Premier numéro de notre revue hebdomadaire. Le principe est simple : chaque vendredi, les faits marquants des sept derniers jours, lus avec les lunettes d'un propriétaire de risque plutôt qu'avec celles d'un analyste. Pas de liste de CVE pour la forme. Pour chaque fait, ce qu'il change pour une organisation canadienne, et la question à poser lundi matin.
Cette semaine, un fil conducteur s'impose : les incidents qui ont compté n'ont pas d'abord volé des données. Ils ont arrêté des opérations. Une entreprise qui ne peut plus expédier, une centrale qui ne produit plus, un hôpital dont les portes ne répondent plus. Puis, en seconde partie, trois faits moins spectaculaires qui devraient pourtant modifier la manière dont vous pilotez vos correctifs, votre exposition industrielle et vos données.
Partie 1 : opérations à l'arrêt
Boston Scientific ne peut plus prendre ni expédier de commandes
Le 25 août, Boston Scientific a détecté une cyberattaque qui a provoqué une panne de réseau et coupé l'accès à plusieurs systèmes et applications d'affaires, dont ceux qui servent à traiter et expédier les commandes des clients. L'entreprise l'a déclaré à la SEC, a activé sa cellule de crise et fait appel à des experts externes. Au moment d'écrire ces lignes, elle ne donne aucun horizon de rétablissement complet, ni le type d'attaque, ni l'origine, ni l'ampleur d'un éventuel vol de données. Aucun groupe n'a revendiqué.
L'échelle donne la mesure : 59 000 employés, 13 usines, une présence dans 127 pays, plus de 20 milliards de dollars de ventes en 2025. Et des produits qui ne sont pas des biens de consommation : stents, cathéters, stimulateurs cardiaques. Derrière chaque commande en attente, il y a une salle d'opération quelque part qui compte sur une livraison.
Ce que ça change : la question la plus utile n'est pas « quelles données ont été prises », c'est « combien de temps pouvons-nous tenir sans tel système, et qui le sait ». Un plan de continuité écrit pour le scénario du rançongiciel qui chiffre les serveurs ne répond pas forcément à celui d'une application de prise de commandes indisponible pendant que tout le reste fonctionne. Si vos RTO sont définis par système et non par processus d'affaires, c'est le moment de les relire.
Une centrale britannique hors service quatre jours
Le Telegraph a révélé le 22 août qu'une petite installation de production électrique au Royaume-Uni a été mise hors service pendant quatre jours par des pirates liés à l'Iran. L'installation est marginale pour le réseau, « moins qu'une erreur d'arrondi » selon une source gouvernementale, et c'est précisément ce qui rend l'affaire instructive : l'objectif n'était pas de plonger un pays dans le noir, mais de démontrer qu'on peut le faire. En parallèle, des dizaines de stations de traitement des eaux usées dans douze États américains ont été visées depuis fin juillet, avec des débordements et des pertes de pression signalés.
Ce que ça change : pour les municipalités, les services publics et les industriels canadiens, la preuve de concept adverse existe désormais. L'évaluation de risque d'un actif OT ne peut plus s'appuyer sur « personne ne s'intéresse à une petite installation ». Les petites installations sont justement celles qu'on choisit pour s'entraîner.
Winnipeg : un hôpital privé de ses portes et de sa ventilation
Le Health Sciences Centre de Winnipeg a signalé le 10 août un incident de rançongiciel qui a touché ses systèmes de gestion du bâtiment : contrôle d'accès des portes, supervision centrale du chauffage et de la ventilation, bureau de sécurité fermé et cartes d'accès impossibles à émettre ou à mettre à jour. Les soins n'ont pas été interrompus, la ventilation continue de fonctionner en mode local, et l'enquête sur un éventuel accès aux données se poursuit. Le rétablissement était encore en cours la semaine dernière.
Ce que ça change : c'est la version canadienne du même message. Le périmètre d'un incident cyber inclut les systèmes physiques, souvent gérés par une autre direction que les TI, avec d'autres fournisseurs et d'autres contrats de maintenance. Si votre cartographie des risques s'arrête aux serveurs et aux postes de travail, elle rate ce que l'attaquant, lui, a trouvé.
Cl0p et PTC Windchill : votre propriété intellectuelle produit était dans une application web
Le groupe Cl0p a nommé cette semaine plus de quarante organisations, dont Shell, Philips, Fiserv et Zebra, victimes d'une campagne contre les plateformes de gestion du cycle de vie produit Windchill et FlexPLM de PTC, exploitée via la CVE-2026-12569, une exécution de code à distance sans authentification déjà inscrite au catalogue KEV en juin. Les données publiées vont de 1 Go à plusieurs téraoctets par organisation : documents d'ingénierie, plans, schémas, sauvegardes. L'analyse publiée le 24 août décrit un web shell conçu sur mesure, capable de cartographier les coffres de données et de déchiffrer chaque identifiant stocké dans le keystore de Windchill.
Ce que ça change : un système PLM contient ce que vous avez de plus difficile à remplacer, et il est exposé sur Internet parce que vos fournisseurs et vos usines doivent y accéder. La question pour l'inventaire de votre surface d'attaque externe : quelles plateformes métier sont joignables depuis Internet, et qui, nommément, en est propriétaire ?
Partie 2 : trois faits qui changent la façon de piloter
Citrix NetScaler, exploité huit semaines après le correctif
CVE-2026-8452 a été corrigée par Citrix le 30 juin. L'avis la décrivait comme un débordement mémoire menant à un déni de service. Le 14 août, les chercheurs de watchTowr ont publié une analyse et un code d'exploitation montrant qu'elle permet en réalité une exécution de code à distance sans authentification sur les appliances configurées en passerelle (VPN SSL, ICA Proxy) ou en serveur virtuel AAA. Dans les jours suivants, deux firmes ont observé des attaquants déposer des web shells et lancer des commandes de reconnaissance. Le 26 août, la CISA a inscrit la faille au catalogue KEV avec une échéance de correction au 29 août pour les agences fédérales.
Ce que ça change : la sévérité annoncée par un éditeur est une opinion à un instant donné, votre exposition est un fait. Un correctif « disponible » depuis huit semaines ne protège rien tant qu'il n'est pas appliqué sur vos équipements de bordure, et ces équipements sont la porte d'entrée préférée des groupes de rançongiciel. Deux règles de gouvernance en découlent : un délai maximal de correction pour tout ce qui est exposé, indépendant de la cote initiale de l'éditeur, et une revue de cette cote dès qu'un code d'exploitation devient public.
Des exploits écrits par IA contre les automates Siemens
Le 19 août, la NSA, la CISA, le FBI, le département de l'Énergie et l'EPA ont publié un avis conjoint (AA26-231A) : des acteurs utilisent l'intelligence artificielle pour générer des scripts Python d'exploitation contre des automates programmables Siemens S7 exposés sur Internet, en s'appuyant sur des bibliothèques publiques d'automatisation industrielle. Ils repèrent les cibles avec des services de balayage comme Censys et ZoomEye, puis déploient des outils déguisés en logiciels de supervision. Secteurs visés : manufacturier critique, énergie, eau et eaux usées, chimie, agroalimentaire. Les agences insistent : « ce n'est pas un risque théorique, c'est une menace active ».
Ce que ça change : l'IA ne crée pas de nouvelles failles dans vos automates. Elle supprime la barrière de compétence qui protégeait jusqu'ici les vieilles. Un automate exposé avec un mot de passe par défaut était une cible pour quelques spécialistes ; il devient une cible pour n'importe qui. La première action recommandée par l'avis est la même que celle de l'épisode 1 de notre série sur la sécurité de l'IA : l'inventaire. On ne protège pas ce qu'on ne sait pas avoir.
Nova Scotia Power ne sait pas pourquoi trente ans de données n'ont jamais été effacées
Devant l'organisme de réglementation, le 18 août, un dirigeant de Nova Scotia Power a reconnu que l'entreprise ignore pourquoi une copie numérique de près de trois décennies de données clients, créée en 2021, n'a jamais été supprimée. La politique prévoit des cycles d'effacement automatique d'au plus 90 jours. Le fichier était toujours là en mars 2025 quand des acteurs, selon l'entreprise basés en Russie, l'ont dérobé : adresses, numéros de téléphone, renseignements bancaires et numéros d'assurance sociale de centaines de milliers de clients. Détail révélateur : l'entreprise avait cessé de collecter les NAS en 2018, mais son ancien système ne permettait pas de les supprimer, et la purge complète n'a été décidée qu'en 2024. La copie de 2021, jamais mise à jour, contenait donc des numéros que l'organisation croyait effacés.
Ce que ça change : la rétention est un contrôle de sécurité, pas une formalité de conformité. Chaque donnée conservée au-delà de sa nécessité est une donnée que vous devrez un jour notifier. La Loi 25 impose la destruction des renseignements personnels une fois les fins accomplies ; cet incident montre ce que vaut une politique de destruction que personne ne vérifie. La question pour lundi : qui, chez vous, peut prouver que les copies, exports et sauvegardes de données personnelles sont réellement détruits selon le calendrier ?
Les trois questions de la semaine pour un comité de direction
- Pour chacun de nos cinq processus d'affaires les plus critiques, combien de temps tenons-nous sans le système qui le porte, et ce délai est-il écrit quelque part ?
- Quel est notre délai maximal de correction pour un équipement exposé sur Internet, et l'avons-nous respecté pour Citrix, Zimbra et nos automates industriels ce mois-ci ?
- Qui peut démontrer, avec des preuves, que nos données personnelles sont détruites au terme prévu ?
Si ces trois questions n'ont pas de réponse documentée, le mémo COMEX en dix questions est un bon point de départ, et notre score de risque cyber gratuit vous situe en dix minutes sur les domaines résilience, données et tiers. Pour suivre ces expositions en continu plutôt qu'une fois par an, c'est le rôle des modules EASM et CTI de la plateforme FortaRisks.
Sources : BleepingComputer, Boston Scientific · Security Affairs, centrale britannique et attaques sur l'eau · CBC, Health Sciences Centre · SecurityWeek, Cl0p et PTC Windchill · Help Net Security, Citrix NetScaler · CISA, avis AA26-231A · Canadian Underwriter, Nova Scotia Power