Une campagne de vol de cartes bancaires menée en grande partie par des agents d’intelligence artificielle montre que pirater un petit site marchand ne coûte presque plus rien. Côté failles, la faille critique de WordPress corrigée en début de semaine est déjà exploitée.
Attaques
- Des agents d’IA utilisés pour voler des cartes bancaires sur des sites marchands. Selon la société Gambit, un attaquant a confié l’essentiel du travail à trois outils d’IA open source : au moins 119 sites infectés par un code espion sur leurs pages de paiement et plus de 600 000 cartes volées chez deux entreprises, pour un coût d’environ 25 dollars par cible. BleepingComputer, 23 septembre 2026
- Place des Salariés : violation de données confirmée. L’éditeur de cette plateforme confirme une intrusion survenue le 16 septembre : identité, employeur, informations sur les conjoints et enfants, justificatifs et identifiants de connexion ont pu être copiés. Mots de passe réinitialisés, CNIL prévenue, plainte en cours. cyberattaque.org, 23 septembre 2026
- Une plateforme européenne de gestion de clubs et d’associations visée par une fuite revendiquée. Un pirate affirme détenir les données de 1,53 million de membres (noms, e-mails, photos), dont environ 16 700 liés à la France selon lui. Non confirmé par la plateforme. cyberattaque.org, 23 septembre 2026
- Rançongiciels : record de l’année en août. NCC Group a compté 1 073 victimes en août 2026, soit 12 % de plus qu’en juillet. L’Europe représente 26 % des victimes et l’industrie 31 %. Infosecurity Magazine, 23 septembre 2026
Vulnérabilités
- WordPress : la faille critique est désormais exploitée. Les premières tentatives sont apparues moins de 5 heures après la publication du correctif, puis le trafic d’attaque a été multiplié par dix le 23 septembre. Passez en 7.1.2 (ou la version corrigée de votre branche) et faites vérifier les journaux du site. BleepingComputer, 23 septembre 2026
- Routeurs D-Link DIR-822A : faille grave sans correctif. Elle peut être exploitée depuis le réseau local sans mot de passe, et aucun correctif n’est prévu pour l’instant. Ce modèle est ancien : envisagez de le remplacer. BleepingComputer, 22 septembre 2026
- F5 BIG-IP APM : faille critique exploitée. Elle permet de prendre le contrôle de l’équipement sans compte, quand il est configuré pour gérer certaines connexions (serveur d’autorisation OAuth). Restreindre l’accès à l’interface d’administration ne suffit pas : un correctif est disponible via le support F5. The Hacker News, 23 septembre 2026
Réglementation et normes
- RGPD : un éditeur de logiciels RH sanctionné en Suède. L’autorité suédoise inflige 1,8 million de couronnes (environ 183 000 dollars) à Miljödata après une fuite touchant 2,2 millions de personnes en 2025. Elle lui reproche des contrôles insuffisants et l’absence de surveillance automatisée en temps réel. BleepingComputer, 22 septembre 2026
Pour aller plus loin : notre décryptage du jour, « Vol de cartes bancaires : quand des agents d’IA attaquent les sites marchands pour 25 dollars ».
Veille publiée le 24 septembre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.