Exfiltration

🗓️ Contexte Analyse publiée le 3 août 2026 sur CyberThreat Report par Ferenc Frész, basée sur une annonce de vente de données apparue sur le forum DarkForums lors du premier week-end d’août 2026, sous le titre The Magyar Conquest. 🎯 Cible et acteur Le groupe ByteToBreach revendique la compromission de l’Államkincstár (Trésor public hongrois) et de l’MVH (Mezőgazdasági és Vidékfejlesztési Hivatal), deux entités majeures du secteur public hongrois. Les données volées sont proposées à la vente sur DarkForums. ...

🏥 Contexte Publié le 22 juillet 2026 par Health-ISAC (TLP:WHITE, Alert ID: a1c5fe47), ce bulletin de menace signale une augmentation observée des attaques réussies du groupe ShinyHunters contre des organisations du secteur de la santé. 🎯 Acteur et mode opératoire ShinyHunters opère désormais comme une opération d’extorsion centrée sur l’identité et l’accès SaaS, s’éloignant du modèle ransomware traditionnel. La chaîne d’attaque répétable documentée est la suivante : Vishing (ingénierie sociale vocale) ciblant des employés Réinitialisation MFA ou ré-enrôlement de device via le helpdesk compromis Prise de contrôle de compte SSO (Microsoft Entra ID, Okta, Google) Pivot vers les plateformes SaaS connectées (Microsoft 365, SharePoint, ServiceNow, etc.) Exfiltration massive de données à des fins de levier d’extorsion 📋 Détails techniques Dans des incidents récents, ShinyHunters a revendiqué le vishing de plusieurs employés menant à la compromission d’un compte Microsoft Entra SSO, suivi de vols de données depuis des plateformes SaaS et internes (Microsoft 365/SharePoint et autres services d’entreprise). Le groupe exploite le fait que le SSO constitue le plan de contrôle central, permettant un accès à grande échelle aux données cloud. ...

🏢 Contexte Le 20 juillet 2026, Craneware plc, éditeur de logiciels pour le secteur de la santé, a publié une notification officielle via un service d’information réglementaire (RIS) concernant une violation de données détectée dans une portion de son environnement de données. 🔍 Nature de l’incident Des attaquants ont obtenu un accès non autorisé à l’environnement de Craneware, leur permettant de visualiser et d’exfiltrer des données. Les éléments confirmés incluent : ...

📅 Contexte : Le 15 juin 2026, le média spécialisé GBHackers rapporte une revendication d’intrusion visant Nintendo, détectée via des canaux de surveillance underground et relayée par la plateforme de threat intelligence Hackmanac. 🎯 Revendication : L’acteur malveillant se faisant appeler SHADOWBYT3$ affirme avoir compromis des systèmes internes de Nintendo et procédé à une exfiltration de données sensibles. La revendication a été publiée le 13 juin 2026. ⚠️ Statut de vérification : Au moment de la publication de l’article, l’incident est non vérifié. Aucune confirmation officielle de Nintendo n’est mentionnée. ...

🏥 Contexte Cette notification provient du site officiel du procureur général de l’État du Maine (maine.gov), publiée le 20 mai 2026. Elle concerne un incident de sécurité informatique survenu chez Southern California University of Health Sciences (SCUHS). 📅 Chronologie de l’incident 23-24 mars 2026 : Un acteur non autorisé accède au réseau de SCUHS et consulte et copie des fichiers. 24 mars 2026 : SCUHS prend connaissance de l’activité non autorisée sur son réseau. Des spécialistes externes en cybersécurité sont immédiatement mobilisés pour sécuriser le réseau et évaluer l’étendue de l’incident. 🔍 Nature de l’incident L’investigation a confirmé que certains fichiers stockés sur le réseau de SCUHS ont été consultés et copiés (exfiltration de données) par un acteur non autorisé. Une revue exhaustive des fichiers impactés a été conduite pour identifier les informations concernées et les personnes affectées. ...

🔍 Contexte Publié le 18 mai 2026 par la Microsoft Defender Security Research Team, cet article constitue un rapport d’incident détaillé analysant une campagne sophistiquée menée par le groupe Storm-2949. L’attaque a ciblé une organisation non nommée dont l’infrastructure repose massivement sur les services cloud Microsoft (Microsoft 365, Azure). 🎯 Vecteur d’accès initial L’accès initial a été obtenu via ingénierie sociale ciblée combinée à un abus du processus SSPR (Self-Service Password Reset) de Microsoft Entra ID. Le groupe a : ...

🏭 Contexte Source : dépôt réglementaire officiel de West Pharmaceutical Services, Inc. (investor.westpharma.com), publié le 12 mai 2026. West Pharmaceutical Services est un fabricant mondial de systèmes d’administration de médicaments injectables et de composants d’emballage pharmaceutique. 🔴 Nature de l’incident Le 4 mai 2026, une intrusion est détectée dans les systèmes de l’entreprise. Le 7 mai 2026, la direction qualifie officiellement l’incident de cyberattaque matérielle (material cybersecurity attack). L’attaque combine deux vecteurs d’impact : ...

🔍 Contexte Cet article est une mise à jour officielle publiée par Checkmarx le 9 mai 2026 sur leur blog, relatant un incident de sécurité supply chain en cours ayant débuté le 23 mars 2026. L’article compile plusieurs mises à jour successives (23 mars, 22 avril, 26 avril, 27 avril, 9 mai 2026). 🗓️ Chronologie de l’incident 23 mars 2026 : Checkmarx identifie un incident supply chain lié à l’attaque TeamPCP ciblant le scanner Trivy (signalée le 19 mars). Des artefacts malveillants sont publiés sur OpenVSX et dans des GitHub Actions. L’attaquant pousse du code malveillant directement dans les dépôts GitHub de Checkmarx. 30 mars 2026 : Exfiltration de données depuis les dépôts GitHub de Checkmarx. 22 avril 2026 : Deuxième vague de publications d’artefacts malveillants (KICS DockerHub, ast-github-action, extensions VS Code), indiquant un accès persistant ou renouvelé de l’attaquant. 25 avril 2026 : LAPSUS$ publie sur le dark web des données estampillées du 30 mars, issues des dépôts GitHub de Checkmarx. 9 mai 2026 : Publication d’une version malveillante du plugin Jenkins AST (version 2026.5.09) sur le Jenkins Marketplace. 🎯 Artefacts compromis Vague 1 (23 mars 2026) : ...

🔍 Contexte Le 2 mai 2026, Ctrl-Alt-Intel publie une analyse de threat research basée sur la découverte d’un serveur de staging attaquant exposé. L’article fait suite à la divulgation publique de CVE-2026-41940, un bypass d’authentification critique dans cPanel & WHM (versions après 11.40), initialement documenté par watchTowr Labs le 29 avril 2026. 🎯 Victimologie L’acteur a ciblé principalement : Philippine Coast Guard Philippine Air Force, 15th Strike Wing Philippine Government Arsenal, Department of National Defense Lao Ministry of National Defence Lao Ministry of Natural Resources and Environment MSPs et hébergeurs aux Philippines, Laos, Canada, Afrique du Sud et États-Unis Un portail de formation du secteur de la défense indonésien Des organisations chinoises du secteur ferroviaire (China Railway Society Electrification Committee) ⚙️ Techniques d’attaque Exploitation CVE-2026-41940 : L’acteur a utilisé des PoC publics pour forger des sessions WHM en injectant des valeurs user=root, hasroot=1, tfa_verified=1, obtenant un accès root non authentifié. ...

📰 Source : SuspectFile — Date : 22 avril 2026 — Interview directe accordée par le groupe DragonForce à la plateforme d’investigation SuspectFile. 🎯 Présentation du groupe DragonForce se décrit comme un écosystème RaaS (Ransomware-as-a-Service) basé sur un modèle de partenariat ouvert. Le groupe se positionne comme un régulateur chargé de faire respecter des règles internes, tandis que les affiliés (« partenaires ») conduisent les attaques de manière autonome. Cette structure décentralisée complexifie l’attribution technique. ...