Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

Les hacktivistes intensifient leurs attaques contre les infrastructures canadiennes

Le Canada alerte sur la hausse des cyberattaques ciblant ses infrastructures critiques, orchestrées par des hacktivistes exploitant des systèmes industriels connectés et mal sécurisés.

Le Centre canadien pour la cybersécurité a publié une alerte le 29 octobre sur une série d’attaques contre des systèmes de contrôle industriels (ICS) exposés à Internet. Les incidents ont visé des secteurs essentiels comme l’eau, l’énergie et l’agriculture, confirmant une tendance mondiale d’ingérence hacktiviste. Bien que non attribuées à un groupe précis, ces opérations s’inscrivent dans la continuité des campagnes menées par des collectifs liés à la Russie, tels que Z-Pentest. Un groupe que le site de référence sur la cyber sécurité et la cyber intelligence ZATAZ.COM affichait comme des opportunistes communicants.

NE MANQUEZ PAS NOTRE NEWS LETTER (CHAQUE SAMEDI). INSCRIPTION

L’agence appelle à renforcer la protection des dispositifs ICS, souvent négligés ou mal isolés, et recommande une coordination accrue entre gouvernements, fournisseurs et opérateurs d’infrastructures critiques.

Attaques ciblant les systèmes de contrôle industriels

Le Centre canadien pour la cybersécurité a identifié trois attaques récentes contre des dispositifs industriels connectés. Dans un réseau de traitement de l’eau, les pirates ont modifié les valeurs de pression, provoquant une dégradation du service local. Une autre intrusion, sur un site pétrolier et gazier, a altéré les capteurs d’une jauge automatisée de réservoir, déclenchant de fausses alarmes. Enfin, une exploitation agricole a vu ses paramètres de température et d’humidité trafiqués dans un silo à grains, générant un risque d’incident technique majeur.

L’agence souligne que ces manipulations illustrent une stratégie hacktiviste visant la visibilité médiatique plutôt que la destruction. Les infrastructures exposées sur Internet constituent des cibles faciles pour ces acteurs opportunistes.

Une menace soutenue par des groupes pro-russes

Aucune attribution formelle n’a été faite, mais plusieurs signaux convergent vers la mouvance hacktiviste russe, dominante dans la manipulation d’ICS depuis 2024. Le groupe Z-Pentest, apparu à l’automne dernier, a popularisé la diffusion de captures d’écran de panneaux de contrôle industriels pour revendiquer ses intrusions. Ces campagnes visent à déstabiliser les États occidentaux et à saper la confiance dans la résilience de leurs infrastructures.

L’Agence américaine de cybersécurité (CISA) a également observé une recrudescence d’attaques similaires. Elle évoque une stratégie d’influence numérique où la perturbation technique se double d’une guerre informationnelle. Les campagnes visent la réputation des institutions plutôt que des gains économiques.

Les dispositifs les plus vulnérables restent les automates programmables, les unités terminales distantes, les interfaces homme-machine, les systèmes SCADA ou les équipements IIoT. Leur exposition directe à Internet, souvent pour des raisons de maintenance à distance, facilite l’accès des intrus.

VEILLE ZATAZ : NOUS RECHERCHONS VOS DONNÉES PIRATÉES. DÉCOUVRIR

Renforcer la résilience et la coordination


Le Centre recommande aux gouvernements provinciaux et territoriaux de coopérer avec les municipalités pour établir un inventaire complet des systèmes critiques. Les secteurs de l’eau, de l’alimentation et de la fabrication, moins encadrés sur le plan cyber, nécessitent une attention particulière.

Les opérateurs doivent vérifier la configuration de leurs équipements et s’assurer que les connexions distantes utilisent des réseaux privés virtuels avec authentification à deux facteurs. En l’absence d’isolation possible, la surveillance doit être accrue à l’aide d’outils de détection et de prévention d’intrusion, de tests réguliers et d’une gestion active des vulnérabilités.

L’agence recommande également des exercices de simulation pour clarifier les responsabilités et évaluer la capacité de réponse. Le manque de coordination interne demeure un point faible majeur : « Une répartition floue des rôles crée souvent des lacunes laissant les systèmes sans protection », a rappelé le Centre.

Faille critique dans King Addons : des sites WordPress pris pour cibles

En 24 heures, plus de 160 attaques ont visé le plugin King Addons pour Elementor, exposant des milliers de sites WordPress à un risque de piratage complet.

Les chercheurs en sécurité de Wordfence ont détecté une vague d’exploitations massives de la vulnérabilité CVE-2025-8489 affectant le plugin King Addons for Elementor. Ce module, utilisé sur plus de 10 000 sites WordPress, contenait une faille d’élévation de privilèges permettant à un attaquant non authentifié de créer des comptes administrateurs.

Une faille critique exploitée à grande échelle

Selon Wordfence, les premières attaques ont été observées le 1er novembre 2025, avec 162 tentatives bloquées en 24 heures. La faille provenait d’une erreur dans la gestion des rôles lors de l’inscription d’utilisateurs. En exploitant cette faille, les pirates pouvaient obtenir les droits d’administrateur, installer des extensions malveillantes, modifier le contenu ou rediriger le trafic du site. Classée 9,8 sur 10, la vulnérabilité a été jugée critique par le système CVSS.

Les versions concernées vont de 24.12.92 à 51.1.14. Le correctif a été publié dans la version 51.1.35 et confirmé stable à partir de la 51.1.37. Les administrateurs doivent impérativement effectuer la mise à jour.

Ne manquez pas nos dernières actualités sur Google Actualités. Ajoutez-nous comme source préférée sur Google. Suivez-nous

Un risque étendu pour les petites structures

King Addons, extension populaire pour Elementor, est très utilisé par les petites entreprises et les sites personnels, souvent peu surveillés. Ce profil en fait une cible idéale pour les campagnes automatisées de piratage. Les attaquants n’ont besoin d’aucune interaction préalable pour exploiter la faille, ce qui favorise la propagation rapide du code malveillant.

Les incidents signalés montrent que les sites non mis à jour peuvent être compromis en quelques minutes. Une fois le contrôle obtenu, les assaillants peuvent injecter des scripts, détourner le référencement SEO, ou héberger des malwares. Wordfence souligne que la plupart des attaques recensées sont menées depuis des infrastructures déjà utilisées pour d’autres campagnes contre des plugins vulnérables.

Réaction et recommandations

Les développeurs de King Addons ont diffusé une mise à jour corrective dès la découverte de la faille. Wordfence recommande aux utilisateurs de vérifier leur version et de renforcer la sécurité via une solution de protection applicative (WAF). Les administrateurs doivent aussi examiner les comptes récents créés sur leur site et supprimer tout utilisateur suspect.

L’incident illustre une fois encore la vulnérabilité de l’écosystème WordPress, où la sécurité repose largement sur la vigilance des webmasters. Malgré les alertes répétées, nombre de sites tardent à appliquer les correctifs, laissant un vaste champ d’action aux cybercriminels.

Cette nouvelle faille montre combien la maintenance proactive est cruciale pour l’intégrité des sites WordPress. Les campagnes d’exploitation automatisées se multiplient : combien de temps avant qu’elles visent les plateformes plus critiques ?

Boostez votre cybersécurité avec notre service de veille ZATAZ.
Alertes, surveillance et infos exclusives pour anticiper les menaces. Découvrir le service

Sources

Alerte maximale : CISA redoute une exploitation massive du code source volé de F5

Une cyberattaque d’ampleur contre F5 a conduit l’agence américaine CISA à ordonner en urgence la mise à jour de tous les systèmes fédéraux vulnérables.

L’agence de cybersécurité américaine (CISA) alerte sur une menace majeure visant les réseaux fédéraux après le vol du code source et de failles non divulguées de F5 par un acteur étatique. Le gouvernement a publié une directive d’urgence obligeant toutes les agences civiles à mettre à jour leurs produits F5 d’ici le 22 octobre, afin de prévenir tout risque de compromission systémique.

Un vol stratégique du cœur technologique de F5

Le 9 août, F5 a découvert une intrusion prolongée et discrète dans ses environnements de développement, selon un rapport déposé à la SEC. L’entreprise, épaulée par CrowdStrike, Mandiant et les autorités fédérales, a confirmé que l’assaillant avait accédé au code source de sa suite BIG-IP — technologie clé utilisée pour le routage, la sécurité applicative et la gestion des accès dans les infrastructures critiques. Des informations sur des vulnérabilités encore non corrigées ont également été exfiltrées.
CISA estime que cet accès offre à l’attaquant un avantage technique majeur, lui permettant d’analyser en profondeur le code, d’identifier de nouvelles failles et de créer des exploits ciblés. L’agence craint que ces outils ne servent à s’infiltrer dans les réseaux fédéraux, voler des données sensibles et maintenir un accès persistant.

Une directive d’urgence face à un risque systémique

L’ordre fédéral impose la mise à jour immédiate de tous les équipements et logiciels F5 — physiques ou virtuels — avant le 22 octobre, et un rapport d’audit complet avant le 29. Les produits concernés incluent BIG-IP, F5OS, BIG-IP Next for Kubernetes, BIG-IQ et les clients APM.

Nick Andersen, directeur exécutif adjoint de la cybersécurité à CISA, a précisé qu’aucune compromission confirmée n’a été détectée dans les agences fédérales à ce jour, mais que des milliers d’appareils F5 sont déployés sur les réseaux gouvernementaux. L’agence prévoit des réunions d’information avec les entités locales, étatiques et privées.
Madhu Gottumukkala, directeur par intérim de CISA, a averti que la simplicité d’exploitation des failles volées « impose une action immédiate et décisive ». L’agence recommande également au secteur privé d’appliquer sans délai les correctifs, évoquant un risque de compromission « catastrophique » pour les systèmes critiques.

Une brèche surveillée, mais un adversaire inconnu

F5 affirme avoir évincé les intrus, réinitialisé ses identifiants et renforcé la supervision de ses environnements. Aucun signe de modification du code source ni de la chaîne d’approvisionnement logicielle n’a été observé, selon les validations indépendantes de NCC Group et IOActive.

L’entreprise indique ne pas connaître l’identité de l’acteur étatique responsable, mais plusieurs experts pointent des précédents impliquant des groupes affiliés à la Chine. En 2023, Mandiant avait déjà révélé que des sous-traitants du ministère chinois de la Sécurité d’État exploitaient une faille critique (CVE-2023-46747) affectant BIG-IP.

F5 a également confirmé que certains fichiers volés contenaient des informations techniques relatives à un faible pourcentage de clients. L’entreprise s’engage à notifier directement les clients concernés et à offrir à tous ses utilisateurs un abonnement gratuit au logiciel de détection Falcon EDR de CrowdStrike.

Cette attaque contre F5 illustre la vulnérabilité croissante des chaînes logicielles stratégiques. Si le vol de code source devient un levier d’espionnage à long terme, quelles contre-mesures structurelles peuvent encore garantir l’intégrité des systèmes fédéraux et industriels ?

Sources

F5 victime d’une compromission attribuée à un acteur étatique

Un acteur lié à un État a infiltré durablement le réseau de F5 et dérobé le code source ainsi que des données de vulnérabilités de BIG-IP, exposant des risques majeurs pour la chaîne d’approvisionnement numérique mondiale.

F5, éditeur américain de solutions réseau BIG-IP, a révélé une compromission prolongée par un acteur gouvernemental sophistiqué. L’attaquant aurait accédé aux serveurs internes responsables de la création et de la distribution des mises à jour logicielles, exfiltrant du code source et des informations sur des failles non publiées. Cette intrusion, détectée le 9 août, fait peser un risque critique de compromission de la chaîne d’approvisionnement pour des milliers d’entreprises et d’agences publiques qui utilisent BIG-IP. F5 a publié 44 correctifs et fait appel à IOActive, NCC Group, Mandiant et CrowdStrike pour enquêter. Les autorités américaines et britanniques ont depuis appelé à l’application urgente des mises à jour.

Comment l’intrusion s’est déroulée

F5, basée à Seattle, a confirmé qu’un groupe agissant pour le compte d’un gouvernement non nommé avait maintenu un accès persistant à son réseau interne pendant une période prolongée. L’intrusion, découverte le 9 août puis révélée publiquement, a montré que les assaillants avaient atteint le segment critique chargé de compiler et distribuer les mises à jour de BIG-IP.

Ce périmètre de build et de diffusion représente le pivot logique d’une attaque sur la chaîne d’approvisionnement : il signe, emballe et pousse le code vers des dizaines de milliers d’appareils déployés. Les serveurs concernés, situés à la périphérie des réseaux clients, gèrent l’équilibrage de charge et assurent le rôle de pare-feu applicatif, en inspectant et chiffrant le trafic.

F5 précise que des fragments du code source de BIG-IP ont été exfiltrés. Parallèlement, les assaillants ont dérobé des informations sur des vulnérabilités découvertes par F5 mais non encore corrigées ni rendues publiques, ainsi que certains paramètres de configuration client. Ce trio d’éléments — code source, failles non divulguées et configurations — réduit considérablement le temps et les ressources nécessaires pour concevoir des attaques ciblées et échapper à la détection.

L’entreprise souligne que la compromission concernait spécifiquement l’infrastructure liée à la distribution logicielle. Si l’enquête n’a pas montré de modification du code déployé ni d’altération du processus de signature, la fuite de ce matériel sensible constitue une escalade notable du risque de compromission en cascade. En d’autres termes, un acteur doté du code et des vulnérabilités internes pourrait théoriquement produire des mises à jour falsifiées ou des attaques exploitant directement les points faibles des clients.

⚠️ Êtes-vous une proie facile ?⚠️  ️

Scanner de menaces ZATAZ -> identifiez vos expositions avant l’attaque✅ Scanner mes risques
Confidentiel • Instantané • Sécurisé • 100 % Made in France

Portée et impact technique

Les équipements BIG-IP sont présents dans 48 des 50 plus grandes entreprises mondiales. Ces appliances, situées à l’entrée du réseau, inspectent tout le trafic entrant et sortant, gèrent le chiffrement TLS et appliquent les politiques d’accès. Dans de nombreux cas, elles détiennent aussi des identifiants administratifs privilégiés et des configurations adaptées à l’architecture interne des organisations.

La fuite de ces paramètres offre à un attaquant une cartographie détaillée de cibles potentielles. Elle révèle les chemins techniques menant aux systèmes les plus sensibles situés derrière le pare-feu applicatif.

À la suite de l’incident, F5 a publié 44 correctifs. Selon l’entreprise, ces vulnérabilités étaient accessibles à l’assaillant depuis au moins août, date de détection de l’intrusion. Aucune preuve n’indique que ces failles aient été exploitées avant leur correction.

Pour confirmer cette évaluation, F5 a mandaté plusieurs sociétés spécialisées : IOActive et NCC Group ont audité les composants accessibles depuis l’extérieur et n’ont trouvé aucune faille critique non corrigée ; Mandiant et CrowdStrike ont mené des analyses forensiques internes et conclu qu’aucune donnée financière ou client n’avait été volée.

Cependant, le maintien d’un accès furtif sur une longue période, dans une infrastructure connectée à la quasi-totalité des grands réseaux mondiaux, laisse ouverte la possibilité d’opérations ultérieures ciblées. D’un point de vue technique, la possession du code source et de données de vulnérabilités accélère la production d’exploits : les flux de contrôle, la logique de validation et la gestion cryptographique deviennent visibles pour l’attaquant.

L’association avec des configurations réelles d’entreprises réduit encore l’incertitude opérationnelle. Ensemble, ces éléments offrent à un acteur étatique les moyens de conduire une attaque de chaîne logistique à large échelle, potentiellement contre des infrastructures publiques critiques. L’enjeu dépasse F5 : les équipements BIG-IP se trouvent au cœur des architectures réseau de la majorité des grandes organisations américaines et britanniques, avec des implications directes pour la sécurité nationale et économique.

Réponses, atténuation et risques persistants

F5 affirme avoir immédiatement pris des mesures correctives. L’entreprise a diffusé des mises à jour couvrant l’ensemble des failles découvertes et a collaboré avec les autorités compétentes. Les investigations externes n’ont révélé ni altération du processus de build, ni signe d’exploitation active du matériel volé.

Malgré cela, les centres nationaux de cybersécurité américains (CISA) et britanniques (NCSC) ont diffusé des alertes officielles. Ils demandent à toutes les administrations et entreprises d’inventorier leurs équipements BIG-IP et d’appliquer sans délai les mises à jour de sécurité. Les recommandations s’étendent au secteur privé, notamment dans les télécoms, la finance et les infrastructures critiques.

Ces consignes reposent sur un principe de précaution : un adversaire disposant des vulnérabilités et des configurations peut préparer des attaques ciblées à long terme. Le déploiement de correctifs réduit le risque immédiat, mais ne garantit pas l’absence de mécanismes d’accès persistants.

F5 reconnaît les limites d’une détection a posteriori. Dans des environnements complexes, il est difficile de prouver qu’aucune modification invisible ne subsiste. Cette incertitude pèse désormais sur les clients : ils doivent considérer la compromission comme un risque systémique et renforcer leur surveillance.

Les administrateurs sont invités à recenser les appliances BIG-IP installées, vérifier leurs versions logicielles et examiner les journaux d’accès pour détecter toute activité anormale. Un suivi spécifique du trafic sortant depuis ces dispositifs peut permettre d’identifier d’éventuelles communications non autorisées.

D’un point de vue renseignement, cette opération illustre la stratégie des acteurs étatiques : pénétrer la chaîne d’approvisionnement pour obtenir un effet démultiplié. En compromettant un fournisseur central, ils acquièrent un levier stratégique sur l’ensemble de ses clients. Même sans exploitation avérée, la simple possession du code et des vulnérabilités internes permet une planification offensive à grande échelle.

Les implications dépassent la sphère technique. Elles soulèvent des questions de souveraineté numérique et de dépendance vis-à-vis d’équipements étrangers au cœur des infrastructures critiques. Les autorités devront examiner comment renforcer la résilience des chaînes logicielles et instaurer des audits continus de sécurité au niveau des fournisseurs.

L’incident documenté par F5 illustre un scénario typique d’attaque de la chaîne d’approvisionnement : un accès persistant au cœur du processus de développement permet de dérober du code et des informations exploitables contre des milliers de réseaux.

Malgré l’absence d’exploitation confirmée, le risque demeure tangible : les matériaux volés peuvent faciliter des intrusions différées, difficilement détectables. La réaction de F5, entre communication rapide et audits indépendants, ne supprime pas la nécessité d’une vigilance accrue de la part des clients et des États.

Pour les opérateurs, la priorité reste claire : localiser les dispositifs BIG-IP, appliquer les correctifs et renforcer la surveillance en périphérie de réseau. Pour les équipes de renseignement et de réponse à incident, cette affaire rappelle qu’une compromission de fournisseur peut devenir une arme stratégique.

Comment les organisations concernées pourront-elles prouver l’absence de compromission secondaire chez leurs partenaires, maintenant que le code source et les données de configuration ont été exposés ?

Rejoignez nous sur les réseaux :

Aucun spam – Désinscription en un clic – Vie privée respectée

Fermeture du cuivre : orienter les TPE/PME sans pièges

La fermeture du réseau cuivre s’accélère. Des TPE/PME encore en ADSL doivent choisir une connectivité durable, tout en déjouant les arnaques qui prolifèrent autour de la migration vers la fibre.

La transition du réseau cuivre vers des accès modernes rebat les cartes pour les petites entreprises. Le mouvement est amorcé, et il s’accompagne d’un brouhaha commercial où circulent rumeurs, pressions et promesses opaques. Fin 2024, environ six millions d’abonnements ADSL étaient encore actifs, entreprises et particuliers confondus. Autant dire qu’un nombre considérable de TPE/PME doit encore basculer. Cet article pose le cadre, clarifie les enjeux et propose une méthode simple pour décider, préparer et sécuriser la migration. L’angle est volontairement opérationnel et cyber : comment choisir une connectivité fiable, comment garder la main sur ses services critiques, et comment déjouer les escroqueries qui ciblent la phase de bascule.

Pourquoi la fermeture s’impose

Le cuivre a rendu d’immenses services. Il a porté la voix, puis la donnée, à grande échelle. Mais l’infrastructure vieillit, sa maintenance devient lourde, et ses limites techniques se heurtent aux usages contemporains. Pour une TPE/PME, le plafond de verre se voit surtout sur le débit montant, la latence et la stabilité. Visioconférences, sauvegardes distantes, partages de fichiers volumineux, accès SaaS, téléphonie IP et paiements électroniques cumulent des exigences que l’ADSL supporte mal. Quand l’activité se numérise, la marge d’erreur rétrécit.

La fermeture n’est pas un simple retrait de service. C’est une bascule industrielle qui s’opère zone par zone, avec une extinction graduelle des accès historiques. Elle a débuté et elle progresse. L’enjeu pour une TPE/PME n’est pas d’attendre la dernière minute mais de reprendre l’initiative. L’anticipation permet d’aligner les choix techniques avec le besoin réel, de planifier les coupures et de neutraliser les risques d’interruption prolongée.

Le premier réflexe consiste à cartographier tout ce qui dépend de la connectivité actuelle. L’accès Internet est le centre visible, mais d’autres maillons reposent sur le cuivre sans toujours être identifiés : lignes d’alarme raccordées en RTC ou en ADSL, TPE bancaires vieillissants, fax encore utilisés dans certains métiers, systèmes de télésurveillance, postes analogiques disséminés, ascenseurs télésurveillés, automates. Une entreprise qui oublie un de ces chaînons se découvre, le jour de la bascule, un trou de service où elle ne l’attendait pas.

Vient ensuite la question de l’architecture. La migration ne consiste pas seulement à “remplacer l’ADSL par la fibre”. Elle interroge le dimensionnement du réseau local, l’emplacement des équipements, la qualité du câblage interne, la ventilation, l’alimentation électrique secourue et la supervision. Un lien plus rapide révèle parfois des faiblesses dormantes : un vieux routeur saturé, un Wi-Fi qui s’écroule à l’heure de pointe, un switch non managé incapable de prioriser la voix. La fermeture du cuivre est donc l’occasion de remettre l’ensemble au niveau, sans surdimensionner mais sans sous-estimer les goulots.

⚠️ Êtes-vous une proie facile ?⚠️  ️

Scanner de menaces ZATAZ -> identifiez vos expositions avant l’attaque✅ Scanner mes risques
Confidentiel • Instantané • Sécurisé • 100 % Made in France

Le volet téléphonie mérite une attention particulière. Beaucoup de TPE/PME ont déjà migré vers la voix sur IP, mais certaines conservent des terminaux analogiques ou des habitudes héritées du RTC. Clarifier l’usage réel, la volumétrie d’appels et la criticité des numéros d’accueil permet de choisir une solution cohérente, avec des fonctions de débordement, d’accueil vocal et de redondance adaptées. La portabilité de numéros doit être préparée, testée et calée sur un créneau où l’entreprise peut absorber une courte bascule.

Enfin, le temps joue contre l’improvisation. Fin 2024, des millions d’abonnements ADSL restaient actifs. Ce chiffre dit deux choses. La première, c’est que beaucoup d’entreprises sont encore au milieu du gué. La seconde, c’est que la demande de migration va rester forte, avec des goulots possibles pour les rendez-vous d’installation, les interventions de tirage interne ou les opérations de portabilité. Avancer tôt permet de choisir la fenêtre, de négocier sereinement et de verrouiller les étapes.

Choisir la bonne connectivité pour une TPE/PME

Le choix commence par un besoin mesuré, pas par une offre. Il faut partir des usages critiques et des pics d’activité. Un site de production envoyant des sauvegardes nocturnes n’a pas la même exigence qu’un cabinet de conseil vivant en visioconférence. La symétrie des débits compte pour les workflows collaboratifs et les sauvegardes. La latence et la gigue pèsent sur la voix et la visioconférence. La disponibilité se discute en heures d’indisponibilité tolérées par an, pas en slogans.

La fibre est l’option naturelle quand elle est disponible. Le cœur de la décision tient à trois paramètres. Le premier est la performance utile, mesurée et contractuelle, pas seulement “jusqu’à”. Le second est la qualité de service, avec des engagements de rétablissement réalistes, des créneaux d’intervention adaptés et une supervision accessible. Le troisième est la résilience. Une entreprise qui ne peut pas se permettre un arrêt de connectivité doit prévoir un secours simple et testé. Un routeur qui bascule en 4G ou 5G sur un forfait maîtrisé, ou un deuxième accès filaire si l’emplacement le permet, fait la différence le jour où le lien principal flanche.

La sécurité doit être intégrée au choix, pas ajoutée après coup. Un accès plus rapide attire plus de trafic, légitime et malveillant. La politique de filtrage, l’isolation des VLAN, la protection de la voix, l’authentification des administrateurs et la tenue des journaux doivent être prévues avec le changement d’accès. Une TPE/PME n’a pas besoin de complexité, elle a besoin de clarté : qui a accès à quoi, avec quelles clés, et qui reçoit les alertes quand quelque chose déraille. L’objectif est d’éviter l’empilement anarchique d’équipements et de règles.

La relation contractuelle est un autre pivot. Les petites lignes comptent. Un engagement mal compris enferme une entreprise dans une offre inadaptée. Il faut obtenir la précision sur les frais d’installation, sur les éventuels travaux internes, sur la portabilité et sur les pénalités de sortie. La documentation d’intervention et la propriété des équipements doivent être explicites. Une PME qui conserve la maîtrise de ses mots de passe d’administration évite une dépendance inutile.

L’organisation interne conditionne la réussite. La migration touche plusieurs rôles, du dirigeant au bureau d’accueil. La méthode efficace consiste à désigner un référent, cadrer un calendrier, poser des jalons et tester. Il est utile de prévoir une répétition générale : coupe programmée, bascule sur le secours, retour au lien principal, validation des services sensibles, de la téléphonie au paiement. Cette discipline protège l’activité et limite l’espace pour les surprises.

Enfin, il faut penser “durée de vie”. Le choix d’aujourd’hui doit rester pertinent demain. Les besoins de débit montent, mais pas à l’infini. L’important est de rester évolutif sans surpayer. Une petite structure gagne à conserver des marges raisonnables et une architecture simple. La sobriété technique, quand elle est bien pensée, réduit les pannes et allège les coûts.

Arnaques en embuscade et réflexes pour s’en protéger

Chaque transition ouvre une fenêtre d’opportunité aux fraudeurs. La fermeture du cuivre ne fait pas exception. L’attaque la plus rentable reste l’usurpation crédible. Un individu se présente comme technicien, avance une urgence, réclame un accès immédiat à l’armoire réseau ou au local technique, fait signer un document, embarque du matériel ou collecte des données. Dans d’autres scénarios, l’approche se fait à distance, via téléphone et courriel. Un message pressant imite un opérateur et annonce une coupure imminente si l’entreprise ne valide pas un “dossier de migration”. Un lien conduit vers un portail cloné qui recueille identifiants et coordonnées bancaires. Le ton est alarmiste et la promesse est simple : éviter l’arrêt, ici et maintenant.

Les escroqueries capitalisent sur la confusion. Dans une TPE/PME, tout le monde n’est pas au courant du calendrier ou des démarches en cours. Les fraudeurs le savent. Ils exploitent les heures d’affluence, ciblent l’accueil, appellent juste avant la fermeture, déposent des flyers à l’enseigne d’un opérateur, vantent une “priorité fibre” ou un “raccordement express”. Leurs récits utilisent un vocabulaire technique minimal, centré sur l’urgence et la commodité. Le but n’est pas d’être exact, mais d’obtenir une signature, un paiement, une copie de pièce d’identité, un accès aux locaux, ou les deux.

Le risque ne se limite pas à la surfacturation. Une intervention intrusive peut laisser derrière elle un routeur reconfiguré, un boîtier inconnu branché sur une prise RJ45, un mot de passe changé à l’insu de l’entreprise. Un contrat imposé dans la précipitation peut enclencher des prélèvements réguliers, adossés à des conditions de résiliation rigides. Un faux portail peut aspirer les identifiants de l’espace client, ouvrant la porte à des détournements plus discrets encore.

Les bons réflexes tiennent en quelques principes simples, appliqués sans exception. L’authentification des intervenants d’abord. Une entreprise ne laisse entrer personne sans rendez-vous validé, sans ordre de mission nominatif et sans vérification par un appel retour vers le numéro officiel déjà connu. La procédure doit être écrite, partagée et appliquée au quotidien, pas seulement le jour de la migration. L’absence d’urgence ne justifie pas un relâchement ; c’est dans la routine que s’installent les mauvaises surprises.

Vient ensuite la règle du temps de relecture. Rien ne se signe à chaud. Un contrat, un devis, un mandat se lisent au calme, avec un regard interne ou un conseil externe si besoin. La promesse “aujourd’hui sinon coupure” n’est pas un argument, c’est un signal d’alarme. Une entreprise garde la main sur son calendrier et sur sa décision. Elle n’a aucune raison de payer des frais incohérents, d’accepter des équipements inadaptés ou de céder des droits d’administration.

La protection passe aussi par l’hygiène numérique. Les accès à l’espace client opérateur doivent être protégés par une authentification robuste et séparée des comptes personnels. Les adresses de messagerie de contact ne doivent pas être exposées sans nécessité. Les domaines et sous-domaines ressemblants à celui de l’opérateur ne doivent pas tromper ; on vérifie l’adresse complète, on évite de cliquer depuis un message reçu, on saisit soi-même l’URL habituelle. Les équipes doivent savoir reconnaître un message de hameçonnage et signaler un doute sans craindre la répétition.

Le jour de l’intervention, la traçabilité protège. Un registre indique qui entre, quand, pour quoi faire, avec quelle autorisation, sous le contrôle de quel référent. Les équipements déplacés ou remplacés sont listés, leurs numéros relevés, leurs accès administratifs réinitialisés. À la fin, des tests valident la qualité de service et la cohérence des flux. La documentation recueillie est archivée, et les mots de passe d’administration sont stockés sous contrôle de l’entreprise, pas d’un tiers.

Enfin, la résilience réduit la portée d’un incident. Un lien de secours testé, un plan de continuité simple, un numéro d’accueil basculable temporairement, des sauvegardes hors ligne vérifiées, un annuaire de contacts d’urgence à jour, tout cela transforme une panne possible en contretemps maîtrisé. La fermeture du cuivre est une transformation inévitable. Elle peut devenir une opportunité si l’entreprise y met de l’ordre et de la méthode. Elle devient un risque si elle est subie et si la décision se prend sous la pression.

 

Rejoignez nous sur les réseaux :

Aucun spam – Désinscription en un clic – Vie privée respectée

 

ARCEP – La fermeture du réseau cuivre : https://www.arcep.fr/nos-sujets/la-fermeture-du-reseau-cuivre.html

ARCEP – Fiche pratique consommateurs : https://www.arcep.fr/mes-demarches-et-services/consommateurs/fiches-pratiques/que-va-changer-la-fermeture-du-reseau-cuivre.html

Ministère de l’Économie – Fermeture sur 162 communes : https://www.entreprises.gouv.fr/espace-presse/fermeture-du-reseau-cuivre-sur-162-communes-au-31-janvier-2025-letat-mobilise-pour

Fuites massives via Salesforce : l’effet domino des applis tierces

Une série d’attaques de phishing exploitant l’intégration entre Salesforce et l’appli Drift expose de grandes entreprises mondiales à des fuites massives de données clients et à des poursuites judiciaires.

Ces derniers mois, Stellantis, KLM, Adidas, Qantas, Allianz Life, Louis Vuitton, Dior, Tiffany & Co. et Pandora ont signalé des violations de données liées à l’usage d’une application tierce connectée à Salesforce. Le gang ShinyHunters est accusé d’avoir détourné des jetons OAuth de la plateforme Drift Salesloft pour siphonner des informations sensibles de bases CRM. Noms, emails et numéros de téléphone ont circulé, exposant clients et employés à un risque élevé de phishing. Plusieurs victimes poursuivent Salesforce en Californie, estimant que l’éditeur n’a pas garanti une protection suffisante. Cette affaire illustre les failles critiques de la cybersécurité dans la chaîne d’approvisionnement logicielle.

Une faille exploitée dans l’écosystème Salesforce

Au printemps, une vague d’attaques a visé l’intégration entre Salesforce, leader mondial du CRM, et Drift Salesloft, une plateforme d’automatisation marketing. Ce connecteur permet aux entreprises de synchroniser conversations clients et données commerciales. Les cybercriminels du groupe ShinyHunters ont exploité les jetons OAuth de Drift, normalement destinés à authentifier des applications, pour interroger les bases Salesforce de leurs cibles. Ils ont ainsi accédé à des objets tels que Cases, Accounts, Users et Opportunities. Ces requêtes leur ont permis de récupérer des informations identifiantes comme adresses mail, numéros de téléphone et identifiants internes.

Selon Google Threat Intelligence Group (GTIG), il ne s’agissait pas d’une faille structurelle de Salesforce mais bien d’un abus des droits accordés par l’appli tierce. Une fois alerté, Salesforce a retiré Drift de son AppExchange et conseillé de désactiver l’intégration. L’entreprise insiste sur le fait que ses clients non-utilisateurs de Drift ne sont pas concernés.

Des multinationales contraintes de notifier des fuites

La liste des victimes reflète l’ampleur du problème. Constructeur automobile, compagnies aériennes, assureurs, groupes de luxe et distributeurs de mode ont été touchés. Stellantis, KLM, Adidas, Qantas, Allianz Life, Louis Vuitton, Dior, Tiffany & Co. et Pandora ont confirmé des incidents. Tous ont dû notifier des clients exposés à la perte de données. Le Service Veille de ZATAZ a d’ailleurs remarqué que le compte Telegram de ceux qui s’annonçaient comme les auteurs de ces infiltrations a été fermé. L’espace affiche un message laconique « fermé pour non respect des règles« .  La justice est-elle passée par là ?

Les informations volées n’ont pas l’ampleur de numéros de cartes bancaires ou de mots de passe, mais elles suffisent à alimenter des campagnes de phishing ciblé. Les cybercriminels peuvent désormais usurper des identités, exploiter des mails professionnels crédibles ou orchestrer des fraudes au président. Cette réutilisation des données accentue le risque de compromission secondaire, souvent plus destructeur que la fuite initiale.

Le gang ShinyHunters, actif depuis plusieurs années, a revendiqué de nombreuses campagnes similaires. Entre mai et août, il aurait lancé des centaines d’attaques contre des organisations connectées à Salesforce par Drift, industrialisant l’usage frauduleux de jetons OAuth.

Procès en Californie et question de responsabilité

Au-delà du volet technique, le scandale devient juridique. Une quinzaine de plaintes ont été déposées en Californie contre Salesforce. Plusieurs cherchent à obtenir le statut de recours collectif. Les plaignants accusent l’éditeur de n’avoir pas pris les mesures suffisantes pour sécuriser l’accès aux données, malgré sa position dominante sur le marché du CRM.

Salesforce réfute ces accusations et insiste sur l’absence de vulnérabilité directe dans sa plateforme. L’entreprise renvoie la responsabilité vers la connexion tierce. Les victimes rétorquent que l’éditeur aurait dû mieux contrôler les applications autorisées sur son marketplace et sécuriser les processus d’intégration.

Cette affaire illustre la zone grise de la cybersécurité en chaîne d’approvisionnement. Lorsqu’un maillon externe est compromis, la responsabilité du fournisseur principal reste floue. Or, pour des entreprises dont la valeur repose sur la confiance client, l’impact réputationnel est immédiat.

Google muscle Drive avec une IA anti-ransomware

Google ajoute une nouvelle barrière dans Drive : une IA dédiée à stopper le ransomware avant la restauration. Objectif : limiter les dégâts une fois l’antivirus contourné.

Google lance une nouvelle protection dans Drive pour Windows et macOS, destinée à bloquer les attaques de ransomware avant qu’elles ne paralysent tout un réseau. Contrairement aux solutions classiques centrées sur le malware, l’outil repose sur une IA entraînée à détecter les comportements suspects, comme le chiffrement massif de fichiers. Dès alerte, la synchronisation cloud s’interrompt et les données passent en quarantaine. Présentée comme une « nouvelle couche » par Luke Camery, responsable produit chez Google Workspace, la solution complète antivirus et restauration, sans les remplacer. Disponible en bêta ouverte, elle sera intégrée sans surcoût dans la majorité des abonnements Workspace.

Une nouvelle couche face aux rançongiciels

Les ransomwares ont démontré les limites des protections classiques. Les antivirus stoppent une partie des menaces, mais les attaquants réussissent régulièrement à franchir cette barrière. Les solutions de restauration existent, mais elles restent coûteuses et lourdes pour les équipes IT. C’est dans cet interstice que Google place sa nouvelle défense.

« Nous ne remettons pas en cause l’efficacité des acteurs traditionnels, mais force est de constater que l’approche actuelle ne suffit pas », résume Luke Camery. Selon lui, l’erreur du statu quo consiste à ne pas intégrer de détection comportementale en amont de la restauration. L’outil Drive se veut donc une couche distincte, un filet de sécurité supplémentaire, destiné à stopper une attaque en cours avant que le chiffrement ne devienne irréversible.

Le principe est simple : supposer que l’antivirus a échoué, puis intervenir. Google compare cela à une maison protégée par des serrures et des assurances, mais dépourvue d’alarme. Avec ce dispositif, l’alarme se déclenche dès qu’un intrus tente de verrouiller toutes les portes.

Une IA entraînée sur des millions d’exemples

Le cœur de la solution est un modèle d’intelligence artificielle personnalisé. Entraîné sur des millions de cas de ransomware, il ne cherche pas à identifier un code malveillant précis mais à reconnaître des schémas de comportement. L’exemple type : un processus qui tente de chiffrer brutalement de nombreux fichiers.

Dès qu’un tel comportement est repéré, Drive suspend immédiatement la synchronisation avec le cloud. Les fichiers potentiellement compromis sont alors isolés, placés dans une forme de quarantaine. L’objectif est d’empêcher la propagation et de préserver des copies saines.

Cette logique de surveillance permanente et réactive place la solution au-dessus d’un antivirus classique et en dessous d’un outil de restauration. Elle se veut complémentaire : non pas un remplacement, mais une barrière intermédiaire.

En cas d’attaque détectée, l’utilisateur reçoit une alerte sur son poste ainsi qu’un e-mail détaillant les étapes à suivre. Un assistant permet ensuite de restaurer facilement une version non contaminée des fichiers. La démonstration fournie par Google montre un processus aussi simple que de récupérer un document effacé dans la corbeille Windows, sans recours à des outils externes ni réinstallation complexe.

Côté administrateurs, les informations remontent dans la console Admin. Ils disposent d’un journal d’audit et peuvent ajuster la configuration. La fonctionnalité sera activée par défaut, mais les responsables IT gardent la possibilité de désactiver la détection ou la restauration si nécessaire.

L’outil est dès aujourd’hui accessible en bêta ouverte. Il sera intégré sans frais supplémentaires dans la plupart des abonnements Google Workspace commerciaux. Google espère ainsi réduire l’impact des ransomwares qui, malgré les efforts combinés des solutions antivirus et des services de sauvegarde, continuent de frapper organisations publiques et privées.

Cyberattaque contre Co-op : un manque à gagner de 200 millions d’euros !

Une attaque informatique au printemps a privé Co-op de 274 millions € de revenus, perturbé ses approvisionnements et exposé les données personnelles de 6,5 millions de membres.

Le distributeur britannique Co-op a révélé que la cyberattaque d’avril lui a coûté 206 M£ (274 M€) de revenus, touchant principalement son activité alimentaire. L’incident a entraîné des rayons vides, des systèmes mis hors ligne et la compromission des données de ses 6,5 millions de membres. Selon l’entreprise, les pertes directes de profit se chiffrent à 80 M£ (107 M€). L’enquête a conduit à l’arrestation de quatre personnes, dont un mineur, soupçonnés d’être liés au groupe criminel Scattered Spider. Co-op affirme avoir évité le verrouillage complet de ses systèmes grâce à une déconnexion préventive de ses réseaux, mais reste marqué par un affaiblissement de sa compétitivité face à ses rivaux.

Un réseau fragilisé par l’attaque

L’attaque a été détectée en avril. Pour limiter sa propagation, Co-op a choisi de couper volontairement ses systèmes centraux, ce qui a réduit immédiatement la disponibilité des produits en magasin. Les semaines suivantes, les clients ont constaté des rayons vides et des promotions suspendues. Le rapport semestriel précise que l’activité alimentaire a été la plus affectée. La direction a reconnu que la concurrence a profité de la situation pour capter une partie de la clientèle. Malgré la poursuite des ventes, la rentabilité a plongé, avec un manque à gagner de 80 millions de £ (107 millions €) rien que sur le premier semestre.

 

⚠️ Êtes-vous une proie facile ?⚠️  ️

Scanner de menaces ZATAZ -> identifiez vos expositions avant l’attaque✅ Scanner mes risques
Confidentiel • Instantané • Sécurisé • 100 % Made in France

Un mode opératoire attribué à Scattered Spider

Les enquêteurs soupçonnent que les attaques visant Co-op, M&S et Harrods soient reliées au groupe Scattered Spider, une constellation de jeunes pirates actifs dans l’intrusion de réseaux d’entreprises. Quatre suspects ont été arrêtés en juillet, dont un adolescent. Cette proximité entre acteurs très jeunes et attaques de grande ampleur illustre la difficulté à anticiper l’origine des menaces. Le mode opératoire évoqué s’inscrit dans la tendance des assaillants à viser simultanément plusieurs cibles commerciales, exploitant les dépendances technologiques de la distribution moderne.

Des données massivement compromises

Bien que Co-op ait évité un verrouillage complet par rançongiciel, la fuite de données a touché l’ensemble de ses 6,5 millions de membres. Les informations personnelles compromises alimentent désormais la crainte d’un usage ultérieur par des groupes criminels pour de l’usurpation d’identité ou du chantage. La direction a insisté sur le fait que les équipes ont travaillé sans relâche pour restaurer les opérations et protéger les infrastructures. Mais la perte de confiance reste un enjeu majeur. Dans un secteur où la fidélisation repose sur la sécurité perçue des systèmes de paiement et des données clients, l’atteinte est autant réputationnelle que financière.

L’affaire Co-op souligne la vulnérabilité des chaînes de distribution aux attaques coordonnées et la porosité croissante entre cybercriminalité juvénile et opérations structurées. La question demeure : jusqu’où les enseignes britanniques sont-elles capables d’anticiper de telles menaces et de protéger durablement leurs données sensibles ?

 

Rejoignez ZATAZ sur les réseaux :

Aucun spam – Désinscription en un clic – Vie privée respectée

Turla et Gamaredon, la collaboration inédite de deux APT russes

Deux cybergroupes affiliés au Kremlin ont été repérés collaborant en Ukraine, une première documentée par des chercheurs.

Pour la première fois, des chercheurs en cybersécurité observe une coopération directe entre Turla et Gamaredon, deux APT russes habituellement distincts. Selon les chercheurs, Gamaredon infecte massivement les machines en Ukraine tandis que Turla sélectionne ensuite les cibles d’intérêt, souvent riches en informations stratégiques. Cette combinaison illustre une coordination cyber offensive pilotée par le renseignement russe, avec des implications majeures pour la sécurité numérique européenne et militaire.

Une alliance inédite repérée en Ukraine

L’éditeur de solution de sécurité informatique ESET a découvert que des appareils de grande valeur en Ukraine présentaient des traces simultanées de malwares issus de Turla et Gamaredon. Dans plusieurs cas, Turla a exploité des machines déjà compromises par Gamaredon. Les chercheurs notent que cette synergie n’est pas fortuite : tous deux travaillent probablement sous l’égide du FSB, l’agence de renseignement russe.

Gamaredon est réputé pour ses attaques massives et peu discrètes. Son objectif consiste à aspirer rapidement un maximum de données sans s’embarrasser de techniques d’effacement. Turla, à l’inverse, est considéré comme l’un des groupes APT les plus sophistiqués au monde. Lié à des attaques contre le Pentagone en 2008, le ministère allemand des Affaires étrangères et l’armée française, il privilégie des cibles réduites mais hautement sensibles, en utilisant notamment l’internet par satellite pour brouiller son origine.

Des rôles complémentaires dans l’espionnage numérique

L’analyse montre que Turla a pu envoyer des commandes à des machines compromises grâce aux accès ouverts par Gamaredon. Ce scénario confirme une chaîne de collaboration où Gamaredon sert de porte d’entrée large et bruyante, tandis que Turla exploite ensuite une sélection restreinte de machines stratégiques. Cette répartition des tâches pourrait accroître l’efficacité globale des opérations du FSB dans la guerre cyber en cours contre l’Ukraine.

La stratégie de Turla repose sur la furtivité et le ciblage fin. Celle de Gamaredon repose sur la prolifération rapide et l’effet de masse. Ensemble, elles permettent à Moscou de combiner collecte massive et exploitation chirurgicale des données sensibles, un schéma rarement observé dans le cyberespace.

Il s’agit de la première preuve tangible d’une coopération directe entre les deux groupes. Ce constat éclaire un mode opératoire plus coordonné des opérations cyber russes. Les chercheurs estiment que Gamaredon compromet des centaines, voire des milliers, d’appareils en Ukraine, tandis que Turla ne s’intéresse qu’aux systèmes contenant des informations critiques.

Une telle collaboration pourrait transformer le rapport de force cyber, en rendant plus difficile la détection et la neutralisation de ces attaques. Pour l’Ukraine et ses alliés, l’enjeu devient d’identifier les passerelles créées par Gamaredon et exploitées par Turla avant qu’elles ne servent à des intrusions à haute valeur stratégique.

Cette alliance tactique entre Turla et Gamaredon illustre une industrialisation du renseignement cyber orchestrée par Moscou. La question centrale reste : jusqu’où cette coopération pourra-t-elle étendre la portée et l’efficacité des opérations russes contre les infrastructures ukrainiennes et occidentales ? (ESET Research)

Barracuda Networks nomme Rohit Ghai comme nouveau CEO

Barracuda Networks choisit Rohit Ghai pour succéder à Hatem Naguib, ouvrant une nouvelle étape stratégique pour le spécialiste mondial de la cybersécurité et des solutions cloud.

Le fournisseur de cybersécurité Barracuda Networks annonce la nomination de Rohit Ghai au poste de CEO. Dirigeant expérimenté, il a occupé des responsabilités majeures chez RSA, EMC, Symantec et CA Technologies. Il succède à Hatem Naguib, en poste depuis 2021, qui a marqué son mandat par le lancement de BarracudaONE, une plateforme de cybersécurité pilotée par intelligence artificielle. En plus de ses nouvelles fonctions, Ghai intègre le conseil d’administration de Barracuda et siège déjà dans plusieurs autres organisations technologiques. Sa nomination illustre la volonté de l’entreprise d’accélérer sa croissance et de renforcer son rôle dans la protection numérique face aux menaces émergentes.

Un virage stratégique pour Barracuda

Barracuda Networks confie sa direction à Rohit Ghai. Fort de plus de vingt ans de carrière dans la cybersécurité et les technologies SaaS, il a occupé des postes de direction dans des sociétés de premier plan. Son expérience chez RSA, où il fut également CEO, ainsi que son passage par EMC, Symantec et CA Technologies, confère à son profil une légitimité reconnue dans le secteur. Sa nomination s’inscrit dans un contexte où Barracuda veut consolider sa position sur un marché marqué par une intensification des menaces numériques et une concurrence accrue.

En prenant la direction de Barracuda, Ghai rejoint aussi son conseil d’administration. Il occupe déjà plusieurs sièges stratégiques, notamment chez Pegasystems, D-Wave Systems et MHC Software, et a précédemment été membre du conseil d’Everbridge. Cette implication multiforme illustre sa connaissance des écosystèmes technologiques et de l’innovation numérique. Le communiqué de l’entreprise le décrit comme un dirigeant reconnu pour « sa vision stratégique et son expertise sectorielle ». L’objectif affiché est de tirer parti de son expérience pour engager Barracuda dans une nouvelle phase de croissance et d’innovation.

L’héritage de Hatem Naguib

Le départ d’Hatem Naguib clôt une période de quatre ans à la tête de l’entreprise. Entré chez Barracuda à des postes de direction, il fut notamment COO, puis vice-président senior et directeur général de la division sécurité, avant de devenir CEO en 2021. Sous sa direction, Barracuda lança BarracudaONE, une plateforme intégrant intelligence artificielle et cybersécurité, considérée comme une avancée majeure dans l’offre de l’entreprise. Avant de quitter ses fonctions, il a salué son successeur : « Je transmets le flambeau à Rohit, car j’ai pleinement confiance en sa capacité à faire entrer Barracuda dans une nouvelle ère ».