L’année 2024 a été marquée par une série de violations de données massives et de failles de sécurité mal gérées qui ont exposé les informations personnelles de millions de personnes à travers le monde. Des géants de la technologie aux entreprises de santé en passant par les villes, aucun secteur n’a été épargné. Retour sur certains des incidents les plus marquants de l’année.

23andMe détourne la responsabilité sur ses utilisateurs

Le géant des tests génétiques 23andMe a subi une violation de données touchant près de 7 millions de clients, suite à une attaque par force brute permettant aux hackers d’accéder à des milliers de comptes pour en extraire les données. L’entreprise a tardé à déployer l’authentification multi-facteurs, une mesure de sécurité qui aurait pu empêcher ces piratages de comptes. Mais plutôt que d’assumer sa responsabilité, 23andMe a préféré rejeter la faute sur ses utilisateurs, affirmant qu’ils n’avaient pas suffisamment sécurisé leurs comptes.

Les avocats représentant les centaines d’utilisateurs de 23andMe ayant porté plainte ont qualifié ces accusations d’«absurdes».

Avec 40% de ses effectifs licenciés suite à cet incident, l’avenir de 23andMe et de son immense base de données génétiques semble plus qu’incertain.

Change Healthcare met des mois à confirmer le vol massif de données de santé

Change Healthcare, une entreprise de technologie médicale gérant entre un tiers et la moitié de toutes les transactions de santé aux États-Unis, a dû fermer l’intégralité de son réseau suite à une cyberattaque en février. Cela a provoqué des pannes majeures et généralisées à travers le pays, paralysant une grande partie du système de santé américain.

Causée par le piratage d’un simple compte utilisateur dépourvu d’authentification multi-facteurs, la gestion de cette attaque par Change Healthcare a été vivement critiquée :

• Par les patients ne pouvant plus obtenir leurs médicaments ou faire approuver leur hospitalisation
• Par les prestataires de santé au bord de la faillite à cause de cette cyberattaque
• Par les législateurs ayant interrogé le PDG de l’entreprise lors d’une audition au Congrès

Change Healthcare a fini par payer une rançon de 22 millions de dollars aux hackers, ce qui n’a fait qu’encourager les cybercriminels selon les autorités fédérales. Il aura fallu attendre 7 mois pour que l’entreprise révèle que les données de santé privées de plus de 100 millions de personnes avaient été dérobées, dans ce qui est sans doute la plus grande violation de données de santé de tous les temps.

Une attaque ransomware paralyse les services de santé britanniques pendant des mois

En juin, Synnovis, un fournisseur de services de pathologie basé à Londres, a été victime d’une attaque ransomware revendiquée par le groupe Qilin. Cet incident a empêché les patients du sud-est de Londres de faire des analyses de sang pendant plus de trois mois, entraînant l’annulation de milliers de rendez-vous et de plus de 1700 interventions chirurgicales.

Selon les experts, cette attaque aurait pu être évitée par la mise en place d’une authentification à deux facteurs. En réponse, le principal syndicat britannique Unite a annoncé une grève de 5 jours du personnel de Synnovis en décembre, dénonçant l’impact alarmant sur les employés forcés de travailler des heures supplémentaires sans accès aux systèmes informatiques essentiels pendant des mois.

Les violations de données en cascade chez les clients de Snowflake

Le géant du cloud computing Snowflake s’est retrouvé cette année au cœur d’une série de piratages massifs visant ses clients comme AT&T, Ticketmaster ou Santander Bank. En exploitant le manque d’authentification multi-facteurs obligatoire chez Snowflake, les hackers ont pu dérober et prendre en otage de vastes banques de données stockées par des centaines de clients.

Snowflake est resté discret sur ces incidents, reconnaissant seulement qu’ils étaient dus à une « campagne ciblée contre les utilisateurs avec authentification à facteur unique ». L’entreprise a fini par imposer l’authentification multi-facteurs par défaut à ses clients pour éviter que cela ne se reproduise.

La ville de Columbus poursuit un chercheur en sécurité pour avoir révélé une attaque ransomware

Lorsque la ville de Columbus dans l’Ohio a signalé une cyberattaque cet été, son maire Andrew Ginther a voulu rassurer les habitants en affirmant que les données volées étaient « chiffrées ou corrompues » et donc inutilisables par les hackers. Pourtant, un chercheur en sécurité a découvert sur le dark web la preuve que les cybercriminels avaient bien accès aux données d’au moins un demi-million de personnes, y compris leurs numéros de sécurité sociale, permis de conduire, casiers judiciaires, informations sur des mineurs et victimes de violences domestiques.

Plutôt que de remédier à cette violation, la ville a obtenu une injonction interdisant au chercheur de partager ces preuves, dans ce qui est apparu comme une tentative de le faire taire. Columbus a fini par abandonner ses poursuites.

Salt Typhoon exploite une loi sur les backdoors pour pirater des opérateurs télécoms américains

Une loi vieille de 30 ans imposant aux opérateurs télécoms d’installer des backdoors sur leurs réseaux est revenue les hanter cette année. Des hackers chinois du groupe Salt Typhoon, soupçonnés de préparer le terrain pour un éventuel conflit avec les États-Unis, ont été découverts sur les réseaux de certains des plus grands opérateurs télécoms américains.

En infiltrant les systèmes d’écoute mis en place suite à cette loi de 1994, les pirates ont pu accéder en temps réel aux appels, messages et métadonnées de communications de hauts responsables politiques américains, dont des candidats à la présidentielle. Face à cette menace d’espionnage massif, le gouvernement conseille désormais aux citoyens et personnalités américaines d’utiliser des applications de messagerie chiffrées de bout en bout.

MoneyGram reste muet sur l’ampleur d’une violation de données

En septembre, MoneyGram, le géant américain du transfert d’argent comptant plus de 50 millions de clients, a été piraté. Après plusieurs jours de pannes inexpliquées, l’entreprise a fini par admettre un « problème de cybersécurité », mais sans préciser si des données clients avaient été dérobées.

Quelques semaines plus tard, MoneyGram a reconnu que les hackers avaient volé des données clients, dont des numéros de sécurité sociale, des pièces d’identité, des informations sur des transactions et même des données d’enquêtes criminelles. Mais l’entreprise n’a toujours pas révélé combien de clients étaient concernés ni combien elle en avait directement informé.

Hot Topic reste muet après la fuite en ligne de 57 millions de dossiers clients

Avec 57 millions de clients touchés, la violation de données d’octobre chez le géant américain de la vente au détail Hot Topic est l’une des plus importantes fuites de données de l’histoire du commerce de détail. Pourtant, malgré l’ampleur massive de cet incident, Hot Topic n’a pas confirmé publiquement cette brèche ni alerté ses clients ou les procureurs généraux des États. L’entreprise a également ignoré les multiples demandes de commentaires de TechCrunch.

Selon le site de notification des violations Have I Been Pwned, qui a obtenu une copie des données piratées, celles-ci incluent les adresses e-mail et postales, numéros de téléphone, historiques d’achat, sexe et date de naissance des clients, ainsi que des données partielles de cartes de crédit.

L’année 2024 aura donc été marquée par une série de violations de données massives, souvent aggravées par une gestion défaillante de la part des entreprises touchées. Des incidents qui ont exposé les informations les plus sensibles de centaines de millions de personnes et sapé la confiance dans la sécurité du numérique. Espérons que ces exemples serviront de leçons pour éviter de répéter les mêmes erreurs à l’avenir.