Un vendeur anonyme affirme proposer sur un forum cybercriminel russophone une base de 32 815 767 adresses email uniques d’utilisateurs de Condé Nast, l’éditeur de Vogue, The New Yorker ou WIRED. Le prix demandé : 15 000 dollars. Condé Nast n’a ni confirmé la fuite ni commenté l’annonce, rapporte Security Affairs : il s’agit donc, à ce stade, d’une revendication.
Ce que contiendrait la base
D’après l’annonce, chaque enregistrement contient au minimum une adresse email. Une partie des fiches comporterait aussi :
- nom complet ;
- adresse postale ;
- genre ;
- date de naissance ;
- numéro de téléphone.
Le vendeur ne revendique ni mots de passe, ni hachages, ni noms d’utilisateur, ni données de carte bancaire.
Un échantillon jugé crédible
Le site Ransomnews, cité par Security Affairs, a analysé un échantillon de 5 000 lignes et estime qu’il s’agit de vraies données, collectées entre septembre et octobre 2025. Plusieurs contrôles vont dans ce sens :
- les noms correspondent aux adresses email dans 61,9 % des cas, contre 0,3 % quand les noms sont mélangés au hasard ;
- aucune adresse de webmail n’est antérieure à la création du service correspondant ;
- le code postal correspond à l’État indiqué dans 96,4 % des cas, et à la ville dans 93,5 % des cas.
Les champs sont toutefois clairsemés : le nom complet n’apparaît que dans 31,6 % de l’échantillon, l’adresse postale dans 22,3 %, la date de naissance dans 12,6 % et le téléphone dans 2,9 %.
Le lien avec la fuite de WIRED
Le vendeur présente sa base comme le jeu de données complet derrière la fuite de WIRED de décembre 2025. Les chiffres concordent : sa version « hors WIRED » compte 30 455 594 enregistrements, ce qui laisse environ 2,36 millions de lignes pour WIRED, très proche des 2 366 576 comptes diffusés publiquement en décembre.
Cela ne prouve pas que le vendeur soit l’auteur de l’attaque initiale. À l’époque, le pirate se faisait appeler « Lovely » et revendiquait plus de 40 millions d’enregistrements. Le compte du vendeur est récent et a peu de réputation sur le forum.
Chronologie
| Date | Événement |
|---|---|
| Sept.–oct. 2025 | Période de collecte des données selon l’analyse de l’échantillon |
| Déc. 2025 | 2,37 millions de comptes WIRED diffusés publiquement |
| 7 sept. 2026 | Annonce de vente de 32,8 millions d’adresses pour 15 000 dollars |
Même sans mot de passe, une base qui associe votre email à un abonnement presse, à votre adresse et à votre date de naissance permet des arnaques très crédibles : faux renouvellement d’abonnement, faux remboursement, faux colis.
Que faire si vous avez un compte Condé Nast
- Méfiez-vous des emails évoquant votre abonnement à Vogue, WIRED, GQ ou The New Yorker et demandant un paiement ou une connexion : passez directement par le site officiel.
- Si vous réutilisiez votre mot de passe Condé Nast ailleurs, changez-le par précaution, même si aucun mot de passe n’est revendiqué.
- Vous pouvez vérifier si votre adresse figure dans des fuites connues sur un service comme Have I Been Pwned.