TTP

📰 Source : ASCII.jp — Article publié le 5 octobre 2026, relatant une annonce officielle du groupe Nihon Keizai Shimbun (Nikkei) datée du 4 octobre 2026. 🎯 Nature de l’incident Le groupe de presse Nihon Keizai Shimbun (Nikkei) a annoncé avoir été victime de deux incidents de compromission de comptes cloud distincts affectant ses employés : Microsoft 365 : Un ou plusieurs comptes d’employés ont été compromis par un tiers non autorisé, entraînant l’envoi d’environ 9000 e-mails frauduleux usurpant l’identité de ces employés. Nikkei a procédé à un changement de mot de passe et indique qu’aucun accès non autorisé supplémentaire n’a été détecté depuis. Google Workspace : Des connexions non autorisées depuis l’extérieur ont été détectées à partir de fin juillet, conduisant à la fuite potentielle de données personnelles de 1646 personnes (adresses e-mail, noms, et autres informations d’employés et de partenaires commerciaux). L’incident a été découvert suite à une notification de Google début août. Le mot de passe a été changé et aucun accès non autorisé ultérieur n’a été constaté. 📊 Impact ...

🌐 Contexte Source : Greek Reporter, publié le 4 octobre 2026. L’article rapporte les résultats d’une opération internationale de police judiciaire visant le groupe KillSec, un acteur de type ransomware-as-a-service (RaaS) actif depuis 2024 et lié à près de 1 000 cyberattaques mondiales. 🎯 Opération KillSwitch L’Opération KillSwitch a été menée le 30 septembre 2026, coordonnée par Eurojust avec le soutien d’Europol. Elle a impliqué neuf pays participants : Belgique, Finlande, Allemagne, Grèce, Roumanie, Espagne, Suisse, Royaume-Uni et États-Unis. ...

🏥 Contexte Source : cyberattaque.org — Article publié le 1er octobre 2026. Orkyn, prestataire français de santé à domicile appartenant au groupe Air Liquide Healthcare, confirme officiellement une cyberattaque ayant entraîné un accès non autorisé à un fichier de données patients. 📅 Chronologie 19 septembre 2026 : détection de l’incident par Orkyn 19 septembre 2026 : suspension immédiate de l’accès à l’espace patient « Orkyn & moi » 1er octobre 2026 : confirmation publique et notification aux patients concernés 1er octobre 2026 : revendication par un hacker proposant au téléchargement ~18 000 profils 📂 Données compromises Les données exposées incluent : ...

🔍 Contexte Cisco Talos a publié le 30 septembre 2026 une analyse technique détaillée d’un cluster d’activité malveillante désigné UAT-11587, actif depuis septembre 2025 et attribué avec haute confiance à un acteur China-nexus. La campagne a ciblé des organisations gouvernementales et de politique publique à travers l’Asie. 🎯 Victimologie Au moins 16 environnements institutionnels affectés ou ciblés dans 8 pays (Taïwan, Inde, Philippines, Cambodge, Pakistan, Thaïlande, Myanmar, Syrie), représentant environ 350 endpoints compromis. Les secteurs visés incluent : ...

🗓️ Contexte Source : BleepingComputer, publié le 3 octobre 2026. Cet article rapporte l’arrestation en Jordanie d’un membre présumé du groupe cybercriminel ShinyHunters, dans le cadre d’une opération internationale coordonnée avec le FBI. 👤 Identité du suspect Alias en ligne : Rey Identité réelle : Saif al-Din Khader Détenu par les autorités jordaniennes, probablement un mardi Coopère activement avec le FBI et les agences internationales de maintien de l’ordre Fournit un accès à ses appareils électroniques et communications numériques pour identifier ses co-conspirateurs 🔗 Historique des activités de Rey Janvier 2025 : Impliqué dans la violation du système Jira interne de Telefónica (~2,3 Go de données volées), en tant que membre de l’opération HellCat ransomware Février 2025 : Fuite de ~6,5 Go de données volées à Orange Roumanie, revendiquée indépendamment Mars 2025 : Lié à une violation de Jaguar Land Rover avec fuite de données Jira, code source, informations employés Septembre 2025 : Lié à une cyberattaque sur Jaguar Land Rover ayant causé un arrêt de production de plusieurs semaines et plus de 220 millions de dollars de pertes Vu avec des privilèges administratifs dans des canaux Telegram de Scattered Lapsus$ Hunters Novembre 2025 : Brian Krebs l’identifie comme Saif Al-Din Khader via des logs d’infostealers et des échanges directs sur Signal 🏴‍☠️ Contexte ShinyHunters Septembre 2026 : ShinyHunters revendique une violation des systèmes du FBI via une zero-day Oracle PeopleSoft présumée, avec mouvement latéral vers des systèmes AWS GovCloud gérés par le FBI Volume de données revendiqué : 2 à 3 To, incluant données d’employés FBI, candidats, informations médicales et psychiatriques 15 septembre 2026 : La police néerlandaise arrête Pepijn van der Stap (alias “Umbreon”), 24 ans, à Amsterdam Suite à l’arrestation de Khader, le site de fuite de données ShinyHunters est passé hors ligne, puis un nouveau site a été mis en ligne le jeudi suivant 🎯 Secteurs et victimes ciblés FBI (gouvernement américain) Telefónica (télécommunications) Orange Roumanie (télécommunications) Jaguar Land Rover (industrie automobile) Instructure Canvas (éducation/cloud) Google, Cisco, PornHub (cloud/SaaS) Environnements Salesforce, Snowflake, PowerSchool 📌 Type d’article Article de presse spécialisée relatant une opération de police internationale en cours, visant à démanteler le groupe cybercriminel ShinyHunters, avec des éléments de contexte sur les activités passées du suspect arrêté. ...

📰 Source : The Record | Date : 2 octobre 2026 | Contexte : Affaire judiciaire aux États-Unis concernant l’utilisation du spyware Pegasus contre des journalistes salvadoriens. 🎯 Faits principaux : Un juge fédéral californien a rejeté la plainte déposée par des journalistes du média indépendant salvadorien El Faro, dont le plaignant principal Carlos Dada. La plainte avait été initiée en novembre 2022 par le Knight First Amendment Institute. 🦠 Attaque documentée : Entre juin 2020 et novembre 2021, le spyware Pegasus a été déployé contre Carlos Dada et ses collègues au moins 226 fois. Les attaques, de type zero-click, permettaient un accès à distance aux téléphones des victimes. Les intrusions se sont intensifiées dans les jours précédant la publication de grandes enquêtes journalistiques. ...

📅 Publié le 28 septembre 2026 sur le blog InfoGuard Labs par Matthew Green, cet article présente la première version publique de velociraptor-skills, un ensemble de compétences IA réutilisables destinées aux investigations DFIR (Digital Forensics and Incident Response) avec Velociraptor. 🔧 Architecture et composants Le projet repose sur un harnais Python partagé nommé vraptor, exposé via une interface en ligne de commande (CLI) plutôt qu’un serveur MCP ou des outils IA individuels. L’objectif est d’optimiser l’utilisation des tokens, de contrôler les performances et de standardiser le format des notes d’analyse générées. ...

🏫 Contexte Publié le 3 octobre 2026 sur BleepingComputer, cet article rapporte une violation de données majeure touchant l’Université Technique du Danemark (DTU). L’incident a été divulgué officiellement par l’université un vendredi. 🔓 Vecteur d’attaque L’attaquant a utilisé des identifiants compromis pour se connecter à DTUBasen, le système de gestion des identités et des accès (IAM) de l’université. Cette intrusion a permis l’accès et le téléchargement d’un volume important de données couvrant plus de deux décennies d’historique utilisateur (depuis 2003). ...

🌐 Contexte Symantec (Broadcom) publie le 1er octobre 2026 une analyse technique détaillée des activités récentes du groupe Longlegs (alias Storm-2603, anciennement associé aux clusters CL-CRI-1040, CamoFei et ChamelGang), un acteur à nexus chinois responsable du ransomware Warlock, apparu en juin 2025. 🎯 Ciblage Au cours des deux derniers mois précédant la publication, Longlegs a compromis au moins quatre organisations dans des pays lusophones et hispanophones (Europe, Afrique, Amérique latine) : ...

🌐 Contexte Source : Europol (communiqué officiel), publié le 1er octobre 2026. Le 30 septembre 2026, les autorités ont mené une action coordonnée internationale contre le groupe cybercriminel KillSec, dans le cadre de l’opération KillSwitch, pilotée par les autorités allemandes (Parquet de Hambourg et LKA Hamburg). 🎯 Le groupe KillSec KillSec est un groupe ransomware/extorsion de données actif depuis environ 2024. Il est lié à environ 1 000 attaques suspectées à l’échelle mondiale, dont 500 confirmées comme réussies à ce stade. Le groupe opérait selon un modèle de double extorsion : ...