Rapport D'incident

Source: BleepingComputer (Bill Toulas). Contexte: une compromission chez l’infogérant italien Almaviva aurait entraîné l’exposition de données liées au groupe ferroviaire d’État FS Italiane, avec une publication sur un forum du dark web. • Le pirate revendique le vol de 2,3 To de données et leur diffusion sur le dark web. Les éléments décrits incluent des documents confidentiels et des informations sensibles d’entreprise. L’expert Andrea Draghetti (D3Lab) indique que les fichiers sont récents (T3 2025) et ne proviennent pas de l’attaque Hive (2022). ...

Selon The Register, Salesforce a signalé une nouvelle compromission impliquant des applications publiées par Gainsight et connectées à des instances clients Salesforce, avec une attribution probable au groupe ShinyHunters (UNC6240) évoquée par Google Threat Intelligence Group. Salesforce indique que l’activité suspecte « a pu permettre un accès non autorisé » à certaines données clients via la connexion des applications Gainsight. En réponse, l’éditeur a révoqué tous les tokens d’accès et de rafraîchissement associés à ces applications et les a temporairement retirées de l’AppExchange pendant l’enquête. Salesforce précise ne voir « aucune indication » d’une vulnérabilité de sa plateforme, l’activité étant liée à la connexion externe de l’app. ...

Selon techcommunity.microsoft.com (billet Microsoft signé par Sean_Whalen, 17 nov. 2025), Azure DDoS Protection a détecté et atténué automatiquement, le 24 octobre 2025, une attaque DDoS multi‑vecteurs d’ampleur inédite dans le cloud, visant un seul endpoint en Australie. 🚨 Caractéristiques clés de l’attaque: Taille/volumétrie: 15.72 Tbps et près de 3.64 milliards de pps. Vecteur principal: UDP floods à très haut débit contre une adresse IP publique spécifique. Amplitude: >500 000 adresses IP sources réparties sur plusieurs régions. TTPs: faible usurpation (spoofing) de source, ports source aléatoires, facilitant le traceback et l’application de mesures par les fournisseurs. 🧠 Origine de la menace: ...

Selon TechCrunch (Zack Whittaker), le fournisseur de technologies de surveillance et de filtrage Internet Protei a été victime d’un piratage ayant conduit au défacement de son site web et au vol massif de données, ultérieurement transmises à DDoSecrets. • 🧭 Contexte et fait marquant: le site de Protei a été défiguré le 8 novembre (tracé via la Wayback Machine) avec le message « another DPI/SORM provider bites the dust ». Le site a été restauré peu après. Durant l’intrusion, l’attaquant a obtenu le contenu du serveur web de l’entreprise, soit ~182 Go de fichiers, incluant des e-mails sur plusieurs années. L’identité et la motivation de l’attaquant sont inconnues. Le dirigeant de la branche jordanienne n’a pas répondu aux demandes de commentaire. ...

Selon 404 Media, la plateforme d’« erotic roleplay » et de génération d’images SecretDesires.ai a laissé des conteneurs Microsoft Azure Blob non sécurisés exposant près de 1,8 million de fichiers (images et vidéos), avant de couper l’accès après notification par le média. 🔓 Incident et périmètre de l’exposition Des liens vers des images/vidéos étaient accessibles publiquement via des conteneurs Azure non authentifiés, y compris des fichiers XML listant les URLs. Conteneurs concernés: « removed images » (~930 000 images), « faceswap » (~50 000 images) et « live photos » (~220 000 vidéos), pour un total d’environ 1,8 million de fichiers (avec duplications possibles). Après l’alerte envoyée par 404 Media, les fichiers sont devenus inaccessibles. La société (Playhouse Media, CEO: Jack Simmons) n’a pas répondu aux questions. 📦 Nature des données exposées et usages ...

Source: The DFIR Report — Enquête technique détaillée sur une intrusion aboutissant au déploiement de Lynx ransomware dans un environnement Windows/AD, avec mouvement latéral, exfiltration de données et sabotage des sauvegardes. L’intrusion débute par un logon RDP réussi sur un hôte exposé, à l’aide d’identifiants déjà compromis (probablement via infostealer, réutilisation ou IAB). En 10 minutes, l’acteur passe sur un contrôleur de domaine avec un autre compte Domain Admin compromis, crée des comptes look‑alike (dont “administratr”) et les ajoute à des groupes privilégiés. Il installe AnyDesk pour la persistance (non réutilisé ensuite), cartographie l’infrastructure (Hyper‑V, partages) via SoftPerfect NetScan, puis fait une pause. ...

Selon CyberScoop (13 novembre 2025), The Washington Post fait partie des clients Oracle E‑Business Suite visés par une campagne de vol de données et d’extorsion attribuée au groupe Clop. • Chronologie et portée: un « bad actor » contacte le journal le 29 septembre en affirmant avoir accédé aux applications Oracle; l’enquête établit un accès à l’environnement Oracle du 10 juillet au 22 août. Le 27 octobre, le journal confirme l’ampleur des données compromises: informations personnelles de 9 720 personnes (employés et contractants actuels et anciens), incluant noms, numéros de compte bancaire et de routage, et numéros de sécurité sociale. ...

Source: Inside IT (article de Hans Joerg Maron). L’IT service provider et cloud provider suisse Unico Data, fondé en 1991 à Münsingen, annonce l’arrêt de ses activités fin 2025, conséquence à long terme d’une attaque par ransomware subie en mai 2023. En mai 2023, Unico Data a été visé par le groupe Play. Quelques semaines plus tard, la bande a publié des données de clients d’Unico sur le darknet. L’entreprise a communiqué de manière très transparente sur l’incident, ce qui lui a valu un Courage Award, et son CEO de l’époque a témoigné dans un podcast d’Inside IT. ...

Cyberattaque chez Infoniqa : une fuite bien plus importante que prévu Date : 11 novembre 2025 Sources : Swiss IT Magazine / Kurier (Autriche) 🧠 Résumé Début août 2025, Infoniqa — fournisseur de solutions de gestion — a subi une attaque majeure via une faille Zero-Day SharePoint, suivie du déploiement du rançongiciel Warlock. De nouvelles analyses montrent que l’ampleur réelle de la fuite dépasse largement les chiffres initialement communiqués. 📊 Ampleur du vol de données Les attaquants ont publié 165 Go de données sur le Darknet fin août après le refus de payer la rançon. Selon une enquête du Kurier et de l’expert autrichien Manuel Löw-Beer : ≈ 2 700 entreprises impactées (AT, DE, CH, UK, NL) ≥ 350 cas confirmés de fuites de données personnelles sensibles Le nombre réel pourrait être nettement supérieur, certains fichiers n’ayant pas encore été analysés. ⚙️ TTPs observés Accès initial : exploitation d’une vulnérabilité Zero-Day SharePoint Exécution / Persistance : déploiement du rançongiciel Warlock Exfiltration : vol massif de données via l’infrastructure des attaquants Impact : publication de 165 Go de données clients dans le Darknet 📂 Types de données compromises Données d’entreprises clientes Documents internes Dans de nombreux cas, données personnelles sensibles (RH, financières, etc.) ⚠️ Recommandations pour les entreprises concernées 🔐 Changer immédiatement tous les mots de passe liés à Infoniqa 🔍 Surveiller les journaux et systèmes pour anomalies 👥 Sensibiliser les employés au risque de phishing ciblé 📝 Notifier les autorités (EDÖB, CNIL, DSB, BfDI…) si concerné 🚧 Activer MFA et restreindre les accès 🛡️ Auditer les partages, droits et accès Infoniqa Type de contenu : article de presse spécialisé dont l’objectif est d’informer les professionnels de la cybersécurité et les responsables IT sur l’ampleur réelle du cyberincident chez Infoniqa, d’analyser les implications en matière de fuite de données, ainsi que d’alerter sur les risques pour les organisations concernées. ...

Selon la Governor’s Technology Office (GTO) du Nevada, sous la direction de l’Office du CIO, l’État a coordonné la remédiation d’une brèche ciblée qui a perturbé des systèmes pendant environ 28 jours. Le point d’entrée provient d’une campagne de Search Engine Optimization poisoning (SEO poisoning) : un acteur malveillant a injecté du code dans une ressource en ligne de confiance, fréquemment consultée par le personnel IT de l’État. Ce code a été téléchargé et installé sur un poste de travail interne, contournant les défenses endpoint et offrant un accès non autorisé à des systèmes critiques. ...