Fuites de données : le récap d’août 2026

Les onze fuites référencées en août

Elles sont classées par date de référencement, c’est-à-dire le moment où les données ont été retrouvées et vérifiées, souvent bien après les faits.

• 12,9 millions de comptesCarhartt
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée12,9 millions d’adresses email de clients de la marque de vêtements, avec noms, téléphones et adresses, publiées par ShinyHunters.
• 6 090 comptesNIUS
  • Bancaire
  • Adresse
  • Identité
  • E-mail
  Gravité élevée6 000 clients du média allemand, avec adresses, achats et données de paiement (IBAN ou carte partielle).
• 569 000 comptesGolf Canada
  • Adresse
  • Identité
  • E-mail
  Gravité modérée569 000 profils diffusés sur Telegram, avec noms, dates de naissance, genre et localisation approximative.
• 2 millions de comptesOz Hair and Beauty
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée2 millions de clients de l’enseigne australienne, avec noms, téléphones, localisation et historique d’achats.
• 145 000 comptesFanlore
  • Mot de passe
  • Identité
  • E-mail
  Gravité élevée145 000 comptes du wiki de l’OTW, avec noms d’utilisateur et mots de passe protégés plus ou moins bien selon les comptes.
• 1,6 million de comptesRingCentral
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée1,6 million d’adresses publiées par ShinyHunters. L’entreprise parle d'« une part limitée » de ses clients.
• 218 000 comptesAlcon
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée218 000 adresses email et coordonnées de contacts professionnels publiées après une extorsion ShinyHunters.
• 732 000 comptesBrinks Home
  • Bancaire
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité élevée732 000 personnes (clients, prospects et salariés) avec achats et données de carte bancaire partielles.
• 10,9 millions de comptesExact Sciences
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée10,9 millions d’adresses email de patients, clients et soignants, avec des données de santé, publiées par ShinyHunters.
• 276 000 comptesInter-Con Security
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée276 000 contacts professionnels publiés après une campagne d’extorsion « payer ou fuiter » de ShinyHunters.
• 865 000 comptesSplitVPN
  • Bancaire
  • Adresse
  • E-mail
  Gravité élevée865 000 clients d’un service VPN russe exposés (adresses IP, pays, données de carte partielles).

Ce que ce mois raconte

1. Un seul groupe derrière plus de la moitié du mois. Six des onze fuites (Inter-Con Security, Exact Sciences, Brinks Home, Alcon, RingCentral et Carhartt) sont attribuées à la même campagne d’extorsion « payer ou fuiter » du groupe ShinyHunters, déjà responsable de quatre fuites sur sept en juillet. Le mécanisme ne change pas : rançon réclamée, refus ou silence de l’entreprise, données publiées.
2. La santé est entrée dans le registre. Exact Sciences expose les données de 10,9 millions de patients, clients et soignants autour d’un dépistage du cancer. Ces informations ne se changent pas. Elles peuvent rendre une arnaque très crédible, par exemple un faux message de laboratoire qui cite un vrai examen.
3. Une seule fuite concerne des mots de passe. Seule Fanlore expose des mots de passe, et ils sont brouillés (on dit « hachés »), mais une partie l’est avec une méthode ancienne que les pirates savent défaire : mieux vaut les considérer comme connus. Les dix autres exposent des coordonnées, des achats, des dates de naissance ou des données de paiement partielles : rien à « réinitialiser », mais tout ce qu’il faut pour rendre crédible un SMS, un email ou un appel pendant des mois.
4. Les fichiers d’entreprise à entreprise comptent aussi. Inter-Con Security, Alcon et RingCentral sont surtout des bases de contacts professionnels : postes, employeurs, téléphones directs. C’est le matériau des fausses factures et des faux messages de fournisseurs, une arnaque qui vise les entreprises et non les particuliers, mais qui commence par une adresse email.
5. Un an de retard, encore. NIUS correspond à un incident de juillet 2025, référencé le 23 août 2026. Treize mois pendant lesquels des IBAN circulaient sans que les personnes concernées puissent le savoir.

Que faire, concrètement

1. Pour savoir si l’une de ces fuites vous concerne, vous pouvez faire le test gratuit. Chaque fuite a aussi sa page dans le registre : il suffit de cliquer sur sa carte.
2. Si un mot de passe est en jeu (Fanlore ce mois-ci), notre guide mot de passe compromis détaille la marche à suivre.
3. Si un IBAN ou une carte partielle a fuité (SplitVPN, Brinks Home, NIUS), un prélèvement que vous n’avez pas autorisé peut être contesté auprès de votre banque. Le guide mon IBAN a fuité explique ce qu’un numéro de compte permet vraiment.
4. Dans tous les autres cas, il n’y a rien à réinitialiser : des messages qui vous connaissent peuvent arriver, et mieux vaut ne pas donner suite à une sollicitation inattendue. Le guide arnaques après une fuite décrit les scénarios.
5. Par précaution, vous pouvez activer la double authentification sur votre boîte mail : un mot de passe volé ne suffit alors plus pour y entrer.