Notre revue hebdomadaire couvre la semaine du 2 au 8 novembre, lue par un propriétaire de risque plutôt que par un analyste.
Le fil de la semaine tient en une phrase : le prochain arrêt de vos opérations ne viendra peut-être pas de votre serveur le plus critique, mais d'un équipement que personne n'a inscrit à l'inventaire. Cette semaine, des réfrigérateurs. Personne ne les appelle « TI », personne ne les corrige, et ils sont branchés sur Internet avec le mot de passe d'usine. C'est une position, pas une certitude : on peut juger que des frigos ne concernent que les épiciers. Nous pensons le contraire, et nous expliquons pourquoi.
Partie 1 : une nuit, plus de cent commerces
Ce qui s'est passé
Dans la nuit du 1er au 2 novembre, plus de cent commerces de plusieurs pays européens (Belgique, Pays-Bas, Irlande, Suède, Finlande, Luxembourg, Estonie, entre autres), selon Reuters, ont vu grimper la température de leurs comptoirs réfrigérés et congélateurs. Les attaquants avaient atteint à distance les contrôleurs de réfrigération exposés et les avaient bloqués en mode dégivrage : marchandise jetée.
- Carrefour Belgique : 15 magasins touchés sur plus de 700. Statut : rapporté par la presse, d'après l'entreprise.
- Danfoss, fabricant de contrôleurs : selon un porte-parole cité par le diffuseur néerlandais NOS, les systèmes touchés aux Pays-Bas n'étaient pas sur un réseau sécurisé et utilisaient encore les mots de passe par défaut ; la faiblesse tient surtout, selon le fabricant, à des logiciels non mis à jour. Statut : rapporté.
- C'est la deuxième vague : dans la nuit du 11 au 12 octobre, près de 700 sites en France avaient subi la même attaque, et Danfoss indiquait alors que la plupart des équipements touchés étaient d'anciens modèles qui ne reçoivent plus de mises à jour (rapporté par l'AFP).
Qui est derrière ? Deux réponses à ne pas confondre. NoName057(16) et Z-Pentest, deux groupes hacktivistes prorusses, ont revendiqué la vague de novembre ; le Kremlin dément (revendiqué, non vérifié). Ce lundi 9 novembre, la France a attribué celle d'octobre à Shahid Kaveh, une unité cyber offensive des Gardiens de la révolution iraniens, et convoqué l'ambassadeur d'Iran (confirmé par les autorités françaises, rapporté par Reuters). Rien ne relie encore les deux vagues. La leçon, pour une direction : quel que soit l'attaquant, il est entré par la même porte.
Ce que les autorités en disent
Le 5 novembre, la CISA, le FBI et trois autres agences fédérales américaines (Santé, Agriculture, Transports) ont publié une fiche conjointe : des acteurs malveillants ciblent les contrôleurs de température et de réfrigération des épiceries et des entrepôts frigorifiques. Un contrôleur compromis peut être forcé en cycle de chauffage ou de dégivrage continu, avec pertes de stock, usure de l'équipement et risque d'incendie. Première recommandation : retirer ces contrôleurs de l'accès direct à Internet, et, si l'accès à distance est nécessaire, le placer derrière un pare-feu ou un équipement de bordure à jour. Statut : confirmé. La fiche ne nomme ni attaquant ni fabricant.
Ce que ça change
Trois idées reçues tombent.
« Ce n'est pas de la TI. » Le contrôleur de réfrigération, la gestion technique du bâtiment, les contrôles d'accès, la chaudière : achetés par les installations, posés par un sous-traitant qui les branche souvent sur Internet pour le soutien à distance, ils n'entrent dans aucune revue d'accès ni aucun cycle de correctifs. Pour l'attaquant, c'est une adresse IP comme une autre.
« Ça ne touche que les épiciers. » Les mêmes contrôleurs gardent des médicaments, des vaccins, des échantillons, des produits chimiques. Un hôpital, une pharmacie ou un laboratoire ont la même exposition. En août, à Winnipeg, un rançongiciel avait déjà atteint les portes et la ventilation du Centre des sciences de la santé (confirmé par Shared Health).
« Le fabricant s'en occupe. » Un équipement qui ne reçoit plus de mises à jour reste en service des années. Personne ne l'a retiré, parce que personne n'en est propriétaire.
Pour une direction, la question n'est donc pas « avons-nous des frigos connectés ? ». C'est : qui, chez nous, est propriétaire des équipements qui ne sont pas des ordinateurs, et qui sait lesquels répondent depuis Internet ? Nous en parlions dans l'exposition que personne ne revendique.
Partie 2 : l'exploitation active
Trois ajouts au catalogue KEV de la CISA cette semaine, dont un équipement de bordure :
- SonicWall SonicOS, accès VPN SSL, le 6 novembre : un utilisateur qui détient des identifiants valides pour une autre méthode d'authentification peut contourner les contrôles SAML, y compris la MFA imposée par SAML. Pare-feu de 7e et 8e générations, correctifs disponibles, aucun contournement selon SonicWall (avis SNWLID-2026-0014). À corriger avant le 20 novembre pour les agences fédérales américaines. Statut : exploitation confirmée par la CISA ; SonicWall dit enquêter sur un signalement d'exploitation possible.
- WordPress, le 3 novembre : une situation de compétition dans le cœur du logiciel permet à un attaquant non authentifié d'exécuter du code sur le serveur pendant une mise à jour. Échéance fédérale : trois jours. Statut : exploitation confirmée par la CISA.
- Apple, le 4 novembre : une faille de 2024 (CVE-2024-27834), corrigée en mai 2024 dans iOS, macOS et Safari, entre au catalogue. Statut : exploitation confirmée par la CISA.
Ce que ça change : la semaine dernière, la MFA cédait à un coup de fil ; cette semaine, à une faille du VPN qui la porte. Elle reste indispensable, mais ne vaut que ce que vaut l'équipement qui l'applique. Si votre accès à distance passe par un SonicWall, la date du correctif est une décision de direction, pas un billet de soutien. Et la faille Apple rappelle le fil de la semaine : un correctif publié il y a deux ans ne protège pas l'appareil que personne n'a mis à jour.
Partie 3 : le Canada
York University, à Toronto, a révélé un vol de données : un acteur non autorisé a accédé à des formulaires Web de certains services de l'université et a emporté des renseignements personnels qui y avaient été soumis, surtout des numéros d'identification et des coordonnées. L'incident a été découvert le 25 octobre, contenu, déclaré au Commissaire à l'information et à la protection de la vie privée de l'Ontario et à la police. Pour un petit nombre de personnes, des pièces d'identité ou des renseignements financiers sont touchés ; elles sont avisées par courriel. Statut : confirmé par l'université.
Le 3 novembre, devant le comité de la procédure et des affaires de la Chambre des communes, qui étudie l'IA et les institutions démocratiques, le directeur général des élections, Stéphane Perrault, n'a pas affirmé que les systèmes d'Élections Canada étaient à l'abri du piratage étranger : « la pire erreur serait de croire que nous sommes à l'abri », a-t-il dit (rapporté par The Hub).
Le contexte vient du Centre canadien pour la cybersécurité. Le 29 octobre 2025, avec la GRC, il signalait (alerte AL25-016) que des hacktivistes avaient manipulé des automates exposés au Canada : les pressions d'une installation de traitement d'eau, la jauge d'un réservoir d'une société pétrolière et gazière, la température et l'humidité d'un silo à grains. Trois secteurs, un même point d'entrée : un équipement industriel joignable depuis Internet. Statut : confirmé.
Ce que ça change : le formulaire Web oublié de York et le contrôleur de réfrigération sont le même problème. Un actif que personne ne suit, monté pour un besoin précis il y a des années, et toujours en ligne. La réponse du directeur général des élections est la bonne posture : présumer la vulnérabilité, puis la mesurer.
Partie 4 : l'IA des deux côtés de la table
Côté attaque. Fin octobre, CrowdStrike a détaillé ARTEX, un cadre d'agents d'IA qu'un groupe lié à la Chine (Vapor Panda) a utilisé pour viser plus de 200 organisations dans au moins 14 pays, en 11 jours à partir du 17 octobre : ministères des Affaires étrangères, défense, semi-conducteurs, télécommunications, groupes de réflexion. L'opération tournait principalement sur DeepSeek et un second modèle commercial. Deux nuances : 200, c'est le nombre de cibles, pas de victimes (neuf intrusions confirmées) ; et l'opérateur humain intervenait aux étapes de décision. Statut : rapporté par les chercheurs.
Côté défense. Le 4 novembre, OpenAI a décrit une chaîne d'agents qui, avec un modèle cyber pas encore publié, a validé 948 failles d'élévation de privilèges dans le noyau Linux et produit un correctif pour chacune, pour environ 1,2 million de dollars américains de crédits d'API. Statut : rapporté par l'éditeur.
Ce que ça change : l'IA ne crée pas de nouvelles portes, elle les essaie toutes plus vite. Les contrôleurs exposés, les VPN non corrigés et les formulaires oubliés étaient déjà là ; un agent les essaie sur des centaines de cibles à la fois. Le délai entre « exposé » et « exploité » rétrécit, et c'est lui que le registre doit mesurer.
Les trois questions de la semaine pour un comité de direction
- Qui, chez nous, est propriétaire des équipements qui ne sont pas des ordinateurs (bâtiment, réfrigération, accès, production), et existe-t-il une liste de ceux qui répondent depuis Internet ?
- Nos contrats avec les installateurs et les mainteneurs disent-ils qui peut brancher un équipement sur Internet, avec quel mot de passe, et qui le corrige ?
- Si notre VPN recevait demain une faille inscrite au catalogue KEV, en combien de jours serait-elle corrigée, et qui signerait l'exception si ce n'était pas possible ?
Et vous, qu'en pensez-vous ?
Notre position : un équipement qui répond depuis Internet sans propriétaire est un risque d'affaires, pas un détail technique, qu'il s'agisse d'un serveur ou d'un congélateur. Exagéré ? Dites-nous en commentaire quel équipement « qui n'est pas de la TI » vous inquiète le plus.
Le module Exposition de FortaRisks surveille plus de 15 ports industriels ; le rapport d'exposition gratuit montre en 48 heures ce qui répond chez vous depuis Internet. Et trente minutes avec un expert suffisent à passer vos trois questions en revue.
Sources : CISA, FBI, HHS, USDA et DOT, fiche conjointe sur le durcissement des systèmes de réfrigération et de surveillance de la chaîne du froid (5 nov. 2026) · CISA, catalogue KEV · CISA, ajout au catalogue KEV (3 nov. 2026) · SonicWall, avis SNWLID-2026-0014 · York University, avis sur l'incident · Centre canadien pour la cybersécurité, alerte AL25-016 (29 oct. 2025). Veille, nommée dans le texte : Reuters, AFP, NOS, The Hub, CrowdStrike, OpenAI, Shared Health.