Entre mai et juillet 2026, des attaquants ont piégé à plusieurs reprises, pendant cinq à dix minutes seulement, les fichiers de mise à jour du logiciel de sauvegarde AOMEI Backupper. Les ordinateurs qui ont cherché une mise à jour pendant ces minutes ont installé une porte dérobée, en toute confiance. Une leçon simple : une mise à jour qui vient du serveur officiel n’est pas forcément saine.
Ce qui s’est passé
AOMEI Backupper est un logiciel de sauvegarde et de clonage de disques pour Windows, très répandu chez les particuliers et les petites structures. Comme beaucoup de logiciels, il demande régulièrement aux serveurs de son éditeur s’il existe une nouvelle version.
Selon les équipes de Google (Google Threat Intelligence Group et Mandiant) et le laboratoire de ManageEngine, des attaquants ont modifié à au moins trois reprises, le 28 mai, le 16 juillet et le 20 juillet 2026, les fichiers servis par ces serveurs (The Hacker News, 16 octobre 2026). Chaque fois pendant quelques minutes. Les postes qui faisaient leur vérification à ce moment-là ont reçu un faux paquet de mise à jour et l’ont exécuté.
Des organisations des services informatiques, des télécoms et de l’enseignement supérieur ont été touchées dans 11 pays. La France ne figure pas dans la liste publiée, mais le nombre total de victimes n’est pas connu.
Comment l’attaque a fonctionné
Aucune faille n’a été exploitée sur les ordinateurs. Le logiciel faisait confiance à deux petits fichiers texte téléchargés chez l’éditeur : l’un indique quel paquet installer, l’autre ce qu’il faut afficher et lancer. Aucun des deux n’était signé, c’est-à-dire protégé par une preuve électronique d’authenticité. Il suffisait donc de les modifier sur le serveur.
Sur le poste, le faux paquet installait une tâche qui se relance toutes les trois heures, puis un programme espion qui donnait à l’attaquant la main à distance. Ensuite, il remettait les fichiers d’origine en place et s’effaçait. Le 20 juillet, une autre astuce permettait même de récupérer une empreinte du mot de passe Windows de l’utilisateur, sans rien installer.
Le piège est là : quand un analyste vérifiait ensuite la page de l’éditeur, tout semblait normal. Selon les chercheurs, de vraies alertes ont ainsi été classées en fausses alarmes.
Ce qu’on ne sait pas encore
- Comment les attaquants ont pu modifier les fichiers sur les serveurs de l’éditeur.
- Combien d’ordinateurs ont été touchés, et quelles versions du logiciel sont concernées.
- Si le problème de fond est réglé : AOMEI dit avoir sécurisé ses serveurs fin juillet, mais aucune version publiée n’annonce à ce jour de vérification renforcée des mises à jour, selon The Hacker News.
Ce que ça change pour une PME
- Faites la liste des logiciels qui se mettent à jour tout seuls, en particulier ceux qui tournent avec des droits élevés, comme les outils de sauvegarde ou de prise en main à distance.
- Si vous utilisez AOMEI Backupper ou AnyViewer, demandez une vérification des postes sur la période d’avril à juillet 2026, même si tout semble normal : la sécurisation des serveurs de l’éditeur ne nettoie pas les machines déjà touchées.
- Ne laissez pas clore une alerte de sécurité trop vite : avant de parler de fausse alarme, il faut garder les traces du moment où elle s’est déclenchée.
- Gardez une sauvegarde déconnectée, que ni le logiciel ni un attaquant ne peuvent modifier.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous quels logiciels installés chez nous se mettent à jour seuls, et avec quels droits ?
- Avant de choisir un logiciel, vérifions-nous comment l’éditeur garantit que ses mises à jour sont authentiques ?
- Quand une alerte de sécurité concerne un logiciel « de confiance », qui l’examine, et garde-t-on les preuves avant de la classer ?
- Nos ordinateurs peuvent-ils envoyer des informations de connexion vers n’importe quel serveur sur Internet, ou ces échanges sont-ils bloqués ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Fournisseurs et sous-traitants · Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 17 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.