Piratage massif de X : plus de 2,8 milliards de comptes touchés

Alerte, une fuite pourrait bien avoir touché le réseau social X ! Un pirate affirme avoir mis la main sur les informations détaillées de 2,87 milliards de comptes. Il pourrait bien s'agir de la plus grande fuite de données enregistrée par un réseau social.

X (ex-Twitter) est une véritable mine d'or pour les pirates et les entreprises, le réseau social regorgeant de données personnelles et d'informations souvent très privées sur ses utilisateurs. Numéros de téléphone, adresses mail, images et commentaires parfois compromettants, tendances politiques… Autant d'informations qui attirent la convoitise. Mais la plateforme semble avoir connu une nouvelle fuite de données, et pas des moindres !

Sur BreachForums, un site bien connu des cybercriminels, un pirate se faisant appeler ThinkingOne affirme s'être emparé d'un répertoire de "400 Go d'informations" au cours de janvier 2025. Cette base de données comprendrait les données personnelles de 2,87 milliards d'utilisateurs de X. Elle serait le fruit d'un employé mécontent du réseau social qui aurait volé les données pendant la période de licenciements massifs. Si les faits sont avérés, ce serait la plus grande fuite de données enregistrée par un réseau social, mais étonnamment, ni X, qui n'a pas confirmé l'information, ni le grand public ne semblent être au courant.

Piratage X : l'œuvre d'un ancien employé mécontent ?

Auprès de Forbes, ThinkingOne explique ne pas être un hacker, mais plutôt un "passionné de données". Il n'est pas à l'origine de la fuite, qui serait plutôt due à un employé mécontent par la vague de licenciements perpétrée par Elon Musk trois ans plus tôt. En effet, après avoir racheté Twitter, le milliardaire s'était séparé d'une grande partie de la masse salariale du groupe, dans le but de réduire les coûts. Il explique avoir tenté plusieurs fois de contacter X pour discuter de cette fuite, mais n'ayant reçu aucune réponse et voyant que le grand public n'était pas au courant de "la plus grande violation des médias sociaux jamais commise", il a décidé de tout mettre en ligne sur BreachForums.

Parmi les données revendiquées par ThinkingOne, on trouve :

la date de création du compte ;
les identifiants d'utilisateur et les noms d'écran ;
les descriptions de profil ;
l'URL de profil ;
les paramètres de localisation ;
les paramètres de fuseau horaire ;
le nom d'affichage depuis 2021 ;
le nombre de followers de 2021 à 2025 ;
le nombre de tweets ;
l'horodatage du dernier tweet ;
le nombre d'amis ;
le nombre d'apparitions en listes ;
le nombre de tweets mis en favoris ;
la source du dernier tweet (ex. TweetDeck, X Web App) ;
le statut du profil (vérifié, protégé, etc.).

Cette fuite ne semble pas avoir divulgué d'informations particulièrement sensibles sur les utilisateurs de X. En fait, beaucoup de ces comptes n'appartiennent probablement même pas à de vrais utilisateurs. D'après les estimations de la plateforme d'analyse Statista, le réseau social compte environ 400 millions d'utilisateurs dans le monde. Une grande partie de ces milliards de comptes divulgués appartiendraient probablement à des bots, des spammeurs ou des individus ayant désactivé ou supprimé leur propre compte. Toutefois, un certain nombre de comptes réels et actifs sont concernés.

Piratage de X : des bases de données croisées particulièrement complètes

Là où ça se complique, c'est que ThinkingOne a croisé cette dernière fuite avec des données appartenant à 209 millions d'utilisateurs à partir d'une violation de données de 2023. À l'époque, Elon Musk avait tenté de minimiser l'incident en affirmant qu'il s'agissait de données publiques, mais il avait ensuite été révélé qu'il s'agissait d'une faille de sécurité. Et, contrairement à la fuite de 2025, cette base de données comprenait les adresses mail des utilisateurs, qui ne sont généralement pas rendues publiques. Les profils obtenus par ce croisement, soit quelques 201 millions d'utilisateurs actifs, sont de ce fait très complets.

Avec les adresses e-mail et les métadonnées combinées, les cybercriminels pourraient facilement cibler les utilisateurs de X avec des courriels de phishing, des escroqueries ciblées, des attaques d'ingénierie sociale et d'autres escroqueries du même type. ThinkingOne insiste sur le fait qu'il pourrait bien s'agir de "la plus grande violation des médias sociaux de tous les temps, en termes de nombre d'utilisateurs, et il est au moins possible que la personne responsable de la violation dispose d'autres données, y compris les e-mails, les numéros de téléphone et les mots de passe".

Les chercheurs de Safety Detectives ont pu vérifier l'authenticité d'une partie des données du répertoire. Ils expliquent avoir "examiné les informations correspondant à 100 utilisateurs de la liste, et nous avons constaté qu'elles correspondaient à ce qui était affiché sur Twitter", et avoir "vérifié un nombre considérable d'e-mails, qui se sont avérés être des adresses e-mail valides". X n'a pas encore confirmé ni même reconnu cette prétendue fuite.