Rapport D'incident

📊 Contexte : GuidePoint Security publie son rapport trimestriel GRIT Q2 2026 (avril–juin 2026), couvrant l’ensemble de l’écosystème ransomware et des menaces cyber sur la période. Il s’appuie sur des données publiques issues des sites de fuite des groupes criminels. 🔢 Chiffres clés du trimestre : 2 279 victimes déclarées publiquement, soit +7% par rapport au Q1 2026 et +43% en glissement annuel 91 groupes distincts actifs, record absolu observé par GRIT 108 pays ciblés (contre 97 au Q1 2026) Les États-Unis représentent 32% des victimes, en baisse historique par rapport aux ~50% habituels 🏆 Groupes les plus actifs : ...

📰 Source : BleepingComputer | Date de publication : 8 juillet 2026 | Incident : cyberattaque contre Mount Royal University (MRU), Calgary, Canada 🎯 Contexte de l’incident Le 17 juin 2026, la Mount Royal University (MRU) de Calgary a été victime d’une cyberattaque ayant perturbé une large gamme de systèmes universitaires, notamment les services en ligne, l’accès internet et certains systèmes internes. L’université compte 11 560 étudiants actifs et 12 500 étudiants de premier cycle. ...

🏥 Contexte Le Groupe 3R, réseau suisse de centres d’imagerie médicale, a publié sur son site officiel une page d’information dédiée à la cyberattaque dont il a été victime le 30 avril 2026. La dernière mise à jour de cette page date du 7 juillet 2026. 💥 Nature de l’incident L’article mentionne explicitement une cyberattaque sans en préciser le type technique (ransomware, intrusion, etc.). Des données personnelles et médicales de patients ont été volées par les cybercriminels, et certaines informations ont été diffusées par la RTS (Radio Télévision Suisse), ce qui est évoqué dans la section FAQ. ...

🔍 Contexte Publié le 3 juillet 2026 par RANSOM-ISAC (recherche individuelle de The Raven File), ce rapport analyse en détail un incident d’extorsion de données impliquant le groupe Kairos et une entité gouvernementale américaine non identifiée, survenu en mai-juin 2025. L’analyse repose sur une transcription de négociation divulguée et des observations de flux de paiement blockchain. 🎯 Nature de l’attaque Kairos est décrit comme un acteur d’extorsion de données uniquement (data-only extortion), sans ransomware confirmé. Aucun échantillon d’encrypteur ou de binaire de verrouillage n’a été identifié. L’accès initial aurait été obtenu via une attaque par force brute sur les identifiants. Le groupe a exfiltré plus de 2 To de données (1 602 775 fichiers) avant de prendre contact avec la victime le 19 mai 2025. ...

🔍 Contexte Rapport d’incident publié le 29 juin 2026 par The DFIR Report, basé sur deux intrusions survenues en juillet 2025, dont une analysée en partenariat avec Swisscom B2B CSIRT. L’analyse couvre l’intégralité de la chaîne d’attaque, de l’accès initial au déploiement du ransomware. 🎯 Accès initial L’intrusion débute par une attaque de SEO poisoning sur Bing, ciblant des utilisateurs recherchant ManageEngine OpManager. Les victimes sont redirigées vers le domaine opmanager[.]pro, un clone du site légitime, puis vers download-center[.]online pour télécharger un installateur MSI trojanisé. Ce MSI dépose trois fichiers dans %TEMP%\ApplicationInstallationFolder_11 : ...

📄 Source et contexte : Ce document est le rapport annuel « La Sécurité de la Suisse 2026 » publié par le Service de renseignement de la Confédération (SRC), clôturé en mai/juin 2026. Il couvre l’ensemble des menaces pesant sur la Suisse dans les domaines du terrorisme, de l’espionnage, de la prolifération et des infrastructures critiques, avec une dimension cyber significative. 🌐 Environnement stratégique et cybermenaces : Le rapport identifie la Russie comme la menace la plus sérieuse et la plus aiguë pour la sécurité européenne. La Russie a fortement intensifié son conflit hybride en Europe, incluant des cyberattaques, des actes de sabotage physique et des activités d’influence. Des cyberattaques contre des cibles à l’étranger s’effectuent également à travers des infrastructures suisses. La Chine représente également une menace hybride croissante, combinant instruments économiques, technologiques et cyber. ...

📰 Source : TechCrunch, article de Lorenzo Franceschi-Bicchierai publié le 25 juin 2026. L’article rapporte les développements post-incident concernant la violation de données subie par Klue, fournisseur de market intelligence. 🗓️ Chronologie de l’incident 12 juin 2026 : intrusion dans les systèmes de Klue Lundi (date non précisée) : Klue confirme publiquement la violation Mercredi soir : mise à jour privée envoyée aux clients Jeudi matin : site du groupe Icarus hors ligne 🎯 Vecteur d’attaque initial Les attaquants ont utilisé un credential tiers datant de 2022, issu d’un pilote limité et jamais révoqué. Ce credential a permis d’accéder aux systèmes de Klue, puis de dérober des tokens d’authentification OAuth pour s’introduire dans les clouds et bases de données des clients. ...

🔍 Contexte Source : Hackread.com, publié le 23 juin 2026. LastPass a confirmé avoir été affecté par un incident de supply chain impliquant Klue, une plateforme de market intelligence utilisée par ses équipes go-to-market. 🎯 Nature de l’attaque Un acteur malveillant non autorisé a exploité des tokens OAuth volés depuis la plateforme Klue pour accéder à l’environnement Salesforce de LastPass. Le groupe responsable, nommé Icarus, est décrit comme un nouveau groupe d’extorsion. Il a : ...

🔍 Contexte Publié le 24 juin 2026 par Mandiant (Google Cloud Blog), ce rapport technique détaille une campagne d’intrusion ciblant l’infrastructure SD-WAN d’un fournisseur de services, identifiée en début d’année 2026. L’analyse couvre une activité s’étendant de fin 2025 à mars 2026. 🎯 Accès initial — Connexions de peering non autorisées De fin 2025 à janvier 2026, Mandiant a observé de multiples connexions de peering non autorisées vers les équipements Cisco Catalyst SD-WAN Manager de la victime. Ces connexions pourraient être liées à l’exploitation de CVE-2026-20127 ou CVE-2026-20182, deux vulnérabilités critiques permettant à un attaquant distant non authentifié de contourner l’authentification et d’obtenir des privilèges administratifs. ...

🔍 Contexte Publié le 21 juin 2026 sur le blog officiel de Recorded Future, cet article constitue une communication de transparence adressée aux clients et partenaires de la plateforme CTI, suite à un incident de sécurité impliquant un prestataire tiers. 📅 Chronologie de l’incident 12 juin 2026 : début de l’activité non autorisée dans l’environnement de Klue, fournisseur marketing tiers, contenue le même matin 17 juin 2026 : confirmation par Recorded Future que des éléments de son compte Salesforce ont été compromis via un token OAuth compromis lié à l’intégration Salesforce-Klue Semaine du 21 juin 2026 : notification au CSIRT de Recorded Future et publication de la communication 🎯 Nature de l’attaque L’attaque a ciblé la couche d’intégration entre Klue et d’autres plateformes SaaS marketing et commerciales. Le vecteur d’accès identifié est un token OAuth compromis associé à l’intégration entre Salesforce et Klue. Recorded Future n’était pas une cible spécifique mais une victime incidente. ...