Depuis une semaine, la sphère politique et médiatique tourne uniquement autour de la fuite de la DGFiP où 678 000 contribuables ont vu leurs données dérobées par un groupe d’attaquants nommé ZeroBytes. Et comme finalement, on a peu d’informations techniques sur le sujet, les débats tournent en rond sur les plateaux TV et cela raconte pas mal de bêtises. Pour une analyse assez pertinente du sujet, allez lire la Newsletter Cybernetica de Tariq KRIM qui propose une analyse nuancée essayant d'aller un peu plus loin que le bruit ambiant.

Mais le sujet dont on a beaucoup moins parlé est que Washington a autorisé officiellement les entreprises privées américaines à mener des opérations cyber offensives contre des d’attaquants criminels étrangers. Demain, Google, CrowdStrike ou encore Amazon pourront riposter (hack back) et perturber, voire anéantir les infrastructures des attaquants.

La limite : aucune action ne doit causer de pertes humaines, aucun citoyen américain ne peut être ciblé, et un arrêt immédiat couplé d'une notification est exigé si la situation dérape.

Bien que les entreprises participantes feront l'objet d'un filtrage rigoureux avant d'intégrer le programme et que les cibles doivent être approuvées par le DOJ ou DHS (cf. article dans la newsletter), aucune autorisation américaine n’est valable devant un procureur étranger. Alors oui, certains groupes de cybercriminels agissent en toute impunité et qu’il est bien normal de vouloir les neutraliser. Mais les dérives peuvent être nombreuses, surtout quand on connait l’extraterritorialité des lois US érigées en véritable instrument de la puissance géopolitique et commerciale.

Aujourd'hui, les cibles visées sont les organisations criminelles transnationales, une catégorie suffisamment vaste pour être utile, et assez floue pour être étirée. Les garde-fous sont réels. Le précédent l'est tout autant.

La Maison Blanche a créé un programme permettant à des entreprises américaines habilitées de mener, sous contrôle fédéral, des opérations cyber contre des groupes d’attaquants étrangers. Les entreprises doivent signer des contrats, passer une sélection stricte et respecter un processus d'approbation multi-agences ainsi que des garde-fous interdisant toute action causant des pertes humaines ou visant des Américains. Les sociétés doivent verser une caution d'au moins un million de dollars, obtenir une approbation écrite préalable et cesser toute action touchant des systèmes ou personnes américains.

La CISA et le FBI ont actualisé leur rapport sur Medusa, ransomware en modèle RaaS depuis 2023 visant surtout la santé et les infrastructures critiques. Plus de 500 victimes sont recensées en avril 2026, soit plus de 200 supplémentaires en un an, contre environ 300 en 2025. Le groupe exploite les vulnérabilités nouvellement divulguées sous 24 heures, parfois avant leur publication, sans développer de zero-day. Il passe de l'accès initial à l'exfiltration en quelques heures, s'appuyant sur des outils de gestion à distance légitimes (AnyDesk, Atera, ConnectWise, SimpleHelp, Splashtop, etc.). Rançon indexée sur le chiffre d'affaires, triple extorsion observée.

Un affilié ransomware malhonnête se présente comme une société de récupération de données pour détourner le paiement des rançons. Les opérateurs contactent par email des victimes de DragonForce, Settra et Anubis avant toute divulgation publique, proposant clés de déchiffrement et suppression des données volées contre 20 000 à 60 000 dollars. L'accès à des informations non publiques suggère une implication directe dans les attaques. Aucun paiement n'est confirmé à ce jour.

Pour contourner la détection, l'attaquant affilié au groupe Akira a redémarré la machine en mode sans échec avec prise en charge réseau via AnyDesk, désactivant l'agent EDR et la protection en temps réel de Windows Defender. Les données ont été exfiltrées avec WinRAR et l’outil s5cmd vers un bucket S3. Le chiffrement a toutefois échoué faute de mémoire virtuelle, Defender mettant ensuite la charge en quarantaine.

Une nouvelle version du botnet Kimwolf, aussi suivi sous le nom Aisuru, infecte surtout des box Android TV et avait atteint environ deux millions d'appareils. Pour se fondre dans le trafic web légitime et échapper aux détections, la variante emploie une méthode de flood HTTP/2 imitant l'empreinte du navigateur Chrome et déplace son infrastructure de commande vers l'Ethereum Name Service, avec cinq adresses Ethereum permutées et un service Tor de repli. L'opérateur présumé, un Canadien de 23 ans, a été arrêté puis extradé vers les États-Unis.

Microsoft a confirmé travailler à un correctif pour ShieldBreak (cf. Newsletter #89), désormais suivi sous la référence CVE-2026-69414, une élévation de privilèges dans Microsoft Defender. La faille contourne le correctif d'une vulnérabilité antérieure, RoguePlanet, et permet à un attaquant local disposant de droits limités d'obtenir les privilèges SYSTEM sur Windows 10, Windows 11 et Windows Server 2025, à condition que Defender soit activé.

Des chercheurs de l'UC San Diego ont conçu un boîtier de la taille d'une pièce de monnaie se fixant sur un port de diagnostic externe d'un Boeing 737, protégé par un simple cache anti-poussière. Le dispositif intercepte et falsifie les échanges entre l'unité de contrôle du cockpit et le Flight Management Computer. Il peut altérer la température extérieure et le poids de l'appareil, faussant la poussée au décollage, ou modifier discrètement le plan de vol pour dérouter l'avion. Connecté au Wi-Fi de bord, il autorise un accès distant. Boeing estime le risque réel limité par ses protections existantes.

L'ETSI a lancé la procédure d'approbation de 17 projets finaux de normes verticales soutenant le Cyber Resilience Act européen (CRA). La série EN 304 xxx vise à devenir des normes harmonisées offrant aux fabricants une présomption de conformité. Les textes couvrent les produits connectés à risque : gestionnaires de mots de passe, antivirus, assistants domestiques, jouets connectés, wearables. Les acteurs concernés devront se conformer au CRA d'ici fin 2027.

Le NIST a divulgué V-etalon, outil d'IA non publié destiné à enrichir les vulnérabilités de la NVD, sans date de sortie, dépôt ni résultats d'évaluation. L'automatisation figure à sa feuille de route depuis mai 2024, repoussée à plusieurs reprises. Au 17 août 2026, 53 115 CVE reçues n'ont donné lieu qu'à 30 531 enrichies, 42 353 étant classées « Not Scheduled ». En avril 2026, le NIST a abandonné l'objectif d'analyser chaque CVE, priorisant le catalogue KEV de la CISA et les logiciels fédéraux.

À la conférence BSidesSF 2026, une équipe s'appuyant sur des agents d'IA autonomes a remporté la première place en résolvant les 52 épreuves du Capture The Flag, la plupart en quelques minutes. Un participant estime qu'il serait passé de la 5e à la 75e place sans IA. Les chercheurs soulignent que le goulet d'étranglement reste la capacité humaine à fournir le contexte.

La police nationale ukrainienne, le SBU et le parquet général, avec la coopération de la police allemande, ont fermé 94 centres d'appels frauduleux lors d'une opération nationale comprenant 411 perquisitions. Les opérateurs se faisaient passer pour des banquiers, courtiers ou policiers afin d'écouler de fausses plateformes d'investissement, d'installer des outils d'accès à distance ou d'usurper des alertes de sécurité, ciblant aussi des citoyens de l'Union européenne.

Un chercheur a montré que des domaines traités comme des adresses jetables reçoivent en réalité des données sensibles. Son domaine noreply.net a reçu 400 000 messages en dix-huit mois, dont 28 365 avec pièces jointes, provenant de plus de 6 200 domaines racines et générés automatiquement par les systèmes des entreprises. En parallèle, un autre chercheur a racheté deleteduser.com pour 15 dollars et reçu des données d'au moins cent organisations dès la première heure : commandes, congés approuvés, réservations d'hôtel, invitations Zoom d'une agence gouvernementale britannique. Il recommande d'utiliser un domaine interne ou le domaine .invalid garanti inexistant.

Apple a envoyé une nouvelle vague de « Threat Notifications » avertissant des utilisateurs d'attaques par logiciel espion mercenaire ciblant spécifiquement leur iPhone. Le dernier envoi, daté du 13 août 2026, a touché 110 pays. Ce programme, actif depuis 2021, couvre plus de 150 pays et vise habituellement journalistes, militants, responsables politiques et diplomates. Apple ne nomme pas le logiciel espion ni n'attribue les attaques, citant historiquement Pegasus de NSO Group.

La DGFiP a reconnu les 13 et 14 août 2026 deux intrusions. La première, fin juin, exploitait un VPN utilisé par des agents des impôts pour exfiltrer près de 680 000 lignes ; la seconde, fin juillet, visait le serveur des données cadastrales. Sont concernés 678 000 particuliers et professionnels et environ 200 000 comptes cadastraux : noms, revenu fiscal de référence, quotient familial, taux de prélèvement, numéros SIREN. Lecornu a demandé à l'ANSSI un audit et une information individuelle des victimes. Le groupe ZeroBytes affirme avoir déjà revendu les données pour quelques milliers d'euros. Enquête du parquet de Paris.

Voir aussi : Security Affairs · 01net · Le Monde

Le groupe ZeroBytes, déjà à l'origine du vol de données fiscales de la DGFiP, affirme avoir également dérobé des fichiers concernant plusieurs millions d'élèves et des dizaines de milliers d'enseignants du ministère de l'Éducation nationale. La revendication, publiée le 17 août 2026 sur un forum de revente, évoque 346 millions de lignes absorbées, certaines remontant à plus de vingt ans. Le groupe déclare être resté infiltré après avoir été détecté sans être coupé. Un échantillon examiné par Le Monde, non authentifié dans son intégralité, contient coordonnées de parents et d'élèves, options choisies et appréciations d'enseignants.

CareCloud, éditeur de dossiers médicaux électroniques, a confirmé auprès des autorités américaines une fuite affectant 3,7 millions de personnes. Un attaquant a passé environ huit heures dans l'un des environnements AWS de la société avant d'exfiltrer les données. Sont concernés informations personnelles, numéros de sécurité sociale, données bancaires, informations médicales et d'assurance, etc.

Plus de 50 000 clés API Stripe uniques exposées via des dépôts publics, des journaux GitHub Actions et des serveurs mal configurés ont été publiés sur un forum. La fuite concerne les comptes marchands, non l'infrastructure de Stripe. 659 comptes disposaient de clés actives, exposant environ 35 Go de données clients et de paiement.

SafePal, société singapourienne de sécurité crypto, indique qu'une faille d'autorisation dans son module de suivi de commandes a exposé les données d'environ 39 798 clients. Le défaut permettait d'accéder aux informations de commande d'autres clients, pour des achats passés entre mars 2025 et avril 2026. Sont concernés noms, adresses électroniques, adresses de livraison, numéros de téléphone et détails de commande. Les seed phrases, clés privées, mots de passe de portefeuille et données de paiement ne sont pas touchés.

6 vulnérabilités critiques cette semaine, dont 4 exploitées et 2 avec un code d'exploitation public :

Sur ces 7 derniers jours la CISA a ajouté 6 vulnérabilités exploitées :

Aikido Security a signalé une traversée de répertoire dans Gogs escaladée en exécution de code à distance. La CVE-2026-52813, critique, affecte les versions ≤ 0.14.2 et est corrigée en 0.14.3 : les noms d'organisation n'étant pas assainis, un attaquant peut injecter des séquences ../, imbriquer un dépôt malveillant et modifier les scripts de hook pour obtenir un shell sous l'utilisateur git. Deux autres failles sont décrites : la CVE-2026-52810, contournement d'autorisation Git HTTP encore non corrigé, et une XSS stockée dans le rendu des notebooks Jupyter. Aucune exploitation active signalée. Aikido recommande de migrer hors de Gogs.

GitLab a publié des correctifs pour les versions 18.11.11, 19.0.8, 19.1.6 et 19.2.4 en éditions Community et Enterprise. La CVE-2026-19478 (CVSS 9.4), injection de code via une directive GraphQL, permet à un utilisateur non authentifié de modifier ou supprimer à distance des projets publics et des données utilisateur. La CVE-2026-19650 (CVSS 7.1), CSRF dans le gestionnaire de requêtes multiplexées GraphQL, autorise l'exécution de mutations via des requêtes GET. Les versions 18.2 à 19.2 sont affectées.

watchTowr détaille la CVE-2026-8452, exécution de code à distance pré-authentification affectant NetScaler ADC et Gateway. Le défaut réside dans la canonicalisation des signatures SAML : un attribut PrefixList surdimensionné dans l'élément SignedInfo déborde un buffer global de taille fixe, corrompant les métadonnées d'un chunk de tas adjacent et offrant une primitive d'écriture arbitraire menant au contrôle du flux d'exécution. La faille est atteignable lorsque l'équipement est configuré en fournisseur de service ou d'identité SAML. Sont concernées les branches 14.1 antérieures à 14.1-72.61 et 13.1 antérieures à 13.1-63.18.

Varonis Threat Labs décrit CoSnitch, faille critique de Microsoft Copilot (CVE-2026-24301), divulguée en décembre 2025 et corrigée le 18 août 2026. Elle enchaîne trois défauts pour une exfiltration zero-clic. Un simple clic sur un lien piégé déclenche l'exécution avec les droits des applications connectées, les données étant encodées puis exfiltrées vers un webhook. Aucune exploitation en conditions réelles n'est signalée.

Jason Haddix répond au discours entendu après la DEF CON selon lequel l'IA aurait « dévoré » la sécurité. Il soutient que l'IA déplace le travail sans le supprimer : elle occupe le milieu de la chaîne tandis que l'intuition humaine reste rare. Il conteste la rumeur d'une équipe CTF gagnante ayant brûlé 50 000 dollars d'inférence, rappelant que l'IA est un multiplicateur d'expertise et un multiplicateur de zéro reste zéro 😅. Sa seule crainte reste la disparition des postes juniors, qu'il propose de reconstruire via des modèles d'apprentissage.

Google a présenté Beyond Zero, paradigme de sécurité d'entreprise conçu pour l'ère de l'IA et présenté comme successeur du zero trust de BeyondCorp. Le modèle repose sur cinq principes :

Un chercheur écrit sur le « promptware », un malware délivré par injection de prompt qui détourne les assistants de code IA comme Claude Code, Cursor et Devin en empoisonnant les fichiers de configuration mémoire avec des instructions en langage naturel poussant des appels d'outils légitimes vers des tâches malveillantes.

Gareth Heyes, de PortSwigger, montre comment le CSS rendu par les webmails dans une interface de confiance peut être détourné malgré l'assainissement. Ses techniques permettent de contourner les filtres, d'exfiltrer des jetons, d'usurper l'interface et de voler des mots de passe sur Gmail, Outlook, Fastmail, ProtonMail et Yahoo Mail.

SpecterOps décrit une technique de post-exploitation activant le Chrome DevTools Protocol à l'intérieur d'un processus Chromium déjà en cours d'exécution. Les capacités obtenues couvrent le vol de cookies, l'extraction de mots de passe, la capture d'écran et l'accès à l'historique.

Cette bibliothèque communautaire propose plus de cinquante compétences (skill) de détection bâties sur le SDK Agent de Claude, exécutables telles quelles ou adaptables par fork. Elles se répartissent en trois catégories : triage (réseau, endpoint, application, cloud, identité), investigation approfondie et réglage pour réduire le bruit des alertes.

Deputy est une chaîne d'outils en ligne de commande pour inventorier, scanner et trier les dépendances à travers dépôts, images de conteneurs, disques de machines virtuelles et SBOM.

Le NIST a publié le Digital Forensics Artifact Catalog (ArtCat). Développé par des professionnels forensiques pour leurs pairs, ArtCat fournit un référentiel structuré et interrogeable d'artefacts d'investigation numérique.

VirusTotal étend son analyse d'URL à tous les utilisateurs, y compris gratuits. L'intégration d'un navigateur headless capture captures d'écran pleine page, arbre DOM, technologies web détectées, variables JavaScript, messages de console et journaux de requêtes réseau. Surtout, VT fournit l'analyse historique, donnant aux analystes la capacité de suivre l'évolution d'une page au fil du temps.

🗓️ Barbhack - Le samedi 29 août 2026 à Toulon, France

🤝 🇺🇸 CyberCatch, plateforme américaine d'automatisation de la conformité et de réduction du cyber-risque pour les sous-traitants de la défense, a été acquise par Datavault AI pour 94,5 millions de dollars.

📈 🇺🇸 Cloudflare, plateforme américaine de réseau sécurisé et de sécurité web, a levé 2,175 milliards de dollars via une émission d'obligations.

Depuis le 18 août 2026, un groupe anonyme baptisé CyberLeek diffuse des images présentées comme volées de Grand Theft Auto VI : extraits vidéo, carte du jeu, scène de gameplay et cinématique. L'authenticité n'est pas vérifiée et ni Rockstar Games ni Take-Two n'ont commenté. Le groupe présente l'opération comme une défense des joueurs, reprochant à l'éditeur le prix élevé du titre, environ 80 euros, et l'absence de version physique. L'opération est adossée au lancement d'une cryptomonnaie douteuse, brouillant ses motivations. La sortie officielle du jeu est prévue le 19 novembre 2026.

Le procès civil de Meta s'est ouvert le 18 août 2026 devant le tribunal fédéral d'Oakland, en Californie. L'entreprise est poursuivie par 29 États fédérés américains, accusée d'avoir trompé les consommateurs et enfreint la loi fédérale de protection des mineurs. Il lui est reproché d'avoir exposé les jeunes utilisateurs à des contenus violents ou sexuels et à des risques d'addiction.

ShaderGhost est un identifiant de suivi persistant stocké dans le cache de shaders du processeur graphique. Contrairement aux cookies classiques, cet identifiant survivrait à l'effacement habituel des cookies et du cache du navigateur.

Une extension pour Chrome et Firefox affiche le propriétaire de chaque média cité à côté des résultats de recherche Google et sur le site du média. Au survol, elle déroule la chaîne de détention complète jusqu'au propriétaire final, avec la source de l'information. La base embarquée recense 584 médias français, classés en sept catégories.

WinPodX exécute un conteneur Windows sous KVM en arrière-plan et affiche chaque application Windows comme une fenêtre Linux native via FreeRDP RemoteApp. Les applications sont épinglables et apparaissent dans la barre des tâches.

Un audit de la police de Los Angeles a relevé que les caméras de lecture automatisée de plaques de Flock avaient produit 161 fausses alertes de véhicule volé en deux mois, chacune aboutissant au contrôle d'un conducteur innocent, pour un taux d'erreur global de 32 %.

Google a publié le dépôt open source google/skills, sous licence Apache 2.0, regroupant plus de 24 compétences permettant à des agents d'IA d'interagir avec ses produits, dont Google Cloud.

Merci de votre lecture. N'hésitez pas à transférer à un(e) ami(e) et/ou à partager sur les réseaux sociaux pour soutenir ce travail.

Bastien

Suivez-moi sur LinkedIn ou sur X/Twitter