Un groupe d’acteurs malveillants tristement célèbre a pris pour cible Udemy, l’une des plus grandes plateformes mondiales de formation en ligne.
ShinyHunters affirme avoir dérobé les données de plus de 1,4 million d’utilisateurs et menace de les divulguer dans les prochains jours.
« Plus de 1,4 million de dossiers contenant des informations personnelles identifiables et d’autres données internes d’entreprise ont été compromis. Payez ou divulguez », les acteurs de la menace ont déclaré, selon CybersecurityNews.
À l’intérieur de la violation présumée des données d’Udemy
La violation présumée d’Udemy met en évidence les risques croissants auxquels sont exposées les organisations qui dépendent fortement des plateformes SaaS pour la formation et les opérations quotidiennes.
Si elle est confirmée, cette violation pourrait exposer des informations personnelles identifiables sensibles et des données internes d’entreprise, créant des opportunités d’hameçonnage, d’exploitation des identifiants et d’autres attaques consécutives.
La revendication est apparue le 24 avr. 2026, lorsque ShinyHunters a publié une demande « Payez ou divulguez » sur son site de fuite de données, donnant à Udemy jusqu’au 27 avr. pour répondre avant une éventuelle publication des données.
ShinyHunters est un acteur malveillant motivé par des considérations financières, qui s’est forgé une réputation dans les campagnes de vol de données et d’extorsion à grande échelle.
Le groupe a été associé à des violations ayant touché des centaines de millions de dossiers dans plusieurs secteurs, et son activité s’est intensifiée en 2026 avec des incidents signalés impliquant notamment des organisations telles que Vercel, McGraw-Hill, et Harvard University.
Cette tendance reflète l’orientation stratégique plus large des acteurs malveillants vers les fournisseurs SaaS et le secteur de l’éducation, qui regroupent tous deux d’importants volumes de données d’utilisateurs et d’entreprises.
ShinyHunters utilise des tactiques fondées sur l’identité telles que le vishing, le vol d’identifiants au moyen d’infostealers et des techniques de contournement de l’AMF pour obtenir un accès initial.
Dans de nombreux cas, l’accès initial a été obtenu par l’intermédiaire de fournisseurs tiers ou de comptes de sous-traitants compromis, permettant aux attaquants de contourner entièrement les défenses périmétriques et de cibler la couche d’identité plutôt que l’infrastructure sous-jacente.
Bien qu’Udemy n’ait pas confirmé la violation au moment de la publication, l’ampleur de la revendication et les antécédents du groupe en font une situation que les équipes de sécurité doivent surveiller attentivement.
Comment les organisations peuvent atténuer les risques
Compte tenu de l’incident présumé, les organisations pourraient examiner leur niveau de sécurité SaaS et prendre des mesures pour réduire les risques potentiels.
- Réinitialiser les identifiants et imposer une authentification forte en exigeant des méthodes d’AMF résistantes à l’hameçonnage sur tous les comptes SaaS.
- Appliquer le principe du moindre privilège et des contrôles d’identité centralisés, notamment l’SSO, les politiques d’accès conditionnel et les autorisations juste-à-temps.
- Auditer et restreindre les intégrations tierces, les accès des fournisseurs et les jetons d’API afin de réduire l’exposition aux risques liés à la chaîne d’approvisionnement.
- Surveiller l’activité d’authentification et le comportement des utilisateurs pour détecter les anomalies telles que les connexions inhabituelles, l’utilisation abusive de l’AMF ou l’élévation de privilèges.
- Déployer des outils de détection des menaces sur les terminaux et d’identité afin d’identifier les infostealers et l’utilisation abusive des identifiants.
- Renforcer la protection des données en limitant les informations sensibles stockées, en imposant le chiffrement et en contrôlant l’accès aux données ainsi que leur exportation.
- Tester les plans de réponse aux incidents et utiliser des outils de simulation d’attaques dans le cadre de scénarios d’exfiltration de données et d’attaques fondées sur l’identité.
Ensemble, ces mesures aident les organisations à renforcer leur résilience tout en réduisant leur exposition globale aux attaques.
Les risques de sécurité SaaS en hausse
La violation présumée d’Udemy s’inscrit dans une tendance plus large : les cybercriminels ciblent de plus en plus les plateformes SaaS et les points d’accès fondés sur l’identité, plutôt que les seules CVE.
À mesure que les organisations transfèrent leurs opérations critiques vers des services cloud, les identifiants des utilisateurs et les contrôles d’accès sont devenus une priorité pour les attaquants.
Les plateformes éducatives sont des cibles attrayantes en raison de leur importante base d’utilisateurs et de la combinaison de données personnelles et d’entreprise qu’elles gèrent.
En outre, la dépendance croissante aux intégrations tierces et aux accès externes élargit encore la surface d’attaque, rendant ces environnements plus complexes à sécuriser.
Alors que les risques continuent d’évoluer, les organisations se tournent vers des outils zero trust pour contribuer à sécuriser l’accès des utilisateurs et à limiter le rayon d’impact.