En deux jours, deux hébergeurs ont annoncé une intrusion dans leurs propres systèmes : Railway, une plateforme cloud très utilisée par les développeurs, et Onamae Desktop Cloud, un service de serveurs au Japon. Leurs clients n’avaient rien fait de travers : c’est chez le fournisseur que la porte a cédé. Pour une PME, la bonne question devient : que se passe-t-il chez nous le jour où notre hébergeur est touché ?
Ce qui s’est passé
Le 21 octobre, Railway a repéré une activité anormale sur les systèmes où ses clients rangent les « variables d’environnement » de leurs applications (Railway, 21 octobre 2026). Derrière ce nom technique, il y a les informations sensibles dont une application a besoin pour fonctionner : clés d’accès à d’autres services, mots de passe de bases de données, identifiants divers. Un tiers a pu y accéder et, pour une partie d’entre elles, les lire en clair. Railway, qui revendique environ 4,8 millions d’utilisateurs, demande à tous de changer ces secrets et de vérifier leurs journaux d’activité (BleepingComputer, 22 octobre 2026).
La veille, Onamae Desktop Cloud, service du groupe japonais GMO, confirmait qu’un tiers avait installé des programmes malveillants sur des serveurs de clients, jusqu’à 26 739 selon BleepingComputer. Tout le service a été arrêté le 21 octobre, sans date de reprise annoncée (BleepingComputer, 21 octobre 2026).
Comment l’attaque a fonctionné
Aucun des deux hébergeurs n’a encore expliqué par où les attaquants sont entrés. Le principe est pourtant le même : en visant le fournisseur, on atteint d’un coup tous ses clients, sans avoir à forcer la porte de chacun.
Chez Railway, le butin, ce sont des clés qui ouvrent d’autres portes : comptes cloud, bases de données, services d’intelligence artificielle payants. Selon un chercheur cité par The Hacker News, des portefeuilles de cryptomonnaie dont les clés étaient rangées chez Railway ont été vidés, au moins deux heures avant l’annonce officielle (The Hacker News, 22 octobre 2026). Railway pense que l’attaque fait partie d’une série visant des plateformes pour atteindre des fournisseurs de services d’IA.
Chez Onamae, c’est directement la machine du client qui a été modifiée. Pour l’entreprise cliente, la conséquence immédiate est double : des données peut-être exposées, et un service à l’arrêt.
Ce qu’on ne sait pas encore
- La porte d’entrée chez les deux hébergeurs.
- Le nombre de clients réellement touchés chez Railway, qui parle d’une « partie » de ses utilisateurs.
- Si des données ont été copiées sur les serveurs Onamae : l’entreprise dit ne pas avoir constaté d’usage frauduleux à ce stade.
Ce que ça change pour une PME
- Faites la liste des clés confiées à chaque hébergeur. Site web, boutique en ligne, logiciel métier : demandez à votre prestataire quels mots de passe et clés d’accès sont stockés chez l’hébergeur, et à quoi ils donnent accès.
- Vérifiez que vous savez les changer vite. Le jour où un hébergeur annonce une fuite, il faut pouvoir changer toutes ces clés en quelques heures, pas en quelques semaines. Les règles de base sont rappelées dans la fiche « Pourquoi et comment bien gérer ses mots de passe ? » de Cybermalveillance.gouv.fr.
- Prévoyez la coupure. Que fait-on si l’hébergeur arrête tout pendant plusieurs jours ? Une sauvegarde récupérable ailleurs et un mode dégradé écrit à l’avance font la différence.
- Relisez le contrat. Délai de notification d’incident, contact joignable, aide à la remise en route : mieux vaut le savoir avant.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous quels mots de passe et clés d’accès sont stockés chez chacun de nos hébergeurs ?
- Qui sait les changer, et combien de temps cela prendrait-il si notre hébergeur annonçait une fuite ce soir ?
- Notre contrat dit-il en combien de temps l’hébergeur doit nous prévenir d’un incident, et qui est notre contact ?
- Avons-nous prévu comment continuer à travailler si l’hébergeur coupe le service pendant plusieurs jours ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Fournisseurs et sous-traitants · Mots de passe et accès volés
Cet article prolonge notre bulletin de veille du 23 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.