Fuites de données : le récap de septembre 2026

Les sept fuites référencées en septembre

Elles sont classées par date de référencement, c’est-à-dire le moment où les données ont été retrouvées et vérifiées. Ce moment arrive souvent bien après les faits.

• 424 000 comptesMedela
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée424 000 adresses, surtout de professionnels de santé, publiées après une campagne d’extorsion ShinyHunters.
• 17,8 millions de comptesLimeLeads
  • Téléphone
  • Adresse
  • E-mail
  Gravité modérée17,8 millions de contacts professionnels exposés par un serveur Elasticsearch non protégé d’un vendeur de fichiers de prospects.
• 3,2 millions de comptesBurger King Russia
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée3,2 millions de clients, avec date de naissance et téléphone, via l’attaque de la plateforme marketing Mindbox.
• 4,7 millions de comptesChess.com (2026)
  • Adresse
  • Identité
  • E-mail
  Gravité modérée4,6 millions d’adresses, mais obtenues par aspiration de profils et non par intrusion ; 99 % figuraient déjà dans d’autres fuites.
• 6,4 millions de comptesMcKesson
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée6,4 millions d’adresses email de patients, personnels et soignants, avec des données de santé, publiées par ShinyHunters.
• 8,8 millions de comptesManchester Airports Group
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée8,8 millions de clients des aéroports de Manchester, Stansted et East Midlands, avec plaques et historique de parking.
• 1,2 million de comptesQuestel
  • Téléphone
  • Adresse
  • Identité
  • E-mail
  Gravité modérée1,2 million de contacts professionnels de l’éditeur français de logiciels de propriété intellectuelle, publiés par ShinyHunters.

Ce que ce mois raconte

1. Aucun mot de passe sur sept fuites. Aucune des fuites du mois n’expose de mot de passe ni de numéro de carte. On n’a donc rien à réinitialiser. En revanche, elles contiennent des noms, des téléphones, des employeurs, des plaques, des dates de naissance : tout ce qu’il faut pour rendre crédible un faux SMS, un faux email ou un faux appel pendant des mois.
2. ShinyHunters, encore. Trois des sept fuites, Questel, McKesson et Medela, sont attribuées à la campagne « payer ou fuiter » du groupe ShinyHunters : le groupe copie des données, réclame une rançon, puis publie les données si l’entreprise refuse ou ne répond pas. Il était déjà derrière quatre fuites sur sept en juillet et six sur onze en août. Manchester Airports Group a été revendiquée par un autre groupe, FulcrumSec.
3. La santé, encore. Après Exact Sciences en août, McKesson expose des données de santé, avec les dates de naissance, pour des patients, des soignants et des destinataires de campagnes. Ces informations ne se changent pas. Medela, fabricant de matériel médical, expose surtout les coordonnées de professionnels de santé.
4. Deux fuites que le test ne peut pas vérifier. Le registre public classe McKesson et Medela parmi les fuites « sensibles » : il ne dit à personne, nous compris, si une adresse donnée y figure. Seul le titulaire de l’adresse peut le savoir, sur le registre public, après avoir prouvé qu’elle est à lui. Nous préférons le dire plutôt que de laisser croire que notre test couvre ces deux fuites.
5. Des années de retard. LimeLeads, un vendeur de fichiers de prospects aujourd’hui disparu, avait laissé un serveur ouvert en 2019 : la fuite n’est référencée que sept ans plus tard. Burger King Russie remonte à août 2024. Pendant tout ce temps, les personnes concernées ne pouvaient pas le savoir.
6. Une aspiration n’est pas une intrusion. Le fichier de Chess.com a sans doute été obtenu par aspiration, c’est-à-dire la collecte automatique d’informations visibles sur le site, sans entrer dans ses serveurs. 99 % des adresses figuraient déjà dans des fuites précédentes. Le compte Chess.com lui-même n’a selon toute vraisemblance pas été forcé.

Que faire, concrètement

1. Pour savoir si l’une de ces fuites vous concerne, vous pouvez faire le test gratuit. Chaque fuite a aussi sa page dans le registre : il suffit de cliquer sur sa carte.
2. Pas de mot de passe ce mois-ci : rien à réinitialiser. Attendez-vous plutôt à des messages qui vous connaissent, et ne donnez jamais suite à une sollicitation entrante. Le guide arnaques après une fuite décrit les scénarios.
3. Si votre adresse professionnelle est en jeu (Questel, LimeLeads, Medela), méfiez-vous des fausses factures et des faux messages de fournisseurs. Une demande de virement ou de changement de coordonnées bancaires se confirme par un appel, à un numéro que vous connaissez déjà.
4. Si vous êtes patient ou soignant (McKesson), un message de pharmacie, de clinique ou d’assurance qui cite un vrai traitement n’en est pas plus authentique. Rappelez l’organisme à son numéro habituel avant de payer ou de répondre quoi que ce soit.
5. Par précaution, vous pouvez activer la double authentification sur votre boîte mail : un mot de passe volé ne suffit alors plus pour y entrer.