L’actu cyber de la semaine en mode fast news. Pendant que tout le monde lançait « Cybersecurity Awareness Month », les attaquants ont lancé⊠la saison des soldes. DonnĂ©es au kilo, 0-days au rayon frais, et extorsions âen bundleâ. Voici ce quâil fallait voir â et ce que vous avez peut-ĂȘtre manquĂ©.
𧚠ShinyHunters sort la banderole et leak(e) en série
Le groupe a ouvert un nouveau site dâextorsion pour publier des Ă©chantillons de donnĂ©es volĂ©es lors de la vague dâattaques Salesforce (39 victimes revendiquĂ©es). Marketing agressif, branding confus (âScattered Lapsus$ Huntersâ), mais le message est clair : « payez, ou on publie ».Â
đ„ Red Hat : ce nâĂ©tait pas GitHub, câĂ©tait GitLab (mais câest quand mĂȘme moche)
Un collectif baptisĂ©Â Crimson Collective clame avoir pillĂ©Â 570 Go sur 28 000 repos internes. Red Hat a prĂ©cisĂ© ensuite que lâincident touchait un GitLab â pas GitHub. Peu importe la plateforme : la surface dâattaque CI/CD reste un gruyĂšre si la gouvernance de secrets est light.Â
âïž Breaches XXL : Allianz et WestJet comptent (beaucoup)
- Allianz Life : 1,5 million de personnes notifiées, aprÚs vol de PII sur un CRM cloud en juillet.
Voir notre article : đč Allianz Life et la fuite de donnĂ©es : 1,5 million de victimes, et une leçon Ă retenir - WestJet : 1,2 million dâimpactĂ©s, attaque de juin confirmĂ©e et inventaire des donnĂ©es en cours. Les programmes de miles ne couvrent pas ce genre de
đ§Ÿ DMS Ă genoux : Motility et 766 000 identitĂ©s exposĂ©es
Ransomware chez lâĂ©diteur de dealer management systems Motility : noms, SSN, permis â tout le kit pour ouvrir un crĂ©dit âexpressâ. Les chaĂźnes B2B restent le maillon faible⊠du client final.
đ ïž 0-day & vulnĂ©rabilitĂ©s : le rayon bricolage du week-end
- sudo (Linux) : la faille CVE-2025-32463 est activement exploitĂ©e. Si vos bastions se contentent dâun sudo mal rĂ©glĂ©, vos attaquants vous remercient pour la livraison âclĂ© en mainâ. BleepingComputer
- VMware / Broadcom :
- Des chinois exploitent depuis⊠2024 la CVE-2025-41244 (Aria/Tools) pour monter en privilĂšges sur VM. La PoC tourne, la commâ rame. BleepingComputer
- Patchs âimportantsâ pour vCenter/NSX (CVE-2025-41250/251/252, CVSS jusquâĂ 8.5). Ă appliquer hier. IT-Connect
- Splunk & Tenable (CERT-FR) : salves dâavis sĂ©curitĂ©, RCE/DoS/priv-esc au menu. Si vos SOC tournent dessus, la prioritĂ© nâest pas âplus tardâ. cert.ssi.gouv.fr
- Cisco ASA/FTD : lâalerte CERT-FR reste en cours aprĂšs la vague du 25/09 ; corrĂ©lez avec vos ASA exposĂ©s cĂŽtĂ© VPN web. cert.ssi.gouv.fr
đĄ ICS : deux avis CISA, parce que vos OT ne se patchent pas tout seuls
CISA publie deux avis ICS (02/10). Traduction : si vos automates pilotent du rĂ©el, lâurgence est rĂ©elle. CISA
đ¶ TĂ©lĂ©com & Wi-Fi : FreeWifi_Secure, fin de partie
Free coupe FreeWifi_Secure aprĂšs la dĂ©couverte dâune faille exposant des IMSI. On parle de signalisation et de traçabilitĂ©Â potentielle : oui, câest grave.Â
đ”ïžââïž Forensic candy : Kaspersky sort lâoutil AmCache-EvilHunter
Un CLI pour parser Amcache.hve et greffer OpenTIP/VirusTotal. Parfait pour arrĂȘter de deviner âĂ la loucheâ quels binaire(s) ont rĂ©ellement tournĂ© avant chiffrement. securelist.com
đ Dark web & gĂ©opolitique locale : les petites lignes qui piquent
- Top 4 Fans (adult) : fuite massive, CNI en vrac, ultimatum exécuté. Le RGPD adore. zataz.com
- Volvo AmĂ©rique du Nord : victime collatĂ©rale via un prestataire RH suĂ©dois (Miljödata). La supply-chainnâoublie jamais. zataz.com
- ShinyHunters vs Air France/KLM : mentionnĂ©s dans la salve dâextorsion liĂ©e Ă Salesforce. Ă suivre de trĂšs prĂšs cĂŽtĂ© comâ & rĂ©ponse Ă incident. zataz.com
đ·ïž Awareness Month : beaucoup de rubans, nâoubliez pas les patchs
Octobre = Cybersecurity Awareness Month (DHS/CISA). TrĂšs bien. Mais si vous devez choisir entre une banniĂšre LinkedIn et un change freeze avec fenĂȘtre de patch⊠choisissez le second. CISA
đ§ Ce que ça change (vraiment) pour vos Ă©quipes
- Durcir vos intĂ©grations SaaS (Salesforce & co.) : inventaire des connecteurs tiers (Salesloft/Drift), revue des tokens, surveillance exfil et API logs en continu. Lâattaque du moment passe par lâĂ©cosystĂšme, pas par votre pĂ©rimĂštre âhistoriqueâ.Â
- CI/CD & dĂ©pĂŽts internes : audit des droits, rotation des secrets, durcissement des runners et webhooks, cloisonnement rĂ©seau de vos GitLab/GitHub auto-hĂ©bergĂ©s. Lâincident Red Hat montre la facture quand on âoublieâ le voisinage des secrets. BleepingComputer
- PrioritĂ© patch : sudo, VMware, Splunk/Tenable, Cisco ASA/FTD. Faites passer vos actifs exposĂ©s devant, pas lâinverse. Oui, ça veut dire couper un peu de prod un samedi matin. Mieux vaut ça que la prod coupĂ©e tous les matins. BleepingComputer
- OT : appliquez les avis ICS CISA et vĂ©rifiez vos compensations (segmentation, listes de contrĂŽle dâaccĂšs, baselines rĂ©seau). LâOT ne pardonne pas les patchs âquand on aura le tempsâ. CISA
A lire aussi notre synthĂšse : âïž OT et cybersĂ©curitĂ© : le maillon faible quâon ne veut plus voir â Retour sur le guide NIST contre les menaces USB - Forensic prĂȘt-Ă -lâemploi : ajoutez AmCache-EvilHunter à votre trousse IR ; script dâextraction, corrĂ©lation TTP et timeline dâexĂ©cution = Gains en MTTD/MTTR. securelist.com
â La to-do en 10 minutes (et un cafĂ© fort)
- RĂ©visez vos connecteurs Salesforce et tokens OAuth (rĂ©voquez le superflu).Â
- Patcher : sudo / vCenter-NSX / Splunk / Tenable / ASA-FTD. BleepingComputer
- CI/CD : rotation des clés, inventaire des secrets, journalisation complÚte des pipelines. BleepingComputer
- OT : appliquez les deux avis ICS CISA publiés jeudi. CISA
- Wi-Fi/Telecom : si vous rĂ©pliquiez le modĂšle FreeWifi_Secure, re-validez vos flux dâauthent EAP/IMSI.
Conclusion sarcastique mais tendre : Octobre nous rappelle dââĂȘtre cybersĂ©curisĂ©sâ. Les attaquants, eux, nâont jamais oubliĂ© dâĂȘtre efficaces. Faites moins de posters, plus de patchs â et gardez un Ćil sur vos intĂ©grations SaaS, câest lĂ que ça fuit en ce moment.
