ADT confirme une fuite : ShinyHunters menace 10 M de clients

Ce qui s'est passé

ADT a confirmé le 24 avril 2026 une intrusion détectée quatre jours plus tôt sur ses systèmes. L'entreprise, qui équipe plus de six millions de foyers américains en alarmes et caméras de surveillance, indique avoir mis fin à l'accès dès la détection et lancé une enquête avec un cabinet externe spécialisé. Selon le communiqué officiel, les données concernées se limitent aux noms, numéros de téléphone et adresses postales ; un nombre restreint d'enregistrements contiendraient également des dates de naissance et les quatre derniers chiffres de numéros de sécurité sociale ou d'identifiant fiscal. Le groupe d'extorsion ShinyHunters a revendiqué l'attaque auprès de BleepingComputer et affirme détenir plus de 10 millions d'enregistrements clients, des données corporate internes, ainsi que les informations de 1 500 utilisateurs externes et 120 employés. Le groupe a fixé un ultimatum au 27 avril 2026 avant de publier les données et de déclencher des « problèmes numériques annexes » contre l'entreprise — une formulation classique du mode opératoire d'extorsion ShinyHunters.

Le vecteur d'accès initial décrit par les attaquants reproduit fidèlement la chaîne de compromission désormais standard contre les locataires SaaS : un appel de phishing vocal usurpant le helpdesk IT, suivi du détournement d'une session Okta SSO, puis l'extraction massive de données depuis Salesforce via les API standard. Aucune faille technique n'est exploitée — seule la chaîne d'authentification humaine cède sous la pression sociale.

Pourquoi c'est important

L'enchaînement décrit par ShinyHunters reproduit fidèlement la chaîne d'attaque exploitée contre Snowflake, Ticketmaster et plusieurs dizaines d'autres entreprises depuis 2024. Le mode opératoire est désormais industrialisé : helpdesk vishing, enrôlement d'un nouvel appareil MFA, moisson via API Salesforce, exfiltration vers un bucket attaquant, puis chantage. Cette dynamique rappelle les fuites massives observées chez Autovista ou l'incident MyRituals, où le SaaS B2B sert de pivot vers des millions de clients finaux.

ADT précise qu'aucune donnée bancaire et aucun système de sécurité résidentielle n'ont été touchés. Le risque pour les clients reste néanmoins concret : noms, adresses et numéros de téléphone forment un kit prêt à l'emploi pour des campagnes de phishing très ciblées, voire des tentatives d'intrusion physique sachant qu'ADT équipe explicitement des résidences haut de gamme. Le pattern d'extorsion ShinyHunters, désormais bien documenté à travers les campagnes Shai-Hulud sur npm, montre une professionnalisation continue du marché de la donnée volée.

Ce qu'il faut retenir

• Le vishing sur helpdesk IT reste le vecteur d'accès initial le plus efficace contre les entreprises équipées de SSO.
• Désactiver l'auto-enrôlement de nouveaux appareils MFA et exiger une vérification hors-bande pour toute réinitialisation.
• Auditer les permissions API Salesforce et SharePoint : ShinyHunters cible systématiquement ces deux SaaS pour exfiltrer en masse.
• Former les équipes support à raccrocher tout appel demandant un reset MFA sans validation manager documentée.