Deux prestataires informatiques au cœur des fuites de la journée : celui des caisses de Bureau Vallée et l’hébergeur web DreamHost. Côté failles, OpenSSH, Zyxel et Barracuda publient des correctifs urgents, et la CNIL encadre les outils qui enregistrent votre navigation.
Attaques
- Bureau Vallée confirme deux vols de données chez son prestataire de caisse. L’enseigne de fournitures de bureau reconnaît deux incidents distincts chez le prestataire de ses logiciels de caisse et de gestion : coordonnées, tickets de caisse et données de fidélité de clients ont été copiés. Le site de vente en ligne et les cartes bancaires ne sont pas concernés selon l’enseigne ; le nombre de personnes touchées n’est pas communiqué, et les 4,8 millions de clients revendiqués en août par un pirate ne sont pas confirmés. Attention aux faux messages de remboursement ou de fidélité. Cyberattaque.org, 5 novembre 2026
- Hébergeur web DreamHost : des identifiants de clients volés pendant environ deux mois. Une faille dans l’outil en ligne qui sert à gérer les fichiers des sites a permis de récupérer les identifiants FTP/SFTP de clients, et ceux de quelques boîtes mail. Moins de 10 % des comptes seraient touchés selon l’hébergeur. DreamHost, 29 octobre 2026
- Seine-Saint-Denis : des données d’usagers du service des encombrants exposées chez un prestataire. Grand Paris Grand Est a informé des usagers qu’une faille, détectée le 28 septembre sur la plateforme de rendez-vous de son collecteur de déchets, a permis à un tiers d’accéder à leurs adresses e-mail et numéros de téléphone. La CNIL a été notifiée. Cyberattaque.org, 5 novembre 2026
Vulnérabilités
- OpenSSH : correctif d’urgence pour certains serveurs Linux. Sur Alpine Linux et d’autres systèmes de la même famille, un mot de passe très long pouvait ouvrir un compte qui n’en a pas. La version 10.6p2 corrige le problème ; à défaut, il faut désactiver la connexion par mot de passe. Aucune attaque n’est signalée. The Hacker News, 5 novembre 2026
- Commutateurs Zyxel GS1900 : le correctif de juin ne suffisait pas. Les attaquants pouvaient toujours prendre la main sur ces équipements réseau par leur interface d’administration, sans mot de passe. Un nouveau micrologiciel (2.90 Patch 3) est disponible pour dix modèles. The Hacker News, 5 novembre 2026
- Barracuda : deux failles critiques sur six produits de sécurité. Combinées, elles donnent le contrôle total de l’équipement (passerelle de messagerie, pare-feu applicatif…) via son interface d’administration. Les correctifs sont publiés ; aucune exploitation n’est signalée. Centre canadien pour la cybersécurité, 2 novembre 2026
- iPhone et Mac : une ancienne faille Apple officiellement exploitée. L’agence américaine de cybersécurité (CISA) l’a ajoutée à sa liste des failles exploitées, en lien avec la campagne d’espionnage visant les téléphones signalée dans notre bulletin du 5 novembre. Elle est corrigée depuis mai 2024 : un appareil à jour est protégé. The Hacker News, 5 novembre 2026
Réglementation et normes
- Outils qui « filment » votre navigation : la CNIL publie sa recommandation. Les outils de rejeu de session enregistrent clics, défilements et parfois saisies des internautes pour rejouer leur visite en vidéo. La CNIL rappelle qu’ils nécessitent le consentement préalable, et demande de masquer les données inutiles et de limiter le nombre de sessions enregistrées. Les éditeurs de sites qui utilisent ces outils doivent vérifier leur bandeau de consentement. CNIL, 5 novembre 2026
Le bon réflexe
- Un mot de passe différent pour chaque service. Quand un prestataire est piraté, comme l’hébergeur DreamHost, le mot de passe volé sert ensuite partout où il a été réutilisé. Trois gestes, au bureau comme à la maison : un mot de passe unique par service, un gestionnaire de mots de passe pour ne pas avoir à les retenir, et la double authentification sur la messagerie et les comptes importants. Notre épisode sur le chiffre de César le rappelle : un secret trop facile à deviner ne protège rien. Cybermalveillance.gouv.fr, fiche mots de passe
Pour aller plus loin : notre décryptage du jour, « Hébergeur piraté : l’outil qui sert à gérer votre site a livré des mots de passe ».
Veille publiée le 6 novembre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.