Fuite de données SoundCloud de 2025

Les catégories de données vérifiées sont les avatars, les adresses e-mail, les localisations géographiques, les noms, les statistiques de profil et les noms d’utilisateur. Les statistiques de profil comprennent le nombre d’abonnés et d’abonnements, tandis que le pays ne figure que dans certains enregistrements. Les mots de passe, les informations de paiement, les messages privés et l’historique d’écoute ne font pas partie des catégories de données vérifiées pour cet incident.

L’association à grande échelle d’un nom d’utilisateur, d’un avatar et de la taille de l’audience d’un profil à une adresse e-mail peut relier un artiste, un auditeur ou un compte utilisé sous pseudonyme à une adresse de contact privée. Ce lien peut rendre plus convaincants les tentatives d’hameçonnage ciblé, les fausses notifications relatives aux droits d’auteur, les offres de collaboration, les messages de vérification de compte et les escroqueries liées à la gestion d’artistes.

SoundCloud a déclaré avoir activé ses procédures de réponse aux incidents après avoir détecté une activité non autorisée dans le tableau de bord d’un service auxiliaire, avoir restreint cet accès et avoir fait appel à des spécialistes indépendants en cybersécurité. L’entreprise a renforcé la surveillance et la détection des menaces, consolidé les contrôles d’identité et d’accès, et audité les systèmes connexes. Des attaques par déni de service ont également perturbé temporairement le service web après que l’incident a été maîtrisé.

Dans une mise à jour de janvier 2026, SoundCloud a déclaré que le groupe à l’origine de la menace avait formulé des exigences et utilisé des tactiques de saturation des boîtes de réception contre des utilisateurs et des employés. Bien que le groupe ait affirmé avoir obtenu des informations plus sensibles, l’enquête n’a trouvé aucun élément étayant ces affirmations. L’enquête finale, achevée en février 2026, a confirmé que les données dérobées se limitaient aux adresses e-mail et aux informations déjà visibles sur les profils publics.

Les artistes, les producteurs, les éditeurs de podcasts, les comptes de labels et les profils ayant de nombreux abonnés peuvent constituer des cibles plus visibles pour des messages personnalisés. Pour les personnes utilisant un nom de scène ou un pseudonyme, l’association d’une adresse e-mail au profil peut fragiliser la séparation entre une identité publique et un canal de communication privé.

Les utilisateurs dont les données comprennent une localisation peuvent recevoir de fausses offres concernant des événements locaux, du parrainage, des concerts ou de la distribution. Les comptes très visibles peuvent, quant à eux, être ciblés par des messages portant sur les badges de vérification, les droits d’auteur, le partage de revenus ou l’ajout à des playlists. La présence d’informations exactes sur un profil dans un message ne prouve pas que son expéditeur est légitime.

L’exposition de mots de passe n’a pas été confirmée. Cet incident ne doit donc pas, à lui seul, être présenté comme la preuve qu’un mot de passe a été compromis. Accédez à vos comptes SoundCloud et aux comptes de messagerie associés via leurs sites web ou applications officiels, et ne suivez pas les liens contenus dans des messages inattendus concernant une réinitialisation de mot de passe, les droits d’auteur, la distribution ou une collaboration.

Activez l’authentification multifacteur sur votre compte de messagerie principal, passez en revue les sessions actives et les applications connectées, et ne communiquez jamais vos codes de vérification. Si votre boîte de réception est submergée d’e-mails, gardez à l’esprit que des alertes de sécurité importantes peuvent se trouver noyées parmi ces messages; vérifiez vos filtres et signalez les e-mails suspects.

Utilisez une adresse de contact publique distincte de votre adresse e-mail personnelle pour votre profil d’artiste ou de créateur. Vérifiez régulièrement la localisation, le nom réel et les autres champs permettant de vous identifier qui apparaissent sur votre profil. Utilisez un mot de passe unique pour chaque service, un gestionnaire de mots de passe de confiance et l’authentification multifacteur partout où elle est disponible.

Le lien entre une adresse e-mail et l’identité affichée sur un profil public peut créer un risque de ciblage à long terme. Vérifiez les demandes concernant les droits d’auteur, les paiements, la distribution, la publicité et la gestion d’artistes depuis un tableau de bord de gestion que vous connaissez, plutôt qu’en suivant les liens contenus dans les messages. Retirez régulièrement aux anciens membres de votre équipe leurs accès aux comptes partagés.

Recherchez votre adresse e-mail à l’aide de l’outil de vérification des fuites de données pour voir si elle correspond à l’entrée SoundCloud. Une correspondance indique que l’adresse e-mail était associée à des informations de profil public SoundCloud dans le jeu de données vérifié; elle ne signifie pas qu’un mot de passe, des informations financières ou chacun des champs répertoriés ont été exposés pour cet utilisateur.