L'actualité de la semaine en matière de violations de données 12 novembre 2025

L'université de Pennsylvanie a confirmé, le 5 novembre, une fuite massive de données qui a exposé les informations personnelles d'étudiants, d'anciens élèves, de membres du personnel et de personnes liées à l'université. Cette fuite aurait concerné plus de 1,2 million d'enregistrements.

Cet incident informatique a été révélé le 31 octobre, lorsque plusieurs membres de la communauté de l’université de Pennsylvanie ont reçu des e-mails prétendant provenir de l’École supérieure d’éducation (GSE) de l’université. L’université a par la suite confirmé que certains systèmes liés à ses activités de développement et à celles de ses anciens élèves avaient été compromis. Les données volées comprennent des informations personnelles identifiables (PII) — dont certaines remontent à plusieurs décennies — ainsi que des coordonnées bancaires. L’université a toutefois précisé qu’aucune information médicale n’était concernée par cette violation.

Selon l'université de Pennsylvanie, l'attaque a débuté par une manœuvre d'ingénierie sociale. Après avoir pris connaissance de l'incident, le personnel de l'université a rapidement verrouillé les systèmes concernés, mais n'a pas pu empêcher l'envoi des e-mails frauduleux ni le vol des informations sensibles.

Oglethorpe, un réseau de prestataires de soins de santé mentale et de traitement de la dépendance basé en Floride, a révélé une fuite de données majeure qui a touché plus de 92 000 personnes.

Ce prestataire, qui gère des établissements en Floride, en Louisiane et dans l'Ohio, a informé ses patients que leurs informations médicales protégées (PHI) avaient été dérobées par des pirates informatiques. Selon un document déposé auprès du bureau du procureur général du Maine, cet incident de cybersécurité a débuté le 15 mai et a été détecté le 6 juin. À l'issue d'une enquête qui s'est achevée le 23 octobre, il a été établi que des données sensibles avaient été compromises, notamment des noms, des dates de naissance, des numéros de Sécurité sociale, des numéros de permis de conduire et des informations médicales.

Oglethorpe fait désormais face à une vague croissante de poursuites judiciaires, les patients commençant à intenter des actions en justice, invoquant des craintes liées à l'usurpation d'identité, à la fraude et à l'utilisation abusive de leurs données personnelles.

Une campagne de hameçonnage à grande échelle vise le secteur mondial de l'hôtellerie ; les pirates cherchent à obtenir un accès non autorisé aux plateformes de réservation hôtelière, notamment Booking.com.

Dans le cadre de cette campagne, les gérants d’hôtels sont amenés, par la ruse, à se rendre sur des pages de hameçonnage de type « ClickFix » qui leur volent leurs identifiants de connexion et installent le ransomware PureRAT. Les pirates utilisent des comptes de messagerie compromis pour envoyer des messages de spear-phishing convaincants qui se font passer pour des plateformes de réservation légitimes. Dès que le personnel de l’hôtel clique sur ces liens, il est redirigé vers des sites web malveillants qui installent le ransomware et récupèrent les identifiants.

En place depuis avril 2025, cette opération s'inscrit dans une tendance croissante aux attaques de hameçonnage visant les systèmes de réservation hôtelière. Les cybercriminels vendent les comptes volés sur des forums dédiés à la cybercriminalité ou les utilisent pour envoyer des e-mails frauduleux aux hôtels et à leurs clients, commettant ainsi des fraudes financières.

L'équipe « Trust & Safety » de Google a publié un nouvel avis de mise en garde contre les escroqueries à l'intention de tous les utilisateurs, révélant des statistiques alarmantes : 57 % des adultes ont été victimes d'une escroquerie au cours de l'année écoulée, et 23 % ont déclaré avoir subi une perte financière à la suite de celle-ci.

L'entreprise a mis en garde ses utilisateurs contre six grandes tendances en matière d'escroquerie auxquelles il faut prêter attention : les arnaques à l'emploi en ligne, les manœuvres d'extorsion par le biais d'avis négatifs, les arnaques par usurpation d'identité de produits utilisant l'intelligence artificielle (IA), les applications et extensions VPN malveillantes, les arnaques à la « récupération de fonds » et les arnaques liées aux fêtes de fin d'année. Google a également souligné que les escrocs recourent de plus en plus à des outils d'IA pour étendre et perfectionner leurs opérations, ce qui rend leurs manœuvres plus difficiles à détecter.

Des chercheurs en sécurité ont découvert une faille permettant l'exécution de code à distance (RCE) activement exploitée dans Monsta FTP, un client FTP (protocole de transfert de fichiers) en ligne utilisé par des institutions financières, des entreprises et des particuliers dans le monde entier.

Monsta FTP permet aux utilisateurs de mettre en ligne, de télécharger et de gérer les fichiers d'un site web directement depuis un navigateur. Cette facilité d'utilisation en a fait un choix très prisé des utilisateurs, qui y voient une alternative à l'installation d'un logiciel distinct. Des chercheurs ont désormais identifié une vulnérabilité critique dans Monsta FTP, référencée sous le code CVE-2025-34299, qui permet à des attaquants d'exécuter du code arbitraire sur des serveurs vulnérables sans authentification.

Cette vulnérabilité de type « RCE » permet à un pirate informatique de tromper le système afin qu'il télécharge un fichier qu'il contrôle et l'enregistre n'importe où sur le serveur. Un tel niveau d'accès peut entraîner la compromission totale du serveur, le vol de données ou le déploiement d'un rançongiciel.

Un rapport d'expertise publié par l'État du Nevada le 5 novembre a confirmé que l'attaque par ransomware survenue en août avait pour origine le téléchargement, par erreur, par un employé de l'État, d'un outil contenant un logiciel malveillant à partir d'un site web piégé.

L'attaque du mois d'août a constitué un incident de grande ampleur qui a touché plus de 60 agences de l'État du Nevada, notamment le Département de la santé et des services sociaux, le Département des véhicules motorisés et le Département de la sécurité publique. Les enquêteurs ont découvert que le rançongiciel s'était infiltré dans le réseau le 14 mai et était resté indétecté pendant plusieurs semaines. Le logiciel malveillant a installé une porte dérobée, permettant aux pirates informatiques d'utiliser le protocole RDP (Remote Desktop Protocol) pour accéder à des systèmes critiques et à des fichiers sensibles.

Les autorités du Nevada ont refusé de payer la rançon et ont réussi à récupérer environ 90 % des données compromises. Toutefois, le processus de récupération a coûté à l'État environ 1,3 million de dollars.