La clé d’accès d’un service de sauvegarde Microsoft 365, utilisé par de nombreux infogérants, a servi à entrer chez plus de 160 de leurs clients. Côté sites marchands, une faille critique de Magento devrait être exploitée rapidement.
Attaques
- Sauvegarde Microsoft 365 : la clé d’un prestataire utilisée pour entrer chez ses clients. Le 15 octobre, un attaquant s’est fait passer pour l’application ConnectWise Cloud Backup, qui a le droit de lire les e-mails et fichiers de chaque client. Plus de 160 environnements ont été visités selon la société Huntress, et Microsoft a confirmé l’attaque. ConnectWise a coupé le service le 17 octobre. BleepingComputer, 17 octobre 2026
- Japon : Burger King confirme la fuite de 11 millions de fiches clients. Les données des utilisateurs de son application (noms, dates de naissance, e-mails, téléphones, commandes) ont été volées début octobre. Pas de numéros de carte bancaire selon l’entreprise, mais un risque de faux messages à son nom. BleepingComputer, 16 octobre 2026
- France : un opérateur de fibre pour entreprises prévient ses partenaires d’un incident. Selon un observatoire spécialisé, le courriel envoyé aux partenaires évoque un accès possible à des noms, e-mails professionnels et parfois des IBAN. L’extraction n’est pas établie et l’information n’est pas confirmée publiquement à ce stade. Soyez prudents face à toute demande de changement de coordonnées bancaires. Cyberattaque.org, 17 octobre 2026
Vulnérabilités
- Magento et Adobe Commerce : une faille critique à corriger sans attendre. Elle permet de prendre la main sur le serveur d’une boutique en ligne. Aucune attaque n’est signalée, mais des chercheurs jugent une exploitation de masse imminente, alors qu’Adobe laisse 30 jours pour corriger. Demandez à votre prestataire si la mise à jour d’octobre est installée. BleepingComputer, 16 octobre 2026
- Drupal : une seconde faille critique corrigée. Après celle du cœur du logiciel, signalée dans notre bulletin du 16 octobre, une faille touche le module complémentaire Entity List. Les sites qui l’utilisent doivent le mettre à jour. BleepingComputer, 17 octobre 2026
Réglementation et normes
- CNIL : deviner l’adresse e-mail professionnelle d’un prospect reste encadré. Dans une fiche publiée le 16 octobre, la CNIL explique que reconstituer une adresse du type prenom.nom@entreprise.fr à partir d’informations en ligne est un traitement soumis au RGPD. C’est possible pour de la prospection entre professionnels, sous conditions : tenir compte de ce que la personne a rendu public, ne pas garder l’adresse sans échange, et retirer immédiatement ceux qui s’y opposent. CNIL, 16 octobre 2026
Pour aller plus loin : notre décryptage du jour, « Sauvegarde Microsoft 365 : quand la clé du prestataire ouvre la porte de ses clients ».
Veille publiée le 18 octobre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.