Numéro 11 | septembre 2026, 4e semaine

Les régulateurs de la vie privée serrent la vis, infligeant plus de 1,3 million de dollars d’amendes à Google, Vodafone et d’autres pour suivi de localisation négligent et défaillances liées aux ransomwares. Parallèlement, les sociétés américaines TradeZero et Ambry Genetics encourent de lourdes sanctions pour des fuites de chatbots et des brèches de hameçonnage ayant exposé des millions de clients.

Un courtier en données condamné à une amende pour une violation de données impliquant un chatbot tiers

TradeZero America, Inc. a reçu une amende de 750 000 $ de la Division des valeurs mobilières du Massachusetts à la suite d’une brèche de données impliquant un service de chatbot tiers utilisé sur le site web de l’entreprise.

Selon une ordonnance de consentement, un pirate informatique non identifié a accédé en juillet 2024 à des données personnelles appartenant à des milliers de clients de TradeZero via le service de chat en ligne Tawk.to. Les documents que les clients avaient téléversés via le chatbot ont également été compromis.

L'enquête a révélé que TradeZero n'avait pas correctement évalué le fournisseur tiers ni veillé à la mise en place de contrôles de sécurité appropriés. La société mère de TradeZero a ensuite payé le pirate en Bitcoin en échange d'une promesse de supprimer les données volées, mais l'entreprise n'a reçu aucune preuve que les informations aient été effacées.

L'enquête a également révélé que TradeZero utilisait un système automatisé pour examiner les demandes des clients. En conséquence, certains clients ont obtenu l'approbation pour des comptes à marge ou le trading d'options sans satisfaire aux exigences appropriées, selon l'ordonnance de consentement.

Outre l’amende de 750 000 dollars, TradeZero doit rembourser aux investisseurs du Massachusetts les pertes de trading résultant des validations irrégulières. L’entreprise doit également faire appel à un consultant indépendant en conformité et renforcer ses politiques en matière de cybersécurité et de validation des comptes.

Google frappé d’une amende de 403 millions d’euros concernant ses données de localisation

L'autorité de protection des données irlandaise a infligé une amende de 403 millions d'euros à Google pour la manière dont elle a collecté et stocké les données de localisation des utilisateurs, à l'issue d'une enquête de six ans.

La Commission de protection des données (DPC) a ouvert son enquête en 2020 à la suite de plaintes déposées par des associations de consommateurs européennes. Elle a examiné les fonctionnalités Google, notamment Web & App Activity, Location History et Location Accuracy.

La DPC a constaté que Google a enfreint plusieurs règles de la loi RGPD sur la vie privée de l'UE. Les régulateurs ont déclaré que l'entreprise traitait illégalement les données de localisation et n'était pas suffisamment transparente avec les utilisateurs sur la manière dont leurs informations étaient gérées. Les autorités ont également constaté que certaines données de localisation étaient conservées plus longtemps que nécessaire.

Outre l'amende, la DPC a ordonné à Google de modifier ses pratiques de traitement des données afin de se conformer aux règles du GDPR dans un délai de six mois. L'autorité a indiqué qu'elle publierait l'intégralité de la décision à une date ultérieure.

Vodafone España doit payer 400 000 € après une attaque par ransomware

L’autorité espagnole de protection des données (l’AEPD) a infligé une amende de 400 000 € à Vodafone España après une attaque par ransomware chez l’un de ses fournisseurs de services ayant exposé les numéros de téléphone de près de 500 000 clients.

L’attaque a eu lieu le 27 mai 2023. Le prestataire de services agissait en tant que sous-traitant pour Vodafone et stockait les informations des clients sur ses systèmes. Les attaquants ont exploité une vulnérabilité critique qui avait été rendue publique en janvier 2023 mais qui n’avait pas encore fait l’objet d’un correctif.

La fuite a affecté 486 768 clients particuliers et 14 571 contacts autorisés de clients professionnels. Les numéros de téléphone ont été exposés sans chiffrement. Dans certains cas, d’autres informations clients, notamment les noms, les adresses e-mail et les détails du DNI, ont été compromises. L’attaque a également entraîné une perte de disponibilité des données, obligeant le fournisseur à restaurer les fichiers depuis les sauvegardes.

L’AEPD a relevé que la violation était la troisième infection par ransomware subie par le sous-traitant en l’espace de cinq mois. Vodafone a signalé l’incident à l’autorité le 30 mai 2023.

L’affaire portait initialement sur des violations présumées des articles 28, 32 et 5, paragraphe 1, point f du Règlement général sur la protection des données (RGPD). Le reproche relatif à l’article 28 a ensuite été abandonné après que Vodafone eut fourni l’accord de traitement pertinent.

Dans sa décision finale, l’AEPD a reclassé l’infraction restante de l’article 5, paragraphe 1, point f), qui couvre le principe d’intégrité et de confidentialité, vers l’article 32 du RGPD, qui exige des mesures de sécurité appropriées pour le traitement des données à caractère personnel. En conséquence, l’amende a été réduite du montant proposé au cours de la procédure à 400 000 €.

Miljödata amendée de 1,8 M de SEK après une grave violation de données

Le prestataire informatique suédois Miljödata s'est vu infliger une amende de 1,8 million de couronnes suédoises (environ 160 000 €) par l’Autorité suédoise de protection des données (IMY) à la suite d’une importante fuite de données survenue en août 2025.

Selon Miljödata, un hacker a accédé à des données personnelles puis les a publiées sur le Dark Web, affectant environ 2,2 millions de personnes. Les informations volées comprenaient des numéros de sécurité sociale, des coordonnées ainsi que des informations sensibles concernant les arrêts maladie, la rééducation et les activités scolaires.

Les clients de Miljödata comprennent de nombreuses communes, régions, agences gouvernementales et entreprises privées suédoises. L'IMY enquête également sur deux communes et une région en lien avec cette violation.

L’IMY a constaté que Miljödata ne disposait pas d’une sécurité technique et organisationnelle suffisamment robuste pour protéger les données à caractère personnel qu’elle traitait. L’entreprise manquait également de contrôles adéquats lors de l’installation de nouveaux logiciels et ne disposait pas de surveillance automatique en temps réel pour détecter les activités suspectes. L’IMY a conclu que Miljödata avait agi avec négligence et l’a sanctionnée d’une amende de 1,8 million de couronnes suédoises pour violation de l’article 32 du Règlement général sur la protection des données (RGPD) de l’Union européenne.

Ambry Genetics accepte un règlement de 700 000 dollars après une attaque par hameçonnage ayant exposé des données de santé

Le Bureau des droits civils du Department of Health and Human Services a conclu un règlement de 700 000 dollars avec Ambry Genetics Corporation au sujet de violations potentielles de la HIPAA Security Rule.

Ambry, une entreprise californienne proposant des services de tests génétiques et de génomique clinique, a découvert en janvier 2020 que le compte de messagerie d'un employé avait été compromis lors d'une attaque de phishing. Cet incident a potentiellement exposé les informations de santé protégées de 225 370 personnes, notamment leurs noms, adresses, dates de naissance, certains numéros de sécurité sociale ou de permis de conduire, des informations financières, des diagnostics médicaux, des résultats d'analyses, ainsi que des détails sur les médicaments et les traitements.

À l’issue d’une enquête, le Bureau des droits civils a constaté qu’Ambry aurait pu ne pas correctement évaluer les risques de sécurité, supprimer l’accès aux informations de santé électroniques lorsque celui-ci n’était plus nécessaire, ni attribuer des identifiants utilisateurs uniques dans les systèmes contenant des informations de santé protégées.

En vertu de cet accord, Ambry est tenue de verser 700 000 dollars et de mettre en œuvre un plan d’actions correctives supervisé par l’agence pendant deux ans. L’entreprise doit réaliser une nouvelle évaluation des risques de sécurité, améliorer ses politiques de sécurité, renforcer l’identification des utilisateurs et former ses employés sur les exigences de sécurité HIPAA.

Prochaines étapes:

• Demandez une démonstration gratuite du produit ou un devis
• Inscrivez-vous à nos webinaires et formations produits.
• Lisez notre blog hebdomadaire Cybercrime Investigations.
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp
• Abonnez-vous à notre Newsletter
• Rejoignez notre programme de partenariat