Anas SahelIdentité & sécurité
— Veille menaces

Ce qui se passe en sécurité

143 suivis 19 critiques en cours Dernière mise à jour 15 nov. 2026

Octobre 2026

40Incidents
7Critique
27Élevée
Par famille
  • Identité 11
  • Chaîne d’approvisionnement 10
  • Vulnérabilités 9
  • Fuites & extorsion 10

40incidents

Vu leIncidentFamilleGravitéStatut
ISAE-Supméca : un rançongiciel touche toute l'informatique de l'école d'ingénieursL'école d'ingénieurs de Saint-Ouen indique qu'une attaque par rançongiciel, le 31 octobre, a touché l'ensemble de son infrastructure informatique. La messagerie et le site sont rétablis, les cours continuent, l'ANSSI est saisie et une plainte a été déposée. L'école n'a pas dit comment les attaquants sont entrés ni confirmé de vol de données.SecteurÉducationPoint d'entréePas encore publicFuites & extorsionÉlevéeConfirmé
Rassemblement national : des données d'adhérents fuitent de l'outil d'adhésionLe parti a confirmé une attaque contre l'outil de gestion de ses adhésions et la divulgation non autorisée de données personnelles de certains adhérents. Il a notifié la CNIL et porté plainte. Un pirate revendique plus de 432 000 enregistrements.SecteurPublic et politiquePoint d'entréePas encore public432 597 enregistrements revendiqués par le pirate (non vérifié)Fuites & extorsionÉlevéeConfirmé
Un compte du support de Name.com détourne 15 domaines DeFiUn compte d'une équipe de support liée au registraire a changé les serveurs DNS de 15 domaines clients et redirigé les visiteurs vers un drainer de portefeuilles. Environ 138 000 $ ont été tracés sur les chaînes EVM.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurName.com138 k$ vidés des portefeuilles des visiteurs sur les chaînes EVMChaîne d’approvisionnementÉlevéeConfirmé
Chainalysis : hachés de mots de passe et jetons actifs de tous les utilisateurs exposésIALa société d'analyse blockchain a détecté le 30 octobre un acteur externe utilisant des « techniques agentiques offensives » dans ses systèmes. Une semaine plus tard, elle indique que les noms, identifiants, hachés de mots de passe et jetons actifs de tous ses utilisateurs ont été exposés, et demande à chacun de changer son mot de passe et de renouveler ses clés d'API.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurChainalysisFuites & extorsionÉlevéeConfirmé
De faux appels du support informatique sur Teams ont mené à des certificats de comptes privilégiésMicrosoft décrit deux intrusions parties d'une personne se faisant passer pour le support informatique sur Teams. Les attaquants ont amené des utilisateurs à ouvrir Quick Assist, puis ont abusé de réglages trop permissifs des services de certificats Active Directory pour obtenir des certificats de comptes privilégiés et d'un contrôleur de domaine. Dans un cas, des données ont été copiées vers l'extérieur. Aucune faille de Teams n'a été utilisée.SecteurTous secteursPoint d'entréeHameçonnage, ingénierie socialeProduit ou fournisseurMicrosoft Teams, Quick Assist, AD CSIdentitéÉlevéeConfirmé
Northflank : les clients doivent considérer que toutes leurs variables d'environnement ont été déchiffréesAprès une alerte de Wiz le 30 octobre, Northflank a demandé à tous ses clients de considérer que leurs variables d'environnement avaient été déchiffrées et de renouveler tous leurs secrets. Des utilisateurs ont signalé un usage non autorisé de clés d'API d'IA stockées sur la plateforme. Northflank n'a pas encore publié la cause racine.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurNorthflankChaîne d’approvisionnementÉlevéeEn cours
Abrigo : la plateforme de crédit Sageworks, utilisée par des banques, coupée après un accès non autoriséAbrigo, éditeur américain de logiciels pour banques et coopératives de crédit, a coupé sa plateforme de crédit Sageworks le 30 octobre après avoir repéré une « activité irrégulière » dans son environnement. L'entreprise a ensuite confirmé un « incident de sécurité des données » et indiqué que l'accès non autorisé était contenu. L'essentiel de la plateforme est revenu le 2 novembre, sans les fonctions destinées aux emprunteurs. Abrigo n'a pas dit si des données avaient été prises.SecteurFinancePoint d'entréePas encore publicProduit ou fournisseurAbrigo SageworksChaîne d’approvisionnementMoyenneConfirmé
Cholet : les services de la Ville et de l'Agglomération perturbés après un hameçonnage visant des comptes d'agentsDepuis le 30 octobre, la Ville de Cholet et Cholet Agglomération font face à une cyberattaque visant plusieurs comptes utilisateurs. Selon la Ville, tout est parti d'un courriel frauduleux envoyé à plusieurs agents, avec un lien vers un faux formulaire d'authentification. L'accès à Internet a été coupé par précaution, la CNIL a été informée, une plainte a été déposée, et la Ville dit n'avoir trouvé aucune trace de logiciel malveillant ni d'exfiltration massive de données.SecteurPublic et politiquePoint d'entréeHameçonnage, ingénierie socialeIdentitéMoyenneConfirmé
WS Audiology : un accès non autorisé met hors ligne des applications d'aides auditivesLe fabricant des aides auditives Widex et Signia indique faire face à un accès non autorisé à certains de ses systèmes informatiques. Il a coupé des systèmes par précaution, ce qui a perturbé l'application Widex MOMENT et des outils de réglage pour les professionnels. Il assure que les aides auditives elles-mêmes ne sont pas touchées.SecteurSantéPoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Arara Message : un service d'envoi d'e-mails laisse fuiter 81 millions d'adresses de jusqu'à 380 entreprises clientesL'entreprise japonaise Arara indique qu'un attaquant s'est introduit fin octobre 2026 dans son service d'envoi d'e-mails Arara Message, a emporté 81 329 467 adresses e-mail uniques appartenant aux clients de jusqu'à 380 entreprises environ, et s'est servi du service pour envoyer jusqu'à environ 7,13 millions d'e-mails d'hameçonnage se faisant passer pour des sociétés de cartes de crédit. Les marques clientes préviennent maintenant leurs propres clients une à une, dont MOS Burger (7,5 millions d'adresses) et SEGA (2,2 millions). Le service est suspendu depuis le 31 octobre.SecteurTech et SaaSPoint d'entréeFaille logicielleProduit ou fournisseurArara Message81,3 M adresses e-mail uniques divulguées, issues des clients de jusqu'à 380 entreprises environVulnérabilitésCritiqueConfirmé
Binance : environ 6,3 milliards de dollars sortis des portefeuilles chaudsLe 29 octobre, des attaquants ont utilisé le propre système de retrait de Binance pour sortir environ 6,3 milliards de dollars de ses portefeuilles chauds. Binance fait remonter l'intrusion à une campagne de plusieurs mois contre ses ingénieurs portefeuilles, et dit couvrir les pertes à la place de ses utilisateurs.SecteurFinancePoint d'entréeHameçonnage, ingénierie sociale6,3 Md$ sortis de 17 portefeuilles chauds ; 2,7 à 3 Md$ gelésIdentitéCritiqueConfirmé
Cursor : une clé confiée à Fireworks AI mène au vol de traces d'agents et à une extension Claude Code piégée dans sa marketplaceIALe 29 octobre, des copies malveillantes de l'extension Claude Code d'Anthropic (2.1.312 et 2.1.313, Windows et macOS) ont été servies depuis le cache de la marketplace d'extensions de Cursor pendant environ 11 heures, à 5 000 utilisateurs au plus. La mise à jour de Cursor du 13 novembre donne la cause : un attaquant a obtenu une clé d'accès que Cursor avait confiée à son fournisseur d'inférence Fireworks, a ouvert un espace de stockage partagé contenant des traces d'agents de code, s'est servi d'identifiants trouvés dans ces traces pour atteindre certains outils SaaS de Cursor, puis d'un identifiant volé pour déposer les versions piégées dans le cache de la marketplace.SecteurTech et SaaSPoint d'entréeFournisseurProduit ou fournisseurCursor, Fireworks AIJusqu'à 5 000 utilisateurs ayant pu recevoir l'extension piégée, selon CursorChaîne d’approvisionnementÉlevéeConfirmé
Marathon Health : un faux technicien informatique a obtenu les identifiants d'un salariéMarathon Health, prestataire américain de centres de santé financés par les employeurs, indique qu'un attaquant se faisant passer pour un technicien informatique de l'entreprise a obtenu les identifiants d'un salarié le 24 août, puis a exporté en quelques heures des données d'une application hébergée dans le cloud. Noms, dates de naissance et numéros de sécurité sociale ont été dérobés. Marathon n'a pas publié de total ; les chiffres rapportés vont d'environ 272 000 dans les déclarations aux États à près de 5,7 millions.SecteurSantéPoint d'entréeHameçonnage, ingénierie sociale272 k–5,7 M personnes, selon la déclaration retenueIdentitéÉlevéeConfirmé
Revolve : des cartes bancaires enregistrées volées chez le distributeur de mode en ligneLe distributeur de mode en ligne américain Revolve a déclaré à la SEC le 29 octobre que des pirates avaient accédé à plusieurs de ses systèmes et, par des moyens automatisés, récupéré les noms, coordonnées, numéros et dates d'expiration des cartes des clients qui en avaient enregistré une. Il a indiqué aux autorités du Texas que 127 200 personnes de cet État étaient touchées ; Malwarebytes a relevé un total de 1 515 073 dans les données du portail de l'État, chiffre que Revolve n'a pas confirmé.SecteurCommercePoint d'entréePas encore public127 200 – 1,5 M personnes dont les données de carte ont été prises (déclaration au Texas contre total des données du portail texan, non confirmé par Revolve)Fuites & extorsionÉlevéeConfirmé
Polymarket : des traders vidés via un script de supervision DebugBear détournéLe 29 octobre, un script de mesure de performance que Polymarket chargeait depuis le fournisseur DebugBear a été remplacé par un script qui vide les portefeuilles. Il utilisait les sessions ouvertes des traders connectés pour déplacer leurs fonds. DebugBear indique que ses enregistrements DNS ont été compromis via son registrar de domaine. Polymarket affirme avoir restitué 3,9 millions de dollars.SecteurFinancePoint d'entréeFournisseurProduit ou fournisseurDebugBear2,7 M$ pris aux traders, selon The Hacker NewsChaîne d’approvisionnementÉlevéeConfirmé
NAS Synology : un rançongiciel frappe les appareils sous DSM obsolèteSynology indique que des attaquants exploitent une faille corrigée en décembre 2024 pour viser des NAS sous des versions obsolètes de DSM. Les fichiers sont chiffrés par C3RB3R, une variante de Cerber selon l'éditeur chinois 360, qui désigne deux autres failles corrigées en septembre 2026.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurSynology DSMFuites & extorsionÉlevéeConfirmé
Iris Ohyama : les données d'environ 7,7 millions de clients de sa boutique en ligne ont pu fuiterIris Plaza, la boutique en ligne du fabricant japonais Iris Ohyama, a trouvé le 28 octobre des fichiers suspects dans un service cloud externe qu'elle utilise. Elle confirme un accès non autorisé par un tiers et indique que les données d'environ 7,7 millions de personnes ont pu être consultées ou récupérées. Les données de carte bancaire n'y étaient pas stockées.SecteurCommercePoint d'entréePas encore public7,7 M personnes dont les données ont pu être consultées ou voléesFuites & extorsionCritiqueConfirmé
Auto-Planning : piratage d'un prestataire de prise de rendez-vous des centres de contrôle techniqueAuto-Planning, qui gère la prise de rendez-vous en ligne et les rappels SMS de centres de contrôle technique, a confirmé avoir été piraté après le remplacement de sa page d'accueil par une demande de rançon le 28 octobre. Le pirate revendique des centaines de millions de lignes de rendez-vous avec noms, téléphones, e-mails et plaques d'immatriculation, et a mis une base en vente le 7 novembre. L'entreprise n'a pas confirmé ces volumes.SecteurTransportPoint d'entréePas encore publicProduit ou fournisseurAuto-PlanningChaîne d’approvisionnementÉlevéeConfirmé
Amadeus : des données de réservation de passagers aériens consultées via un compte système, au moins six compagnies asiatiques touchéesAmadeus, le fournisseur de réservation de nombreuses compagnies aériennes, a informé ses clients que des tiers non autorisés ont pu lire des données d'affichage de réservations. Japan Airlines, Cathay Pacific, Korean Air, Asiana, Singapore Airlines, ANA et Malaysia Airlines ont signalé des impacts, et Qantas s'est aussi exprimée. Amadeus parle d'une vulnérabilité. Cathay indique que l'accès a utilisé des identifiants attribués à un compte système, entre août 2023 et septembre 2026.SecteurTransportPoint d'entréeFaille logicielleProduit ou fournisseurAmadeus92 000 clients de Japan Airlines à eux seuls ; d'autres compagnies touchéesChaîne d’approvisionnementÉlevéeConfirmé
ENGIE : des données clients dérobées via un outil utilisé par ses partenaires commerciaux en FranceLe groupe ENGIE a prévenu des clients en France d'accès inhabituels à des données dans un outil que ses partenaires utilisent pour prospecter et vendre ses offres d'énergie. Noms, coordonnées, numéros de contrat et références de compteur sont concernés. ENGIE affirme que ses systèmes internes n'ont pas été compromis et qu'aucune donnée bancaire n'est touchée. Le nombre de clients concernés n'est pas communiqué.SecteurÉnergiePoint d'entréeFournisseurChaîne d’approvisionnementÉlevéeConfirmé
Faux support informatique sur Teams : bombardement d'e-mails, puis un message, puis une prise en main à distance en moins de 15 minutesArctic Wolf Labs fait état de plus de 400 incidents chez ses clients où les attaquants ont d'abord inondé la boîte mail d'un utilisateur d'inscriptions à des newsletters, puis l'ont contacté par la messagerie externe de Microsoft Teams depuis un tenant jetable, en se présentant comme « IT Support (Internal) ». L'utilisateur est amené à ouvrir un outil de prise en main à distance comme Quick Assist, AnyDesk ou ScreenConnect, et une charge malveillante peut suivre en moins de 15 minutes. Selon Arctic Wolf, aucune faille de Teams n'est utilisée : les attaquants s'appuient sur l'accès externe, activé par défaut.SecteurTous secteursPoint d'entréeHameçonnage, ingénierie socialeProduit ou fournisseurMicrosoft Teams, Quick Assist, AnyDesk, ScreenConnect, TeamViewer400+ incidents observés chez les clients d'Arctic WolfIdentitéÉlevéeConfirmé
Keystone : un attaquant emporte des données d'acheteurs et la clé qui prouve que ses portefeuilles matériels sont authentiquesLe fabricant de portefeuilles matériels Keystone a détecté le 20 octobre 2026 un accès non autorisé à son site officiel. L'attaquant a emporté 25 964 fiches d'acheteurs de sa boutique Shopify et la clé d'usine WebAuth qui sert à vérifier qu'un appareil est authentique. Keystone détruit 18 835 appareils invendus qui portent cette clé, car celui qui la détient pourrait fabriquer des contrefaçons qui passent la vérification. L'entreprise affirme que les phrases de récupération et les clés privées ne sont pas concernées.SecteurApplis et appareils grand publicPoint d'entréeFaille logicielleProduit ou fournisseurKeystone25 964 fiches d'acheteurs emportées sur la boutique en ligne, plus 12 873 paniers non payésVulnérabilitésÉlevéeConfirmé
DreamHost : une intrusion dans File Manager expose des mots de passe FTP/SFTP et des identifiants de webmailDreamHost indique qu'un attaquant a exploité une faille du logiciel tiers derrière son gestionnaire de fichiers en ligne (File Manager) et récupéré des identifiants FTP/SFTP, ainsi que ceux du webmail d'un nombre limité d'utilisateurs. Les mots de passe ont été réinitialisés et les sessions webmail fermées. L'enquête est en cours.SecteurTech et SaaSPoint d'entréeFaille logicielleProduit ou fournisseurDreamHostVulnérabilitésÉlevéeEn cours
GMO Internet : des attaquants installent un programme malveillant dans un service de VPS pour le trading FX et réclament environ 8 milliards de yensLe 20 octobre 2026, GMO Internet a découvert un programme malveillant sur des serveurs clients d'Onamae.com Desktop Cloud, un service de VPS utilisé pour faire tourner des outils de trading FX automatique, et a coupé toutes les offres le lendemain matin. Jusqu'à 26 739 serveurs pourraient être touchés. GMO confirme que des informations clients ont été emportées et qu'un attaquant présumé a réclamé environ 8 milliards de yens, qu'elle refuse de payer. Au 12 novembre, les utilisateurs avaient déposé environ 3 milliards de yens de demandes d'indemnisation pour des pertes sur des opérations passées sur leurs comptes.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurOnamae.com Desktop Cloud, GMO Internet8 Md¥ rançon réclamée par l'attaquant présumé (environ), selon GMO, qui refuse de payer26 739 serveurs clients peut-être touchésFuites & extorsionÉlevéeConfirmé
Railway : une faille de build permet à un attaquant de déchiffrer des secrets de clients et de dépenser environ 740 000 $ avec des clés d'IA voléesIALa plateforme cloud Railway a publié son rapport d'incident complet le 10 novembre 2026. Les 20 et 21 octobre, un attaquant est sorti de l'isolation du système de fichiers dans son système de build partagé, s'est déplacé dans les systèmes internes et a déchiffré les variables d'environnement d'au plus 1,85 % des espaces de travail, soit environ 100 000. L'attaquant visait les clés de fournisseurs d'IA ; Railway estime à environ 740 000 $ les dépenses non autorisées faites avec les clés volées et dit qu'elle les fera rembourser ou les prendra en charge.SecteurTech et SaaSPoint d'entréeFaille logicielleProduit ou fournisseurRailway~740 000 $ dépenses non autorisées estimées avec les clés d'IA volées, que Railway dit faire rembourser ou prendre en charge elle-mêmejusqu'à ~100 000 espaces de travail (au plus 1,85 %) dont des variables d'environnement ont pu être déchiffrées, un maximumVulnérabilitésÉlevéeRésolu
LiteLLM : une version 1.107.0 piégée publiée par son propre pipelineIALe 21 octobre, une version malveillante litellm 1.107.0 a atteint PyPI, Docker Hub et GHCR. LiteLLM explique qu'une clé d'administration publiée en mai dans un dépôt public et jamais révoquée a mené l'attaquant aux jetons GitHub de mainteneurs, puis au pipeline de publication. Le paquet vole des identifiants au démarrage de Python.SecteurTech et SaaSPoint d'entréeIdentifiants volésProduit ou fournisseurLiteLLM, PyPIChaîne d’approvisionnementÉlevéeConfirmé
Monex Securities : jusqu'à 1,13 million d'adresses e-mail ont pu fuiter d'un système d'ouverture de compte géré par un prestataireLe courtier japonais Monex Securities indique qu'un tiers a accédé à une partie de son système d'ouverture de compte, exploité et géré par un prestataire. Le 13 novembre 2026, il a annoncé que jusqu'à 1,13 million d'adresses e-mail et 1 592 images de pièces d'identité ont pu fuiter. Les numéros de compte et mots de passe étaient dans une autre base et aucune fuite n'est confirmée à leur sujet ; aucune fraude n'a été signalée à ce stade.SecteurFinancePoint d'entréePas encore public1,13 M adresses e-mail qui ont pu fuiter (maximum à ce stade, doublons et demandes inachevées compris), plus 1 592 images de pièces d'identitéFuites & extorsionÉlevéeConfirmé
DigiCert : des comptes auto-créés ont lu des données clients archivéesDigiCert indique qu'un système interne devenu accessible depuis Internet a permis à des inconnus de créer des comptes sans MFA et de lire des données clients archivées, dont certaines pièces d'identité. Les certificats n'ont pas été touchés.SecteurTech et SaaSPoint d'entréeExposé ou mal configuréProduit ou fournisseurDigiCertVulnérabilitésÉlevéeConfirmé
Plex2Shell : quatre failles Plex enchaînées pour prendre la main sur des serveurs et des NASQuatre failles de Plex Media Server s'enchaînent pour exécuter du code à distance sans authentification. Plex indique qu'elles sont « activement et largement exploitées » pour installer des mineurs de cryptomonnaie et des logiciels proxy, et QNAP signale que des NAS de clients ont été compromis ainsi. Le correctif : Plex Media Server 1.43.3.10861 ou plus récent.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurPlex Media Server, QNAPVulnérabilitésÉlevéeConfirmé
ConnectWise Cloud Backup : un identifiant d'application volé utilisé pour entrer dans des tenants Microsoft 365 de clientsDes attaquants ont utilisé un identifiant compromis de ConnectWise Cloud Backup (ex-SkyKick), une application de sauvegarde que les infogéreurs connectent à Microsoft 365, pour se connecter aux tenants de clients avec les droits que ceux-ci lui avaient accordés. Huntress a confirmé des connexions non autorisées dans 162 tenants. ConnectWise a suspendu Cloud Backup, SaaS Security et Cloud Management, réinitialisé ses identifiants et dit n'avoir aucune preuve que les données sauvegardées aient été compromises.SecteurTech et SaaSPoint d'entréeFournisseurProduit ou fournisseurConnectWise Cloud Backup, SkyKick, ConnectWise SaaS Security, ConnectWise Cloud Management162–173 tenants Microsoft 365 avec des connexions non autorisées confirmées, selon HuntressChaîne d’approvisionnementÉlevéeConfirmé
Contrôleurs de froid de supermarchés attaqués en France, puis dans toute l'EuropeDepuis la nuit du 11 au 12 octobre, des attaquants modifient à distance les réglages de contrôleurs de froid dans des centaines de supermarchés français, puis dans des magasins de plusieurs autres pays européens les 1er et 2 novembre. Des denrées ont été perdues et, en France, au moins 15 départs de feu ont eu lieu. Le 9 novembre, la France a attribué l'attaque d'octobre à Shahid Kaveh, une unité cyberoffensive des Gardiens de la Révolution iraniens.SecteurCommercePoint d'entréeExposé ou mal configuréProduit ou fournisseurDanfoss, Copeland, Dixell, Schneider ElectricPlusieurs dizaines de M€ pertes de denrées en France, selon l'estimation du gouvernement françaisVulnérabilitésCritiqueConfirmé
Fédération française de tir (FFTir) : deuxième intrusion en un an, 64 000 photos d'identité copiéesLe 12 octobre, quelqu'un s'est connecté à l'espace licencié de la FFTir avec les identifiants volés ou devinés d'un licencié, et a copié environ 64 000 photos d'identité et près de 19 000 documents. La fédération a prévenu ses licenciés le 22 octobre. Elle assure qu'aucune information sur la détention d'armes n'a été touchée.SecteurAssociations et sportPoint d'entréeIdentifiants volés586 854 personnes, selon un vendeur sur un forum (non vérifié)IdentitéÉlevéeConfirmé
Ahold Delhaize : une cyberattaque coupe les sites et applications de coursesLe groupe de distribution néerlando-belge indique que des actions malveillantes de tiers l'ont contraint à couper sites, applications et d'autres systèmes en Europe et aux États-Unis à partir du 11 octobre. Les magasins sont restés ouverts. Il prévoit désormais que l'incident réduira ses ventes nettes du quatrième trimestre de 200 à 250 millions d'euros.SecteurCommercePoint d'entréePas encore public200–250 M€ baisse attendue des ventes du 4e trimestreFuites & extorsionCritiqueConfirmé
CAF : les données de 1,6 million d'allocataires extraites de la plateforme d'aide aux vacances VacafLa Cnaf indique que les données de 1 619 893 allocataires des Caf ont été extraites de vacaf.org, la plateforme du dispositif d'aide aux vacances. Selon le CERT-FR, les attaquants ont utilisé des identifiants de comptes de partenaires volés par des infostealers, sans double authentification, et une URL qui exposait les identifiants des dossiers, pour extraire les données de façon automatisée entre le 8 et le 10 octobre 2026. Noms, matricules, composition du foyer, quotient familial, ainsi que nom, prénom et date de naissance des enfants ont été pris ; ni données bancaires, ni mots de passe, ni coordonnées, selon la Cnaf. La plateforme a rouvert le 2 novembre avec une double authentification.SecteurPublic et politiquePoint d'entréeIdentifiants volés1,6 M allocataires des Caf concernés, selon la Cnaf (le CERT-FR compte près de 1,2 million de dossiers)IdentitéCritiqueConfirmé
Fireworks AI : des attaquants qui revendent des accès à des LLM accèdent à des clés d'API, des données de facturation et des modèles de clientsIALa plateforme d'inférence IA Fireworks AI a révélé en octobre que des identifiants internes avaient été détournés pour capturer des clés d'API et des jetons stockés comme secrets dans certains comptes clients. Sa mise à jour du 9 novembre élargit l'impact : données de compte et de facturation et, pour un nombre limité de comptes, secrets, jeux de données et poids de modèles incomplets. Un second chemin est passé par un fournisseur cloud tiers qui hébergeait ses machines de R&D. Fireworks relie les attaquants à un groupe motivé par l'argent qui revend des accès volés à des LLM.SecteurTech et SaaSPoint d'entréeIdentifiants volésProduit ou fournisseurFireworks AI, Notion, CursorIdentitéÉlevéeConfirmé
France Travail : les données de 60 000 agents et professionnels extraites via le compte d'un agentSelon le CERT-FR, un attaquant a compromis le compte d'un agent de France Travail, en validant son second facteur par SMS, et a exfiltré des données le 26 septembre 2026. Le 8 octobre, la vente des données de plus de 60 000 agents et professionnels (noms, e-mails professionnels, téléphones, fonctions, agences, identifiants internes) a été revendiquée sur un forum cybercriminel. Le compte a été révoqué et les adresses IP malveillantes bloquées.SecteurPublic et politiquePoint d'entréeIdentifiants volés60 000+ agents et professionnels dont la vente des données a été revendiquée, selon le CERT-FRIdentitéÉlevéeConfirmé
AhsayCBS : deux failles enchaînées servent à poser webshells, mineurs de cryptomonnaie et porte dérobée sur des serveurs de sauvegardeHuntress indique que des attaquants ont enchaîné un contournement d'authentification (CVE-2026-105133) et une faille d'exécution de code à distance sans authentification (CVE-2026-105134) dans le serveur de sauvegarde AhsayCBS pour lancer des commandes en tant que SYSTEM. Sur des serveurs compromis entre le 8 et le 11 octobre 2026, avant les correctifs d'Ahsay, l'entreprise a trouvé cinq familles de webshells, deux mineurs de cryptomonnaie, des outils de tunnel et d'accès à distance, et une porte dérobée en Python reliée à un serveur de commande. Les correctifs d'Ahsay sont les versions 10.3.4.45 (v10) et 9.15.2.70 (v7 à v9).SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurAhsayCBS, Ahsay BackupVulnérabilitésMoyenneConfirmé
De faux événements OpenAI, SpaceX et Anthropic piègent des comptes professionnelsIADe fausses pages d'événements demandent de se connecter avec un compte pro. Le bouton Microsoft lance un hameçonnage par code d'appareil sur la vraie page de Microsoft ; le bouton Google passe par un proxy inverse.SecteurTous secteursPoint d'entréeHameçonnage, ingénierie socialeIdentitéMoyenneConfirmé
Frontline Education : une faille dans un logiciel tiers expose les données de 3 millions d'employés et d'élèves d'écolesFrontline Education, qui vend des logiciels aux districts scolaires américains, indique qu'une faille dans un logiciel tiers qu'elle utilise a permis un accès non autorisé à une partie de son environnement les 14 et 15 août 2026, dans Frontline Central et School Health Management. Des numéros de sécurité sociale et d'autres numéros d'identité d'employés et d'élèves sont concernés. Une déclaration au procureur général de l'Indiana fait état de 3 085 266 personnes touchées, selon SecurityWeek.SecteurÉducationPoint d'entréeFaille logicielleProduit ou fournisseurFrontline Central, Frontline School Health Management3,1 M personnes touchées, selon la déclaration de Frontline au procureur général de l'Indiana rapportée par SecurityWeekVulnérabilitésCritiqueConfirmé
Une campagne d'hameçonnage par invitations d'agenda vole des sessions Google Workspace en coursDepuis la mi-août, selon Material Security, une campagne d'hameçonnage utilise des invitations Google Agenda et un proxy en direct devant la vraie page de connexion Google pour voler des sessions ouvertes, même quand l'utilisateur saisit ses codes MFA. Les chiffres viennent de Material seul. Google n'a fait aucune déclaration.SecteurTous secteursPoint d'entréeHameçonnage, ingénierie socialeProduit ou fournisseurGoogle WorkspaceIdentitéMoyenneEn cours