Une base de données attribuée à Condé Nast, contenant 32 815 767 fiches utilisateurs, proposée à 15 000 $

Une annonce sur un forum cybercriminel revendique des millions de fiches inédites

Une base de données qui contiendrait 32 815 767 fiches utilisateurs uniques de Condé Nast est proposée au prix de 15 000 $ sur un forum cybercriminel russophone. L’annonce serait apparue le 7 septembre 2026.

Le vendeur présente cette base comme l’intégralité des données liées à la fuite qui avait précédemment touché WIRED. Elle contiendrait notamment environ 30,5 millions de fiches qui n’avaient encore jamais été rendues publiques.

Les utilisateurs liés à Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair et à d’autres publications de Condé Nast pourraient être concernés. Condé Nast n’a pas confirmé publiquement la compromission, l’annonce publiée sur le marché clandestin ni l’authenticité de l’ensemble de la base.

Ransomnews a examiné un échantillon de 5 000 fiches et constaté qu’il ressemblait à de véritables données de comptes consommateurs collectées sur plusieurs années. Son évaluation s’est fondée sur la cohérence interne, l’exactitude géographique et les informations historiques des comptes, sans tenter d’accéder à des comptes Condé Nast actifs.

Cette analyse étaye les affirmations du vendeur, mais ne permet pas d’authentifier de manière concluante les 32,8 millions de fiches. Elle ne permet pas non plus d’établir qui a obtenu les informations à l’origine.

Ce que contiendrait la base de données proposée

Chaque fiche contiendrait une adresse e-mail unique. Des informations d’identité et de contact supplémentaires n’apparaissent que dans certaines parties de la collection :

• 31,6 % contiendraient à la fois le prénom et le nom.
• 22,3 % incluraient une adresse postale.
• 17,5 % contiendraient des informations sur le sexe.
• 12,6 % incluraient une date de naissance.
• 2,9 % contiendraient un numéro de téléphone.

Aucun mot de passe, condensat de mot de passe, nom d’utilisateur ni donnée de carte bancaire n’a été identifié dans les éléments examinés. Le risque immédiat de prise de contrôle directe d’un compte s’en trouve limité, mais ces informations ne sont pas inoffensives pour autant.

La valeur de la base réside dans le croisement des données. Un cybercriminel pourrait filtrer les fiches contenant un nom complet, une adresse et une date de naissance, puis associer ces attributs à des informations issues d’autres fuites ou de bases commerciales. Même un profil partiel peut rendre un message frauduleux beaucoup plus convaincant.

Le vendeur propose également une version excluant les fiches de WIRED. Cette collection contiendrait 30 455 594 entrées, ce qui laisse entendre qu’environ 2,36 millions de fiches seraient associées à WIRED.

Ce chiffre est très proche des 2 366 576 fiches de WIRED rendues publiques en décembre 2025. Cette concordance numérique relie la nouvelle annonce à l’incident précédent, sans toutefois prouver que le vendeur du marché clandestin est l’attaquant initial.

Plusieurs scénarios sont possibles : une vente directe par l’intrus, une revente par un intermédiaire ou une redistribution par une personne ayant obtenu les données après la compromission initiale.

Les tests réalisés sur l’échantillon étayent l’authenticité sans la confirmer

L’examen mené par Ransomnews a montré que les taux de remplissage des champs dans l’échantillon de 5 000 fiches se situaient à moins de 1,2 point de pourcentage des proportions annoncées par le vendeur.

Les liens entre les noms et les adresses e-mail étaient également significatifs. Parmi les fiches comportant des noms complets, 61,9 % utilisaient une adresse e-mail correspondant au nom ou aux initiales de la personne. Lorsque les noms étaient échangés aléatoirement entre les fiches, ce taux tombait à 0,3 %.

Cette forte baisse laisse penser que les noms et les adresses e-mail étaient liés de manière organique plutôt qu’assemblés aléatoirement.

L’échantillon a également passé plusieurs contrôles temporels et géographiques. Aucune des 227 fiches utilisant des adresses Apple Relay, iCloud, Outlook, Me.com ou Proton ne semblait antérieure à la mise en service des services de messagerie concernés. Pour les fiches américaines, 96,4 % des codes ZIP correspondaient à l’État indiqué, tandis que 93,5 % correspondaient à la ville déclarée.

Les données comportaient des irrégularités courantes dans les bases anciennes alimentées par des formulaires en ligne. Il s’agissait notamment de textes génériques tels que « Select your state », de valeurs numériques issues de menus déroulants, d’appellations de pays incohérentes, de noms en minuscules et de dates de naissance fixées au 1er janvier.

Ces erreurs ne prouvent pas la provenance des données. Elles ressemblent toutefois davantage à la structure désordonnée de véritables bases de données grand public qu’à une liste fabriquée de manière uniforme.

Les dates de création des comptes s’échelonnaient de février 1999 au 23 octobre 2025. Les nouvelles inscriptions sont devenues nettement moins fréquentes à partir de septembre 2025, ce qui a conduit Ransomnews à estimer que l’extraction avait pu se dérouler sur plusieurs semaines, entre septembre et la fin octobre 2025.

Cette évolution est cohérente avec la chronologie entourant l’incident précédent concernant WIRED. Les fiches de WIRED rendues publiques allaient jusqu’en septembre 2025, une personne utilisant le nom de « Lovely » a contacté DataBreaches.net en novembre, et des données liées à WIRED ont été publiées en décembre 2025.

Le nouvel échantillon différait également des données de WIRED déjà exposées. Sa structure de champs était apparemment différente, les noms et adresses postales y étaient plus fréquents et les caractéristiques démographiques semblaient correspondre à un groupe plus large de publications de Condé Nast.

Une faille de contrôle d’accès demeure une piste possible

L’acteur connu sous le nom de Lovely avait précédemment affirmé avoir dérobé plus de 40 millions de fiches Condé Nast et menacé de publier des informations liées à d’autres titres. Une analyse technique antérieure avait conclu que la description de l’attaquant était compatible avec une référence directe non sécurisée à un objet, ou IDOR, ainsi qu’avec d’autres failles liées à un contrôle d’accès insuffisant.

Une faille IDOR se produit lorsqu’une application accepte un identifiant contrôlé par l’utilisateur — par exemple un numéro de compte, d’abonnement ou de client — et renvoie l’objet associé sans vérifier correctement les autorisations.

Par exemple, la modification d’un identifiant numérique dans une requête applicative pourrait exposer la fiche d’un autre client si le serveur vérifie que l’objet existe, mais ne confirme pas que l’utilisateur est autorisé à y accéder. Des requêtes automatisées peuvent transformer cette exposition individuelle en extraction massive.

Rien ne confirme qu’une faille IDOR soit à l’origine de la compromission plus large qui aurait touché Condé Nast. Aucun produit logiciel concerné, aucune version, aucun endpoint ni aucun identifiant CVE n’a été divulgué, et Condé Nast n’a publié aucune explication technique.

Il n’existe donc ni correctif installable par les utilisateurs ni mesure de contournement spécifique associé à cet incident. Toute correction de la faiblesse applicative présumée devrait être mise en œuvre dans les systèmes de Condé Nast, notamment au moyen de contrôles d’autorisation côté serveur, d’une surveillance des requêtes et d’une analyse des accès aux fiches de comptes.

Le nouveau vendeur utiliserait apparemment un compte de forum créé récemment, affichant une réputation limitée, et proposerait un service d’entiercement. Ce profil pourrait correspondre à une tentative de trouver un acheteur privé plutôt que d’attirer l’attention avec une nouvelle publication publique.

À 15 000 $, le prix demandé représente moins d’un vingtième de centime par fiche. Une vente privée pourrait donc fournir à un acheteur une vaste base de données exploitable à des fins de fraude, tout en rendant plus difficile l’observation des utilisations ultérieures.

L’hameçonnage et la fraude aux abonnements constituent les risques immédiats

L’absence d’identifiants déplace la menace : elle concerne principalement l’usurpation d’identité, l’ingénierie sociale et l’enrichissement de données, plutôt que la compromission directe de mots de passe.

Les cybercriminels pourraient créer des messages mentionnant le nom et l’adresse du destinataire, ainsi que sa relation réelle avec une publication donnée. Les prétextes les plus probables sont les suivants :

• Renouvellement ou expiration d’un abonnement
• Échec de facturation et demandes de paiement
• Notifications de remboursement
• Messages concernant une livraison ou la vérification d’une adresse
• Communications relatives à un abonnement cadeau
• Demandes de vérification de compte

Un message mentionnant Vogue, GQ, The New Yorker, WIRED ou un autre titre peut sembler crédible, car la relation sous-jacente est réelle. Le destinataire peut donc être davantage disposé à ouvrir un lien, à fournir des informations de paiement ou à saisir ses identifiants sur un site frauduleux.

Les adresses postales apparaissent dans plus d’un cinquième des fiches présumées : les abus ne se limitent donc pas aux e-mails. Des attaquants ou des démarcheurs frauduleux pourraient également envoyer des courriers physiques, tandis que les fiches contenant des numéros de téléphone pourraient servir à des campagnes d’appels ou de SMS.

La base pourrait également être croisée avec d’anciennes fuites d’identifiants. Même si cette collection ne contiendrait apparemment aucun mot de passe, les attributs d’identité peuvent aider les cybercriminels à sélectionner leurs cibles, à répondre à des questions de vérification peu robustes ou à personnaliser des pages destinées à dérober des identifiants.

La circulation privée complique la détection. L’absence d’une publication complète et publique ne signifie pas que les fiches ne sont plus disponibles ni qu’elles ne sont pas exploitées.

Comment les utilisateurs et les organisations doivent réagir

Les personnes disposant d’un compte ou d’un abonnement Condé Nast doivent se méfier de toute demande inattendue de renouvellement, de remboursement, de paiement, de livraison ou de vérification. Plutôt que de suivre les liens contenus dans un message, elles doivent saisir directement l’adresse connue du site de l’éditeur et consulter leur compte depuis celui-ci.

Les demandes de paiement doivent être vérifiées à l’aide de coordonnées obtenues indépendamment du message reçu. La même règle s’applique aux courriers physiques mentionnant une publication ou un abonnement réel.

Une réinitialisation du mot de passe ne constitue pas la réponse prioritaire aux données examinées, car aucun mot de passe ni condensat de mot de passe n’a été trouvé. Les utilisateurs doivent néanmoins se protéger contre les recoupements avec d’autres fuites en choisissant des mots de passe uniques, en utilisant un gestionnaire de mots de passe et en activant l’authentification multifacteur lorsqu’elle est disponible.

Condé Nast et ses publications devraient surveiller les usurpations de marque, les activités frauduleuses liées aux abonnements et les demandes inhabituelles adressées au service client. Les priorités de l’enquête consistent notamment à déterminer si les fiches proposées correspondent à des comptes actifs et si une extraction massive peut être identifiée dans les journaux historiques.

Aucune version concernée n’est applicable, car aucun logiciel commercial vulnérable n’a été identifié. Aucun CVE ni aucune entrée du catalogue CISA Known Exploited Vulnerabilities n’a par ailleurs été associé à l’incident présumé.

Tant que Condé Nast n’aura pas confirmé les faits ou fourni une analyse technique, l’ampleur exacte et la cause de l’incident resteront invérifiées. L’analyse de l’échantillon disponible indique néanmoins que cette annonce mérite une attention particulière, notamment parce que des millions de fiches pourraient être vendues en privé plutôt qu’exposées publiquement, où les équipes de défense pourraient les examiner.