Big Tech
Mercor confirme une cyberattaque avec vol de 4 To de données biométriques
Dr. Adrian Vale
Spécialiste LLMs, AI Agents et Infrastructure IA
5 min de lecture
Écouter l'Article
Narration automatique par IA
Spécialiste LLMs, AI Agents et Infrastructure IA
Mercor, valorisée à 10 milliards de dollars, a subi une cyberattaque majeure ayant entraîné le vol de 4 To de données biométriques et personnelles de 40 000 contractuels. L'incident, lié à une faille dans une bibliothèque open source, soulève des inquiétudes sur les risques des données immuables et les vulnérabilités des chaînes d’approvisionnement en logiciels.
Le 31 mars 2026, Mercor, une startup spécialisée dans le recrutement via l’intelligence artificielle, a confirmé une cyberattaque de grande envergure. Cette entreprise, valorisée à 10 milliards de dollars, a été victime du vol de 4 téraoctets de données sensibles, incluant des échantillons de voix, des vidéos, des documents d’identité et des CV de 40 000 contractuels. Ces données, cruciales pour entraîner les modèles IA d'entreprises comme OpenAI, Meta et Google DeepMind, sont désormais entre les mains du groupe de hackers Lapsus$, qui a revendiqué l’attaque.
Les conséquences de cette fuite sont multiples et graves : risques de fraudes financières, fabrication de deepfakes et atteinte à la vie privée des individus concernés. Cette attaque est l’une des plus importantes de l’histoire du secteur de l’IA, mettant en lumière les failles critiques dans la gestion des données biométriques.
Contrairement aux mots de passe ou aux numéros d’identification, les données biométriques, comme les empreintes vocales, sont irrémédiables une fois compromises. Cela pose des défis uniques en matière de sécurité :
D’après une étude de l’Université Carnegie Mellon, les attaques basées sur des deepfakes ont augmenté de 60 % entre 2024 et 2025, soulignant l’urgence d’une meilleure protection de ces données sensibles.
Les enquêteurs ont retracé l’origine de cette attaque à une faille dans LiteLLM, une bibliothèque open source utilisée par Mercor pour gérer les clés d’API de ses modèles IA. Cet incident expose les risques critiques associés à la dépendance des entreprises technologiques envers des bibliothèques de code tiers :
Ce piratage rappelle d'autres incidents, notamment l’attaque SolarWinds en 2020 et celle de la bibliothèque Python "PyScript" utilisée dans des outils DevOps. Ces cas illustrent une problématique systémique dans la sécurité des chaînes d’approvisionnement logicielles.
Cette violation massive a ravivé les discussions autour de la protection des données biométriques et des responsabilités des entreprises :
4 To de données, comprenant des échantillons de voix, des vidéos, des documents d’identité et des CV de 40 000 contractuels, ont été volés.
Les données biométriques, comme les empreintes vocales, sont immuables et ne peuvent pas être modifiées, ce qui les rend vulnérables à des risques à long terme comme les deepfakes.
L'attaque a exploité une vulnérabilité dans LiteLLM, une bibliothèque open source utilisée par Mercor pour gérer les clés d'API de ses modèles d'IA.
💡 Dica Pro: Les données biométriques doivent idéalement être stockées de manière fragmentée et anonymisée. Les systèmes de gestion des clés doivent inclure des contrôles d’accès stricts et une rotation régulière des clés pour limiter les risques de compromission.
