Des dossiers médicaux volés au FBI montrent pourquoi les données personnelles sont désormais une cible privilégiée des cybercriminels

Le groupe de pirates informatiques ShinyHunters a affirmé que les données volées au FBI contenaient des dossiers d'évaluation psychiatrique et médicale du personnel. Si cette affirmation est confirmée, il ne s'agira pas d'une simple fuite de données, mais d'un désastre à long terme en matière de contre-espionnage et d'dentd'identité, qui ne pourra être résolu par une simple réinitialisation de mot de passe.

Analyses de sang, notes sur la santé mentale et une cartographie de la main-d'œuvre par pathologie

Les documents dont il a été question cette semaine ressemblent davantage à des dossiers médicaux qu'à des dossiers de personnel. Selon BBC News, qui a examiné une partie des documents volés, ces dossiers contiennent des résultats d'analyses de sang et d'urine, des observations de médecins, des allergies et autres problèmes de santé, ainsi que les véritables noms et adresses des agents.

Selon une analyse effectuée par Reuters sur six autres documents, certains dossiers comprennent des évaluations de santé mentale effectuées avant l'embauche, des résultats d'électrocardiogrammes, un document mentionnant que le candidat présentait des « signes de dépression » au lycée et un document indiquant que la personne prenait de l'aspirine quotidiennement et était allergique à certaines substances.

Reuters a partiellement confirmé certaines de ces informations en se basant sur des données de bureaux de crédit, des profils LinkedIn et des renseignements provenant d'une personne connaissant les évaluations du FBI.

Comme l'indique Etay Maor, vice-dent du renseignement sur les menaces chez Cato Networks, dans son interview à la BBC :

Les mots de passe peuvent être réinitialisés en cas de vol, mais pas les dossiers médicaux.

Pourquoi un portail d'emploi du FBI détenait des données d'dentde niveau espionnage

Les dossiers médicaux mettent en lumière un problème déjà important de contamination du personnel. Cryptopolitan avait précédemment rapporté que Reuters avait examiné un échantillon de 5 000 lignes reliantdentà des missions de renseignement, de surveillance et de contre-espionnage, notamment des opérations en Russie et en Chine. Les cybercriminels affirment que le volume total de données volées se situe entre deux et trois téraoctets.

Le site web FBIJobs.gov contient une mine d'informations sur ses candidats et employés. Par ailleurs, ShinyHunters a affirmé avoir également piraté des systèmes internes, tels que le service FBI MedLink et les systèmes de vérification des antécédents, mais cette allégation n'a pas encore étédentpar Reuters. Mercredi, le FBI a déclaré enquêter « activement et rigoureusement » sur l'affaire, dont les causes restent encore inconnues.

Une équipe d'extorsion qui a fui la demande de rançon

ShinyHunters n'est pas un nom nouveau. Selon Huntress, il s'agit d'une organisation à but lucratif qui existe au moins depuis 2019 et qui s'est fait connaître pour le vol massif de données SaaS et cloud, tout en utilisant des tactiques d'extorsion du type « payez ou divulguez ».

Cette fois-ci, le groupe a rompu avec ladent. Au lieu de réclamer de l'argent, il a demandé des excuses au FBI pour une notification de mai qu'il considérait comme insultante, avant de finalement retirer sa demande.

Selon Cryptopolitan, FBIJobs.gov utilise la technologie Oracle PeopleSoft et Mandiant (Google) a établi un lien entre ShinyHunters et les piratages de PeopleSoft exploitant la vulnérabilité CVE-2026-35273, évaluée par Oracle à 9,8 sur 10. À ce jour, aucune preuve publique ne relie cette vulnérabilité à la faille de sécurité.

Échos de la brèche de sécurité de l'OPM de 2015

Des incidents de ce type s'étaient déjà produits lors de fuites de données concernant le personnel fédéral. Selon le Government Accountability Office (GAO), la violation de données survenue en 2015 au sein de l'Office of Personnel Management (OPM) a compromis les données sensibles d'environ 22 millions d'employés et de contractuels fédérauxtracLe GAO a découvert par la suite que l'agence chargée de la majorité des vérifications d'antécédents au niveau fédéral n'avait pas pleinement mis en place les mesures de protection de la vie privée dans tous les systèmes examinés.

Eric O'Neill, un ancien agent du FBI qui a fondé Nexasure AI, a déclaré à Reuters que les informations médicales donnent à cet événement une importance similaire et pourraienttracl'attention de services de renseignement hostiles.

Je serais très surpris si les services de renseignement russes ne frappaient pas à leur porte en disant : « Nous voulons ces informations, donnez-les-nous. ».

— Eric O'Neill, ancien agent du FBI et fondateur de Nexasure AI, s'exprimant auprès de Reuters

La facture retombe sur tous les autres

Cette faille de sécurité ne suffira pas à elle seule à bouleverser les marchés mondiaux, mais des incidentsdentcontinuent d'accroître les coûts liés à la sécurité, à la conformité et aux assurances dans tous les secteurs. L'étude d'IBM sur les violations de données pour 2026 estime le coût moyen mondial à 4.99$ millions de dollars, soit une hausse de 12 %, tandis que les attaques pilotées par l'IA ont bondi de 56 %. Son indice X-Force indique que l'exploitation des applications publiques a augmenté de 44 % et que les compromissions majeures de la chaîne d'approvisionnement ont presque quadruplé en cinq ans.

La pression devient structurelle. Check Point a enregistré une hausse de 48 % des victimes d'extorsion, tandis que le Forum économique mondial a constaté que 94 % desdents'attendent à ce que l'IA soit le principal facteur de transformation de la cybersécurité. Gartner prévoit 2.7$ de dépenses mondiales en IA en 2026, tandis que le FMI met en garde contre le risque que les infrastructures numériques partagées et les attaques à la vitesse des machines transforment des violations individuelles en menaces plus vastes pour la stabilité financière.