ce qui est arrivé à qui, rapporté sans détour : takedowns, disparitions et adieux ordonnés dans la scène des services cachés.
LockBit 5.0 menace de publier des documents d’identité liés à plus de 100 000 candidats du groupe français de recrutement Actua, répartis sur dix emplacements de stockage à la fois. À quoi ressemble l’écart entre la revendication et la réalité, et pourquoi des fuites éparpillées changent le calcul des takedowns.
Un hacker sous le pseudo ZeroBytes a annoncé une base DGFiP volée sur PwnForums, revendiquant un accès en direct aux systèmes fiscaux français. Le ministère de l’Économie a confirmé un accès illégitime touchant environ 678 000 personnes et organisations ; les revendications plus importantes du vendeur restent non vérifiées.
Après qu’Abacus est passé hors ligne en juillet 2025 au milieu d’échecs de retraits et de soupçons d’exit scam, ses acheteurs se sont dispersés vers Torzon et Black Ops Market - tandis que les plateformes plus récentes reconstruisaient la pile de paiement autour de l’échange de coins intégré.
Après l’effondrement de BreachForums en avril 2025, Darkforums a absorbé sa base d’utilisateurs déplacée et a bondi de 600 pour cent en deux mois, comptant désormais plus de 12 700 membres sous les admins AnonOne et Knox.
Les perturbations de Lumma et Rhadamanthys en 2025 ont à peine ralenti l’économie des infostealers. Russian Market liste désormais plus de 180 000 logs par semestre, et les données qu’ils contiennent alimentent des intrusions en quelques jours.
Les analystes de SOCRadar ont repéré une publication clandestine vendant une prétendue base SCHUFA de 70 millions d’Allemands avec IBAN et scores de crédit, quelques semaines après les révélations d’une base fantôme secrète au bureau de crédit. La vente reste non vérifiée.
Un vendeur cybercriminel solitaire connu sous le nom de TheHatman a listé environ 3,64 millions d’enregistrements d’annuaire Azure et Entra de McDonald’s, TCS, Vodafone et six autres grands groupes entre le 31 juillet et le 16 août 2026. Hudson Rock juge les dumps hautement probables d’authentiques, tandis que TCS nie toute intrusion crédible.
Mandiant suit UNC6671, une opération de vishing et d’extorsion liée à The Com qui a fait tourner au moins quatre marques tournées vers les victimes sur une infrastructure partagée depuis janvier 2026, frappant des sociétés financières dont Apollo et Moody’s avec des exigences à partir d’environ 3 millions de dollars.
Le site de fuite de la Silent Ransom Group est passé de 38 cabinets listés en avril à 64 au 21 août 2026 ; les dossiers clients de Troutman Pepper Locke, dont des dizaines de milliers de numéros de Social Security, sont désormais publiés après que le cabinet serait resté silencieux.
ShinyHunters a listé la société de threat intelligence ReliaQuest sur son site de fuite le 23 août avec des captures d’écran mais aucune preuve vérifiable, quelques jours après que la société a publié des recherches sur les campagnes du groupe. La revendication reste non confirmée.
Les brokers d’accès initial annoncent désormais des identifiants VPN, RDP et admin d’entreprise aux côtés d’un recrutement actif d’employés sur les messageries. Les dernières données de Flashpoint sur la menace interne montrent un marché qui s’est professionnalisé plus vite que la plupart des défenses.
La CISA, le FBI et le HHS comptent désormais plus de 500 victimes de Medusa, dont plus de 200 sur la seule année écoulée. Un regard sur le fonctionnement du site de fuite hébergé sur Tor du groupe et ce qu’il révèle de l’écosystème d’extorsion de 2026.
