L'actualité de la semaine en matière de violations de données 19 novembre 2025

Anthropic, une entreprise spécialisée dans la sécurité et la recherche en intelligence artificielle (IA) basée à San Francisco, affirme avoir mis fin à ce qu'elle considère comme la première cyberattaque à grande échelle jamais recensée, menée principalement par l'IA. Selon l'entreprise, environ 80 à 90 % du travail nécessaire à cette attaque aurait été effectué par l'IA.

Anthropic a annoncé le 13 novembre qu’un groupe soutenu par l’État chinois avait manipulé son assistant de codage basé sur l’IA, Claude Code, et tenté d’infiltrer une trentaine de cibles à travers le monde. Parmi ces cibles figuraient de grandes entreprises technologiques, des institutions financières, des fabricants de produits chimiques et des agences gouvernementales. La société a déclaré avoir détecté une activité suspecte à la mi-septembre, qui s'est par la suite avérée faire partie d'une campagne d'espionnage extrêmement sophistiquée. Pour contourner les contrôles de sécurité, les attaquants se sont fait passer pour une société de cybersécurité légitime effectuant des tests défensifs et ont « jailbreaké » Claude Code, le poussant ainsi au-delà de ses limites de sécurité.

Selon certaines informations, les auteurs de la cyberattaque auraient exploité les capacités « agentiques » de l'IA à un niveau jamais atteint auparavant. Cet incident est considéré comme un tournant décisif, marquant le moment où l'IA ne se contente plus de conseiller les attaquants, mais est désormais utilisée pour mener elle-même les étapes clés d'une cyberattaque.

Dans le cadre d'une nouvelle cyberattaque visant des universités américaines, l'université de Princeton a signalé une violation de sécurité touchant une base de données contenant des informations sur ses anciens élèves, ses donateurs, ses étudiants et d'autres membres de la communauté universitaire.

Selon l'université, cette violation s'est produite le 10 novembre et concernait une base de données gérée par le bureau chargé du développement universitaire. Princeton a envoyé des e-mails d'information le 15 novembre aux personnes susceptibles d'avoir été concernées. La base de données compromise ne contenait ni numéros de Sécurité sociale, ni mots de passe, ni informations financières telles que des coordonnées de carte de crédit ou de compte bancaire. Elle comprenait toutefois des informations personnelles telles que des noms, des adresses e-mail, des numéros de téléphone, des adresses personnelles et professionnelles, ainsi que l'historique des dons.

Il s'agit là d'un nouvel incident cybernétique majeur survenu ce mois-ci dans l'enseignement supérieur. Au début du mois de novembre, l'université de Pennsylvanie avait signalé une faille de sécurité ayant entraîné la divulgation de plus de 1,2 million de dossiers.

Le 10 novembre, environ 200 000 habitants de New York ont reçu des SMS frauduleux après que le prestataire chargé du système officiel d'envoi de SMS de l'État a été piraté.

Mobile Commons, une entreprise à laquelle les collectivités locales et les autorités régionales font appel pour diffuser des alertes d'intérêt public, a été piratée la semaine dernière, et sa plateforme a été exploitée pour diffuser des SMS frauduleux. L'entreprise a déclaré qu'un tiers non autorisé avait accédé à son système lundi par le biais d'une attaque de spear-phishing ou d'une technique d'ingénierie sociale similaire. Pendant les quatre heures qu'il a fallu pour mettre fin à cette activité, les habitants ont reçu des messages frauduleux les incitant à appeler un numéro gratuit au sujet d'une transaction bancaire refusée portant sur une somme importante — une tentative visant à piéger les victimes pour qu'elles effectuent une véritable transaction.

Cette dernière campagne met en évidence la rapidité avec laquelle les opérations d'escroquerie par SMS prennent de l'ampleur. On ignore encore combien de personnes ont répondu à ces messages ou ont subi des pertes financières.

Miniatur Wunderland, un musée de miniatures très prisé situé à Hambourg, en Allemagne, a signalé une fuite de données qui a exposé les informations relatives aux cartes bancaires de centaines de milliers de visiteurs.

Dans un e-mail adressé aux clients concernés, le musée a confirmé que des tiers non autorisés avaient piraté son système de billetterie en ligne, ce qui leur a permis d'accéder à des informations de paiement sensibles. L'avis précisait que les personnes ayant acheté des billets en ligne entre le 6 juin et le 29 octobre pourraient voir les données de leur carte bancaire compromises. Cette violation pourrait avoir exposé le nom du titulaire de la carte, le numéro de la carte, sa date d'expiration et le code de sécurité CVV.

Bien que le musée accueille plus de 1,5 million de visiteurs chaque année, seuls les clients ayant acheté leurs billets en ligne au cours de la période de cinq mois concernée ont été touchés.

Le groupe de ransomware Qilin aurait piraté Cornerstone Staffing Solutions, une agence de recrutement et une entreprise spécialisée dans les technologies RH basée aux États-Unis, et affirme avoir dérobé les CV de plus de 120 000 demandeurs d'emploi.

Le 13 novembre, Qilin a affirmé, dans un message publié sur son site de divulgation d'informations sur le dark web, avoir piraté l'agence et exfiltré 300 Go d'informations sensibles. Le groupe a déclaré que les CV volés faisaient partie d'un ensemble plus vaste de près d'un million de fichiers, contenant près de 24 millions de données personnelles, selon les échantillons fournis sur son site web.

Qilin a menacé de rendre ces données publiques si Cornerstone ne se décidait pas à entamer des négociations.