Les plus grosses fuites de données en 2024 : 1 milliard de données volées

L'année 2024 restera tristement célèbre comme celle des fuites de données massives, avec plus d'un milliard d'enregistrements dérobés. Des géants comme UnitedHealth, Snowflake ou encore AT&T ont été touchés, mettant en péril les informations personnelles de centaines de millions d'individus. Retour sur ces incidents de sécurité majeurs et leurs conséquences.

AT&T doublement frappé par des fuites de données touchant presque tous ses clients

Le géant des télécoms AT&T a été victime de deux fuites de données distinctes à quelques mois d'intervalle en 2024. En juillet, l'entreprise a révélé le vol des numéros de téléphone et des enregistrements d'appels de près de 110 millions de clients sur une période de six mois en 2022. Ces données sensibles n'ont pas été dérobées directement sur les systèmes d'AT&T, mais via un compte que l'opérateur détenait chez Snowflake.

Bien que le contenu des appels et des SMS n'ait pas fuité, ces métadonnées révèlent qui a appelé qui et quand, permettant même d'inférer des localisations approximatives. Plus inquiétant encore, la fuite inclut les numéros de personnes qui ne sont pas clientes d'AT&T mais qui ont été appelées par ces derniers.

En mars, un courtier en données avait déjà publié 73 millions de dossiers clients d'AT&T sur un forum de cybercriminalité connu. Certains comptes clients étaient vulnérables à des piratages, leurs mots de passe chiffrés pouvant être facilement décodés. AT&T ignore toujours l'origine de cette fuite.

Le piratage de Change Healthcare expose les données médicales d'une part substantielle des Américains

En 2024, le géant de la tech médicale Change Healthcare, récemment acquis par UnitedHealth Group, a été piraté par un célèbre gang de rançongiciel. Des données médicales ultra-sensibles couvrant une "part substantielle" de la population américaine ont été dérobées, un système critique n'étant pas protégé par l'authentification multi-facteurs.

Cette cyberattaque a provoqué des pannes massives et de longue durée dans les hôpitaux, pharmacies et cabinets à travers les États-Unis. Selon le PDG d'UnitedHealth, Andrew Witty, au moins un tiers des Américains seraient concernés, potentiellement beaucoup plus. Un chiffre affolant, aux conséquences dramatiques pour la vie privée des patients.

L'attaque contre Synnovis paralyse les hôpitaux londoniens

En juin, le laboratoire d'analyses médicales britannique Synnovis a été touché par une attaque au rançongiciel revendiquée par un gang basé en Russie. 300 millions de dossiers patients remontant plusieurs années en arrière ont été volés. Les hôpitaux et services de santé qui dépendaient de ce prestataire ont dû reporter des milliers d'opérations et déclarer un "incident critique".

Synnovis a refusé de payer la rançon de 50 millions de dollars, laissant le gouvernement britannique démuni face à la menace d'une publication en ligne de millions de dossiers médicaux.

Ticketmaster aurait perdu 560 millions de données clients dans le piratage de Snowflake

Une vague de vols de données touchant les clients du géant du cloud Snowflake s'est transformée en une des plus grosses fuites de l'année. Au total, les pirates auraient dérobé les données de 165 entreprises, parfois en très grande quantité comme les 560 millions d'enregistrements présumés pour Ticketmaster ou les 79 millions pour Advance Auto Parts.

Les malfaiteurs ont exploité les identifiants volés d'ingénieurs data pour s'introduire dans les environnements Snowflake de leurs employeurs. Or, Snowflake n'impose pas à ses clients d'activer l'authentification multi-facteurs, une protection pourtant cruciale contre ce type d'intrusion. Parmi les autres victimes figurent Neiman Marcus, Santander Bank ou le district scolaire de Los Angeles.

Mentions (peu) honorables

• Cencora a notifié plus d'un million de personnes (et ça continue) de la perte de leurs données de santé suite à une fuite en février.
• En Australie, la moitié de la population, soit près de 13 millions de personnes, a vu ses données personnelles et médicales volées dans l'attaque contre MediSecure en avril. L'entreprise a fait faillite peu après.
• Kaiser a admis avoir partagé par inadvertance avec des publicitaires les termes de recherche médicaux de 13,4 millions de patients.
• L'US Postal Service s'est aussi fait épingler pour avoir transmis à Google, Meta ou Snap les adresses postales d'utilisateurs connectés.
• La banque Evolve, spécialisée dans les fintech et startups, a perdu en juillet les données personnelles de 7,6 millions de personnes, dont beaucoup n'étaient même pas ses clients directs.
• Enfin, le courtier en données National Public Data a fait faillite en octobre, quelques mois après le vol de 3 milliards de données (parfois erronées) appartenant à 270 millions d'Américains, dont de nombreux numéros de sécurité sociale. La société croule sous les recours collectifs et les poursuites des régulateurs.

Ces fuites de données records démontrent une nouvelle fois les failles béantes dans la sécurité informatique de nombreuses entreprises, y compris chez les géants de la tech. Elles nous rappellent aussi la sensibilité des données médicales et l'importance de mieux les protéger. Plus que jamais, la confidentialité des citoyens est menacée à grande échelle.