Plus de 70 000 identifiants volés, des victimes sur tous les continents, et aucune cible choisie à l’avance. Une enquête publiée le 21 octobre décrit un attaquant qui s’en prend aux pare-feu et aux VPN visibles depuis Internet. Pour une PME, la leçon est double : on n’est jamais trop petit pour être repéré, et un pare-feu piraté, c’est aussi des mots de passe de l’entreprise qui partent.
Ce qui s’est passé
La société de cybersécurité Group-IB et le laboratoire NyxLab ont décrit l’activité d’un cybercriminel surnommé k0t (Group-IB, 21 octobre 2026). Ses cibles : les pare-feu et les passerelles VPN de grandes marques (Fortinet, Palo Alto Networks), c’est-à-dire les boîtiers qui protègent l’entrée du réseau et permettent le télétravail. Beaucoup d’intrusions datent de février à juin 2026.
Les chercheurs ont retrouvé plus de 70 000 identifiants exposés, dont des extractions d’annuaires d’entreprise (The Hacker News, 23 octobre 2026). Les victimes appartiennent à tous les secteurs ; environ 16 % des domaines identifiés sont européens. De nombreuses victimes ont ensuite été revendiquées par les groupes de rançongiciel Qilin et The Gentlemen. Les chercheurs pensent que k0t revend ses accès ou travaille pour ces groupes, sans pouvoir le prouver à ce stade.
Comment l’attaque a fonctionné
Le repérage. L’attaquant ne cherche pas une entreprise en particulier. Il interroge des moteurs de recherche qui recensent les équipements connectés à Internet, filtre par marque et par modèle, puis dresse sa liste. Selon les chercheurs, la marque et l’emplacement du boîtier comptent plus que le secteur de son propriétaire.
L’entrée. Deux méthodes : des failles déjà connues et corrigées par les fabricants, ou des mots de passe devinés à partir de listes de combinaisons courantes. Rien de sophistiqué.
L’installation. Une fois connecté au VPN, l’attaquant explore l’annuaire de l’entreprise (la liste centrale des comptes et des droits), récupère d’autres mots de passe, installe des logiciels de télémaintenance du commerce pour revenir quand il veut, puis copie les données vers des espaces de stockage en ligne.
Le détail qui change tout. Un pare-feu relié à l’annuaire garde dans sa configuration le mot de passe du compte qui lui sert à le consulter. Ce compte a souvent des droits étendus, rarement une double authentification, et son mot de passe ne change presque jamais. Les chercheurs insistent : un pare-feu compromis doit être traité comme une fuite de mots de passe de l’entreprise, pas seulement comme un boîtier à mettre à jour.
Ce qu’on ne sait pas encore
- Le nombre exact d’entreprises touchées : les chercheurs donnent un minimum.
- La part des victimes en France : non publiée.
- Le lien réel avec les groupes de rançongiciel : probable, pas démontré.
Ce que ça change pour une PME
- Fermez l’administration de vos boîtiers à Internet. L’interface qui sert à régler le pare-feu ne doit être accessible que depuis le réseau interne, ou par un accès dédié et protégé.
- Exigez un second facteur sur le VPN et sur les comptes d’administration, et changez tous les mots de passe par défaut. C’est la parade directe contre les mots de passe devinés.
- Demandez à votre prestataire quels comptes sont enregistrés dans le pare-feu, avec quels droits, et faites-les changer si le boîtier a été exposé à une faille connue.
- Appliquez les mises à jour des équipements visibles depuis Internet en priorité. La fiche « Pourquoi et comment bien gérer ses mises à jour ? » de Cybermalveillance.gouv.fr rappelle les bons réflexes.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous ce qu’un inconnu voit de notre pare-feu et de notre VPN depuis Internet, et l’interface d’administration en fait-elle partie ?
- Tous les accès au VPN et à l’administration de nos boîtiers demandent-ils autre chose qu’un mot de passe ?
- Quels comptes de notre annuaire sont enregistrés dans nos équipements de sécurité, et quand leur mot de passe a-t-il été changé pour la dernière fois ?
- Qui est prévenu si un nouveau compte administrateur apparaît sur le pare-feu ou si un logiciel de télémaintenance inconnu est installé ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Équipements exposés et correctifs · Mots de passe et accès volés
Cet article prolonge notre bulletin de veille du 24 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.