Archives par mot-clé : phishing

backdoor, Cybersécurité, Entreprise, Espionnage Spy, Mise à jour, Securite informatique, Social engineering

RingCentral : 1,6 million de comptes exposés

La cyberattaque contre RingCentral change d’échelle : 1,6 million de comptes exposés et attribue l’intrusion au groupe cybercriminel ShinyHunters.

L’incident de sécurité reconnu par RingCentral fin juillet 2026 concerne désormais environ 1,6 million d’adresses électroniques uniques identifiées dans les données diffusées. Le corpus contient également des noms, numéros de téléphone et adresses postales. Aucun mot de passe ne figure parmi les catégories d’informations actuellement confirmées. RingCentral indique avoir stoppé l’activité malveillante et affirme que sa plateforme principale n’a pas été affectée. ZATAZ confirme également l’implication de ShinyHunters dans cette intrusion. Le groupe revendique l’exfiltration de 623 Go de données.

Une « portion limitée » qui atteint 1,6 million

Fin juillet, RingCentral avait reconnu une campagne d’ingénierie sociale ayant permis un accès non autorisé à certains de ses systèmes. La société évoquait alors une « portion limitée » de sa clientèle, sans communiquer d’estimation chiffrée sur le nombre de personnes concernées.

Les données désormais disponibles donnent une autre mesure de l’incident. Leur analyse fait apparaître environ 1,6 million d’adresses mails uniques. Ce nombre représente des comptes identifiés dans le corpus diffusé par les pirates et ne correspond donc pas nécessairement à 1,6 million d’entreprises clientes différentes.

Cette distinction est importante pour mesurer correctement l’impact. RingCentral fournit des services de téléphonie, de communication cloud et de collaboration à des organisations pouvant compter de nombreux utilisateurs. Plusieurs adresses rattachées à une même entreprise peuvent ainsi figurer dans la fuite.

Les informations exposées comprennent des noms, des adresses électroniques, des numéros de téléphone et des adresses postales. Aucun mot de passe n’est présent.

Ce type d’assemblage conserve pourtant une forte valeur opérationnelle pour un attaquant. Une identité associée à une adresse professionnelle, un téléphone et une localisation physique facilite la préparation de scénarios crédibles d’ingénierie sociale. Un pirate peut personnaliser davantage un courriel, un appel téléphonique ou une tentative d’usurpation en utilisant plusieurs informations exactes sur sa cible.

Les utilisateurs professionnels constituent une population particulièrement intéressante dans ce contexte. La connaissance de leur environnement de communication peut faciliter des tentatives visant à obtenir des informations complémentaires, provoquer une réinitialisation de compte ou convaincre une victime de suivre une procédure frauduleuse.

RingCentral affirme avoir interrompu l’activité malveillante après sa découverte. L’entreprise indique également avoir fait appel à une société spécialisée dans l’investigation numérique. Selon ses déclarations, aucune nouvelle activité non autorisée n’a été observée après la mise en œuvre des mesures correctives. Ce qui n’empéche pas les centaines de Go de données volées a être diffusés ! La plateforme principale n’aurait pas été compromise et les services seraient restés opérationnels durant l’incident.

ShinyHunters derrière l’intrusion selon ZATAZ

L’autre évolution concerne l’identité des attaquants. ZATAZ confirme que ShinyHunters est bien impliqué dans l’opération visant RingCentral. ShinyHunters affirme avoir dérobé environ 623 Go de données avant d’en publier une partie après l’échec d’une tentative d’extorsion. La chronologie permet également de comprendre pourquoi l’affaire prend aujourd’hui une dimension différente. L’incident s’est produit en juillet 2026. RingCentral a rendu publique la compromission le 28 juillet. Les données ont ensuite fait l’objet d’une diffusion, avant que l’ampleur d’environ 1,6 million de comptes soit détaillée publiquement le 14 août.

backdoor, Cybersécurité, Entreprise, Espionnage Spy, Securite informatique, Social engineering

MyPhoto : une base de 16 272 clients exposée

Une base de données attribuée au site MyPhoto aurait exposé commandes, photos, salariés et données logistiques, créant un risque concret de phishing ciblé et d’ingénierie sociale.

Selon un message publié le 7 août 2026 par un pirate informatique, une base Firebase Realtime Database liée à MyPhoto Inc. aurait été accessible sans authentification. L’auteur revendique l’extraction de 158 Mo de données contenant 16 272 adresses électroniques, 171 047 lignes de commandes et 21 126 associations entre clients et photographies. Des informations internes concernant 41 salariés, 794 affectations de postes de travail ainsi que plusieurs données d’expédition figureraient également dans l’ensemble. Au-delà d’une simple fuite commerciale, cette exposition fournirait aux attaquants un contexte précis pour construire des campagnes de phishing, d’usurpation et de manipulation ciblée.

Une base de production décrite comme ouverte

La publication affirme que la base concernée utilisait Firebase Realtime Database et autorisait une lecture anonyme. Selon exfilar, aucun compte, jeton ou contrôle de provenance n’aurait été nécessaire pour consulter son contenu. L’accès en écriture n’aurait pas été testé.

Le pirate décrit 33 catégories principales couvrant plusieurs étapes de la chaîne de production. Elles concerneraient notamment les stations actives, les commandes, les articles, les employés, les expéditions, les inventaires, les étiquettes d’images et les numéros de suivi.

Les chiffres détaillés présentent 171 047 éléments de commandes, 207 commandes de production et 21 126 enregistrements associant une adresse électronique à une photographie ou à une commande. Exfilar évoque également 39 correspondances de numéros de suivi, sept expéditions finalisées et 169 documents internes liés au traitement des commandes.

La publication distingue 16 272 adresses électroniques collectées et 14 636 adresses uniques associées à des commandes photographiques. Gmail représenterait 7 490 occurrences, Yahoo 2 630 et Hotmail 844. Les autres fournisseurs totaliseraient 5 308 entrées.

L’auteur du message affirme également avoir identifié 41 salariés avec leurs fonctions, leur organisation et leur statut professionnel. Les rôles décrits couvrent les ressources humaines, les opérations, la production, l’impression numérique, le contrôle qualité, l’expédition et la préparation des commandes.

Un matériau directement exploitable pour le phishing

L’enjeu cyber principal réside dans la combinaison des informations. Une adresse électronique isolée possède une valeur limitée. Associée à une référence de commande, une date, une photographie, un transporteur ou une étape logistique, elle peut devenir un puissant élément de crédibilisation.

Exfilar souligne précisément ce scénario. Un attaquant pourrait envoyer un faux message signalant un incident sur une commande connue, puis demander au destinataire de confirmer une adresse de livraison ou d’ouvrir une page frauduleuse. La connaissance préalable du contexte réduit les signes habituels permettant d’identifier une tentative de phishing générique.

Les données internes sur les salariés créent un second risque. Connaître les fonctions d’une équipe, les responsabilités opérationnelles et l’organisation d’un site facilite la préparation d’appels frauduleux, d’usurpations d’identité ou de demandes prétendument urgentes.

La cartographie revendiquée de 794 affectations de postes de travail ajoute une dimension de renseignement organisationnel. Elle donnerait une représentation détaillée du fonctionnement de la production, depuis le traitement des commandes jusqu’à l’expédition.

Le message affirme que des sociétés de travail temporaire, dont Manpower et TempJoy, apparaissent également dans les données en raison de personnels affectés à MyPhoto. Aucune compromission indépendante de leurs propres systèmes n’est démontrée par les éléments fournis.

Le pirate insiste sur le caractère non sophistiqué de l’accès revendiqué. Selon son récit, la faiblesse proviendrait essentiellement de règles Firebase autorisant la lecture publique de la base. Cette configuration transformerait une erreur de contrôle d’accès en exposition massive de données opérationnelles.

L’auteur rattache cette fuite à une opération présentée comme une campagne de recherche de bases exposées. Il revendique 32 bases découvertes, cinq projets dépassant 100 Mo et 117 projets distincts. Ces chiffres proviennent uniquement de ses déclarations et ne constituent pas, à eux seuls, une validation indépendante.

Le même message indique qu’un outil lié à cette activité est commercialisé pour 50 000 $ (46 080 euros). Cette revendication renforce l’hypothèse d’une démarche structurée visant à industrialiser la détection puis l’exploitation de configurations cloud insuffisamment protégées.

Cybersécurité, IA

Les Émirats face à la cyberguerre dopée à l’IA

Aux Émirats arabes unis, l’explosion des cyberattaques révèle une bascule stratégique : l’intelligence artificielle n’assiste plus seulement les offensives, elle en accélère désormais l’exécution et l’impact.

Les Émirats arabes unis font face à une hausse massive des cyberattaques dans un contexte de tensions régionales accrues. Selon le Conseil de cybersécurité du pays, entre 500 000 et 700 000 attaques sont enregistrées chaque jour contre des secteurs jugés vitaux pour la sécurité nationale et l’économie. Le Dr Mohammed Al Kuwaiti affirme que des acteurs hostiles, dont des entités liées à l’État iranien, exploitent des outils d’intelligence artificielle pour la reconnaissance, l’analyse de vulnérabilités, le phishing, la désinformation et la création de malwares. Cette montée en puissance confirme une évolution majeure : l’IA devient une pièce centrale de la cyberguerre moderne.

Une pression numérique devenue quotidienne

Le signal envoyé par Abou Dhabi est limpide. Les cyberattaques visant les Émirats arabes unis ont atteint un niveau inédit, au point de s’inscrire dans le rythme ordinaire de la menace. D’après le Dr Mohammed Al Kuwaiti, président du Conseil de cybersécurité des Émirats arabes unis, le pays essuie désormais entre 500 000 et 700 000 cyberattaques par jour. Ce volume dit autant l’intensité des offensives que la centralité géopolitique et économique de la fédération.

Les secteurs visés ne sont pas choisis au hasard. Ils appartiennent aux domaines considérés comme stratégiques pour la sécurité nationale et pour la stabilité économique. Dans cette lecture, la campagne numérique ne relève plus de la simple nuisance technique. Elle s’apparente à une pression continue sur les fonctions sensibles de l’État, sur les infrastructures critiques et sur les services dont dépend la continuité nationale.

Le responsable émirati désigne des acteurs hostiles, parmi lesquels des entités liées à l’État iranien. Selon lui, ces groupes s’appuient sur ChatGPT et sur d’autres plateformes d’intelligence artificielle pour conduire plusieurs phases de leurs opérations. Cela va de la reconnaissance initiale à l’identification de failles potentielles, jusqu’aux campagnes d’hameçonnage et au développement de logiciels malveillants destinés à perturber les services. Le tableau dressé est celui d’une menace plus industrialisée, plus flexible et plus rapide.

La déclaration d’Al Kuwaiti marque un changement de doctrine dans la manière de décrire l’ennemi numérique. « L’intelligence artificielle est passée du statut d’outil de soutien à celui de composante centrale de la cyberguerre moderne », a-t-il déclaré. La formule résume une rupture. L’IA ne se contente plus d’assister l’attaque. Elle réduit les délais, abaisse certains coûts et augmente le réalisme des leurres. Selon lui, elle permet de lancer des campagnes plus rapides, plus crédibles et plus rentables, notamment par le recours aux deepfakes et à la désinformation ciblée.

 

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

Service de veille ZATAZ
WhatsApp
Google News
Autres


S’abonner à la Newsletter

 

Cet élargissement du champ offensif change aussi la nature du risque. Le danger ne se limite plus à la compromission d’un système ou à l’arrêt d’un service. Il inclut la manipulation des perceptions, l’influence informationnelle et la dégradation de la confiance publique. Dans un environnement régional sous tension, cette dimension informationnelle pèse lourd. Elle fait du cyberespace un prolongement direct de la rivalité politique et stratégique.

Des défenses renforcées, mais une vigilance généralisée

Face à cette poussée, les autorités émiraties mettent en avant un dispositif de réponse structuré à l’échelle nationale. Le Conseil de cybersécurité explique avoir consolidé la cyberdéfense autour d’un cadre global fondé sur la surveillance continue, l’analyse des menaces, la rapidité de réaction et la préparation aux nouveaux risques. L’objectif est clair : détecter tôt, contenir vite, maintenir les services.

Selon Al Kuwaiti, les systèmes nationaux de cyberdéfense parviennent à repérer et à atténuer la majorité des attaques avant qu’elles ne provoquent des dommages concrets, rapporte le Filipino Times. Ce point est central dans la communication officielle. Il vise à montrer que l’augmentation du nombre d’attaques ne se traduit pas mécaniquement par une défaillance des défenses. En matière de renseignement cyber, cette précision compte. Elle suggère une capacité de veille, de corrélation et d’intervention déjà largement mobilisée.

Parmi les leviers activés figurent l’adoption d’une architecture de sécurité « zéro confiance », la mise en action du Centre national des opérations de cybersécurité et le déploiement de systèmes avancés de renseignement sur les menaces. Ces choix traduisent une logique de défense en profondeur. Aucun accès n’est présumé sûr, chaque signal faible doit être exploité et la coordination entre les entités devient un facteur décisif.

Le pays organise aussi des exercices de simulation de cybercrise à l’échelle nationale. Ces scénarios visent à tester la préparation des administrations et des secteurs critiques face à une attaque d’ampleur. En parallèle, les autorités diffusent des alertes de sécurité en temps réel afin d’accélérer la réaction, de préserver la continuité des services et de réduire l’impact d’éventuelles violations de données. Là encore, la logique renseignement est évidente : partager rapidement l’alerte pour raccourcir le temps entre détection et réponse.

« Les mesures proactives restent essentielles », a souligné Al Kuwaiti. « En combinant technologies de pointe et mécanismes de réponse coordonnés, nous sommes en mesure de protéger les infrastructures critiques et les services essentiels, même face à une augmentation significative des cyberattaques. » Cette position insiste sur une idée simple : dans une confrontation numérique durable, la résilience dépend autant des outils que de l’orchestration collective.

Le message adressé au public complète cette stratégie. Le président du Conseil rappelle que la cybersécurité ne relève pas du seul appareil d’État. Il appelle les résidents à ne pas cliquer sur des liens suspects, à ne jamais transmettre mots de passe ou codes de vérification, à activer l’authentification multifacteurs, à mettre à jour appareils et logiciels, à éviter les réseaux Wi-Fi publics non sécurisés et à s’en tenir aux sources officielles. Cette pédagogie n’est pas accessoire. Elle transforme l’usager en première ligne de défense face au phishing, aux rumeurs et aux contenus manipulés.

L’avertissement final est, lui aussi, révélateur de l’époque. Al Kuwaiti met en garde contre la désinformation et la manipulation des médias, désormais intégrées aux outils de la cyberguerre et de la guerre de l’information. « En période de tension, votre vigilance doit être plus rapide que les tentatives d’hameçonnage, plus sereine que les rumeurs et plus précise que les contenus fabriqués de toutes pièces », a-t-il déclaré. Derrière la formule, une réalité stratégique s’impose : la bataille cyber ne vise plus seulement les machines, elle cherche aussi à atteindre les esprits.

 

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

Service de veille ZATAZ
WhatsApp
Google News
Autres


S’abonner à la Newsletter

 

Cybersécurité, Entreprise

Cybersécurité en entreprise, le vrai risque est cognitif

Quand la sécurité ressemble à une contrainte, elle perd. Sous stress, même des équipes volontaires contournent les règles, et le fossé entre opérationnels et RSSI devient, lui-même, une faille.

En entreprise, les directives de sécurité informatique échouent souvent pour une raison discrète mais massive : elles sont vécues comme un frein, donc contournées. Une expérience de deux jours montre un basculement progressif, malgré une attitude initialement favorable, lorsque la pression du travail augmente : les mesures deviennent des obstacles et les écarts se multiplient. Le problème n’est pas seulement la connaissance des risques, mais l’arbitrage quotidien entre objectifs, temps, collaboration et règles abstraites. Pour sortir de l’opposition « sécurité contre business », une stratégie à deux volets s’impose : concevoir des politiques centrées sur l’humain et communiquer avec respect, afin de passer de la conformité subie à la co-construction.

Sécurité informatique, le stress fabrique des contournements

Le malentendu commence souvent doucement, presque poliment. Une consigne arrive, « pour protéger l’entreprise« , et personne ne s’y oppose frontalement. Puis la journée accélère, les délais se resserrent, la coordination devient urgente. La règle, elle, ne bouge pas. Dans une expérience menée sur deux jours, des participants pourtant bien disposés au départ finissent par regarder les mesures de sécurité comme des cailloux dans la chaussure. Plus la pression professionnelle monte, plus la sécurité est requalifiée en obstacle, et plus les violations deviennent fréquentes. Le signal est clair : les comportements ne se résument ni à la bonne volonté ni à la formation, ils dépendent fortement du contexte.

C’est ici que naît le risque le plus insidieux. L’utilisateur ne « refuse » pas nécessairement de se protéger, il hiérarchise. Il choisit ce qui lui semble prioritaire sur le moment : atteindre un objectif ambitieux, répondre vite, travailler sans friction avec un collègue, un fournisseur, un client. Quand les exigences de sécurité restent abstraites, elles entrent en collision avec des impératifs concrets. La cybersécurité se transforme alors en force de ralentissement, donc en adversaire. Et cette perception, plus que la technique, dégrade la collaboration entre équipes sécurité, informatique et métiers, jusqu’à fissurer la culture commune.

Pour un RSSI, le défi n’est plus seulement de « définir la règle correcte« , mais de comprendre pourquoi elle est vécue comme impraticable. Plusieurs mécanismes se combinent : méconnaissance des menaces, bénéfice mal compris, conflit d’objectifs, manque de temps, mais aussi déficit de moyens. On peut exiger des échanges de données sécurisés, sans fournir l’outil qui permet de le faire simplement.

On peut imposer une procédure, sans donner d’exemples ni de modèles à suivre. À ce stade, sanctionner et répéter une formation standardisée peut produire l’effet inverse : la sécurité devient un rituel administratif, puis une gêne, puis une routine de contournement.

Les pirates exploitent cette routine. La référence cybersécurité ZATAZ propose d’ailleur un outil dédié au Social Engineering, et plus précisément une application web qui permet de s’entrainer à contrer un S.E. lors d’un appel téléphonique ou d’une « rencontre ».

Politiques centrées humain, communication respectueuse

La sortie d’impasse passe par une approche à deux faces, conçue pour restaurer l’alliance entre protection et efficacité. Première face : regarder l’entreprise comme un réseau de parties prenantes, avec des priorités parfois incompatibles. Avant d’imposer une mesure, il faut cartographier qui dépend de qui, qui est évalué sur quoi, où sont les goulots d’étranglement, et à quel moment la règle se heurte au réel. Plus la compréhension du travail quotidien est fine, plus la mesure peut être ciblée, donc acceptée. La sécurité cesse d’être une surcouche, elle devient un réglage.

Deuxième face : admettre que le problème vient souvent de la mesure elle-même. Il existe fréquemment plusieurs réponses possibles à une même menace, mais les choix se font trop vite sur des critères techniques, en oubliant la difficulté d’exécution, la compatibilité avec les outils, la complexité ressentie. Une politique efficace doit rester robuste, mais aussi lisible et faisable. Cela suppose d’impliquer les employés dès la conception, pas à la fin du processus. Cette implication n’est pas un “cadeau”, c’est un test de réalité : elle révèle les contradictions, les besoins, les points de friction invisibles depuis la tour de contrôle.

Les projets pilotes jouent ici un rôle de renseignement interne. On démarre avec des utilisateurs pionniers, capables d’expérimenter, de remonter des irritants, de proposer des ajustements. On apprend vite, on corrige tôt, on évite de déployer une règle qui sera massivement contournée dès la première semaine. Cette logique transforme la conformité passive en co-construction proactive, et elle installe la sécurité dans les gestes du quotidien plutôt que dans un document.

Reste la manière de parler de sécurité. Trop souvent, la communication se résume à des injonctions, des notifications descendantes, des modules en ligne interchangeables, parfois des formats jugés infantilisants. À l’inverse, une communication respectueuse mise sur un dialogue d’égal à égal, où l’employé est traité comme un professionnel responsable.

 



News & Réseaux Sociaux ZATAZ

YouTube
WhatsApp
Google News
Autres
Chaque vendredi midi, recevez gratuitement les actualités de la semaine.

S’abonner à la NewsLetter ZATAZ

Elle commence par une empathie stratégique, non pour renoncer à l’objectif, mais pour comprendre la contrainte métier. Elle privilégie l’écoute active, en cherchant le « comment on fait » plutôt que le « c’est interdit« . Elle valorise enfin l’expérience, car vivre un scénario de phishing, de ransomware ou d’intrusion via clé USB, dans un environnement simulé, ancre mieux les réflexes qu’une théorie aride.

Au fond, le RSSI devient garant d’une culture opérationnelle de la sécurité : architecte de politiques centrées sur l’humain, et chef d’orchestre d’un dialogue qui réconcilie protection et performance.

Cybersécurité, Entreprise, Securite informatique

Flickr alerte sur une fuite via un prestataire d’e-mails

Une faille chez un fournisseur tiers a pu exposer des données d’abonnés Flickr. L’entreprise bloque l’accès en quelques heures et redoute surtout une vague d’hameçonnage ciblant ses 35 millions d’utilisateurs mensuels.

Flickr a averti ses utilisateurs d’une possible fuite de données liée à une faille dans les systèmes d’un prestataire de messagerie tiers. L’entreprise dit avoir découvert l’incident le 5 février 2026 et avoir bloqué l’accès au système compromis quelques heures plus tard. Selon Flickr, les identifiants de connexion et les informations financières ne sont pas concernés. En revanche, des données pourraient avoir été exposées, notamment noms d’utilisateur, adresses e-mail, surnoms Flickr, types de comptes, adresses IP, données de géolocalisation et informations d’activité. Les utilisateurs sont invités à vérifier leurs paramètres et à se méfier du phishing. Flickr enquête et renforce ses contrôles fournisseurs.

Une brèche indirecte, et le risque de phishing à grande échelle

L’alerte ne vient pas d’un piratage frontal de Flickr, mais d’un angle souvent sous-estimé : la dépendance à un prestataire. Le service d’hébergement de photos indique qu’une faille de sécurité dans les systèmes d’un fournisseur de messagerie tiers a pu permettre à des pirates d’accéder à des informations d’abonnés. L’entreprise dit avoir eu connaissance du problème le 5 février 2026, puis avoir bloqué l’accès au système compromis quelques heures plus tard.

Flickr précise que les identifiants des utilisateurs et les informations financières n’ont pas été affectés. Cette ligne de défense est essentielle, mais elle ne supprime pas le principal danger opérationnel : l’attaquant n’a pas forcément besoin de mots de passe pour provoquer des dégâts. Des données comme les noms, les adresses e-mail, les surnoms Flickr, les types de comptes, les adresses IP, la géolocalisation et des informations d’activité suffisent à fabriquer des messages de fraude crédibles, personnalisés et difficiles à distinguer d’une communication légitime.

Le contexte donne la mesure du risque. Fondé en 2004, Flickr reste un acteur majeur, revendiquant plus de 28 milliards de photos et de vidéos. La plateforme est utilisée par 35 millions de personnes chaque mois et totalise 800 millions de pages vues. Une exposition même partielle peut donc fournir une base de ciblage massive pour des campagnes de hameçonnage, de prise de compte par tromperie, ou de collecte secondaire via de faux formulaires de support.

Flickr ne communique pas le nom du prestataire touché ni le nombre d’utilisateurs concernés. Ce silence complique l’évaluation externe, mais il ne change pas la logique de menace : dès que des coordonnées et des signaux d’usage circulent, les fraudeurs peuvent orchestrer des attaques “à la bonne adresse”, au bon moment, avec un récit cohérent.

Ce que Flickr demande aux utilisateurs, et ce que l’incident révèle

Dans les notifications par courriel, les utilisateurs potentiellement concernés sont invités à vérifier les paramètres de leur compte pour détecter toute modification suspecte. L’entreprise leur demande aussi de redoubler de prudence face aux messages d’hameçonnage, car des pirates pourraient exploiter des données volées pour usurper l’identité de Flickr. Elle rappelle un point de repère simple : Flickr ne demande jamais un mot de passe par e-mail.

L’entreprise indique enquêter sur l’incident, renforcer son architecture et resserrer ses contrôles sur les fournisseurs tiers. L’aveu implicite est celui d’une surface d’attaque élargie : même si le cœur du service n’est pas touché, un maillon périphérique peut exposer des informations suffisamment riches pour alimenter une fraude rentable. Dans ce schéma, le renseignement utile pour l’attaquant n’est pas le contenu des comptes, mais les métadonnées permettant de choisir une victime, de la profiler et de la convaincre.

À l’échelle cyber, l’épisode illustre une règle constante : les compromis “indirects” via prestataires transforment des données de contact en armes, et déplacent la bataille vers la détection de faux messages et la discipline des accès.

Banque, Cybersécurité, Justice

Fuite de données chez un géant de la CB : 192 000 commerçants touchés

Shinhan Card confirme une fuite visant environ 192 000 commerçants affiliés. Pas de cyberattaque, mais un soupçon de faute interne. Les autorités sud-coréennes sont saisies, sur fond de risque accru de phishing.

Shinhan Card, groupe sud-coréen de services financiers, a confirmé une fuite de données concernant environ 192 000 commerçants franchisés, majoritairement des indépendants. Les informations exposées portent surtout sur des numéros de téléphone, avec, dans une partie des cas, des éléments limités d’identité. L’entreprise indique qu’aucun numéro de carte, détail bancaire, numéro d’identification national ou donnée de crédit n’a, à ce stade, été identifié comme compromis.

Fuite interne, pas de piratage

Le scénario tranche avec l’imaginaire d’un assaut venu d’Internet. Shinhan Card affirme que l’incident n’est pas lié à une intrusion externe, mais à un comportement interne jugé déviant. Selon son explication, un employé d’une agence commerciale aurait transmis des données de commerçants à un recruteur de cartes, dans une logique de prospection. La formule choisie par la société est sans ambiguïté : « This was not due to external hacking but an employee’s misconduct » [Ce n’est pas un piratage], a déclaré un responsable de Shinhan Card, en précisant que la chaîne opérationnelle concernée a été bloquée.

Derrière ce vocabulaire, l’enjeu est concret : des indépendants, exploitant des points de vente affiliés, avaient fourni des informations personnelles dans le cadre des contrats standards liant commerçant et émetteur. Shinhan Card resserre le périmètre temporel : les contrats concernés s’échelonnent de mars 2022 à mai 2025. Autrement dit, l’exposition ne viserait pas l’ensemble des partenaires historiques, mais un segment récent, suffisamment vaste pour toucher près de deux cent mille entités.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

La nature des données divulguées est décrite comme « limitée« , mais elle suffit à alimenter des campagnes de manipulation. L’entreprise indique que la majorité des enregistrements concernent des numéros de téléphone mobile, environ 180 000 cas. Dans près de 8 000 situations, le numéro aurait fuité avec un nom. Un sous-ensemble plus restreint inclurait aussi des informations comme la date de naissance et le genre. Pour clarifier ce que recouvrent ces ordres de grandeur, on peut faire un calcul simple à partir des chiffres fournis : 192 000 au total moins 180 000 numéros seuls, moins 8 000 numéros accompagnés d’un nom, cela laisse environ 4 000 dossiers. Ce reliquat correspond plausiblement aux enregistrements où figurent des détails additionnels, sans que Shinhan Card ne donne de ventilation plus fine.

Sur le point le plus sensible, Shinhan Card martèle l’absence d’indice d’atteinte aux données financières critiques. L’enquête interne n’aurait détecté ni numéro d’enregistrement citoyen, ni numéro de carte, ni données de compte, ni information de crédit exposés. À ce stade, la société ajoute n’avoir reçu aucun signalement confirmé d’usage frauduleux lié à ces fuites.

L’affaire a émergé en fin d’année 2025, après un signalement adressé à la Personal Information Protection Commission (PIPC), autorité sud-coréenne de protection des données. Une fois alertée, la PIPC a demandé des pièces à Shinhan Card pour mesurer l’étendue de la fuite et en établir la cause. Après sa propre revue, l’entreprise indique avoir formellement notifié l’incident à la PIPC le 23 décembre, au titre des obligations de déclaration, et dit coopérer pendant l’examen.

En parallèle, Shinhan Card tente de reprendre la main sur la relation de confiance. Elle a publié des excuses et des consignes sur son site et son application, et mis en ligne une page dédiée permettant aux commerçants de vérifier s’ils figurent dans le périmètre. « We will make every effort to protect our customers and prevent similar incidents from recurring« , a assuré un porte-parole, en insistant sur un renforcement des contrôles internes et une révision des droits d’accès aux données marchands.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Cybersécurité, Entreprise, Securite informatique

Email, première brèche pour les entreprises en 2025

En 2025, l’email reste la porte d’entrée la plus rentable pour les attaquants. Un rapport mondial décrit des violations fréquentes, coûteuses et liées au ransomware, avec une réponse freinée par l’humain et l’automatisation.

Selon le Rapport 2025 sur les violations de la sécurité des emails de Barracuda, fondé sur une enquête auprès de 2 000 décideurs IT et sécurité (avril-mai 2025), 78 % des organisations interrogées ont subi une violation liée à l’email sur douze mois . Les attaques les plus citées mêlent phishing et spear phishing (27 % des victimes), compromission de messagerie professionnelle, dite BEC (24 %), et piratage de compte (22 %). L’étude souligne un enchaînement typique, le phishing ouvrant la voie à des compromissions plus profondes, jusqu’au ransomware. Elle chiffre aussi l’impact, de la réputation aux arrêts d’activité, et met en évidence un point dur pour les petites structures, qui supportent un coût par employé nettement plus élevé.

Une chaîne d’attaque structurée autour de l’email

L’enquête, menée dans plusieurs zones (États-Unis, Royaume-Uni, France, DACH, Benelux, Nordiques, Australie, Inde, Japon) auprès d’organisations de 50 à 2 000 employés, décrit un paysage où les menaces s’emboîtent. Le rapport insiste sur un mécanisme de « premier domino » : l’hameçonnage sert souvent de point de départ, puis les identifiants volés alimentent l’usurpation d’identité interne, le piratage de comptes et, dans certains cas, la livraison de charges malveillantes .

Dans les réponses, les victimes citent aussi virus et malwares (29 %), spam (28 %), usurpation de marque (23 %), détournement de conversations (17 %) et menace interne intentionnelle (19 %). Cette diversité est un indicateur utile côté renseignement : la surface d’attaque ne se limite pas au « mail piégé », elle inclut la crédibilité de l’expéditeur, la continuité des fils de discussion et les techniques de spoofing. Le rapport rappelle que les attaquants peuvent falsifier le nom d’affichage, le domaine ou recourir à des domaines sosies pour obtenir un clic, un virement ou un identifiant.

La BEC est décrite comme une menace ciblée et financièrement motivée : l’objectif n’est pas seulement l’intrusion, mais la tromperie opérationnelle, pousser un employé à transférer de l’argent ou à divulguer des informations sensibles. Dans une logique renseignement, cela met l’accent sur la connaissance de l’organisation par l’adversaire, ses procédures de paiement, ses habitudes d’échanges et ses « signaux de confiance » internes.

Des dégâts mesurables, une réputation fragile

Le rapport situe la conséquence la plus fréquente au niveau de la marque : 41 % des répondants citent une atteinte à la réputation, avec, pour une partie d’entre eux, une perte d’opportunités commerciales qui pèse sur la croissance . Les effets opérationnels suivent de près : interruptions d’activité et temps d’arrêt (38 %), baisse de productivité (36 %). La perte de données sensibles est également mentionnée par 36 % des organisations, et les impacts commerciaux se traduisent par une perte de nouvelles affaires (27 %) et de clients (25 %) .

Le rapport note que l’atteinte à la réputation peut dépasser la perception immédiate, en entraînant des conséquences juridiques, contractuelles et stratégiques. Dit autrement, l’email n’est pas qu’un vecteur technique : c’est une zone de confiance. Lorsqu’elle est compromise, la capacité d’une organisation à convaincre, signer et encaisser peut se dégrader, même après remise en état des systèmes.

Pour objectiver l’impact, l’étude donne un coût moyen de réponse et de récupération de 217 068 $ (199 702,56 €), conversion indicative calculée avec l’hypothèse 1 $ = 0,92 € (217 068 × 0,92 = 199 702,56) . Cette moyenne cache un point clé : le choc relatif est plus violent pour les petites structures. La mesure d’atténuation la plus coûteuse atteint en moyenne 145 921 $ (134 247,32 €) pour les organisations de 50 à 100 employés, contre 364 132 $ (335 001,44 €) pour celles de 1 000 à 2 000 employés, toujours avec la même hypothèse de conversion . Le rapport traduit surtout cette asymétrie en coût par employé : 1 946 $ (1 790,32 €) dans les petites organisations, contre 243 $ (223,56 €) dans les plus grandes. Le calcul est direct, 1 946 × 0,92 = 1 790,32 et 243 × 0,92 = 223,56.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres

Détection, réponse, ransomware : le temps comme facteur de risque

La donnée la plus opérationnelle concerne la vitesse. La moitié des organisations indiquent avoir détecté la violation en moins d’une heure . Pourtant, le rapport relie les retards à un risque accru de ransomware : 71 % des organisations ayant subi une violation email déclarent aussi un ransomware sur la même période . L’explication avancée est une continuité de chaîne : un message de phishing « anodin » sert de tremplin, via identifiants volés ou accès compromis, puis les pièces jointes et liens malveillants facilitent la livraison et l’extension de l’attaque.

L’étude compare les profils. Parmi les victimes de violations email non touchées par un ransomware, 58 % détectent en moins d’une heure et 47 % atténuent la menace dans l’heure suivant la détection. À l’inverse, chez celles touchées aussi par ransomware, 51 % mettent de deux heures à une journée ouvrée pour détecter, et 56 % nécessitent de deux à huit heures après détection pour atténuer . Le rapport résume : 64 % des victimes de ransomware mettent plus de deux heures à corriger une violation email.

Pourquoi ce délai ? Trois familles d’obstacles ressortent. D’abord, la sophistication et l’évasion : 47 % citent les techniques d’évasion avancées comme principal frein à une réponse rapide, et 43 % pointent des emails plus convaincants dans le langage et la mise en forme . Ensuite, l’humain : 46 % observent une forme de complaisance, les employés supposant que les outils les protègent quoi qu’il arrive, et 34 % indiquent que les mails suspects ne sont pas signalés. Enfin, l’outillage : 44 % estiment que l’absence de réponse automatisée retarde détection, confinement et nettoyage des boîtes de réception, tandis que 40 % évoquent le manque de personnel qualifié .

La recommandation implicite côté renseignement est claire : réduire la fenêtre d’exploitation exige des signaux exploitables vite, des procédures d’isolement, et des capacités de suppression post-livraison. Le rapport évoque une approche intégrée, mêlant détection avancée, formation, automatisation, authentification multifacteur et protocoles d’authentification (SPF, DKIM, DMARC), ainsi que l’usage de flux de renseignements sur les menaces pour suivre domaines malveillants et tactiques émergentes .

Le tableau dressé est celui d’une menace email industrialisée, où la compromission initiale conditionne la suite, BEC ou ransomware, et où le facteur temps, plus encore que l’outil, décide souvent de l’ampleur des dégâts. Si 44 % des organisations lient leurs retards au manque d’automatisation, jusqu’où une réponse orchestrée et nourrie par le renseignement sur les menaces peut-elle raccourcir la fenêtre qui sépare l’email reçu de l’attaque réussie ?

 

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

Antivirus, Cybersécurité, Securite informatique

Antivirus en 2026 : toujours indispensable ?

En 2026, les protections intégrées progressent, mais les attaques aussi. La vraie question n’est plus « antivirus ou pas », c’est quel niveau de contrôle vous voulez sur vos postes et vos données.

Faut-il encore installer un antivirus en 2026, alors que Windows, macOS, iOS et Android intègrent déjà des défenses solides ? La réponse dépend moins d’un réflexe d’achat que d’un modèle de risque : usages, exposition, valeur des données et capacité à réagir vite. Un antivirus moderne n’est plus seulement un « scan » de fichiers, il sert à bloquer des comportements, filtrer le web, durcir le navigateur, surveiller des processus et produire des traces utiles après incident. Pour un particulier, il peut réduire l’impact des arnaques et des téléchargements piégés. Pour une entreprise, il devient une brique d’hygiène et de preuve, surtout face au phishing, aux rançongiciels et aux vols d’identifiants.

Ce qui a changé : l’antivirus n’est plus un simple “scanner”

Pendant longtemps, l’antivirus a été résumé à une image : un programme qui repère une « signature » dans un fichier, puis le met en quarantaine. En 2026, cette vision est trop étroite, parce que la menace ne se limite plus à un exécutable grossier déposé sur le disque. Les attaques s’insinuent via le navigateur, des documents piégés, des scripts, des extensions, des publicités, ou des identifiants volés. Elles misent souvent sur la vitesse, l’automatisation et la confusion, plutôt que sur un code facilement reconnaissable.

L’antivirus moderne, quand il est bien conçu, travaille donc sur plusieurs couches. Il peut analyser des comportements, détecter des enchaînements suspects, bloquer des connexions vers des destinations risquées, empêcher un processus de modifier massivement des fichiers, ou alerter sur des tentatives d’accès aux mots de passe du navigateur. Ce glissement est important pour comprendre le débat. Si vous pensez « antivirus = signatures », vous conclurez trop vite que les protections intégrées suffisent. Si vous pensez « antivirus = surveillance, blocage, et preuves », vous verrez qu’il reste une valeur, à condition de choisir une solution adaptée et de ne pas la laisser fonctionner en roue libre.

Il faut aussi regarder l’adversaire tel qu’il opère réellement. Le cybercrime industrialisé ne cherche pas forcément à « infecter » au sens classique, comme une grippe ,hivernale. Il cherche à monétiser, en volant des comptes, en extorquant, en détournant une session, ou en poussant à payer une fausse assistance comme on peut le lire dans cet article. Dans ce théâtre, la prévention ne se limite pas à éviter un fichier. Elle consiste à réduire les occasions de cliquer, à limiter les permissions, à contrôler les scripts, à contenir l’exécution, et à récupérer des indices quand quelque chose a dérapé. L’antivirus, dans sa version 2026, est souvent l’un des rares outils grand public capables d’apporter ces protections sans exiger une équipe sécurité.

Enfin, il y a un aspect rarement assumé : la charge mentale. Beaucoup d’incidents naissent d’un moment d’inattention, d’un faux message « urgent », d’une fenêtre qui se superpose, d’une page qui imite un service. Dans ces scénarios, un bon produit ne remplace pas le discernement, mais il peut casser la chaîne, au bon moment, en bloquant un site, un script, un téléchargement ou une action à risque. C’est moins spectaculaire qu’un « nettoyage » après coup, mais c’est là que se joue l’essentiel.

Protections natives : suffisantes pour qui, et dans quels usages ?

Les systèmes actuels intègrent des mécanismes de défense sérieux. Pour beaucoup d’utilisateurs, c’est déjà une base efficace, à condition d’activer les options de sécurité, de maintenir le système à jour, et de ne pas transformer l’ordinateur en terrain d’essai. Dans ce cadre, la question “faut-il encore un antivirus ?” devient une question de couverture. Qu’est-ce qui est déjà pris en charge, et qu’est-ce qui reste fragile dans votre usage quotidien ?

Le premier facteur, c’est l’exposition. Un poste utilisé pour consulter des sites connus, avec peu d’extensions, des mises à jour automatiques et des comptes protégés, court moins de risques qu’un poste où l’on télécharge souvent, où l’on installe des utilitaires, où l’on partage des fichiers, ou où l’on jongle entre plusieurs comptes. Le second facteur, c’est la valeur des actifs. Si votre machine contient des documents sensibles, des accès professionnels, des identifiants bancaires, ou si elle sert de « coffre-fort » à vos vies numériques, alors votre seuil d’acceptation du risque est plus bas. Le troisième facteur, c’est votre capacité à réagir. Un incident n’est pas seulement un “virus”. C’est du temps perdu, des mots de passe à changer, des comptes à récupérer, parfois des démarches, et une incertitude sur ce qui a été vu ou copié.

Dans cet arbitre, l’antivirus tiers peut ajouter des couches de protection ou de visibilité. Il peut offrir une interface plus lisible, des contrôles web plus agressifs, des règles plus strictes sur les scripts, un suivi d’événements, et des outils de remédiation. Il peut aussi fournir une forme de redondance utile. Une défense n’est pas parfaite, donc deux lignes de défense, si elles ne se gênent pas, peuvent réduire la probabilité qu’un même angle mort soit exploité.

C’est là que le choix devient concret. Chercher le meilleur antivirus n’a de sens que si vous définissez vos critères, simplicité, impact sur les performances, protection web, gestion des alertes, et qualité des journaux en cas d’incident. Sinon, vous achetez un logo et vous espérez. En cybersécurité, l’espoir n’est pas une stratégie, la clarté des règles l’est.

Le vrai risque en 2026 : l’arnaque qui ressemble au normal

Si l’on devait résumer le danger dominant côté grand public, ce ne serait pas « le virus » au sens des années 2000. Ce serait l’arnaque parfaitement plausible, livrée au bon moment, avec les bons codes visuels, et parfois une assistance téléphonique qui imite un support officiel. Les ransomwares et les vols d’identifiants continuent de peser, mais ils arrivent souvent par un point d’entrée très banal : un lien, une pièce jointe, une connexion sur un faux site, un mot de passe réutilisé.

Dans ces attaques, l’antivirus joue un rôle moins visible mais décisif, casser des redirections, empêcher un téléchargement, détecter un script inhabituel, bloquer un domaine récemment utilisé pour des campagnes, alerter sur un comportement de chiffrement massif, ou isoler une action suspecte. Ce sont des micro-interruptions qui peuvent éviter un incident majeur. La défense la plus efficace est celle qui vous épargne l’étape où vous devez « récupérer » votre vie numérique. Un logiciel de cybersécurité qui produit des traces compréhensibles n’est pas seulement une barrière, c’est un instrument d’enquête à l’échelle du poste.

En 2026, la question n’est pas de savoir si l’antivirus « sert encore », mais si votre environnement exige une couche supplémentaire de blocage, de contrôle web et de traçabilité. Pour un usage simple et discipliné, les protections natives peuvent suffire. Dès que l’exposition augmente, téléchargements, usages professionnel, données sensibles, famille peu technophile, une solution dédiée redevient rationnelle, indispensable. Le point décisif est la capacité à prévenir, mais aussi à comprendre, quand une tentative a eu lieu : sans traces, on subit, avec des preuves, on corrige. (Image : Pixabay)

backdoor, Base de données, Cyber-attaque, Cybersécurité, Entreprise, Piratage, Securite informatique

Fuites massives via Salesforce : l’effet domino des applis tierces

Une série d’attaques de phishing exploitant l’intégration entre Salesforce et l’appli Drift expose de grandes entreprises mondiales à des fuites massives de données clients et à des poursuites judiciaires.

Ces derniers mois, Stellantis, KLM, Adidas, Qantas, Allianz Life, Louis Vuitton, Dior, Tiffany & Co. et Pandora ont signalé des violations de données liées à l’usage d’une application tierce connectée à Salesforce. Le gang ShinyHunters est accusé d’avoir détourné des jetons OAuth de la plateforme Drift Salesloft pour siphonner des informations sensibles de bases CRM. Noms, emails et numéros de téléphone ont circulé, exposant clients et employés à un risque élevé de phishing. Plusieurs victimes poursuivent Salesforce en Californie, estimant que l’éditeur n’a pas garanti une protection suffisante. Cette affaire illustre les failles critiques de la cybersécurité dans la chaîne d’approvisionnement logicielle.

Une faille exploitée dans l’écosystème Salesforce

Au printemps, une vague d’attaques a visé l’intégration entre Salesforce, leader mondial du CRM, et Drift Salesloft, une plateforme d’automatisation marketing. Ce connecteur permet aux entreprises de synchroniser conversations clients et données commerciales. Les cybercriminels du groupe ShinyHunters ont exploité les jetons OAuth de Drift, normalement destinés à authentifier des applications, pour interroger les bases Salesforce de leurs cibles. Ils ont ainsi accédé à des objets tels que Cases, Accounts, Users et Opportunities. Ces requêtes leur ont permis de récupérer des informations identifiantes comme adresses mail, numéros de téléphone et identifiants internes.

Selon Google Threat Intelligence Group (GTIG), il ne s’agissait pas d’une faille structurelle de Salesforce mais bien d’un abus des droits accordés par l’appli tierce. Une fois alerté, Salesforce a retiré Drift de son AppExchange et conseillé de désactiver l’intégration. L’entreprise insiste sur le fait que ses clients non-utilisateurs de Drift ne sont pas concernés.

Des multinationales contraintes de notifier des fuites

La liste des victimes reflète l’ampleur du problème. Constructeur automobile, compagnies aériennes, assureurs, groupes de luxe et distributeurs de mode ont été touchés. Stellantis, KLM, Adidas, Qantas, Allianz Life, Louis Vuitton, Dior, Tiffany & Co. et Pandora ont confirmé des incidents. Tous ont dû notifier des clients exposés à la perte de données. Le Service Veille de ZATAZ a d’ailleurs remarqué que le compte Telegram de ceux qui s’annonçaient comme les auteurs de ces infiltrations a été fermé. L’espace affiche un message laconique « fermé pour non respect des règles« .  La justice est-elle passée par là ?

Les informations volées n’ont pas l’ampleur de numéros de cartes bancaires ou de mots de passe, mais elles suffisent à alimenter des campagnes de phishing ciblé. Les cybercriminels peuvent désormais usurper des identités, exploiter des mails professionnels crédibles ou orchestrer des fraudes au président. Cette réutilisation des données accentue le risque de compromission secondaire, souvent plus destructeur que la fuite initiale.

Le gang ShinyHunters, actif depuis plusieurs années, a revendiqué de nombreuses campagnes similaires. Entre mai et août, il aurait lancé des centaines d’attaques contre des organisations connectées à Salesforce par Drift, industrialisant l’usage frauduleux de jetons OAuth.

Procès en Californie et question de responsabilité

Au-delà du volet technique, le scandale devient juridique. Une quinzaine de plaintes ont été déposées en Californie contre Salesforce. Plusieurs cherchent à obtenir le statut de recours collectif. Les plaignants accusent l’éditeur de n’avoir pas pris les mesures suffisantes pour sécuriser l’accès aux données, malgré sa position dominante sur le marché du CRM.

Salesforce réfute ces accusations et insiste sur l’absence de vulnérabilité directe dans sa plateforme. L’entreprise renvoie la responsabilité vers la connexion tierce. Les victimes rétorquent que l’éditeur aurait dû mieux contrôler les applications autorisées sur son marketplace et sécuriser les processus d’intégration.

Cette affaire illustre la zone grise de la cybersécurité en chaîne d’approvisionnement. Lorsqu’un maillon externe est compromis, la responsabilité du fournisseur principal reste floue. Or, pour des entreprises dont la valeur repose sur la confiance client, l’impact réputationnel est immédiat.

backdoor, Cyber-attaque, Cybersécurité, Securite informatique

Google sous pression après une menace du collectif Scattered LapSus Hunters

Un collectif cybercriminel exige le licenciement de deux experts sécurité de Google. Sans preuve d’intrusion, la menace illustre une nouvelle tactique d’intimidation contre les équipes de renseignement.

Le collectif Scattered LapSus Hunters, réunissant trois groupes de pirates connus, menace Google de divulguer des données internes si deux de ses experts en cybersécurité ne sont pas renvoyés. Cette demande inédite, relayée sur Telegram, cible directement les équipes de Threat Intelligence de l’entreprise. Aucune preuve d’intrusion n’a été présentée à ce jour, mais la menace intervient après une fuite récente liée à un prestataire Salesforce ayant touché des données de contacts professionnels. Google n’a pas confirmé de compromission ni réagi publiquement à cet ultimatum. L’affaire met en lumière les pressions croissantes exercées sur les géants technologiques et le rôle clé de leurs cellules de renseignement cyber.

Origines et méthodes du collectif

Les Scattered LapSus Hunters se présentent comme une alliance de trois acteurs notoires de la cybercriminalité : Scattered Spider, LapSus$ et ShinyHunters. Chacun s’est déjà illustré par des attaques marquantes contre de grandes entreprises technologiques. Scattered Spider est réputé pour ses campagnes de social engineering et ses opérations de rançongiciels. LapSus$ s’est fait connaître en piratant Microsoft, NVIDIA et d’autres géants du secteur. ShinyHunters, pour sa part, a bâti sa réputation en volant et en revendant des bases de données issues de plateformes comme Wattpad ou Tokopedia. Personne ne s’est encore imaginé « publiquement » qu’ilm s’agirait peut-être de la même personne, cachait depuis peu sous ces trois signatures.

Cette coalition revendique aujourd’hui une stratégie atypique : exiger non pas une rançon financière, mais le renvoi de deux employés de l’équipe de Threat Intelligence de Google. Une telle démarche suggère que ces analystes mènent activement des enquêtes susceptibles de nuire aux opérations des cybercriminels. Les noms n’ont pas été divulgués, mais le ciblage personnel constitue une escalade significative dans la confrontation entre acteurs malveillants et équipes de défense.

Alerte après une fuite via Salesforce

La menace survient quelques semaines après un incident impliquant l’écosystème de Google. En août, l’un des groupes liés au collectif a exploité une faille chez Salesforce, prestataire externe de Google, pour accéder à des données de contacts professionnels. Les systèmes centraux de l’entreprise n’ont pas été compromis, mais l’événement a permis aux attaquants de récupérer des informations exploitables pour des campagnes de phishing et de vishing à grande échelle.

Face à ce risque accru, Google a diffusé une recommandation mondiale de réinitialisation de mots de passe, visant ses 2,5 milliards d’utilisateurs Gmail. Ce geste illustre la sensibilité de la menace, même lorsque la compromission ne touche pas directement les infrastructures internes. Les cybercriminels misent sur ces brèches périphériques pour multiplier les angles d’attaque.

À ce stade, Google n’a publié aucun communiqué officiel en réponse à l’ultimatum des Scattered LapSus Hunters. L’entreprise semble attendre d’éventuelles preuves tangibles avant d’ajuster sa posture publique. Complyer à une exigence visant des employés serait inédit et risquerait de créer un précédent dangereux, incitant d’autres groupes à recourir à l’extorsion ciblée.

Cette situation constitue un test pour les grandes entreprises technologiques. Elles doivent arbitrer entre discrétion stratégique, communication transparente envers leurs utilisateurs et protection de leurs équipes de renseignement. Si les pirates publient un jour des preuves crédibles d’intrusion, Google sera contraint d’activer ses protocoles de divulgation et de confinement. En attendant, l’épisode illustre la montée en puissance des tactiques de pression psychologique sur les défenseurs, autant que sur les infrastructures techniques.