait été divulgué, les données volées présentent néanmoins de sérieux risques de hameçonnage et d'usurpation d'identité.

Cette violation a été mise au jour après que Toys "R" Us a découvert que des données avaient fuité et circulaient sur Internet. Une enquête menée par la suite a confirmé qu'un tiers non autorisé avait illégalement copié ces informations à partir des systèmes internes de l'entreprise.

Le secteur financier brésilien a été pris au dépourvu après qu'une cyberattaque contre la fintech FictorPay a entraîné le vol d'environ 26 millions de réaux.

Selon certaines informations, la Banque centrale du Brésil aurait détecté dimanche des transactions inhabituelles via FictorPay et aurait immédiatement alerté Celcoin, la société fournissant l'infrastructure « Banking-as-a-Service » (BaaS) à FictorPay. Celcoin est directement connectée à Pix, la plateforme de paiement instantané de la Banque centrale. L'attaque, qui n'a duré que quelques heures, a permis aux cybercriminels d'exploiter une faille du système et d'effectuer au moins 280 transactions Pix frauduleuses.

Dans un communiqué, FictorPay a déclaré avoir été alertée d'activités inhabituelles au sein de l'environnement d'un prestataire de services tiers qui accompagne plusieurs entreprises, dont la sienne. La fintech a précisé qu'une enquête était en cours en collaboration avec ce prestataire et des experts en cybersécurité, et que, pour l'instant, rien n'indiquait un impact direct sur ses systèmes internes.

L'université de Western Sydney a confirmé avoir été victime d'une cyberattaque de grande ampleur au cours de laquelle des données sensibles concernant des étudiants ont été dérobées, notamment des numéros d'identification fiscale, des informations relatives aux passeports ainsi que des renseignements confidentiels sur la santé et le handicap.

Le 23 octobre, l'université a révélé que la violation s'était produite via son système de gestion des étudiants, hébergé par un prestataire tiers sur une plateforme cloud. Son enquête a révélé qu'une chaîne de fournisseurs avait été exploitée lors de la violation, à partir d'un système externe supplémentaire, lui-même relié à la plateforme cloud du prestataire tiers. La violation des systèmes tiers et quatrièmes a permis aux pirates d'accéder au système de gestion des étudiants et d'en exfiltrer des données.

Les informations volées comprennent les noms, les dates de naissance, l'origine ethnique, des détails relatifs à l'emploi et à la paie, les numéros de compte bancaire, les numéros d'identification fiscale et de permis de conduire, les informations relatives au passeport et au visa, ainsi que des dossiers concernant les plaintes, la santé, le handicap et les affaires judiciaires — ce qui en fait l'une des fuites de données les plus graves survenues dans le secteur de l'éducation ces derniers mois.

Une nouvelle souche de logiciel malveillant baptisée « GlassWorm » se propage rapidement, constituant l'une des attaques par la chaîne d'approvisionnement les plus sophistiquées jamais observées dans les écosystèmes de développeurs. Il s'agit du premier ver capable de se propager de manière autonome à cibler les extensions de Visual Studio Code (VS Code).

L'attaque a été détectée pour la première fois le 17 octobre 2025, lorsque sept extensions malveillantes sont apparues sur OpenVSX, suivies d'une extension infectée sur Microsoft Marketplace. Au total, les extensions infectées ont été téléchargées plus de 35 000 fois. Selon les experts, GlassWorm dissimule son code à l'aide de sélecteurs de variantes Unicode invisibles, ce qui lui permet d'échapper aux outils d'analyse statique et aux vérifications manuelles.

Une fois installé, le logiciel malveillant vole les identifiants, déploie des outils d'accès à distance cachés et utilise des comptes de développeurs compromis pour publier d'autres extensions infectées, transformant ainsi l'écosystème de VS Code en un réseau d'infections qui se propage de lui-même.