Actualité cybersécurité : les grandes attaques, fuites et failles

Google publie le 9 novembre la version 157.0.8103.50/.51 de Chrome, qui corrige neuf failles dont une, dans le traitement du XML (CVE-2026-125350), est déjà exploitée par des pirates. Signalée le 6 novembre, c’est la huitième faille « zero-day » de Chrome en 2026, après celle de septembre.

Le Crédit Mutuel Arkéa, maison mère du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest et de Fortuneo, annonce le 4 novembre une cyberattaque qui a permis des virements frauduleux depuis ses propres comptes vers d’autres banques. La presse avance 118 millions d’euros ; la banque reconnaît cet ordre de grandeur sans confirmer de montant exact. Certaines opérations ont été retardées ; selon la banque, les avoirs des clients ne sont pas touchés.

Google annonce le 2 novembre avoir neutralisé avec ses partenaires, dont la police japonaise, le botnet XCPE, une porte dérobée installée dans plus de 1,3 million de boîtiers TV et autres appareils Android. Selon Google, le fabricant chinois Videostrong l’exploitait et revendait l’accès à des criminels pour de la fraude publicitaire et des réseaux de proxys ; il est exclu des appareils Android certifiés. Le logiciel malveillant reste présent sur les boîtiers infectés.

Le 29 octobre, des pirates vident des portefeuilles de Binance, la première plateforme d’échange de cryptomonnaies, pour environ 6,3 milliards de dollars, quatre fois le vol record de Bybit en 2025. Binance désigne d’abord l’ordinateur portable compromis d’un ingénieur, couvre les pertes avec ses réserves et rouvre dépôts et retraits le 1er novembre. Le FBI attribue l’attaque au groupe nord-coréen TraderTraitor.

La CNIL publie le 29 octobre deux sanctions prononcées contre la Fnac : 6 millions d’euros pour Fnac Darty Participations et Services et 1 million d’euros pour Fnac Direct. L’application mobile déposait des traceurs sans le consentement des utilisateurs pour suivre leur navigation, recommander des produits et entraîner l’algorithme de recommandation.

WordPress publie le 28 octobre la version 7.1.4 et des correctifs pour toutes les branches depuis la 4.7. La plus grave des 22 failles permet, sans compte, d’exécuter du code sur le serveur pendant les quelques secondes d’une mise à jour du cœur de WordPress. Wordfence observe des tentatives d’exploitation dès la sortie du correctif et prévient que l’installation de la mise à jour elle-même ouvre une dernière fois cette fenêtre.

L’éditeur japonais de jeux vidéo Capcom indique le 22 octobre qu’un accès non autorisé à son service de comptes CAPCOM ID a exposé 11 774 247 enregistrements : adresses électroniques, dates et nombre de connexions, adresses IP. Les cartes bancaires ne sont pas concernées ; 196 comptes ont vu leur mot de passe changé par les pirates et ont été réinitialisés.

Le projet PHP publie le 21 octobre les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger deux failles critiques, surnommées « PHP2Shell », qui permettent d’exécuter du code sur le serveur sans compte. Toutes les installations qui servent des pages web sont concernées, donc les sites WordPress, PrestaShop, Drupal ou Magento. Plusieurs sites publics ont été fermés par précaution ; au 28 octobre, Wordfence ne connaissait aucun site WordPress compromis par ce biais.

L’éditeur de l’extension de sauvegarde UpdraftPlus, utilisée sur plus de 4 millions de sites, découvre le week-end des 17 et 18 octobre qu’un pirate a accédé à sa base clients, dont les clés de connexion du service UpdraftCentral en ligne. Avec ces clés, l’attaquant installe des extensions dérobées et des comptes administrateurs sur les sites reliés. Les versions 1.26.13 et 2.26.13 suppriment les anciennes clés, mais ne retirent pas ce qui a déjà été installé.

Dans la nuit du 11 au 12 octobre, des pirates prennent la main sur les systèmes de pilotage de la réfrigération de centaines de magasins : au moins 300 Intermarché et Netto, plus de 100 Coopérative U, 80 Carrefour, des Monoprix et des E.Leclerc. Des vitrines montent jusqu’à 50 °C et les produits frais et surgelés doivent être jetés ; d’autres pays européens sont touchés. Le 9 novembre, la France attribue l’attaque à des unités cyber des Gardiens de la révolution iraniens.

Le directeur du FBI annonce le 9 octobre l’arrestation d’un autre complice présumé de ShinyHunters, le groupe d’extorsion qui revendique fin septembre le vol de données d’employés du FBI par une faille d’Oracle PeopleSoft. Fin septembre, un membre présumé surnommé « Rey » a été arrêté en Jordanie, qui l’a confirmé. ShinyHunters est lié aux vols de données de nombreux clients de Salesforce et à des attaques par téléphone visant les accès d’entreprise.

Le 6 octobre, des clients du site de mode ASOS reçoivent dans l’application une notification non autorisée qui renvoie vers une chaîne Telegram. ASOS confirme que les noms et coordonnées de clients ont pu être consultés, mais pas les cartes bancaires ni les mots de passe, selon l’entreprise. Le nombre de clients touchés n’a pas été publié ; le NCSC britannique et l’autorité de protection des données suivent l’incident.

Le registre central de la population danois (CPR) annonce le 5 octobre que des pirates ont détourné en septembre l’accès légitime d’une entreprise privée pour en extraire noms, adresses et numéros d’identité. Environ 8,8 millions de personnes sont concernées, soit 80 % du registre, qui inclut des personnes décédées ou parties à l’étranger. L’autorité danoise de protection des données indique que les numéros ont été trouvés par essais automatiques ; l’entreprise a été coupée du registre.

Le 30 septembre, les polices de neuf pays coordonnées par Europol et Eurojust prennent le contrôle du site de chantage du groupe KillSec et de cinq serveurs, avec au moins 110 téraoctets de données volées. Trois personnes sont arrêtées et huit perquisitions menées en Espagne, en Grèce, en Roumanie et au Royaume-Uni. Le principal opérateur présumé a 16 ans ; le groupe est lié à près de 1 000 attaques dans le monde.

Citrix publie le 27 septembre des correctifs pour huit failles de ses passerelles d’accès à distance NetScaler ADC et Gateway, dont deux failles critiques (CVE-2026-88771 et CVE-2026-88772) déjà exploitées avant leur annonce. La CISA les ajoute le jour même à son catalogue des failles exploitées et le NCSC britannique demande aux organisations de corriger sans attendre. Après la publication d’un code d’attaque, les tentatives se sont étendues à tous les équipements exposés.

Patchstack détaille le 25 septembre une faille des versions 4.3.0 et 4.3.1 d’Elementor, le constructeur de pages pour WordPress : il suffit qu’un administrateur connecté ouvre un lien piégé pour qu’un compte administrateur soit créé au profit de l’attaquant. Environ 2 millions de sites utilisaient ces versions. Elementor a publié la version 4.3.2 le 24 septembre ; aucune attaque n’était signalée à la publication.

WordPress publie le 22 septembre la version 7.1.2, qui corrige une faille critique (CVE-2026-87902, note 9,2 sur 10) présente dans toutes les versions depuis la 4.7 : sans compte, un attaquant peut faire lire un fichier du serveur et, dans certaines configurations, exécuter du code. Patchstack relève les premières tentatives le jour même, puis, dès le 23 septembre, des tentatives d’écrire des fichiers sur les serveurs, sans nombre de sites compromis publié. Des correctifs existent pour chaque branche jusqu’à la 4.7.

Google publie le 8 septembre Chrome 153, qui corrige une faille du moteur JavaScript V8 (CVE-2026-87491) déjà exploitée par des pirates. Cinq jours plus tôt, une première mise à jour avait bouché une autre faille exploitée (CVE-2026-85046). C’est la septième faille « zero-day » de Chrome de l’année ; l’agence américaine CISA l’a ajoutée le jour même à son catalogue des failles exploitées.

IDScan, société américaine de vérification d’identité utilisée par des loueurs de voitures et des commerces, reconnaît le 4 septembre qu’un tiers a pu copier des données de sa plateforme en ligne : noms, numéros de permis de conduire et d’autres pièces d’identité. Sur un forum criminel, un vendeur propose plus de 153 millions de permis scannés des États-Unis et du Canada ; IDScan n’a pas confirmé ce total. La police fédérale américaine enquête.

Manchester Airports Group, qui gère Manchester, Londres-Stansted et East Midlands, annonce le vol de données de 8,7 millions de clients des parkings, salons, files rapides et du Wi-Fi : e-mails, téléphones, plaques d’immatriculation et codes postaux. Aucune donnée bancaire n’est touchée et les vols fonctionnent normalement.

Le fabricant américain de dispositifs médicaux signale une cyberattaque détectée le 25 août : une panne de réseau bloque l’accès à plusieurs applications, dont celles qui servent à traiter et à expédier les commandes. Le groupe a déclenché son plan de réponse aux incidents avec des experts extérieurs, sans date de retour à la normale.

Après le refus de payer une rançon, le groupe ShinyHunters publie des données qu’il dit avoir volées à la marque de vêtements de travail Carhartt. Have I Been Pwned y recense 12,9 millions de comptes réels (e-mails, noms, téléphones, adresses postales), moitié moins que revendiqué, le reste étant des données de test. Carhartt n’a pas confirmé publiquement.

La DGFiP reconnaît des accès illégitimes à son système d’information, menés en juin et juillet avec les identifiants usurpés d’un agent. Les données fiscales de 678 000 particuliers et entreprises ont été extraites, dont le revenu fiscal de référence et le quotient familial. Les mots de passe et les espaces en ligne des contribuables ne sont pas touchés ; les personnes concernées sont prévenues à partir du 17 août.

L’autorité polonaise de protection des données annonce un contrôle de MyDr, logiciel de gestion médicale utilisé par plus de 12 000 établissements, après un vol de données qui toucherait 19 millions de Polonais, soit la moitié du pays. Numéros d’identité, prescriptions et notes de médecins figurent parmi les données dérobées.

Des versions piégées de keyv, flat-cache, file-entry-cache et d’autres paquets JavaScript très utilisés sont publiées sur npm le 4 août. Installées, elles volent les clés AWS, les jetons GitHub et npm, puis se propagent aux paquets d’autres développeurs. Endor Labs recense au moins 1 136 versions malveillantes dans 384 paquets.

Have I Been Pwned ajoute 55,3 millions d’adresses e-mail de Suno, service de création de musique par IA, issues d’une intrusion de novembre 2025 révélée en juillet. Des numéros de téléphone et, pour quelques dizaines de milliers d’achats, noms, adresses et fin du numéro de carte bancaire figurent aussi dans le fichier. Suno confirme l’incident sans contester le chiffre.

Have I Been Pwned ajoute 23,3 millions de comptes de Paidwork, plateforme de micro-tâches rémunérées, après la publication de 11 Go de données mises en vente en mars. Le fichier contient noms, adresses, dates de naissance, coordonnées bancaires, historiques de paiements et mots de passe chiffrés. Paidwork dit n’avoir aucune preuve d’une intrusion.

Coca-Cola annonce qu’un rançongiciel a touché Fairlife, y compris ses systèmes de production : les quatre usines américaines sont mises à l’arrêt, celles du Canada continuent. Le 27 juillet, le groupe indique que la plupart de la production a repris, que des données ont été dérobées et que l’attaque n’aura pas d’effet notable sur ses comptes.

SOCRadar a analysé un serveur laissé ouvert trois semaines par le groupe WP-SHELLSTORM, qui pirate des sites en masse pour revendre l’accès. Le groupe exploitait 27 failles connues d’extensions WordPress et de Joomla, dont celle de l’extension de cache Breeze (plus de 17 000 sites piégés). Environ 25 000 sites compromis ont été recensés sur 1,4 million de sites visés.

KDDI détaille l’intrusion dans la messagerie qu’il fournit à plusieurs fournisseurs d’accès japonais, révélée le 23 juin : 12,2 millions d’adresses e-mail et 7,6 millions de mots de passe ont fuité. Les pirates ont exploité une faille inconnue d’un logiciel tiers depuis la mi-mai. Les fournisseurs concernés imposent un changement de mot de passe.

Le ministère américain de la Justice annonce l’extradition de Peter Stokes, 19 ans, arrêté en Finlande et poursuivi pour association de malfaiteurs, intrusion informatique et fraude. Le groupe Scattered Spider, spécialiste des appels piégés aux services d’assistance, est lié à plus de 100 intrusions et à plus de 100 millions de dollars de rançons versées.

Europol et Eurojust annoncent une nouvelle phase de l’opération Endgame, menée du 15 au 19 juin avec la France, l’Allemagne, les Pays-Bas, le Royaume-Uni, les États-Unis et Microsoft. 326 serveurs et 142 domaines des logiciels malveillants StealC, Amadey et SocGholish ont été mis hors ligne, et 27 millions d’identifiants volés ont été récupérés.

Des pirates ont dérobé les jetons d’accès que l’outil de veille concurrentielle Klue détenait pour se connecter aux comptes Salesforce de ses clients. LastPass confirme la fuite de coordonnées de clients et de demandes au support ; Recorded Future, Jamf et Tanium font partie des autres victimes citées. Les coffres-forts de mots de passe de LastPass ne sont pas touchés.

La CISA alerte sur « FortiBleed » : une base d’identifiants liés à environ 74 000 pare-feux et passerelles VPN Fortinet, obtenus par réutilisation de mots de passe et attaques par force brute, est utilisée pour pénétrer des réseaux d’entreprises et d’administrations. Fortinet précise qu’il ne s’agit pas d’une nouvelle faille mais de comptes mal protégés, souvent sans double authentification.

Le laboratoire danois annonce un accès non autorisé à une partie de ses systèmes informatiques internes, dont certains ont été coupés le temps de l’enquête. Des données non publiques, y compris des données personnelles et des données de patients de certains essais cliniques, ont été copiées à l’extérieur. Ses activités principales continuent de fonctionner.

Oracle publie une alerte hors calendrier pour une faille critique de PeopleSoft PeopleTools (versions 8.61 et 8.62), exploitable à distance sans mot de passe. Selon Mandiant, le groupe d’extorsion ShinyHunters l’exploitait depuis fin mai, surtout contre des universités, pour voler des données puis les publier. La CISA l’ajoute à son catalogue des failles exploitées le 12 juin.

Google publie en urgence Chrome 149.0.7827.102/.103 pour corriger une faille du moteur JavaScript V8 (CVE-2026-11645) et indique qu’un code d’attaque circule déjà. Une simple page web piégée suffit à la déclencher. C’est la cinquième faille de Chrome exploitée avant correctif depuis le début de 2026, et les navigateurs bâtis sur Chromium (Edge, Brave, Opera) sont concernés.

La DINUM confirme une intrusion dans Tchap, la messagerie instantanée des agents publics, repérée par l’ANSSI le 7 juin. Le pirate a utilisé un compte légitime usurpé, sans faille technique : seuls les salons publics, ouverts à tous les utilisateurs, auraient été consultés. Il affirme avoir récupéré plusieurs centaines de milliers de messages, un chiffre non confirmé par l’État.