Glassdoor est apparu sur le site de fuite exploité par le groupe de ransomware Gentlemen, les attaquants menaçant de divulguer des informations prétendument volées si l’entreprise ne répond pas avant l’expiration du compte à rebours.
Glassdoor est une importante plateforme d’emploi en ligne où les employés actuels et anciens peuvent consulter anonymement des entreprises, partager des informations sur les salaires et décrire leurs expériences professionnelles. Le service fournit également des offres d’emploi et des informations sur les employeurs, permettant aux chercheurs d’emploi de rechercher des entreprises et des opportunités d’emploi. Glassdoor attire jusqu’à 67 millions de visiteurs uniques par mois, héberge des avis couvrant plus de deux millions d’entreprises et propose des millions d’offres d’emploi actives.
Le gang de ransomware Gentlemen affirme avoir intrusé Glassdoor et exfiltré des données de l’entreprise. Son site de fuite incluait apparemment un compte à rebours de 172 heures, donnant à Glassdoor un peu plus de sept jours avant la publication menacée.
Cependant, Gentlemen n’a pas publié d’échantillons susceptibles de soutenir ses affirmations. Glassdoor n’a pas non plus confirmé la violation présumée, ce qui signifie que la quantité et la nature d’informations potentiellement compromises restent inconnues.
Il n’existe actuellement aucune preuve établissant si les attaquants ont obtenu des documents internes de l’entreprise, des informations appartenant aux employés de Glassdoor, des données associées aux chercheurs d’emploi ou d’autres documents. Jusqu’à ce que Glassdoor ou les enquêteurs fournissent des informations supplémentaires, les affirmations du groupe de ransomware doivent être considérées comme non vérifiées.
Si des informations liées à l’emploi faisaient partie des documents volés, elles pourraient potentiellement avoir une valeur au-delà de la simple tentative d’extorsion immédiate. Les plateformes d’emploi contiennent des informations sur l’activité d’embauche dans un grand nombre d’organisations, tandis que les offres d’emploi individuelles peuvent fournir des indices sur les priorités de recrutement des entreprises et les changements de personnel.
Les informations personnelles pourraient créer des risques supplémentaires si elles étaient compromises. Les coordonnées combinées à des informations sur la recherche d’emploi d’une personne pourraient potentiellement être utilisées pour créer des emails de phishing ciblés se faisant passer pour des employeurs potentiels. Les informations sur les emails d’entreprise pourraient également aider les attaquants à construire des campagnes d’ingénierie sociale ou à croiser des dossiers avec des informations exposées lors de violations précédentes. Aucune de ces catégories d’informations n’a été confirmée comme volée à Glassdoor.
Gentlemen fonctionne selon un modèle de ransomware en tant que service, dans lequel les affiliés mènent des attaques via l’infrastructure fournie par l’opération et partagent les bénéfices avec ses organisateurs.
Des chercheurs en sécurité ont lié le groupe à ArmCorp, auparavant un cluster affilié à l’opération ransomware Qilin. Un litige impliquant environ 48 000 $ en commissions prétendument impayées est devenu public sur un forum clandestin en juillet 2025. Les preuves suggèrent que la séparation était déjà en cours avant que le différend ne devienne public, car un échantillon de ransomware Gentlemen contenant l’adresse du site de fuite du groupe était apparu plus tôt ce mois-là.
L’opération utilise des tactiques de double extorsion impliquant le vol de données, le chiffrement et les menaces de publier des informations volées. Des chercheurs ont identifié des victimes dans plusieurs pays, la Thaïlande étant apparemment la plus grande nombre.
Pour l’instant, les allégations de Gentlemen contre Glassdoor restent non vérifiées. Aucun échantillon n’a été publié, et l’entreprise n’a pas confirmé que ses systèmes ou données ont été compromis.