Insider Threat

📰 Source : Risky Business (Tom Uren), publié le 22 octobre 2026. Cet article de newsletter hebdomadaire couvre plusieurs incidents et tendances majeures en cybersécurité. 🕵️ Incident d’espionnage chez OpenAI Un employé d’OpenAI de nationalité saoudienne, Abdulrahman Alfozan, a été arrêté et inculpé par le Département de Justice américain (DoJ) pour avoir installé un dispositif d’écoute clandestin dans une salle de conférence du bureau de San Francisco d’OpenAI. Le dispositif utilisé était une carte microcontrôleur SEEED (valeur : 13,90 USD), dotée d’une caméra, d’un microphone et d’une connectivité Wi-Fi, dissimulée dans du papier toilette et branchée sur le port USB d’un téléviseur. Le dispositif aurait été modifié pour chiffrer les données afin d’entraver l’analyse forensique. ...

📰 Source : Dark Reading — Article publié le 1er octobre 2026, basé sur des documents publics et une demande de devis (RFQ) émise par ATNS. 🏢 Contexte : Air Traffic and Navigation Services (ATNS) est une entreprise publique sud-africaine assurant le contrôle du trafic aérien (ATC) et les opérations météorologiques pour environ 10 % de l’espace aérien mondial. ⚠️ Incident détecté : Les systèmes de surveillance d’ATNS ont identifié une activité suspecte dans les environnements OT (Operational Technology) supportant les services météorologiques liés au contrôle aérien. Les investigations préliminaires ont confirmé la présence d’un malware associé aux premières étapes d’une attaque ransomware. ...

🌐 Contexte Publié le 14 septembre 2026 sur le blog de Barracuda Networks par Christine Barry, cet article analyse en profondeur la menace des faux travailleurs nord-coréens, opération attribuée au groupe Famous Chollima (également suivi sous les noms UNC5267 par Mandiant/Google, Jasper Sleet par Microsoft, et associé à Wagemole). 🎭 Mécanisme d’attaque Contrairement aux cyberattaques classiques, Famous Chollima ne compromet pas de systèmes via des vulnérabilités ou des credentials volés. Le groupe obtient un accès légitime en se faisant embaucher sous de fausses identités dans des entreprises cibles : ...

🌐 Contexte Publié le 18 août 2026 par Insikt Group (Recorded Future), ce rapport analyse plusieurs clusters d’activité liés à PurpleDelta, la désignation de Recorded Future pour les travailleurs IT nord-coréens opérant à l’échelle mondiale. Ces opérateurs sont très probablement basés en Chine (Shenyang) et actifs depuis fin 2024. 🎭 Gestion des personas et recrutement frauduleux Les opérateurs PurpleDelta maintiennent au moins 22 personas fictives revendiquant des localisations aux États-Unis, en Allemagne et au Brésil. Ils ont postulé à plus de 1 100 entreprises via au moins 10 plateformes d’emploi (Indeed, Upwork, ZipRecruiter, SEEK, etc.), soumettant plus de 60 candidatures par jour. ...

📰 Source : ITPro, article de Nicole Kobie publié le 7 août 2026, basé sur un rapport de TrendAI (division de Trend Micro). 🔍 Contexte général Les groupes cybercriminels ont développé une économie souterraine hautement structurée dédiée au recrutement d’employés d’entreprises (insiders). Cette économie opère principalement via Telegram et des forums de hacking, et intègre des courtiers, des services d’escrow et des annonces de recrutement formalisées. 👥 Mécanismes de recrutement Le marché fonctionne dans les deux sens : ...

🔍 Contexte Source : KrebsOnSecurity, publié le 18 mai 2026. L’article rapporte la découverte et la divulgation responsable d’une fuite massive de données sensibles de la CISA (Cybersecurity & Infrastructure Security Agency) via un dépôt GitHub public maintenu par un contractant de la société Nightwing, basée à Dulles, Virginie. 📁 Nature de l’exposition Le dépôt GitHub nommé “Private-CISA” a été créé le 13 novembre 2025 et contenait : Des clés administratives AWS GovCloud pour trois serveurs (fichier importantAWStokens) Un fichier AWS-Workspace-Firefox-Passwords.csv avec des identifiants en clair pour des dizaines de systèmes internes CISA Des credentials pour le système “LZ-DSO” (Landing Zone DevSecOps), l’environnement de développement sécurisé de l’agence Des credentials pour l’Artifactory interne (dépôt de packages logiciels) Des logs, tokens, sauvegardes et autres assets sensibles Des mots de passe faibles suivant le schéma [nom_plateforme][année_courante] 🚨 Découverte et validation La fuite a été détectée par Guillaume Valadon (chercheur chez GitGuardian), dont la plateforme scanne en continu les dépôts publics à la recherche de secrets exposés. Philippe Caturegli (fondateur de Seralys) a validé que les credentials AWS permettaient une authentification à haut niveau de privilège sur trois comptes AWS GovCloud. ...

🏛️ Contexte Source officielle : site du gouvernement de Nouvelle-Galles du Sud (nsw.gov.au), publication datée du 21 avril 2026. Le gouvernement australien de l’État de NSW a déclaré un incident cyber significatif à la suite d’une violation de données interne impliquant un membre du personnel du NSW Treasury. 🔍 Déroulement de l’incident La surveillance de sécurité interne a détecté un transfert suspect de documents vers un serveur externe. Les fichiers concernés contiennent des informations commerciales et financières confidentielles couvrant plusieurs départements et projets du gouvernement NSW. Le NSW Treasury a signalé l’affaire à la NSW Police le dimanche précédant la publication. La police a lancé une enquête sous le nom de Strike Force Civic, aboutissant à des inculpations criminelles dans la nuit. 📊 Impact et état de la situation Les autorités estiment que l’ensemble des données présumées volées a été localisé et sécurisé. Aucune compromission externe du système de l’agence n’a été identifiée. L’enquête policière est toujours en cours au moment de la publication. 📌 Nature de l’article Il s’agit d’une annonce d’incident officielle publiée par le gouvernement de NSW, visant à informer le public de la déclaration d’un incident cyber significatif et des mesures prises par les autorités compétentes. ...

📰 Source : The Guardian | Date : 7 avril 2026 | Contexte : Incident de sécurité interne chez Meta, révélé plus d’un an après sa découverte, faisant l’objet d’une enquête criminelle au Royaume-Uni. 🔍 Nature de l’incident Un ancien employé de Meta, résidant à Londres, est soupçonné d’avoir accédé et téléchargé environ 30 000 images privées appartenant à des utilisateurs de Facebook, pendant qu’il était encore en poste au sein de l’entreprise. ...

🏦 Contexte Source : The Cyber Express, publié le 2 avril 2026. L’article présente une réponse exclusive du Secrétaire général de l’autorité italienne de protection des données (Garante), Luigi Montuori, sur l’affaire Intesa Sanpaolo, déjà sanctionnée par une amende de 31,8 millions d’euros. 🔍 Nature de l’incident L’incident implique un employé interne d’Intesa Sanpaolo qui a accédé de manière répétée et sans justification professionnelle aux données de plus de 3 500 clients, dont des personnes politiquement exposées et des personnalités de haut profil. L’accès non autorisé s’est étalé sur plus de deux ans sans déclencher aucune alerte. ...

🌐 Contexte Publié le 24 mars 2026 par NetAskari sur Substack, cet article analyse une revendication de fuite massive de données depuis le National Super Computer Center (NSCC) de Tianjin, Chine. L’annonce initiale a été repérée environ deux mois auparavant sur un forum du dark web. 🎭 Acteurs impliqués L’opération est revendiquée par un groupe se nommant “Flaming China”, dont le canal Telegram existe depuis début février. Le vendeur opère sous le pseudonyme “airborneshark1”. L’auteur de l’article émet l’hypothèse d’un groupe éphémère ou d’un alias. ...