Rapport D'incident

Selon CyberScoop (13 novembre 2025), The Washington Post fait partie des clients Oracle E‑Business Suite visés par une campagne de vol de données et d’extorsion attribuée au groupe Clop. • Chronologie et portée: un « bad actor » contacte le journal le 29 septembre en affirmant avoir accédé aux applications Oracle; l’enquête établit un accès à l’environnement Oracle du 10 juillet au 22 août. Le 27 octobre, le journal confirme l’ampleur des données compromises: informations personnelles de 9 720 personnes (employés et contractants actuels et anciens), incluant noms, numéros de compte bancaire et de routage, et numéros de sécurité sociale. ...

Source: Inside IT (article de Hans Joerg Maron). L’IT service provider et cloud provider suisse Unico Data, fondé en 1991 à Münsingen, annonce l’arrêt de ses activités fin 2025, conséquence à long terme d’une attaque par ransomware subie en mai 2023. En mai 2023, Unico Data a été visé par le groupe Play. Quelques semaines plus tard, la bande a publié des données de clients d’Unico sur le darknet. L’entreprise a communiqué de manière très transparente sur l’incident, ce qui lui a valu un Courage Award, et son CEO de l’époque a témoigné dans un podcast d’Inside IT. ...

Cyberattaque chez Infoniqa : une fuite bien plus importante que prévu Date : 11 novembre 2025 Sources : Swiss IT Magazine / Kurier (Autriche) 🧠 Résumé Début août 2025, Infoniqa — fournisseur de solutions de gestion — a subi une attaque majeure via une faille Zero-Day SharePoint, suivie du déploiement du rançongiciel Warlock. De nouvelles analyses montrent que l’ampleur réelle de la fuite dépasse largement les chiffres initialement communiqués. 📊 Ampleur du vol de données Les attaquants ont publié 165 Go de données sur le Darknet fin août après le refus de payer la rançon. Selon une enquête du Kurier et de l’expert autrichien Manuel Löw-Beer : ≈ 2 700 entreprises impactées (AT, DE, CH, UK, NL) ≥ 350 cas confirmés de fuites de données personnelles sensibles Le nombre réel pourrait être nettement supérieur, certains fichiers n’ayant pas encore été analysés. ⚙️ TTPs observés Accès initial : exploitation d’une vulnérabilité Zero-Day SharePoint Exécution / Persistance : déploiement du rançongiciel Warlock Exfiltration : vol massif de données via l’infrastructure des attaquants Impact : publication de 165 Go de données clients dans le Darknet 📂 Types de données compromises Données d’entreprises clientes Documents internes Dans de nombreux cas, données personnelles sensibles (RH, financières, etc.) ⚠️ Recommandations pour les entreprises concernées 🔐 Changer immédiatement tous les mots de passe liés à Infoniqa 🔍 Surveiller les journaux et systèmes pour anomalies 👥 Sensibiliser les employés au risque de phishing ciblé 📝 Notifier les autorités (EDÖB, CNIL, DSB, BfDI…) si concerné 🚧 Activer MFA et restreindre les accès 🛡️ Auditer les partages, droits et accès Infoniqa Type de contenu : article de presse spécialisé dont l’objectif est d’informer les professionnels de la cybersécurité et les responsables IT sur l’ampleur réelle du cyberincident chez Infoniqa, d’analyser les implications en matière de fuite de données, ainsi que d’alerter sur les risques pour les organisations concernées. ...

Selon la Governor’s Technology Office (GTO) du Nevada, sous la direction de l’Office du CIO, l’État a coordonné la remédiation d’une brèche ciblée qui a perturbé des systèmes pendant environ 28 jours. Le point d’entrée provient d’une campagne de Search Engine Optimization poisoning (SEO poisoning) : un acteur malveillant a injecté du code dans une ressource en ligne de confiance, fréquemment consultée par le personnel IT de l’État. Ce code a été téléchargé et installé sur un poste de travail interne, contournant les défenses endpoint et offrant un accès non autorisé à des systèmes critiques. ...

Source: Cloudflare Blog — Dans le contexte des élections législatives moldaves du 28 septembre 2025, organisées sous forte pression d’ingérences étrangères, Cloudflare décrit l’assistance fournie à la Commission électorale centrale (CEC) pour maintenir l’accès aux informations officielles et la résilience des services en ligne. 🛡️ Le jour du scrutin, la CEC a subi une série d’attaques DDoS concentrées et à fort volume durant plus de 12 heures, de 09:06:00 UTC à 21:34:00 UTC. Cloudflare indique avoir mitigé plus de 898 millions de requêtes malveillantes sur cette période. L’activité a été catégorisée en 11 « chunks » (vagues multi-étapes), avec un pic majeur (« Chunk 5 ») à 15:31:00 UTC atteignant 324 333 rps. Après la fermeture des bureaux à 18:00 UTC, les assauts se sont poursuivis pendant la phase de publication des résultats, avec des pics supérieurs à 243 000 rps, tout en maintenant le site de la CEC accessible en temps réel. ...

Selon BleepingComputer, un pirate a revendiqué l’incident d’email « We got hacked » de la semaine dernière visant l’Université de Pennsylvanie. Date : 2 novembre 2025 Auteur : Lawrence Abrams (BleepingComputer) Un pirate informatique affirme être responsable de la compromission du réseau de l’Université de Pennsylvanie (Penn), annonçant avoir volé 1,2 million d’enregistrements de donateurs, d’étudiants et d’anciens élèves, ainsi que de nombreux documents internes. Le hacker affirme que l’incident n’était que la partie visible d’une intrusion bien plus étendue. 🔓 Il soutient que la brèche a entraîné l’exposition de données concernant 1,2 million de donateurs ainsi que la divulgation de documents internes. 🏫 📧 De l’email offensif à la fuite massive Le 31 octobre, des milliers d’anciens élèves et d’étudiants de Penn ont reçu une série d’emails injurieux envoyés depuis des adresses @upenn.edu, prétendant que l’université avait été piratée. Les messages provenaient du système de mailing officiel de l’université, connect.upenn.edu, hébergé sur Salesforce Marketing Cloud. ...

Selon SecurityWeek (article d’Ionut Arghire, mis à jour le 31 octobre 2025), Conduent a commencé à notifier plus de 10 millions de personnes que leurs informations personnelles ont été volées lors d’un incident découvert en janvier 2025, après des perturbations ayant touché des agences gouvernementales de plusieurs États américains. 📅 Chronologie et périmètre de l’incident Accès initial au réseau : 21 octobre 2024. Perturbations confirmées publiquement : fin janvier 2025 (agences gouvernementales dans plusieurs États). Notification à la SEC : avril 2025 (vol de données confirmé). Éviction des attaquants : 13 janvier 2025 (après identification de l’attaque). Démarrage des notifications aux personnes concernées et aux procureurs généraux d’États : fin octobre 2025. 🧾 Données compromises et impact ...

Selon The Record, une attaque a touché des entreprises agro‑industrielles en Russie. Il s’agit de la deuxième action de ce groupe en quelques mois, et elle intervient alors que se préparaient les activités liées au forum agricole prévu à la fin du mois à Moscou. Points clés 🌾🗓️ Type d’événement: attaque contre des organisations du secteur agro‑industriel Cibles: entreprises agro‑industrielles russes Récurrence: second incident attribué au même groupe en quelques mois Calendrier: coïncide avec la préparation du forum agricole de fin de mois à Moscou Localisation et contexte 🎯 ...

Source: Huntress — Dans un billet technique, Huntress détaille une enquête d’incident Qilin avec télémétrie minimale, reconstruite grâce à des artefacts Windows pour retracer l’attaque du premier accès jusqu’au chiffrement. Les analystes ont travaillé sans EDR, SIEM ni canaris ransomware, s’appuyant sur des journaux d’événements Windows, AmCache et les journaux Program Compatibility Assistant (PCA). Ils ont identifié l’installation d’un RMM ScreenConnect non autorisé, des transferts de fichiers suspects (r.ps1, s.exe, ss.exe) et une progression de l’attaque allant de l’accès RDP à l’exécution du ransomware. 🧭 ...

Selon Sucuri (blog), une enquête d’incident détaille comment une fonctionnalité apparemment anodine d’un formulaire de contact (« S’envoyer une copie ») a été détournée pour envoyer 149 700 spams, entraînant une saturation des services de messagerie du serveur. • Constat initial 🚨: forte utilisation CPU liée aux processus dovecot/LMTP et présence de 149 700 emails dans la file d’attente Exim. Les en-têtes d’email indiquaient une origine localhost (127.0.0.1) avec authentification d’utilisateur local. ...