Un acteur malveillant a revendiqué une violation impliquant InfoDesk, alléguant que des données d’employés provenant de plusieurs organisations pharmaceutiques, médicales et financières ont été exposées.
L’incident présumé concerne des annuaires internes d’employés de 18 organisations, dont des entreprises des secteurs pharmaceutique et biotechnologique telles que Bayer, GSK, Johnson & Johnson, Merck, Moderna, Novo Nordisk, Sanofi et Vertex Pharmaceuticals. Des entreprises de technologie médicale, dont Abbott, Medtronic et Olympus Corporation, étaient également cotées. Parmi les autres organisations nommées figurent le Fonds monétaire international et Kearney.
Selon le rapport, la violation aurait eu lieu en février 2026 et aurait ensuite été annoncée sur un forum du dark web, où l’acteur affirmait vendre les données. Les chercheurs ayant examiné les échantillons fournis par l’acteur ont déclaré que le jeu de données contient des dossiers d’employés des organisations listées.
L’échantillon de données examiné comprenait un nombre limité d’entrées, avec environ cinq enregistrements par entreprise. Ces documents contenaient des noms complets et des adresses e-mail d’entreprise. L’acteur affirmait détenir jusqu’à 1 000 dossiers par organisation, bien que ce chiffre n’ait pas été vérifié de manière indépendante.
Les chercheurs ont déclaré que les données exposées pourraient être utilisées dans des campagnes de phishing. Ils ont indiqué que des noms et adresses e-mail associés à des organisations spécifiques pouvaient être utilisés pour créer des messages destinés à obtenir des identifiants ou à livrer des fichiers malveillants.
Au moment de la publication, InfoDesk n’avait pas publié de réponse publique aux demandes de commentaire concernant la violation présumée.
Le rapport décrivait l’incident comme impliquant un prestataire de services tiers utilisé par plusieurs organisations. Il faisait référence à d’autres cas où l’accès aux organisations a été obtenu via des fournisseurs externes qui gèrent des systèmes ou des données partagés.