La journée a été dominée par la description d’une attaque destructrice dans le cloud Azure et par une série de fuites de données, au Japon comme en France. Côté failles, l’agence américaine CISA confirme l’exploitation à l’échelle mondiale des deux failles Citrix NetScaler.
Attaques
- Azure : des ressources cloud effacées en sept minutes. Avec deux comptes techniques compromis, un attaquant suivi par Microsoft sous le nom Storm-3168 (JadePuffer) a supprimé plus de 100 espaces de stockage chez une organisation non nommée. Les identifiants de l’un de ces comptes avaient été publiés sur GitHub. BleepingComputer, 28 septembre 2026
- Keio (transport ferroviaire et hôtellerie, Japon) confirme un rançongiciel. Le réseau a été coupé par précaution le 26 septembre ; les paiements dans les hôtels ont été perturbés selon la presse locale, les trains ne semblent pas touchés. Aucune revendication connue à cette date. BleepingComputer, 28 septembre 2026
- Times Car (autopartage, Japon) : 6,6 millions de comptes concernés. Noms, adresses, dates de naissance, téléphones et images de permis de conduire font partie des données touchées ; les mots de passe étaient stockés sous une forme non réversible et aucune carte bancaire n’est concernée. BleepingComputer, 28 septembre 2026
- FBI : vol de données d’agents revendiqué par ShinyHunters. Selon TechCrunch, le FBI a déclaré un incident en interne après le piratage de son portail de recrutement ; noms, adresses, fonctions et numéros de sécurité sociale d’agents seraient exposés. Le FBI n’avait pas confirmé publiquement à cette date. TechCrunch, 28 septembre 2026
- Un éditeur français d’e-santé visé par une revendication massive. Le groupe ChimeraZ affirme détenir les données de 8,6 millions de patients de 168 centres médicaux, dont des mineurs ; les échantillons ont été jugés cohérents par cyberattaque.org. Volumes non confirmés par l’éditeur. cyberattaque.org, 28 septembre 2026
- Adresses et digicodes en vente : la fuite qui devient un risque physique. Un pirate revendique le vol des données de 96 000 personnes chez un éditeur français de logiciel d’états des lieux immobiliers, avec 1 856 codes d’accès d’immeubles. Revendication non confirmée par l’éditeur. cyberattaque.org, 28 septembre 2026
Vulnérabilités
- Citrix NetScaler : exploitation mondiale confirmée par la CISA. L’agence américaine a ajouté les deux failles à son catalogue des vulnérabilités exploitées et fixé au 30 septembre l’échéance de correction pour les administrations fédérales. Citrix publie une procédure en cas de compromission : isoler l’équipement, le reconstruire, changer les secrets et certificats. The Hacker News, 28 septembre 2026
- Supabase : plus de 16 000 bases de données lisibles par n’importe qui. Selon la société UpGuard, des règles d’accès absentes ou mal réglées exposent des données personnelles dans plus de la moitié des cas, parfois des mots de passe. UpGuard y voit un effet du développement assisté par IA, sans que ce soit prouvé pour chaque site. BleepingComputer, 28 septembre 2026
Réglementation et normes
Rien de notable ce jour-là.
Pour aller plus loin : notre décryptage du jour, « Cloud Azure : sept minutes pour tout effacer avec deux comptes techniques ».
Veille publiée le 29 septembre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.