La lettre du lundi · la semaine tech et sécurité en un e-mail
Offrir un caféFailles, fuites, attaques et réglementation. La seule rubrique où on ne plaisante pas.
45 articles
Lundi 19 octobre, pendant un peu moins de deux heures, le dépôt GitHub du client en ligne de commande d'OVHcloud a distribué des binaires piégés qui volaient les secrets stockés sur le disque. Si vous les avez exécutés, considérez vos identifiants comme compromis.
ConnectWise a coupé l'accès à Cloud Backup après des accès non autorisés à des identités d'application. Des locataires Microsoft 365 de clients sont compromis, par une attaque de la chaîne d'approvisionnement.
Des publicités en ligne ont permis d'installer le logiciel espion Candiru sur des appareils d'Al Jazeera Media Network, sans aucun clic. Il suffisait d'afficher l'annonce, ce qui rend inutile la prudence habituelle du lecteur.
Burger King Japon signale qu'un serveur contenant les données de 11,18 millions de clients de son application officielle a été consulté sans autorisation. Les personnes concernées doivent se méfier des messages qui usurpent l'enseigne.
Microsoft et la police japonaise ont annoncé le 14 octobre 2026 avoir démantelé un écosystème de phishing à l'origine de plus d'un milliard de messages visant 75 000 organisations dans 150 pays. Les SMS de péage impayé ou de colis bloqué reçus ces derniers mois en venaient peut-être.
Le 13 octobre 2026, Ivanti a demandé à ses clients de corriger sans attendre une faille zero-day de sa passerelle VPN Connect Secure, qui serait déjà exploitée. Elle permettrait à un attaquant non authentifié d'exécuter des commandes à distance sur l'équipement qui protège l'entrée du réseau.
Le 10 octobre, Ledger a confirmé qu'un implant matériel avait été posé sur au moins un portefeuille vendu par CryptoBilis, un revendeur agréé basé en Malaisie. Des analystes chiffrent les détournements à près de 90 millions de dollars, sur plusieurs centaines de portefeuilles.
Dans la nuit du 11 au 12 octobre, des pirates ont modifié à distance la régulation du froid de plusieurs centaines de supermarchés français, provoquant des pertes de stocks. Danfoss, le fabricant des contrôleurs, indique que les appareils touchés étaient obsolètes ou n'avaient pas été mis à jour.
Deux vulnérabilités d'AhsayCBS, une critique et une moyenne, seraient exploitées depuis le 7 octobre pour installer des webshells et des cryptomineurs. Aucun correctif ne serait efficace, même dans la dernière version de cette plateforme de sauvegarde prisée des prestataires IT.
Un logiciel malveillant découvert début octobre sur un poste de Nippon Columbia expose plus de 8,7 millions de dossiers de clients et d'employés de Daiichi Kosho. Le géant japonais du karaoké n'a pas été attaqué lui-même : les données étaient confiées à un prestataire.
Selon CrowdStrike, les attaques qui ont visé début octobre plusieurs banques sud-coréennes ont été menées avec ARTEX AI, une suite de tests d'intrusion agentique, et des agents Claude. L'affaire montre comment des outils d'audit et des agents de code grand public servent désormais à des intrusions réelles.
Trois jours après son correctif, la faille de gravité maximale des passerelles SonicWall SMA1000 fait déjà l'objet de tentatives d'exploitation. Ces boîtiers ouvrent l'accès au réseau interne de grandes entreprises et d'administrations, et leurs failles précédentes ont servi à des gangs de rançongiciel.
ASOS reconnaît que des noms et des coordonnées de clients ont été consultés après le vol des identifiants d'un salarié par ingénierie sociale. Ces données ne permettent pas de payer à votre place, mais elles servent à préparer des messages frauduleux crédibles.
Atlassian a corrigé lundi une faille critique, CVE-2026-21589, qui permet de lire sans authentification des fichiers protégés sur huit de ses produits auto-hébergés. Deux heures après la publication d'une preuve de concept, les premières tentatives d'exploitation étaient observées.
Des attaquants ont pris le contrôle des domaines nationaux .gh, .sl et .as et s'en sont servis pour obtenir des certificats TLS non autorisés pour Google et d'autres grands services. Les autorités de certification ont respecté les règles : c'est le DNS qui a cédé.
Le registre central de la population danois (CPR) signale une fuite qui touche environ 8,8 millions de personnes inscrites. Les noms, adresses et numéros d'identification exposés peuvent servir à des escroqueries ciblées et crédibles.
Un membre présumé de ShinyHunters, connu sous le pseudonyme « Rey », aurait été arrêté en Jordanie et coopérerait avec le FBI pour identifier ses complices. Si l’information se confirme, elle touche l’un des groupes d’extorsion les plus actifs, à l’origine de vols de données chez de nombreuses organisations.
Des pirates ont utilisé des identifiants compromis pour entrer dans le système de gestion des identités de l'Université technique du Danemark (DTU) et en ont téléchargé une grande quantité de données. Toute personne passée par l'établissement depuis 2003 peut être concernée, y compris des proches de salariés.
Depuis le 2 octobre, LDLC informe ses clients qu'un accès non autorisé à l'un de ses systèmes a pu exposer leurs coordonnées complètes. C'est le quatrième incident de ce type pour l'enseigne depuis 2021, et ces données suffisent à rendre un hameçonnage crédible.
Fortinet a publié jeudi 1er octobre 2026 un avis sur CVE-2026-104286, une faille critique de l'interface d'administration FortiMail déjà exploitée en zéro-day. Aucun correctif n'est disponible pour les branches 7.4, 7.6 et 8.0 : seuls des contournements protègent les équipements exposés.
Une opération policière internationale a saisi le 30 septembre 2026 les serveurs du gang de rançongiciel KillSec et interpellé trois personnes. Celle qui est soupçonnée d'avoir administré le groupe a 16 ans.
L'ANSSI a publié le 30 septembre 2026 son rapport sur l'intrusion dans les systèmes de la DGFiP, qui a exposé des données de 678 000 contribuables et entreprises. Sa conclusion : aucune attaque sophistiquée, mais des faiblesses accumulées.
Le service d'autopartage japonais a confirmé le 28 septembre 2026 le vol des données de 6,6 millions de membres actuels et anciens. Les documents d'identité figurent parmi les informations exposées.
Citrix a confirmé le 27 septembre deux exécutions de code à distance notées 9.5 dans NetScaler ADC et Gateway, exploitées avant la publication du correctif. Un boîtier exposé a donc pu être atteint pendant plusieurs jours sans qu'aucun correctif n'existe.
Deux actions tierces retirées après la campagne Mini Shai-Hulud ont été remises en ligne le 16 septembre sans nettoyage de leurs tags. Pendant neuf jours, les workflows qui les appelaient ont réexécuté la charge de mai.
Le 25 septembre 2026, l'éditeur de transfert de fichiers sécurisés Kiteworks a recommandé à ses clients du monde entier six heures d'extinction le samedi. Aucune compromission n'est constatée : la mesure repose sur un renseignement transmis par des autorités fédérales.
Des chercheurs ont produit des signatures RSA valides sans jamais calculer la clé privée, une voie que la cryptographie croyait fermée. L'attaque ne vise qu'un usage minoritaire de RSA, mais elle fait passer les trois tailles de clés courantes sous le seuil de sécurité exigé par le NIST.
Une campagne de vol de données bancaires pilotée par des cadriciels d'agents IA open source a touché plus de cent boutiques en ligne depuis juillet 2026. Plus de 600 000 numéros de cartes auraient été exfiltrés, pour quelques dizaines de dollars de calcul par victime.
Un avis conjoint des autorités japonaises, américaines, australiennes et allemandes attribue au groupe nord-coréen WaterPlum 30 000 machines compromises et 10,7 M$ de cryptomonnaies transférés vers la Corée du Nord. La porte d'entrée reste une fausse offre d'emploi adressée à un développeur.
Gyazo a confirmé le vol d'environ 23,62 millions de fiches utilisateurs après l'exploitation d'une faille serveur le 11 septembre 2026. Le service est suspendu, et 490 millions de métadonnées d'images sont également concernées.
Le FBI et les agences de cybersécurité américaine, britannique et néerlandaise ont décrit le 16 septembre 2026 CHOSEN BRICK, un logiciel espion Windows visant dissidents, militants et journalistes. Les données volées finissent parfois publiées en ligne.
Une campagne de scan automatisé cible les serveurs de développement Vite accessibles depuis Internet pour en extraire des identifiants AWS et Azure. Les fichiers visés sont ceux que personne ne pense exposer : `.env`, clés cloud, états Terraform.
Revolut a transmis à un escroc se faisant passer pour une agence gouvernementale des pièces d'identité, des selfies de vérification et des historiques de transactions. Aucun système n'a été forcé : l'attaque a emprunté le circuit des réquisitions légales.
Le NCSC néerlandais s'attend à ce que deux failles critiques des VPN Check Point soient exploitées sous peu, alors qu'aucun code d'attaque public n'a été signalé. Les correctifs existent depuis le 9 septembre 2026.
Anthropic détaille huit mois d'usages malveillants de son modèle, dont une chaîne automatisée qui a scanné 1,8 million d'applications Android à la recherche de secrets codés en dur. L'accès initial se produit désormais en série.
Un rapport publié le 11 septembre 2026 attribue à des agents internes d'OpenAI la vague de paquets malveillants subie par RubyGems en mai. Le dépôt a fermé les inscriptions quatre jours sans savoir d'où venait le flot.
Une page web portant un shader WebGPU gèle l'affichage des Mac à puce M et provoque leur redémarrage, dans les trois navigateurs testés. Apple a reproduit le bug, puis fermé le rapport le 26 août sans correctif.
Un acteur probablement russophone a fait développer et lancer par des centaines d'agents IA une campagne d'exploitation mondiale. Bilan : 440 serveurs PaperCut compromis dans 48 pays, moitié dans l'éducation.
Microsoft a publié le 8 septembre 2026 le plus gros lot de correctifs de son histoire, avec deux vulnérabilités déjà exploitées. Le volume seul redéfinit la manière dont les équipes doivent hiérarchiser leur déploiement.
Le 7 septembre 2026, un développeur a publié les clés privées de deux racines 512 bits livrées avec Netscape 4.51 en 1999, factorisées en 61 heures sur un PC de bureau. Le calcul finit toujours par rattraper une taille de clé : reste à savoir quand.
Un service du dark web a proposé à la vente plus de 153 millions de scans de permis de conduire, une base remontée jusqu'au prestataire de vérification d'identité IDScan. Plusieurs plaintes ont été déposées et le FBI enquête.
Une fiche NVD publiée le 4 septembre 2026 documente une évasion de bac à sable dans Chromium, déjà exploitée. Le moteur étant partagé par la quasi-totalité des navigateurs et des applications Electron, le périmètre dépasse largement Chrome.
Une faille critique d'Elementor Pro, corrigée le 19 août 2026, est exploitée depuis ce jour-là pour déposer un webshell sur des sites WordPress. Wordfence dit avoir bloqué près de 200 000 tentatives.
Le 31 août, une partie du trafic du registre de Coder a été détournée vers des serveurs contrôlés par un attaquant, qui distribuaient des modules Terraform piégés. Ces modules visaient directement les clés et les jetons des équipes d'infrastructure.
La CNIL a sanctionné l'Hôpital privé de la Loire d'une amende de 500 000 euros, un an après l'exfiltration des données de 524 867 patients. La délibération décrit des manquements de base : ni VPN, ni double authentification, ni surveillance des accès.
La lettre du lundi
Ce qu’il faut corriger en premier, les fuites de données, les articles en images. Gratuit, sans pub, désinscription en un clic.
