Une entrée Have I Been Pwned liée à une fuite de données Crunchbase a placé 559 908 adresses e-mail dans une base de données publique consultable. Selon les informations de TechNadu, les données ont été ajoutées au service de notification de fuites le 14 octobre 2026, et les adresses appartiennent en grande partie à des prospects et à des contacts professionnels. Cette inscription fait suite à une tentative d'extorsion « payer ou divulguer » menée en janvier 2026 par le groupe ShinyHunters.
Si vous vous êtes déjà inscrit à Crunchbase, si vous avez été intégré à son pipeline commercial ou si vous avez échangé des e-mails avec une personne qui y travaille, cela vaut la peine de vérifier rapidement.
Ce qui a fuité et comment ShinyHunters en est arrivé là
Crunchbase est une société privée connue pour sa base de données d'informations sur les entreprises et les startups. Selon le rapport, les 559 908 adresses e-mail désormais présentes dans Have I Been Pwned (HIBP) appartiennent principalement à des prospects et à des contacts professionnels, et non à des comptes de consommateurs ordinaires. HIBP indique également d'autres types de données dans son entrée pour l'incident. L'extrait que nous avons examiné ne précise pas chaque champ, donc la fiche HIBP elle-même est le meilleur endroit pour voir exactement ce qui a été exposé.
La chronologie compte. En janvier 2026, ShinyHunters a ciblé Crunchbase avec ce que le rapport appelle une tentative d'extorsion « payer ou divulguer ». Le groupe a affirmé que les données qu'il aurait obtenues représentaient plus de 2 millions d'enregistrements. L'inscription d'octobre suggère que le différend s'est terminé avec la circulation des données, bien que l'extrait du rapport ne détaille pas comment ni où elles ont été diffusées.
Notez l'écart entre les chiffres. Les 559 908 adresses présentes dans HIBP ne correspondent pas à l'affirmation du groupe de plus de 2 millions d'enregistrements. Les enregistrements et les adresses e-mail uniques sont des choses différentes, et le décompte de HIBP reflète ce qui a été chargé dans sa base de données. Les groupes d'extorsion font souvent des déclarations exagérées, il faut donc traiter ces chiffres séparément jusqu'à ce que davantage de détails émergent.
C'est un schéma familier. Notre couverture de la façon dont le groupe de rançongiciels Gentlemen a listé des revendications visant MoneyGram, Deloitte et KFC montre comment les délais de rançon et les revendications publiques sont utilisés comme moyen de pression, et pourquoi l'absence ou la présence d'échantillons de données compte lorsqu'il s'agit de juger si une revendication est réelle.
Comment vérifier si votre adresse e-mail figure dans Have I Been Pwned
La vérification prend moins d'une minute :
- Rendez-vous sur le site Web Have I Been Pwned et saisissez votre adresse e-mail dans le champ de recherche.
- Examinez la liste des fuites qui apparaissent. Si Crunchbase en fait partie, votre adresse figurait dans les données divulguées.
- Ouvrez l'entrée Crunchbase pour voir quels types de données ont été exposés en même temps que votre adresse.
- Répétez la recherche pour chaque adresse que vous utilisez, en particulier les adresses professionnelles et les plus anciennes liées à des emplois passés.
Un détail que beaucoup de gens manquent : comme cette fuite est composée en grande partie de contacts professionnels, votre adresse e-mail professionnelle a plus de chances d'apparaître qu'une adresse personnelle. Vérifiez les deux. Vous pouvez également utiliser la fonction de notification de HIBP afin d'être alerté si votre adresse apparaît dans de futures fuites.
Un résultat vierge n'est pas une garantie de sécurité. HIBP ne couvre que les fuites qui y ont été chargées, c'est donc un signal utile, et non un audit complet de votre exposition.
Pourquoi les contacts professionnels exposés font face à du phishing ciblé
Une liste divulguée de contacts professionnels est précieuse pour les attaquants pour une raison précise : elle leur indique qui travaille où et qui pourrait être un prospect commercial, un acheteur ou un décideur. Ce contexte rend les arnaques plus convaincantes que le spam générique.
Attendez-vous à des messages qui mentionnent votre rôle, votre secteur ou une relation fournisseur plausible. Un e-mail qui semble provenir d'un fournisseur de données, d'un client potentiel ou d'un contact financier a plus de chances d'être ouvert lorsque l'expéditeur semble connaître votre activité. Les e-mails qui vous pressent de « vérifier votre compte », d'ouvrir une facture ou de déplacer une conversation vers un autre canal méritent une suspicion accrue.
Le deuxième risque est le bourrage d'identifiants. Si des données exposées comprennent des mots de passe, ou si vous avez réutilisé un mot de passe Crunchbase ailleurs, les attaquants peuvent essayer la même combinaison e-mail/mot de passe sur d'autres services. Les mots de passe réutilisés transforment une seule fuite en plusieurs.
Les équipes d'extorsion sont également liées à un écosystème criminel plus large. L'activité récente des forces de l'ordre, comme la saisie de plateformes de piratage et le transfert d'un suspect de rançongiciel vers l'Allemagne, montre que la pression sur ce monde augmente, mais les données divulguées ont tendance à continuer de circuler longtemps après que le groupe d'origine a été démantelé.
Ce que cela signifie pour vous
Si votre adresse figure dans les données Crunchbase, votre e-mail à lui seul n'est pas une catastrophe. Le risque pratique est que vous deveniez une cible plus facile pour des messages personnalisés et convaincants. Si vous dirigez une équipe, il en va de même pour les collègues dont les adresses apparaissent dans la fuite, car les attaquants peuvent se faire passer pour vous afin de les atteindre.
Mesures à prendre si votre e-mail a été exposé
- Changez votre mot de passe Crunchbase si vous avez un compte, et changez-le partout ailleurs où vous l'avez réutilisé.
- Utilisez un gestionnaire de mots de passe pour créer un mot de passe unique pour chaque service, afin qu'une fuite ne puisse pas en déverrouiller une autre.
- Activez l'authentification multifacteur, de préférence avec une application d'authentification ou une clé matérielle plutôt que par SMS.
- Vérifiez les demandes inattendues par un autre canal. Si un e-mail demande un paiement, des identifiants ou des fichiers sensibles, confirmez via un numéro de téléphone ou un canal auquel vous faites déjà confiance, et non via celui fourni dans le message.
- Alertez votre équipe informatique ou de sécurité si une adresse professionnelle est concernée, afin qu'elle puisse surveiller les tentatives d'usurpation d'identité.
- Soyez prudent avec les liens et les pièces jointes dans les messages qui mentionnent votre emploi ou votre entreprise, même si l'expéditeur semble familier.
L'essentiel
L'inscription de la fuite de données Crunchbase dans Have I Been Pwned rappelle qu'une tentative d'extorsion peut aboutir à une divulgation publique des mois plus tard. Recherchez vos adresses e-mail personnelles et professionnelles dans Have I Been Pwned dès aujourd'hui, puis suivez les étapes de protection ci-dessus. Pour plus de contexte sur la façon dont ces campagnes de pression se déroulent, lisez notre couverture des revendications de rançongiciels Gentlemen liée plus haut dans cet article.
