|
🛡️
|
CSIRT CyberCorsica
Bulletin de veille cyber
Du 2 au 12 novembre 2026
|
TLP:CLEAR |
- Des prestataires piratés, leurs clients touchés : chambres froides et frigos de supermarchés déréglés à distance, courrier postal en ligne (Maileva) dont les clients découvrent encore les conséquences.
- Chrome et Outlook ont chacun une faille déjà exploitée : mettez-les à jour cette semaine.
- SMS « paiement suspect, appelez ce numéro » : c’est le numéro de l’escroc, ne le rappelez jamais.
- Une question à poser à vos prestataires : que peuvent-ils faire à distance chez nous, et avec quelle protection ?
❄️ Chambres froides et frigos piratés via leur prestataire
ATTAQUE PAR PRESTATAIRE
Dans la nuit du 1er au 2 novembre, une attaque contre un prestataire de froid a modifié à distance les réglages de chambres froides de l’Établissement français du sang, sur trois sites. Les alarmes ont permis de protéger les stocks, sans impact sanitaire selon l’établissement. Le 2 novembre, des supermarchés de plusieurs pays européens ont vu les températures de leurs frigos et congélateurs s’envoler et ont dû jeter leurs produits, après un épisode comparable en France mi-octobre.
Ce n’est pas le magasin qui a été piraté : c’est le système de pilotage du froid, géré par un tiers. Un restaurant, une cantine, une épicerie ou une association qui stocke des denrées pour une fête peut perdre une nuit de stock sans qu’aucun ordinateur du bureau ne soit touché.
🔧 Détail technique (pour les équipes informatiques et prestataires)
- Vecteur non confirmé. Selon Génération NT, des accès distants de régulateurs industriels auraient servi à forcer un dégivrage (50 à 70 °C relevés) ; le même média évoque des boîtiers Danfoss anciens et non corrigés lors de la vague française. Nous n’avons pas trouvé de confirmation officielle du vecteur dans les sources consultées.
- Fournisseur. Une porte-parole d’ICA (Suède) a indiqué que ses magasins touchés étaient reliés à un système de contrôle externe fourni par Danfoss, déjà visé le 12 octobre. Pour l’EFS, Le Canard enchaîné cite Coolworld (information relayée par Aleteia, non confirmée par l’EFS dans les sources consultées).
- Périmètre. Les pays cités varient selon les sources (Belgique, Suède, Estonie, Luxembourg ; Irlande et Finlande selon les décomptes) ; plus de 70 magasins selon Génération NT. Au 2 novembre, ni revendication ni demande de rançon, et aucune attribution établie.
- À mettre en place. Inventaire des accès distants des automates (froid, GTB, alarmes), double authentification, aucune exposition directe sur Internet, procédure de reprise en manuel testée.
✉️ Maileva : une fuite chez un prestataire de courrier, des clients touchés six semaines plus tard
FUITE VIA PRESTATAIRE
Maileva (groupe La Poste) envoie des courriers pour le compte de ses clients. Ses services ont été coupés le 23 septembre après des accès non autorisés à certains comptes ; le 9 octobre, un service de santé au travail a confirmé qu’un tiers avait consulté une base de suivi des courriers (coordonnées des destinataires, informations sur les envois). Depuis début novembre, des clients préviennent leurs usagers : Flandre Opale Habitat le 3 novembre, Altéal le 9, des laboratoires du groupe Inovie, l’Hôpital Foch.
Ce qui a pu être consulté dépend des courriers confiés à Maileva : chez Flandre Opale Habitat, il s’agit de dix ans de courriers (identités, coordonnées, références de logement, informations administratives ou financières). Un escroc qui connaît un vrai courrier (loyer, résultat, convocation) peut le copier dans un faux message très crédible, y compris auprès d’un trésorier ou d’une secrétaire de mairie.
🔧 Détail technique (pour les équipes informatiques et prestataires)
- Chronologie. 23 sept. : coupure des services après une tentative d’utilisation frauduleuse de la plateforme pour expédier des courriers (premières investigations) ; 24 sept. : incident révélé par Cyberattaque.org et FrenchBreaches ; 9 oct. : accès à une base de suivi confirmé ; 3 et 9-10 nov. : notifications de bailleurs et de laboratoires.
- Évolution du bilan. Le communiqué initial de Maileva ne mentionnait aucune exfiltration de données personnelles (FrenchBreaches) ; les notifications ultérieures indiquent que des données de destinataires ont pu être consultées. Le nombre de personnes touchées n’est pas publié.
- Limites. Aucune utilisation frauduleuse des données des clients d’Altéal n’est établie dans les informations publiques consultées. Dans les sources consultées, aucune structure corse n’apparaît parmi les clients annonçant être touchés ; si vous recevez une notification, signalez-la au CSIRT.
🔄 Outlook et Chrome : deux failles déjà exploitées, correctifs disponibles
MISE À JOUR URGENTE
Le 10 novembre, Microsoft a corrigé une faille d’Outlook déjà exploitée par des pirates : en ouvrant un fichier de message piégé, l’utilisateur peut envoyer sans le savoir l’empreinte de son mot de passe Windows à un serveur contrôlé par l’attaquant. Dans les mêmes jours, Google a publié une mise à jour d’urgence de Chrome qui corrige elle aussi une faille déjà exploitée (la huitième de 2026 pour ce navigateur).
Un mot de passe de messagerie récupéré permet d’écrire au nom de la mairie ou de l’association, par exemple pour de fausses demandes de paiement.
🔧 Détail technique (pour les équipes informatiques et prestataires)
- Outlook, CVE-2026-124194. Usurpation avec divulgation de condensat NTLMv2, exploitée avant correctif ; l’ouverture du fichier piégé par l’utilisateur est nécessaire. Classée « modérée » par Microsoft (CVSS 6,5 selon blog-nouvelles-technologies) mais ajoutée au catalogue KEV de la CISA le 10 novembre.
- Chrome, CVE-2026-125350. Détails non publiés à ce stade. Les navigateurs dérivés de Chromium (Edge, Brave, Opera…) publient leurs correctifs séparément : à vérifier.
- Volumétrie du Patch Tuesday. Les décomptes varient de 1 090 environ (Tenable, SecurityWeek) à 1 235 (BleepingComputer, périmètre différent) ; cela ne change pas l’action.
- Autres correctifs de novembre signalés comme exploités (BleepingComputer) : SonicWall (contournement d’authentification SSL-VPN), Ivanti Connect Secure (deux zero-days enchaînés depuis au moins le 1er octobre), Barracuda Email Security Gateway (accès root), Zyxel GS1900 (près de 1 000 commutateurs compromis), Vates Xen Orchestra (contournement d’authentification). N-able a mis hors ligne ses environnements N-central hébergés dans l’attente d’un correctif.
- NAS QNAP. Le 6 novembre, le constructeur a reconnu des NAS compromis via un Plex Media Server non corrigé (chaîne « Plex2Shell ») : installer Plex 1.43.3.10861 ou plus récent ; le correctif ne retire pas un malware déjà déposé (Clubic).
- Rappel hors période. PHP2Shell (CVE-2026-109618 et CVE-2026-109619) : correctifs du 21 octobre, exploitation confirmée par la CISA le 27 octobre. Sites PHP et WordPress à vérifier.
📱 Faux numéro d’opposition bancaire : l’arnaque qui vide un compte
ARNAQUE EN COURS
Un SMS ou un e-mail annonce un paiement suspect et donne un numéro « d’opposition » pour l’annuler. Ce numéro est celui des escrocs. Cybermalveillance.gouv.fr a actualisé sa fiche sur cette arnaque le 3 novembre ; la fraude au faux conseiller bancaire est en forte progression (+159 % en 2025 selon son rapport annuel).
Un SMS ou un e-mail annonce un débit suspect et indique un numéro « d’opposition » à appeler d’urgence.
Un faux conseiller vous répond, vous rassure, puis vous demande de « valider » des opérations ou de lire un code reçu par SMS.
Ces validations servent à payer ou virer à votre place : le compte peut être vidé en quelques minutes.
Une association ou une petite commune qui paie par carte ou gère ses comptes en ligne est exposée exactement comme un particulier.
🚨 Actions immédiates par ordre de priorité
- Mettre à jour Chrome, Windows et Office cette semaine.
- Ne jamais rappeler un numéro reçu par SMS ou e-mail : passer par la carte ou l’application de la banque, puis transférer le SMS au 33700.
- Rappeler votre contact habituel avant tout paiement ou changement de RIB demandé par message.
- Si vous stockez des denrées au froid : demander à votre frigoriste si l’installation est pilotée à distance.
- Déjà rappelé ou validé une opération ? Faire opposition à la carte tout de suite, prévenir la banque, déposer plainte et contacter 17Cyber (17cyber.gouv.fr).
Message à copier et envoyer :
- Déployer le correctif Outlook CVE-2026-124194 et la mise à jour Chrome ; limiter les connexions SMB sortantes vers Internet (bonne pratique générale contre les fuites de condensats NTLM).
- Inventorier les accès distants des automates (froid, GTB, alarmes), imposer la double authentification, couper ce qui n’est pas nécessaire.
- Vérifier l’exposition de SonicWall, Ivanti Connect Secure, Barracuda ESG, Zyxel GS1900, N-able N-central, Xen Orchestra, NAS QNAP avec Plex.
- Recenser vos envois de courrier en ligne (Maileva) et les notifications de fournisseurs reçues ; relayer la consigne « rappel du contact habituel » aux services payeurs.
- Rappel : appliquer les correctifs PHP du 21 octobre sur les sites PHP et WordPress.
📚 Sources
| Sujet | Sources consultées | Niveau de confirmation |
|---|---|---|
| Chambres froides de l’EFS | Le Monde Informatique, 6 nov. | Incident confirmé par l’EFS, prestataire non nommé par l’EFS |
| Frigos de supermarchés | AFP via Boursorama, 2 nov. Génération NT, 2 nov. |
Faits relayés par l’AFP ; vecteur et périmètre non confirmés officiellement |
| Maileva | Cyberattaque.org, 10 nov. FrenchBreaches |
Notifications publiées par des clients ; nombre de personnes touchées inconnu |
| Faille Outlook, Patch Tuesday | BleepingComputer, 10 nov. Splashtop (KEV CISA) |
Correctif éditeur ; presse spécialisée |
| Faille Chrome | Génération NT, 10 nov. | Correctif éditeur ; presse spécialisée |
| Faux numéro d’opposition bancaire | Economie Matin, 6 nov. (fiche Cybermalveillance du 3 nov.) Cybermalveillance.gouv.fr, rapport annuel 2025 |
Fiche officielle relayée par la presse ; chiffre +159 % tiré du rapport annuel |
| NAS QNAP, Plex | Clubic | Alerte du constructeur relayée par la presse |
| PHP2Shell (rappel) | BleepingComputer, 27 oct. | Exploitation confirmée par la CISA |
