Microsoft a décrit une attaque au cours de laquelle plus d’une centaine d’espaces de stockage ont été supprimés dans le cloud Azure d’une organisation, en sept minutes. Aucune faille logicielle n’a été utilisée : seulement deux comptes techniques aux droits trop larges, dont l’un avait vu ses identifiants publiés sur Internet. Ce qui s’est passé Le … Lire la suite
La journée a été dominée par la description d’une attaque destructrice dans le cloud Azure et par une série de fuites de données, au Japon comme en France. Côté failles, l’agence américaine CISA confirme l’exploitation à l’échelle mondiale des deux failles Citrix NetScaler. Attaques Azure : des ressources cloud effacées en sept minutes. Avec deux comptes … Lire la suite
Fin septembre 2026, Google/Mandiant a décrit une nouvelle vague d’attaques du groupe ShinyHunters contre des serveurs Oracle PeopleSoft. Les victimes n’avaient pas installé le correctif d’une faille connue depuis juin : elles comptaient sur une règle de pare-feu posée « en attendant ». Cette règle a été contournée avec une astuce très simple. Mis à jour le 12 … Lire la suite
Le week-end des 26 et 27 septembre a été marqué par deux failles critiques exploitées sur les passerelles Citrix NetScaler et par le retour de ShinyHunters sur Oracle PeopleSoft, en contournant des protections provisoires. Côté réglementation, le Cyber Resilience Act aurait connu son premier signalement médiatisé, sans confirmation officielle. Attaques ShinyHunters contourne des pare-feu applicatifs … Lire la suite
Depuis des années, des milliers de documentations techniques utilisent un même nom de domaine comme simple exemple, un peu comme on écrirait « Jean Dupont » dans un formulaire type. Problème : ce domaine n’est pas réservé. Il appartient à quelqu’un, et depuis au moins juin 2026, il sert une fausse page de vérification qui piège les utilisateurs … Lire la suite
Un nom de domaine utilisé depuis des années comme simple exemple dans les documentations techniques sert désormais à piéger les utilisateurs Windows. En France, l’Agence de services et de paiement confirme une fuite d’IBAN et Maileva a dû suspendre ses services d’envoi de courriers. Attaques Un domaine « d’exemple » des documentations techniques piégé. Ce nom de … Lire la suite
Une campagne décrite par la société de sécurité Gambit montre un attaquant qui confie presque tout le travail à des agents d’intelligence artificielle : repérage des failles, piratage, pose de codes espions sur les pages de paiement. Ce n’est pas une nouvelle technique d’attaque, c’est une nouvelle économie de l’attaque : à ce prix, chaque petit site … Lire la suite
Une campagne de vol de cartes bancaires menée en grande partie par des agents d’intelligence artificielle montre que pirater un petit site marchand ne coûte presque plus rien. Côté failles, la faille critique de WordPress corrigée en début de semaine est déjà exploitée. Attaques Des agents d’IA utilisés pour voler des cartes bancaires sur des … Lire la suite
Microsoft a annoncé le 22 septembre 2026 la mise hors ligne d’EvilTokens, un service de phishing vendu « clé en main » et lié à plus de 12 000 boîtes mail piratées. Sa particularité : il ne vole aucun mot de passe. C’est la victime elle-même qui autorise l’accès du pirate, sur la vraie page de Microsoft. Ce … Lire la suite
Microsoft et ses partenaires ont démantelé un service de phishing qui contournait la double authentification et avait compromis plus de 12 000 boîtes mail, notamment en France. Côté failles, WordPress publie un correctif critique à installer même si vous venez de faire la dernière mise à jour. Attaques EvilTokens : un service de phishing « clé en … Lire la suite