Une base de données contenant près de 14 millions d’enregistrements provenant de violations de données précédentes a été laissée accessible à toute personne disposant d’une connexion Internet, exposant potentiellement des informations sensibles appartenant à des personnes du monde entier.
La découverte a été faite par cybersecurity researcher Jeremiah Fowler , qui a publié ses conclusions via ExpressVPN le 12 octobre 2026. La base de données contenait environ 13,7 millions d’enregistrements, incluant des adresses e-mail, des noms d’utilisateur, des mots de passe, des numéros de téléphone et des informations bancaires.
Selon l’enquête d’ExpressVPN, la base de données n’était ni protégée par mot de passe ni chiffrée. Cela signifiait que son contenu pouvait être consulté via un navigateur web sans se connecter ni contourner les contrôles de sécurité.
Fowler a retracé le serveur exposé jusqu’à une plateforme d’intelligence de données connectée à Vibetech, une entreprise indienne spécialisée dans le développement de logiciels d’IA et les services informatiques. La plateforme semblait collecter des informations provenant de nombreuses bases de données auparavant compromises.
Les enregistrements comprenaient des collections étiquetées comme provenant d’AT&T, Amazon, Walmart, PayPal et d’autres organisations. Un ensemble de données associé à AT&T contenait environ 7,9 millions d’enregistrements, tandis qu’un autre, étiqueté comme collection d’accréditations Amazon, en contenait plus de 1,2 million.
Il est important de noter que ces distinctions n’établissent pas que les entreprises nommées ont subi de nouvelles failles de sécurité. Les informations semblaient en grande partie provenir d’incidents plus anciens, bien qu’ExpressVPN ait noté que certains ensembles de données ne correspondaient pas aux totaux de violations publiquement connus.
La source des informations collectées reste incertaine. Les chercheurs n’ont pas établi comment Vibetech a obtenu ces enregistrements ni si la plateforme a été développée pour un usage interne ou pour un client tiers.
Après cette découverte, Fowler a informé l’organisation associée au serveur et son fournisseur d’hébergement. L’accès à la base de données a ensuite été restreint, et les identifiants exposés n’étaient plus visibles publiquement.
Cependant, le rapport d’ExpressVPN indique qu’on ignore combien de temps l’information est restée accessible ni si des personnes non autorisées l’ont téléchargée avant que la base de données ne soit sécurisée.
Même lorsque des informations volées proviennent d’anciennes violations, les révéler peut créer des risques supplémentaires. Les criminels peuvent combiner adresses e-mail, mots de passe et informations personnelles pour tenter des prises de contrôle de comptes, des arnaques d’usurpation d’identité ou des attaques de phishing convaincantes.
Par exemple, quelqu’un qui a réutilisé un ancien mot de passe sur plusieurs sites web pourrait encore être vulnérable si ce mot de passe apparaissait dans la collection exposée.
ExpressVPN recommande de changer les mots de passe potentiellement compromis, d’éviter la réutilisation des mots de passe et d’activer l’authentification à deux facteurs autant que possible. Les utilisateurs doivent également être prudents face aux messages inattendus demandant des informations personnelles ou financières.