Notre revue hebdomadaire couvre la semaine du 10 au 15 octobre. Le principe ne change pas : les faits marquants, lus avec les lunettes d'un propriétaire de risque plutôt qu'avec celles d'un analyste, et pour chacun, ce qu'il change pour une organisation canadienne.
Le dernier numéro se résumait ainsi : vos outils de confiance sont devenus la porte d'entrée. Cette semaine pousse le constat un cran plus loin : l'équipement que personne ne gérait. Des contrôleurs de réfrigération en fin de vie, branchés sur Internet pour la maintenance à distance, ont permis de faire monter la température dans des centaines de magasins. Des serveurs de sauvegarde exploités par des prestataires, un boîtier VPN pourtant à jour, des outils d'IA installés par une équipe et oubliés. Chaque fois, l'équipement était joignable de l'extérieur, et personne, à l'intérieur, ne l'avait inscrit comme un risque à son nom.
Partie 1 : le froid de 700 supermarchés, piloté depuis Internet
Ce qui s'est passé
Dans la nuit du 11 octobre, des attaquants ont pris la main à distance sur les contrôleurs qui pilotent les installations frigorifiques de supermarchés français. Ils ont allongé les cycles de dégivrage, d'environ une heure à huit heures selon Le Monde, ce qui retardait les alarmes. Chez Intermarché, des meubles réfrigérés ont tourné à 50 °C pendant six heures et toute la marchandise a été jetée. Le parquet de Paris fait aussi état d'incendies.
Le 13 octobre, le ministre de l'Économie, Roland Lescure, a indiqué aux députés qu'environ 700 des quelque 10 000 supermarchés du pays avaient été touchés, contre 300 à 350 dans les premiers bilans. Intermarché compte environ 150 magasins touchés, Carrefour 80, Coopérative U 80 (dont deux magasins alsaciens qui chiffrent leurs pertes à 270 000 euros), et Monoprix et E.Leclerc sont aussi concernés. Aucune revendication, aucune demande de rançon. Statut : confirmé par l'ANSSI, les enseignes et le parquet.
Le mécanisme : des équipements de fin de vie, exposés, entretenus par d'autres
Le 12 octobre, le CERT-FR de l'ANSSI a publié une alerte sur les contrôleurs Danfoss des gammes AK-SM et AK-SC, élargie le lendemain aux contrôleurs Copeland et Dixell XWEB. Elle dit trois choses qu'un comité de direction devrait lire :
- Exposer une interface d'administration à Internet est contraire aux bonnes pratiques. Les équipements visés étaient joignables depuis Internet, souvent sur une adresse IP publique.
- Une remise à zéro ne suffit pas. Elle efface la persistance de l'attaquant, mais un équipement en fin de vie, sans correctif, qui reste exposé sera réinfecté. Les campagnes sont probablement toujours en cours.
- Avant de couper le lien avec le prestataire frigoriste, vérifiez votre contrat d'assurance. La maintenance à distance est souvent une condition de la garantie.
Danfoss précise que la plupart des appareils touchés sont des modèles en fin de vie : le support de l'AK-SM 800 a pris fin en mai 2021, l'AK-SC 355 n'est plus commercialisé depuis 2016. Quelques contrôleurs récents dont le micrologiciel n'avait pas été mis à jour ont aussi été touchés.
Ces contrôleurs ne sont pas gérés par l'enseigne. Les magasins de Coopérative U, par exemple, n'achètent pas à Danfoss : ils sont clients de frigoristes qui fournissent et entretiennent l'installation, à distance. E.Leclerc a indiqué que l'attaque avait touché l'un de ses fournisseurs d'équipement frigorifique.
Le chiffre le plus parlant vient de Censys. Le 11 octobre, le moteur de recherche d'équipements exposés comptait près de 3 000 tableaux de commande Danfoss joignables depuis Internet, dont plus de 1 800 en France. Le 14 octobre, il en restait 537 en France ; ailleurs, le nombre n'avait presque pas bougé. Censys note que les équipements ont surtout été débranchés, pas corrigés.
Ce que ça change : en trois jours, plus de 1 200 équipements français ont disparu d'Internet. Ils n'avaient donc pas besoin d'y être, ou pas comme ça. Ils y étaient parce que personne n'avait décidé du contraire. Un contrôleur de froid, de chauffage ou d'accès aux portes appartient aux installations, pas à la TI ; il est entretenu par un prestataire qui a besoin d'y accéder ; et il dure quinze ans, bien après la fin de son support. Il n'apparaît donc ni dans l'inventaire de la TI, ni dans le registre de risques, ni dans le questionnaire du prestataire. Le jour où il cède, ce n'est pas un incident informatique : c'est de la marchandise perdue, un magasin fermé, un risque d'incendie. La question pour une direction n'est pas « nos frigos sont-ils sur Internet ? », mais « qui, chez nous, a le droit de répondre à cette question ? ».
Partie 2 : la bordure, encore, et un mois record de correctifs
Ivanti Connect Secure : un boîtier à jour, et pourtant
Le 13 octobre, Volexity a décrit l'exploitation d'une chaîne de trois failles inconnues dans le VPN Ivanti Connect Secure par un acteur qu'il nomme UTA0576, active depuis le début d'octobre. L'appareil compromis tournait en version 22.8R2.4, entièrement à jour. L'attaquant n'a laissé ni web shell ni logiciel malveillant : il relançait l'exploit pour chaque commande, effaçait ses traces dans les journaux et échappait à l'outil de vérification d'intégrité d'Ivanti. Ses cibles : les identifiants Active Directory, les mots de passe LAPS et les clés de récupération BitLocker. Deux failles sont corrigées ; celle qui permet l'élévation de privilèges ne l'est pas encore, le correctif est promis « dans les prochaines semaines ». La CISA a inscrit la faille de contournement d'authentification (CVE-2026-104935) au catalogue KEV le 13 octobre, avec trois jours pour agir, et recommande, en cas de doute, une réinitialisation d'usine puis le renouvellement de tous les mots de passe, certificats et clés d'API. Shadowserver compte plus de 5 500 instances exposées à Internet. Statut : confirmé par Ivanti (« exploitation limitée »), Volexity et la CISA.
Une passerelle courriel, des pare-feu, des serveurs de sauvegarde
Le 14 octobre, la CISA a ajouté quatre failles exploitées au catalogue :
- Cisco Secure Email Gateway (CVE-2026-76519, CVSS 9.8) : une pièce jointe piégée permet, sans authentification, d'écrire des fichiers et d'exécuter des commandes avec les droits les plus élevés, lorsque la fonction AMP File Reputation est active. C'est la deuxième faille exploitée sur cette passerelle depuis la mi-septembre. Cisco prévient qu'un attaquant avec ces droits peut effacer ses traces et conseille de vérifier les journaux des pare-feu externes.
- Palo Alto PAN-OS (CVE-2026-0322, CVSS 8.6) : exécution de code par l'interface d'administration des pare-feu, pour un attaquant déjà authentifié. Palo Alto fait état d'une « exploitation très limitée » et ne propose aucun contournement, sinon de réserver l'interface d'administration à des adresses internes de confiance.
- AhsayCBS (CVE-2026-105133 et CVE-2026-105134), une plateforme de sauvegarde utilisée notamment par des fournisseurs de services : contournement d'authentification puis exécution de code, exploités pour déposer des web shells et des mineurs de cryptomonnaie, selon Huntress. Le 12 octobre, Ahsay a reconnu que ses premiers correctifs étaient incomplets.
Le 15 octobre, une faille de lecture de fichiers sans authentification dans les produits Atlassian auto-hébergés (Jira, Confluence, Bitbucket et autres, CVE-2026-21589, CVSS 9.3) a rejoint la liste. Statut : confirmé par les éditeurs et la CISA.
Plus de 1 400 correctifs Microsoft en un mois
Le Patch Tuesday du 13 octobre a corrigé plus de 1 400 vulnérabilités (les décomptes vont de 1 407 à 1 413 selon les sources), dont plus de 1 100 pour Windows seul. Selon SecurityWeek, ce seul mois dépasse toute l'année 2025, et l'éditeur relie la hausse à la découverte de failles assistée par l'IA. Une seule faille est exploitée : CVE-2026-96951 (CVSS 8.8), un contournement de la marque « fichier venu d'Internet » qui supprime les avertissements de SmartScreen et le mode protégé d'Office ; elle demande que l'utilisateur ouvre un fichier. Microsoft introduit aussi des « cohortes de risque » pour aider à prioriser.
Ce que ça change : trois des quatre produits exploités cette semaine sont des outils de sécurité ou de bordure, et la seule protection proposée par Palo Alto est celle du CERT-FR pour les frigos : ne pas exposer l'interface d'administration. Ivanti montre qu'un appareil à jour ne suffit pas ; Ahsay, qu'un correctif peut être incomplet. La décision qui tient dans les deux cas est en amont : qu'est-ce qui a le droit d'être joignable depuis Internet, et qui le vérifie chaque mois ? Et avec plus de 1 400 correctifs en un mois, le volume ne se gère plus par la note de gravité : il se gère en commençant par ce qui est exploité et exposé chez vous.
Partie 3 : le Canada, des portes d'hôpital aux feuillets d'impôt
Le 11 octobre, le groupe INC Ransom a revendiqué le Health Sciences Centre de Winnipeg, le plus grand hôpital du Manitoba, en affirmant détenir des dossiers de patients, des données du personnel et des données financières, et en contestant la déclaration de l'établissement selon laquelle aucune donnée sensible n'avait été touchée. Ce qui est confirmé : en août, Shared Health a fait état d'un incident par rançongiciel qui avait touché des systèmes des installations, dont la ventilation et le contrôle des portes, sans pouvoir dire alors si des données avaient été prises. Statut : incident confirmé en août, vol de données revendiqué ; rien ne confirme encore que la revendication d'octobre porte sur le même incident.
Le 12 octobre, DragonForce a revendiqué la Canadian Mennonite University, à Winnipeg. L'université avait elle-même confirmé l'intrusion le 2 octobre : détectée le 18 septembre, elle a exposé des feuillets T4 de 2015 à 2025, des T2202, des T4A, des TD1 et des relevés d'emploi, avec les numéros d'assurance sociale. L'université offre deux ans de surveillance du crédit et a avisé la police et le Commissariat à la protection de la vie privée. Statut : confirmé par l'université, revendiqué par le groupe.
Le 14 octobre, Akira a revendiqué Shediac Lobster Shop, au Nouveau-Brunswick, en annonçant la publication d'environ 10 Go de documents (passeports et numéros d'assurance sociale d'employés, dossiers clients, contrats). Au Québec, juste avant la semaine, le groupe Storm a revendiqué le 8 octobre la CETAM, coopérative de services ambulanciers de la Montérégie. Statut : revendiqué, sans confirmation des organisations visées.
Enfin, le 15 octobre, le district scolaire de Burnaby, en Colombie-Britannique, a confirmé que l'attaque par rançongiciel du 21 septembre s'était accompagnée d'une copie de renseignements personnels : noms, coordonnées, numéros d'élève et dates de naissance d'élèves et de parents, documents de citoyenneté et de résidence, évaluations de maternelle, listes d'élèves recevant un soutien particulier, parfois avec un diagnostic, et dossiers du personnel. La GRC et le commissaire à la protection de la vie privée de la province ont été avisés. Statut : confirmé par le district.
Le contexte : selon notre décompte des revendications publiées sur ransomware.live, 264 organisations canadiennes ont été revendiquées par des groupes de rançongiciel depuis le 1er janvier 2026, et le secteur manufacturier arrive en tête avec 49 revendications (18,6 %), devant les services professionnels et les technologies. Ce sont des revendications, pas des incidents confirmés. Le Centre canadien pour la cybersécurité, dans son évaluation 2025-2026, décrit des acteurs « opportunistes » : ils frappent ce qui est ouvert, pas un secteur choisi d'avance. Le 13 octobre, le Centre a d'ailleurs cosigné avec neuf partenaires un avis sur des acteurs liés à l'État chinois qui combinent outils automatisés et travail manuel, et qui recommande d'abord de désactiver les services inutiles.
Ce que ça change : la ventilation et les portes d'un hôpital en août, dix ans de feuillets d'impôt dans une université, des listes d'élèves avec diagnostic dans un district scolaire. Les deux leçons rejoignent celle des supermarchés. D'abord, les systèmes des installations sont dans le périmètre d'une attaque, au même titre que les serveurs. Ensuite, ce qui coûte cher après une fuite, ce sont les données qu'on gardait sans raison de les garder : chaque année d'archive conservée est une année de plus à notifier. Le Mois de la sensibilisation à la cybersécurité consacre justement sa troisième semaine à la protection des renseignements.
Partie 4 : l'IA des deux côtés de la table
Du côté des plateformes, Censys a publié le 15 octobre un décompte des logiciels d'IA exposés à Internet : 267 915 adresses IP, en hausse de 63 % en neuf mois. L'outil d'automatisation n8n en représente 113 926, et 76,1 % de celles qui affichent leur version tournent sur une version touchée par une faille notée 9 ou plus. Le même jour, des chercheurs ont rapporté l'exploitation d'une faille critique de Langflow, une plateforme de construction d'agents (CVE-2026-105740, CVSS 9.9) : plus de 1 700 tentatives captées par leurs leurres, avec vol de secrets à la clé. Statut : rapporté par les chercheurs.
Du côté des agents, l'équipe d'intervention indienne CERT-In a publié le 15 octobre un avis sur des agents d'IA en cours de test par des entreprises d'IA, qui ont atteint des systèmes réels d'organisations indiennes grâce à des identifiants exposés et à des rôles infonuagiques trop permissifs, et y ont lu des données personnelles et confidentielles. Aucune des organisations ne l'a détecté. Statut : confirmé par l'autorité. Le 10 octobre, Anthropic a de son côté coupé l'accès à Internet de toutes ses évaluations internes, après que des modèles en test ont mené des actions non voulues contre de vrais sites, dont l'exploitation d'une injection de commandes sur un serveur universitaire. Statut : confirmé par l'entreprise, qui juge l'impact réel « minime ».
Du côté des défenseurs, la société XBOW a révélé le 13 octobre que ses agents d'IA avaient aidé à construire en six jours une chaîne d'exploitation complète de Chrome, sortie du bac à sable comprise, pour environ 40 000 dollars américains de calcul ; Google a confirmé et corrigé les failles et versé une prime de 250 000 dollars américains. Des humains ont choisi les cibles et assemblé la chaîne. Mettez Chrome à jour (version 152.0.7977.82 ou plus récente).
Ce que ça change : l'exposition que personne ne revendique a désormais une version IA. Un outil d'automatisation installé par une équipe pour gagner du temps, branché sur les courriels et le CRM, joignable d'Internet et jamais mis à jour, c'est le contrôleur de froid de 2026. Et un agent à qui l'on donne un rôle infonuagique trop large lit ce qu'il peut lire, sans que personne s'en aperçoive. C'est le sujet de notre série IA de cette semaine : un agent IA est un compte à privilèges, traitez-le comme tel.
Les trois questions de la semaine pour un comité de direction
- Quels équipements reliés à Internet relèvent des installations plutôt que de la TI (froid, ventilation, contrôle d'accès, production), et qui, nommément, en répond ?
- Pour chaque prestataire qui maintient un équipement à distance, par quel chemin se connecte-t-il, qui peut couper ce lien sans attendre, et votre contrat d'assurance le permet-il ?
- Combien de vos équipements exposés sont en fin de vie, et dans quel délai sauriez-vous les retirer d'Internet si l'actualité vous y obligeait ?
Si ces questions n'ont pas de réponse documentée, notre score de risque cyber vous situe en dix minutes, gratuitement et sans inscription : 9 domaines, une note et des actions priorisées. Pour savoir ce qui est réellement joignable depuis Internet, sur le web comme en OT, et suivre les menaces qui visent votre secteur, c'est le rôle de Forta Exposition et de Forta Radar.
Un dernier mot, et on arrête de parler de nous
Demain, notre article du samedi prolonge cette semaine avec un test de vingt minutes : le sous-domaine le plus dangereux est celui que personne n'a supprimé. Dimanche, la série risques demande qui accepte, traite, surveille et rend compte de chaque risque : « la TI » n'est pas un propriétaire de risque. Et ce récap arrive aussi par courriel, chaque vendredi : inscrivez-vous ici, désinscription en un clic.
Sources : CERT-FR, alerte CERTFR-2026-ALE-012 · SecurityWeek, l'attaque des supermarchés s'étend à Copeland et Dixell · The Hacker News, les supermarchés français · Reuters via NBC News · CISA, Ivanti Connect Secure · Volexity, la chaîne Ivanti · BleepingComputer, Ivanti · CISA, avis du 13 octobre · CISA, avis du 14 octobre · CISA, avis du 15 octobre · Palo Alto Networks, CVE-2026-0322 · SecurityWeek, Cisco Secure Email Gateway · Help Net Security, PAN-OS, Cisco et AhsayCBS · The Hacker News, Atlassian · SecurityWeek, le Patch Tuesday d'octobre · Tenable, le Patch Tuesday d'octobre · ransomware.live, Health Sciences Centre · Shared Health, incident d'août · Canadian Mennonite University, avis d'incident · CP24, Burnaby · ransomware.live, victimes au Canada · Centre canadien pour la cybersécurité, avis conjoint du 13 octobre · Centre canadien pour la cybersécurité, Évaluation des cybermenaces nationales 2025-2026 · Help Net Security, l'infrastructure d'IA exposée · The Hacker News, Langflow · The Hacker News, l'avis du CERT-In · Anthropic, actions non voulues des modèles · The Register, XBOW et Chrome