8 violations majeures de données en 2026 : des millions de personnes touchées, des données sensibles exposées

Des millions de personnes ont été touchées par d’importantes violations de données signalées en 2026, notamment lors d’incidents concernant des plateformes éducatives, des prestataires de soins de santé, des compagnies d’assurance et des entreprises du secteur du voyage.

Ces incidents montrent comment des attaquants peuvent exploiter des comptes compromis, des accès de tiers et les faiblesses de systèmes contenant des informations sensibles. Dans son rapport de mi-année 2026, le Privacy Rights Clearinghouse (PRC) a recensé 1 969 incidents de violation distincts à partir de 5 429 déclarations adressées aux autorités fédérales et des États au cours des six premiers mois de l’année.

Ces déclarations faisaient état d’environ 343,1 millions d’expositions, mais ce total inclut une affirmation non vérifiée selon laquelle 275 millions d’utilisateurs de Canvas auraient été touchés. En excluant cette affirmation, le total tombe à environ 68 millions. Le PRC a également averti que ces chiffres correspondent à des expositions de données personnelles et non nécessairement à des personnes distinctes.

Les huit incidents suivants illustrent les informations compromises, le nombre de personnes déclarées touchées et les enseignements que les entreprises et les consommateurs peuvent tirer de ces divulgations.

8 violations majeures de données signalées en 2026

Ces incidents ont été sélectionnés en fonction de leur ampleur déclarée, de la sensibilité des informations concernées et de leurs conséquences potentielles. Il ne s’agit pas d’un classement des huit plus grandes violations confirmées.

Les chiffres reflètent les déclarations réglementaires et les rapports de violation publiés. Certaines déclarations indiquent des totaux différents pour un même incident, et les chiffres ne doivent pas être additionnés pour déterminer le nombre de personnes distinctes touchées. Certains incidents ont commencé avant 2026, mais ont été divulgués au cours de l’année.

1. Instructure (Canvas) : 275 millions revendiqués, mais le total réel reste invérifié

L’entreprise de technologies éducatives Instructure, qui exploite le système de gestion de l’apprentissage Canvas, a subi une activité non autorisée concernant Canvas en avril et mai 2026.

Le Privacy Rights Clearinghouse a recensé une déclaration de violation dans le Wisconsin faisant état de 275 millions d’utilisateurs touchés. Toutefois, l’organisation a déterminé que ce chiffre provenait d’une affirmation d’un attaquant et n’avait pas été vérifié indépendamment.

Son analyse a identifié environ 18 400 personnes touchées dans les déclarations accessibles au public qu’elle a examinées, même si ce nombre ne permet pas d’établir l’ampleur totale de l’incident.

Données exposées : Selon le récit de l’incident publié par le PRC, les informations compromises comprenaient les noms d’utilisateur, les adresses e-mail, les noms des cours, les informations d’inscription et les messages. Instructure a déclaré que les mots de passe, les dates de naissance, les identifiants délivrés par l’État et les informations financières n’étaient pas concernés.

En mai, Instructure a reconnu avoir conclu un accord avec l’acteur non autorisé, affirmant avoir reçu l’assurance que les informations avaient été restituées et détruites.

Dans une mise à jour du 29 septembre, l’entreprise a déclaré que son analyse criminalistique des données touchées était terminée et qu’elle se préparait à transmettre des informations aux établissements encore concernés. Cette mise à jour n’a pas établi de total vérifié de 275 millions de personnes touchées. Comme l’aanalysé eSecurity Planet, le groupe d’extorsion ShinyHunters a ciblé des universités dans le cadre de l’incident concernant Canvas.

Pourquoi c’est important : Les plateformes éducatives peuvent stocker des informations sur les étudiants, les enseignants et les établissements. Les écoles devraient examiner les accès des fournisseurs, les protections des comptes et les procédures de réponse aux incidents pour les systèmes tiers largement utilisés.

2. DentaQuest : des déclarations contradictoires font état de 15 millions et de 27,4 millions de personnes touchées

DentaQuest, administrateur de prestations dentaires et visuelles détenu par Sun Life, a divulgué un incident de cybersécurité concernant des informations personnelles et de santé.

Selon les déclarations réglementaires de 2026, des personnes non autorisées ont accédé à son réseau entre le 17 et le 20 mai. DentaQuest a découvert l’activité le 20 mai.

Le nombre de personnes déclarées touchées varie considérablement selon les déclarations. Le département américain de la Santé et des Services sociaux a enregistré 15 millions de personnes le 16 juillet, tandis qu’une déclaration de l’Indiana datée du 17 juillet en indiquait 27,4 millions. Une déclaration du Texas faisait également état de 15 millions de personnes.

Les documents disponibles n’expliquent pas cet écart ; aucun des deux chiffres ne doit donc être considéré comme un total national consolidé. L’incident figure parmiles plus grandes violations de données de santé signalées en 2026.

Données exposées : Les déclarations de violation ont identifié des noms, des adresses, des numéros de Social Security, des numéros d’identification de membre, des numéros Medicaid et Medicare, ainsi que des informations de santé dentaire ou visuelle. Ces dernières comprenaient les noms des prestataires, les diagnostics, les informations sur les traitements et les détails de facturation.

Les informations concernées variaient selon les personnes.

Pourquoi c’est important : Les informations de santé et d’assurance peuvent entraîner des risques durables pour la vie privée et favoriser l’usurpation d’identité. Les personnes touchées devraient consulter les notifications reçues et prendre les précautions appropriées en fonction des informations précises concernées.

3. Aesto Health : plus de 9,5 millions de personnes touchées

Aesto Health, fournisseur de services de migration et d’archivage de données de santé, a signalé une violation touchant environ 9,54 millions de personnes.

Selon la notification d’incident d’Aesto, un accès non autorisé s’est produit entre environ le 2 et le 18 décembre 2025. L’entreprise a ensuite enquêté sur les informations concernées et confirmé l’exposition potentielle de dossiers de patients en mai 2026.

Aesto a commencé à informer les prestataires de soins de santé clients concernés le 26 juin 2026. Ces organisations étaient chargées de déterminer les notifications à adresser aux patients et de les effectuer, le cas échéant.

Comme l’a rapporté eSecurity Planet, l’incident a touché des informations appartenant aux patients d’organisations de santé qui utilisaient les services d’Aesto.

Données exposées : Les informations potentiellement concernées comprenaient les noms, les dates de naissance, les dossiers médicaux, les informations d’assurance maladie, les numéros de permis de conduire, les informations de comptes financiers et d’autres identifiants délivrés par l’État. Les numéros de Social Security pourraient avoir été concernés pour un nombre limité de personnes.

Les informations concernées variaient selon les personnes.

Pourquoi c’est important : Les organisations de santé s’appuient souvent sur des fournisseurs pour gérer des dossiers sensibles. Cette violation montre pourquoi des contrôles d’accès stricts pour les fournisseurs, des politiques de conservation des données et des responsabilités de notification clairement définies sont essentiels.

4. AssuranceAmerica : près de 7 millions d’automobilistes touchés

Le fournisseur d’assurance AssuranceAmerica a signalé une violation touchant 6 998 886 personnes, selon l’analyse de mi-année du Privacy Rights Clearinghouse.

L’entreprise a découvert une activité suspecte concernant ses systèmes en mars 2026, puis a enquêté sur un accès non autorisé à des fichiers contenant des informations sur ses clients.

Comme l’explique la couverture par eSecurity Planet de la violation d’AssuranceAmerica, près de 7 millions d’automobilistes ont été touchés.

Données exposées : Les informations communiquées dans les notifications de violation comprenaient les noms, les coordonnées, les numéros de permis de conduire, les informations de police et de compte d’assurance, les détails des véhicules et les dossiers liés aux sinistres. Les informations concernées variaient selon les personnes.

Pourquoi c’est important : Les numéros de permis de conduire et les informations d’assurance peuvent être utilisés pour commettre des fraudes à l’identité et des usurpations. Les personnes touchées devraient consulter les notifications officielles afin de déterminer si une surveillance supplémentaire de leur identité ou d’autres mesures de protection sont nécessaires.

Pour les assureurs, cet incident renforce l’importance de limiter l’accès aux dossiers des clients et de détecter les activités suspectes concernant les bases de données sensibles.

5. Carnival Corporation : environ 6 millions de clients touchés

Carnival Corporation a divulgué un incident de cybersécurité concernant les informations personnelles d’environ 6 millions de personnes.

Selon la notification de violation de Carnival, l’entreprise a identifié une activité non autorisée concernant le compte d’un employé le 14 avril 2026.

L’attaquant a utilisé l’ingénierie sociale pour tromper un employé et accéder aux systèmes de l’entreprise. Carnival a déterminé le 22 avril que des informations personnelles avaient été copiées.

Le bureau du procureur général du Texas a ensuite annoncé une enquête, indiquant que la violation avait touché environ 6 millions de personnes, dont plus de 800 000 Texans. Comme l’avait précédemment signalé eSecurity Planet, l’incident a touché des clients dans l’ensemble des activités de voyage de l’entreprise.

Données exposées : Carnival a identifié des noms, des adresses, des adresses e-mail, des numéros de téléphone, des dates de naissance et des numéros de pièces d’identité délivrées par l’État, notamment des numéros de permis de conduire et de passeport.

L’entreprise a souligné que les informations concernées variaient selon les personnes. Sa notification de mai indiquait également que l’analyse des dossiers touchés se poursuivait.

Pourquoi c’est important : Les informations personnelles liées aux voyages peuvent aider les criminels à créer des messages d’hameçonnage convaincants ou à tenter des usurpations d’identité. Les clients doivent se méfier des communications inattendues concernant les réservations, la vérification d’identité ou l’indemnisation liée à une violation.

6. AdaptHealth : plus de 4,1 millions de personnes touchées

Le prestataire de services de santé AdaptHealth a signalé une violation touchant 4 115 802 personnes, selon la base de données des violations du département américain de la Santé et des Services sociaux.

Dans sa notification du 14 août, l’entreprise a indiqué que l’accès non autorisé avait eu lieu le 5 juin 2026. AdaptHealth a découvert l’incident le 15 juin.

Une précédente déclaration auprès de la SEC décrivait une attaque d’ingénierie sociale qui avait compromis la session utilisateur d’un sous-traitant.

Données exposées : Les informations potentiellement concernées comprenaient les noms, les coordonnées, les données démographiques, les informations d’assurance maladie et les dossiers médicaux.

AdaptHealth a indiqué que les numéros de sécurité sociale, les informations de compte bancaire et les informations de carte de paiement ne figuraient pas dans les systèmes concernés.

Pourquoi c’est important : Un accès compromis accordé à un tiers peut présenter des risques pour les organisations de santé, même lorsque les comptes de leurs employés restent sécurisés.

Les équipes de sécurité devraient examiner les privilèges des sous-traitants, les contrôles d’authentification et la surveillance des systèmes qui stockent des informations sensibles sur les patients.

7. Medtronic : plus de 3,8 millions de personnes touchées

L’entreprise de technologies médicales Medtronic a constaté un accès non autorisé à certains systèmes informatiques de l’entreprise en avril 2026.

Le rapport de mi-année 2026 du Privacy Rights Clearinghouse indique 3 834 294 personnes touchées par l’incident. Le chiffre du PRC correspond au nombre le plus élevé signalé parmi les déclarations qu’il a examinées, et non à un total national annoncé indépendamment par Medtronic.

Dans sa déclaration du 29 juin, l’entreprise a confirmé avoir commencé à contacter les personnes dont les informations pourraient avoir été concernées.

Données exposées : Les notifications émises au niveau des États ont recensé des informations personnelles, notamment les noms, les adresses, les dates de naissance, les numéros de sécurité sociale et les informations médicales. Les catégories précises variaient selon les personnes.

Medtronic a indiqué ne disposer d’aucune preuve que les informations concernées avaient été publiées en ligne.

L’entreprise a également déclaré n’avoir constaté aucun impact sur la sécurité des dispositifs médicaux, la sécurité des patients, la fabrication, la distribution ou la capacité de ses produits à délivrer le traitement prévu.

Pourquoi c’est important : Une violation impliquant une entreprise de technologies médicales peut susciter des inquiétudes concernant la sécurité des dispositifs. Toutefois, un accès non autorisé aux systèmes informatiques de l’entreprise ne signifie pas automatiquement que les dispositifs médicaux ont été compromis.

Les équipes de sécurité et les organisations de santé devraient distinguer l’exposition avérée d’informations personnelles des risques opérationnels ou de sécurité des produits qui n’ont pas été vérifiés.

8. TriZetto Provider Solutions : plus de 3,4 millions de personnes déclarées touchées

TriZetto Provider Solutions, une entreprise de technologies de santé appartenant à Cognizant, a divulgué une violation concernant des dossiers de vérification des droits à l’assurance.

Le rapport de mi-année 2026 du Privacy Rights Clearinghouse indique 3 433 965 personnes touchées par l’incident, sur la base des déclarations réglementaires du premier semestre 2026.

Ce chiffre apparaît également dans les déclarations adressées en février 2026 au département américain de la Santé et des Services sociaux. Il correspond à la population recensée dans ces dossiers, et ne constitue pas nécessairement un décompte définitif de toutes les personnes potentiellement touchées.

Selon l’examen par TechTarget des principales violations de données de santé, TriZetto a découvert une activité suspecte en octobre 2025. Les enquêteurs ont identifié un accès non autorisé à des dossiers de transactions de vérification des droits à l’assurance remontant à novembre 2024.

La violation a ensuite donné lieu à des actions en justice. eSecurity Planet a analysé les recours collectifs intentés contre Cognizant à la suite de l’incident.

Données exposées : Les informations potentiellement concernées comprenaient les noms, les adresses, les numéros de sécurité sociale, les dates de naissance, les noms des assureurs santé, les informations relatives aux assurés et d’autres données démographiques et informations d’assurance maladie.

Les informations précises concernées variaient selon les personnes.

Pourquoi c’est important : Les dossiers de vérification des droits à l’assurance peuvent combiner des identifiants personnels sensibles avec des informations liées aux soins de santé, créant des risques d’usurpation d’identité et d’activités frauduleuses.

L’incident montre également l’importance de détecter rapidement les accès non autorisés, en particulier lorsque des dossiers sensibles peuvent rester accessibles pendant une période prolongée.

Ce que ces violations de données majeures signifient pour les entreprises et les consommateurs

Bien que ces incidents concernent différents secteurs, ils illustrent des risques récurrents en matière de cybersécurité, notamment les comptes compromis, l’ingénierie sociale, les accès de tiers et les grandes quantités d’informations sensibles.

Pour les entreprises, les conséquences d’une violation peuvent aller au-delà des coûts immédiats de la réponse et inclure des enquêtes réglementaires, des litiges, la perte de confiance des clients et des perturbations opérationnelles.

Pour les consommateurs, les risques dépendent des informations compromises. L’exposition de coordonnées peut accroître le risque d’hameçonnage, tandis que la compromission de numéros de sécurité sociale ou d’informations de santé peut nécessiter des mesures de protection plus importantes.

Ce que les équipes de sécurité devraient faire

Les organisations devraient tirer parti de ces incidents pour réévaluer la manière dont elles protègent les informations sensibles, en particulier lorsque celles-ci sont gérées par des prestataires externes.

• Renforcer les contrôles d’identité. Appliquez une authentification multifacteur adaptée, limitez les accès privilégiés et surveillez les sessions suspectes impliquant des employés et des sous-traitants.
• Examiner la sécurité des fournisseurs. Identifiez les organisations externes qui ont accès à des dossiers sensibles et vérifiez leurs mesures de protection, leurs capacités de réponse aux incidents et leurs obligations de notification.
• Limiter l’exposition inutile des données. Réduisez la durée de conservation, limitez l’accès aux systèmes sensibles et appliquez des protections adaptées aux informations stockées.
• Tester les procédures de réponse aux incidents. Assurez-vous que les équipes peuvent identifier les dossiers compromis, contenir les accès non autorisés et informer rapidement les personnes touchées.

Ce que les personnes touchées devraient faire

Toute personne qui reçoit une notification de violation devrait la vérifier par l’intermédiaire des canaux officiels de l’entreprise et examiner les informations précises identifiées comme compromises.

Si des identifiants ont été exposés, changer les mots de passe et activer l’authentification multifacteur sont des premières mesures appropriées. Les personnes dont les numéros de sécurité sociale ou d’autres identifiants sensibles ont été compromis peuvent également envisager un gel de leur dossier de crédit ou une surveillance supplémentaire de leur identité.

Les e-mails, appels ou messages inattendus faisant référence à une violation doivent être traités avec prudence. Les criminels peuvent exploiter les informations publiques sur les incidents de sécurité pour créer des tentatives d’hameçonnage convaincantes.

En définitive, l’ampleur d’une violation ne raconte qu’une partie de l’histoire. La sensibilité des informations exposées, la durée de l’accès non autorisé et la rapidité de la réaction d’une organisation influencent tous les conséquences potentielles.

Pour les entreprises et les équipes de sécurité, la leçon durable de ces incidents est que prévenir les accès non autorisés reste essentiel, mais limiter les informations auxquelles un attaquant peut accéder après avoir pénétré dans les systèmes est tout aussi important.

Plus de conseils en cybersécurité : pour connaître les mesures pratiques que les organisations peuvent prendre afin de réduire leur exposition, consultez le guide d’eSecurity Planet sur la prévention des violations de données, qui couvre la protection des données, la planification de la réponse aux incidents et la formation à la sécurité.