Un autre genre de chaine d'approvisionnement

Dans la nuit du 11 au 12 octobre, des pirates ont pris le contrôle de systèmes de régulation du froid dans plusieurs centaines de supermarchés français. Danfoss, le fabricant danois de ces contrôleurs, affirme que les équipements compromis étaient soit obsolètes, soit non mis à jour. Le parquet de Paris a ouvert une enquête.

Mise à jour du 13 octobre : Le CERT-FR a publié cette nuit un bulletin d’alerte sur la situation. « L’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques », pointe l’équipe, qui rappelle que l’administration à distance n’est pas toujours impérative. Si c’est le cas, le CERT conseille de durcir les systèmes impliqués et renvoie vers ses recommandations à destination des acteurs du secteur de l’énergie et de l’eau.

Publiées en janvier 2026, elles faisaient suite à de nombreux signalements reçus par l’ANSSI relatifs au ciblage par des groupes hacktivistes d’entités du secteur à des fins de déstabilisation, dont l’action la plus aboutie avait provoqué l’arrêt pendant quelques heures d’un parc éolien.

Si des signes de compromission sont repérés, le CERT recommande de filtrer les accès réseaux aux seuls prestataires impliqués, de réaliser un retour aux paramètres d’usine (factory reset), d’appliquer tous les correctifs disponibles, de lancer une rotation des secrets (dont le renouvellement des mots de passe), de vérifier les comptes existants et de « reconfigurer globalement l’équipement ».

Sur LinkedIn, Vincent Strubel, directeur de l’ANSSI, conseille de déconnecter tout ce qui peut l’être, « ou d’adopter a minima une politique de filtrage réseau très restrictive, en attendant d’en savoir plus ». Les détails manquent en effet sur l’attaque, comme le rappelle Vincent Strubel dans un commentaire sous sa publication : « Il y a plusieurs vulnérabilités qui sont des vecteurs possibles pour cette attaque, mais rien de réellement établi à ce stade ».

En plus des séries AK-SC et AK-SM de Danfoss, le CERT pointe désormais les contrôleurs Copeland xweb et Dixell xweb

Article original du 12 octobre : L’attaque a visé les meubles réfrigérés, les chambres froides et les centrales de froid. Selon BFMTV, les attaquants ont détourné la fonction de dégivrage automatique. Le cycle normal, qui prévoit environ deux heures de dégivrage par jour, aurait été remplacé par un dégivrage forcé et continu, avec une température fixée à 50 °C.

En conséquence, une quantité importante de nourriture a été perdue. L’heure de déclenchement a cependant joué un grand rôle. Dans une partie des magasins, ces modifications auraient commencé avant minuit, laissant les installations chauffer pendant plusieurs heures avant l’arrivée des premiers employés et provoquant la perte complète des stocks. Dans d’autres cas, plus tardifs, une partie des stocks aurait pu être sauvée.

Une centaine de coopératives U seraient concernées, ainsi que 300 magasins des enseignes Intermarché et Netto, selon BFMTV qui mentionne également des magasins Leclerc. Selon le parquet de Paris, cité par Le Monde, il y a également eu des « départs de feu ». Une enquête a été ouverte.

Les contrôleurs Danfoss

Le point commun de ces installations est la présence, au sein des équipements, d’un contrôleur de la marque Danfoss. Ils permettent, entre autres fonctions, une surveillance telle qu’imposée par l’Union européenne. Des normes strictes impliquant un horodatage des températures, des alarmes en cas de hausse anormale ou encore des actions de maintenance à distance, comme le rappelle Raphael Grably (BFMTV) sur X.

Le journaliste a obtenu la réaction du constructeur danois, qui affirme que les modèles visés relèvent de deux cas : soit des contrôleurs obsolètes, les AK-SM 800 et AK-SC 355, soit un contrôleur qui n’avait pas été mis à jour, l’AK-SM 800A.

Cette déclaration réoriente la responsabilité vers les magasins et les entreprises engagées dans la sous-traitance du matériel. L’exposition à internet suppose en effet une surveillance étroite du code employé. L’AK-SC 355 n’étant plus commercialisé, Danfoss recommande son remplacement par la gamme AK-SM 800. Quant à l’AK-SM 800A, l’actuel successeur, il reçoit régulièrement des mises à jour.

Or, ces contrôleurs AK-SM 800A ont fait l’objet de deux séries de failles publiques. D’abord une série de trois failles en août 2023 dans la version 3.3 du microgiciel (firmware). La plus grave permettait à un attaquant authentifié d’exécuter des commandes à distance. Ensuite, en 2025, trois nouvelles failles signalées par la société Claroty, corrigées dans les versions 4.2 et 4.3.1. La plus importante, CVE-2025-41450, permet d’obtenir à distance une session d’administrateur. Dans l’article dédié publié en août dernier, Claroty indiquait que 2 765 interfaces AK-SM 800A étaient alors accessibles depuis internet.

Le lien avec l’attaque de cette nuit n’est cependant pas établi. Une partie des appareils cités par Danfoss, les AK-SM 800 et AK-SC 355, n’entre pas dans le champ de l’étude de Claroty, consacrée au seul AK-SM 800A. Selon ZATAZ, des versions antérieures à la version 4 auraient été visées, versions qui cumulent donc les failles de 2023 et 2025. En outre, modifier une consigne ou un cycle de dégivrage serait une fonction d’administration « ordinaire » : un accès avec un identifiant valide suffit, sans exploiter de faille.

Des conséquences financières très concrètes

L’enquête ouverte est dirigée par la section anti-cybercriminalité du parquet de Paris et confiée à l’Office anti-cybercriminalité (OFAC). Elle devra déterminer comment l’attaque s’est produite et qui sont les responsables.

L’attaque soulève quoi qu’il en soit de nombreuses questions, notamment sur les processus de mise à jour des équipements, ou même sur la durée d’entretien logiciel pour ces équipements. Une telle attaque contre la chaine du froid à l’échelle d’un pays semble inédite et entraîne des conséquences très concrètes. Sur LinkedIn, Dominique Schelcher, PDG de Coopérative U, s’en indigne : « S’attaquer à des équipements essentiels à la conservation des produits frais et à l’approvisionnement alimentaire des Français est d’une extrême gravité et est inédit. C’est inacceptable. »

Selon BFMTV, le magasin Leclerc de Wasselone aurait été obligé de jeter l’ensemble de ses produits surgelés et frais, pour une perte estimée à 220 000 euros, donnant une idée de l’ampleur des conséquences.

Un autre genre de chaine d'approvisionnement

Dans la nuit du 11 au 12 octobre, des pirates ont pris le contrôle de systèmes de régulation du froid dans plusieurs centaines de supermarchés français. Danfoss, le fabricant danois de ces contrôleurs, affirme que les équipements compromis étaient soit obsolètes, soit non mis à jour. Le parquet de Paris a ouvert une enquête.

Mise à jour du 13 octobre : Le CERT-FR a publié cette nuit un bulletin d’alerte sur la situation. « L’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques », pointe l’équipe, qui rappelle que l’administration à distance n’est pas toujours impérative. Si c’est le cas, le CERT conseille de durcir les systèmes impliqués et renvoie vers ses recommandations à destination des acteurs du secteur de l’énergie et de l’eau.

Publiées en janvier 2026, elles faisaient suite à de nombreux signalements reçus par l’ANSSI relatifs au ciblage par des groupes hacktivistes d’entités du secteur à des fins de déstabilisation, dont l’action la plus aboutie avait provoqué l’arrêt pendant quelques heures d’un parc éolien.

Si des signes de compromission sont repérés, le CERT recommande de filtrer les accès réseaux aux seuls prestataires impliqués, de réaliser un retour aux paramètres d’usine (factory reset), d’appliquer tous les correctifs disponibles, de lancer une rotation des secrets (dont le renouvellement des mots de passe), de vérifier les comptes existants et de « reconfigurer globalement l’équipement ».

Sur LinkedIn, Vincent Strubel, directeur de l’ANSSI, conseille de déconnecter tout ce qui peut l’être, « ou d’adopter a minima une politique de filtrage réseau très restrictive, en attendant d’en savoir plus ». Les détails manquent en effet sur l’attaque, comme le rappelle Vincent Strubel dans un commentaire sous sa publication : « Il y a plusieurs vulnérabilités qui sont des vecteurs possibles pour cette attaque, mais rien de réellement établi à ce stade ».

En plus des séries AK-SC et AK-SM de Danfoss, le CERT pointe désormais les contrôleurs Copeland xweb et Dixell xweb

Article original du 12 octobre : L’attaque a visé les meubles réfrigérés, les chambres froides et les centrales de froid. Selon BFMTV, les attaquants ont détourné la fonction de dégivrage automatique. Le cycle normal, qui prévoit environ deux heures de dégivrage par jour, aurait été remplacé par un dégivrage forcé et continu, avec une température fixée à 50 °C.

En conséquence, une quantité importante de nourriture a été perdue. L’heure de déclenchement a cependant joué un grand rôle. Dans une partie des magasins, ces modifications auraient commencé avant minuit, laissant les installations chauffer pendant plusieurs heures avant l’arrivée des premiers employés et provoquant la perte complète des stocks. Dans d’autres cas, plus tardifs, une partie des stocks aurait pu être sauvée.

Une centaine de coopératives U seraient concernées, ainsi que 300 magasins des enseignes Intermarché et Netto, selon BFMTV qui mentionne également des magasins Leclerc. Selon le parquet de Paris, cité par Le Monde, il y a également eu des « départs de feu ». Une enquête a été ouverte.

Les contrôleurs Danfoss

Le point commun de ces installations est la présence, au sein des équipements, d’un contrôleur de la marque Danfoss. Ils permettent, entre autres fonctions, une surveillance telle qu’imposée par l’Union européenne. Des normes strictes impliquant un horodatage des températures, des alarmes en cas de hausse anormale ou encore des actions de maintenance à distance, comme le rappelle Raphael Grably (BFMTV) sur X.

Le journaliste a obtenu la réaction du constructeur danois, qui affirme que les modèles visés relèvent de deux cas : soit des contrôleurs obsolètes, les AK-SM 800 et AK-SC 355, soit un contrôleur qui n’avait pas été mis à jour, l’AK-SM 800A.

Cette déclaration réoriente la responsabilité vers les magasins et les entreprises engagées dans la sous-traitance du matériel. L’exposition à internet suppose en effet une surveillance étroite du code employé. L’AK-SC 355 n’étant plus commercialisé, Danfoss recommande son remplacement par la gamme AK-SM 800. Quant à l’AK-SM 800A, l’actuel successeur, il reçoit régulièrement des mises à jour.

Or, ces contrôleurs AK-SM 800A ont fait l’objet de deux séries de failles publiques. D’abord une série de trois failles en août 2023 dans la version 3.3 du microgiciel (firmware). La plus grave permettait à un attaquant authentifié d’exécuter des commandes à distance. Ensuite, en 2025, trois nouvelles failles signalées par la société Claroty, corrigées dans les versions 4.2 et 4.3.1. La plus importante, CVE-2025-41450, permet d’obtenir à distance une session d’administrateur. Dans l’article dédié publié en août dernier, Claroty indiquait que 2 765 interfaces AK-SM 800A étaient alors accessibles depuis internet.

Le lien avec l’attaque de cette nuit n’est cependant pas établi. Une partie des appareils cités par Danfoss, les AK-SM 800 et AK-SC 355, n’entre pas dans le champ de l’étude de Claroty, consacrée au seul AK-SM 800A. Selon ZATAZ, des versions antérieures à la version 4 auraient été visées, versions qui cumulent donc les failles de 2023 et 2025. En outre, modifier une consigne ou un cycle de dégivrage serait une fonction d’administration « ordinaire » : un accès avec un identifiant valide suffit, sans exploiter de faille.

Des conséquences financières très concrètes

L’enquête ouverte est dirigée par la section anti-cybercriminalité du parquet de Paris et confiée à l’Office anti-cybercriminalité (OFAC). Elle devra déterminer comment l’attaque s’est produite et qui sont les responsables.

L’attaque soulève quoi qu’il en soit de nombreuses questions, notamment sur les processus de mise à jour des équipements, ou même sur la durée d’entretien logiciel pour ces équipements. Une telle attaque contre la chaine du froid à l’échelle d’un pays semble inédite et entraîne des conséquences très concrètes. Sur LinkedIn, Dominique Schelcher, PDG de Coopérative U, s’en indigne : « S’attaquer à des équipements essentiels à la conservation des produits frais et à l’approvisionnement alimentaire des Français est d’une extrême gravité et est inédit. C’est inacceptable. »

Selon BFMTV, le magasin Leclerc de Wasselone aurait été obligé de jeter l’ensemble de ses produits surgelés et frais, pour une perte estimée à 220 000 euros, donnant une idée de l’ampleur des conséquences.

18cyber.fr c’est pour joindre l’ANSSI ?

Plus de 52 000 demandes sur le mois d’août, un record… qui n’a pas duré longtemps puisque septembre est à plus de 56 000. Jérôme Notin, directeur de Cybermalveillance, nous confirme que les cyberattaques ont de plus en plus de conséquences dans la vie réelle, avec deux exemples.

17Cyber est un assistant en ligne disponible depuis fin 2024. Il est proposé par la police, la gendarmerie et le site Cybermalveillance.gouv.fr. Il permet de suivre un parcours pour faire le diagnostic de votre situation et vous guider dans les démarches à suivre. 17Cyber est intégré à la plateforme Ma Sécurité du ministère de l’Intérieur, permettant ainsi de dialoguer à n’importe quel moment de la journée avec un policier ou un gendarme.

Jérôme Notin, directeur général du GIP ACYMA cybermalveillance.gouv.fr en charge de ce dispositif, a récemment publié des statistiques sur le nombre de parcours d’assistance réalisés via 17Cyber. Elles ne sont pas bonnes.

Deux records, coup sur coup

Le record depuis le lancement de la plateforme a été largement battu en août avec, pour la première fois, plus de 50 000 parcours (52 253 précisément). L’été est généralement une période calme, comme en témoigne le graphique ci-dessous (reprise de celui publié par Jérôme Notin avec, en orange, les deux mois d’été).

En septembre, rebelote avec de nouveau un record à 56 469 parcours. La barrière des 40 000 demandes a été franchie pour la première fois en octobre 2024 (à peu près au moment du lancement officiel de 17Cyber, qui a pris le relais de Cybermalveillance.gouv.fr pour les demandes d’assistance). Le chiffre était relativement stable depuis.

Aux Assises de la cybersécurité à Monaco, Jérôme Notin nous explique qu’une affaire récente a alimenté bon nombre de demandes.

La crypto : du monde numérique à la vie réelle

La confiance n'exclut pas le contrôle

Suite à des signalements d’utilisateurs relatifs à des vols de cryptomonnaies, Ledger a confirmé la présence d’un implant matériel sur au moins l’un de ses portefeuilles matériels, distribué par l’intermédiaire d’un revendeur agréé d’Asie du Sud-Est. L’entreprise française annonce l’ouverture d’une enquête.

Les premiers témoignages sont apparus sur les réseaux sociaux. D’un côté, des utilisateurs se sont alarmés de voir que des transactions avaient été réalisées à leur insu à partir de leur portefeuille matériel Ledger dédié au stockage sécurisé de cryptomonnaies. « Mon portefeuille Ledger vient d’être vidé de près de 100 000 USDT. Ma phrase de récupération était manuscrite et conservée en lieu sûr. Je ne touche jamais à mon Ledger Stax. Ce portefeuille me servait uniquement à stocker des fonds et je n’interagissais avec lui que pour recevoir des paiements », décrit l’un d’eux, capture d’écran à l’appui.

De l’autre, Mark Karpelès, ancien CEO de la plateforme d’échange de bitcoins Mt. Gox arrêté et condamné pour malversations, a signalé mi-septembre la découverte de nouveaux implants matériels suspects sur des portefeuilles Ledger du commerce.

Ledger confirme au moins un cas de piratage matériel

Le lien entre les deux phénomènes semble confirmé. Après une première alerte de sécurité formulée vendredi 9 octobre, Ledger a admis samedi 10 octobre qu’au moins un de ses portefeuilles matériels, vendu par l’intermédiaire de la société asiatique CryptoBilis, contenait un implant matériel qui a pu contribuer au vol de cryptomonnaies stockées sur l’appareil, à l’insu de son propriétaire légitime.

L’entreprise annonce l’ouverture d’une enquête et appelle les clients de ce revendeur à ne pas paramétrer de nouveau portefeuille, ou à transférer leurs actifs vers un autre appareil, avec une autre phrase de sécurité.

« Par mesure de précaution, CryptoBilis a confirmé avoir suspendu la vente de tous ses portefeuilles matériels jusqu’à la fin de l’enquête. Ledger est en contact permanent avec CryptoBilis concernant les prochaines étapes », ajoute Ledger. CryptoBilis affiche désormais un avertissement similaire sur son site Web.

Les fondateurs de CryptoBilis ont dès vendredi pris leurs distances, expliquant avoir vendu leur société en mars 2026, et n’avoir plus ni responsabilité opérationnelle, ni accès aux données de l’entreprise, basée en Malaisie.

L’affaire pourrait cependant connaître de nouvelles répercussions : un utilisateur basé en Europe affirme lui aussi avoir découvert un implant matériel dans son portefeuille Ledger acheté auprès de la chaîne Mediamarkt.

Plusieurs dizaines de millions de dollars détournés ?

Ledger a de son côté pris à nouveau la parole dimanche soir pour tenter de rassurer ses clients :

« L’enquête se poursuit et nous collaborons avec les autorités compétentes. Le nombre d’appareils concernés est limité. Nous comprenons les inquiétudes que cela suscite, notamment chez les personnes directement touchées, et nous contactons les utilisateurs concernés. »

« De plus, nous conseillons vivement aux utilisateurs de ne pas acheter auprès de revendeurs non autorisés, car le risque d’acquérir des appareils suspects, contrefaits ou modifiés est important, aucun de ces appareils ne fonctionnant selon les directives de sécurité de Ledger. », écrit encore l’entreprise. Elle a supprimé lundi matin CryptoBilis de la liste des revendeurs autorisés de ses solutions.

En s’appuyant sur les informations partagées par les victimes et notamment sur les adresses vers lesquelles ont été transférés les fonds volés, certains analystes indépendants ont tenté d’estimer l’ampleur du phénomène. Le compte pseudonyme Specter avance le chiffre de 86 millions de dollars, récupérés à partir de plusieurs centaines de portefeuilles. Bitquery, qui édite une plateforme d’analyse et d’indexation de données blockchain, évoque pour sa part une enveloppe de 93,2 millions de dollars, volée sur un ensemble de 315 portefeuilles individuels.

Compromission de la chaîne d’approvisionnement

Le phénomène des wallets « piégés » n’est pas nouveau (voir par exemple ce témoignage daté de 2025, à partir d’un exemplaire acheté en Thaïlande), c’est d’ailleurs la raison pour laquelle Ledger appelle à ne se fournir que chez des revendeurs agréés. En cas de doute, l’entreprise propose d’ailleurs une page d’aide permettant à ses clients de vérifier l’intégrité de leur matériel, en comparant leur Ledger avec les photos d’un exemplaire légitime.

Reste à savoir à quel niveau la chaîne d’approvisionnement a été compromise. Mark Karpelès affirme, photo à l’appui, avoir constaté la présence d’un implant espion dans un Ledger Nano acheté auprès de CryptoBilis. D’après lui, l’implant en question a nettement gagné en sophistication. Plus discret, il intègre un module LTE, de quoi gérer une carte SIM virtuelle (e-SIM) et un microcontrôleur connecté au bus SPI du Ledger, « qui analyse les caractères affichés à l’utilisateur et envoie les données dès que votre phrase de récupération est configurée ».

Si ses constatations sont justes, l’implant serait donc capable de détecter le moment où l’utilisateur paramètre sa phrase de récupération, la séquence de 24 mots qui constitue la clé pour déclencher une transaction à partir du portefeuille. Une fois l’information reçue, l’attaquant serait alors en mesure de vider le portefeuille à distance, sans y avoir jamais eu accès physiquement.

Contactée par nos soins lundi matin pour de plus amples informations, Ledger n’a pour l’instant pas répondu à nos questions.

La confiance n'exclut pas le contrôle

Suite à des signalements d’utilisateurs relatifs à des vols de cryptomonnaies, Ledger a confirmé la présence d’un implant matériel sur au moins l’un de ses portefeuilles matériels, distribué par l’intermédiaire d’un revendeur agréé d’Asie du Sud-Est. L’entreprise française annonce l’ouverture d’une enquête.

Les premiers témoignages sont apparus sur les réseaux sociaux. D’un côté, des utilisateurs se sont alarmés de voir que des transactions avaient été réalisées à leur insu à partir de leur portefeuille matériel Ledger dédié au stockage sécurisé de cryptomonnaies. « Mon portefeuille Ledger vient d’être vidé de près de 100 000 USDT. Ma phrase de récupération était manuscrite et conservée en lieu sûr. Je ne touche jamais à mon Ledger Stax. Ce portefeuille me servait uniquement à stocker des fonds et je n’interagissais avec lui que pour recevoir des paiements », décrit l’un d’eux, capture d’écran à l’appui.

De l’autre, Mark Karpelès, ancien CEO de la plateforme d’échange de bitcoins Mt. Gox arrêté et condamné pour malversations, a signalé mi-septembre la découverte de nouveaux implants matériels suspects sur des portefeuilles Ledger du commerce.

Ledger confirme au moins un cas de piratage matériel

Le lien entre les deux phénomènes semble confirmé. Après une première alerte de sécurité formulée vendredi 9 octobre, Ledger a admis samedi 10 octobre qu’au moins un de ses portefeuilles matériels, vendu par l’intermédiaire de la société asiatique CryptoBilis, contenait un implant matériel qui a pu contribuer au vol de cryptomonnaies stockées sur l’appareil, à l’insu de son propriétaire légitime.

L’entreprise annonce l’ouverture d’une enquête et appelle les clients de ce revendeur à ne pas paramétrer de nouveau portefeuille, ou à transférer leurs actifs vers un autre appareil, avec une autre phrase de sécurité.

« Par mesure de précaution, CryptoBilis a confirmé avoir suspendu la vente de tous ses portefeuilles matériels jusqu’à la fin de l’enquête. Ledger est en contact permanent avec CryptoBilis concernant les prochaines étapes », ajoute Ledger. CryptoBilis affiche désormais un avertissement similaire sur son site Web.

Les fondateurs de CryptoBilis ont dès vendredi pris leurs distances, expliquant avoir vendu leur société en mars 2026, et n’avoir plus ni responsabilité opérationnelle, ni accès aux données de l’entreprise, basée en Malaisie.

L’affaire pourrait cependant connaître de nouvelles répercussions : un utilisateur basé en Europe affirme lui aussi avoir découvert un implant matériel dans son portefeuille Ledger acheté auprès de la chaîne Mediamarkt.

Plusieurs dizaines de millions de dollars détournés ?

Ledger a de son côté pris à nouveau la parole dimanche soir pour tenter de rassurer ses clients :

« L’enquête se poursuit et nous collaborons avec les autorités compétentes. Le nombre d’appareils concernés est limité. Nous comprenons les inquiétudes que cela suscite, notamment chez les personnes directement touchées, et nous contactons les utilisateurs concernés. »

« De plus, nous conseillons vivement aux utilisateurs de ne pas acheter auprès de revendeurs non autorisés, car le risque d’acquérir des appareils suspects, contrefaits ou modifiés est important, aucun de ces appareils ne fonctionnant selon les directives de sécurité de Ledger. », écrit encore l’entreprise. Elle a supprimé lundi matin CryptoBilis de la liste des revendeurs autorisés de ses solutions.

En s’appuyant sur les informations partagées par les victimes et notamment sur les adresses vers lesquelles ont été transférés les fonds volés, certains analystes indépendants ont tenté d’estimer l’ampleur du phénomène. Le compte pseudonyme Specter avance le chiffre de 86 millions de dollars, récupérés à partir de plusieurs centaines de portefeuilles. Bitquery, qui édite une plateforme d’analyse et d’indexation de données blockchain, évoque pour sa part une enveloppe de 93,2 millions de dollars, volée sur un ensemble de 315 portefeuilles individuels.

Compromission de la chaîne d’approvisionnement

Le phénomène des wallets « piégés » n’est pas nouveau (voir par exemple ce témoignage daté de 2025, à partir d’un exemplaire acheté en Thaïlande), c’est d’ailleurs la raison pour laquelle Ledger appelle à ne se fournir que chez des revendeurs agréés. En cas de doute, l’entreprise propose d’ailleurs une page d’aide permettant à ses clients de vérifier l’intégrité de leur matériel, en comparant leur Ledger avec les photos d’un exemplaire légitime.

Reste à savoir à quel niveau la chaîne d’approvisionnement a été compromise. Mark Karpelès affirme, photo à l’appui, avoir constaté la présence d’un implant espion dans un Ledger Nano acheté auprès de CryptoBilis. D’après lui, l’implant en question a nettement gagné en sophistication. Plus discret, il intègre un module LTE, de quoi gérer une carte SIM virtuelle (e-SIM) et un microcontrôleur connecté au bus SPI du Ledger, « qui analyse les caractères affichés à l’utilisateur et envoie les données dès que votre phrase de récupération est configurée ».

Si ses constatations sont justes, l’implant serait donc capable de détecter le moment où l’utilisateur paramètre sa phrase de récupération, la séquence de 24 mots qui constitue la clé pour déclencher une transaction à partir du portefeuille. Une fois l’information reçue, l’attaquant serait alors en mesure de vider le portefeuille à distance, sans y avoir jamais eu accès physiquement.

Contactée par nos soins lundi matin pour de plus amples informations, Ledger n’a pour l’instant pas répondu à nos questions.

Trois actualités à retenir cette semaine dans le cyberespace, une cafetière connectée qui a généré un volume de trafic impossible à expliquer, une vague d’arnaques qui profite de la ruée sur les 30 ans de Pokémon, et un bras de fer public entre OpenAI et trois chercheurs en sécurité licenciés.

Mythos, va patcher

Cela ne surprendra personne, mais les deux mots incontournables (ou presque) aux Assises de la cybersécurité de Monaco sont « IA » et « agent ». Entre l’attaque, la défense et l’analyse (avec une forte asymétrie entre les deux), ils sont partout, à toutes les sauces. Si la situation actuelle est compliquée, les élections à venir risquent d’être « un carnage ».

À Monaco, tout le monde semble s’entendre sur un point : « l’IA nous complique la tâche […] L’IA est un multiplicateur de force, mais elle ne va pas rendre possible des attaques impossibles », a déclaré Vincent Strubel, patron de l’ANSSI, pour résumer la situation.

Avec l’IA, des attaques plus massives et sophistiquées

« Les méthodes d’attaque avec des IA génératives ne sont pas nouvelles, mais elles sont plus rapides et autonomes », confirme Bertrand Le Piolot, directeur cybersécurité chez FDJ United (anciennement Française des Jeux). Le général Patrick Touak, en charge du ComCyber MI, se dit tout de même « étonné de la vitesse avec laquelle l’IA a démultiplié les attaques ».

Jérôme Renoux, vice-président d’Akamai France, nous donne sa vision globale en tant que CDN qui voit passer « 25 à 30 % » du trafic mondial : « il y a une forte augmentation du nombre et de la sophistication des attaques par IA ». L’entreprise voit passer des bots « de plus en plus sophistiqués » ; ils sont par exemple « plus intelligents et imitent davantage le comportement humain » pour passer sous le radar des détections automatiques.

• [Dossier] Internet, mode d’emploi : les CDN, quels sont leurs réseaux ? (partie 4)

Après une forte explosion au moment du covid et des confinements, le volume des données échangées ne progresse que de quelques pourcents par an depuis quelques années. L’intelligence artificielle et les agents/bots occupent de la bande passante, mais ils n’ont pas d’effet significatif sur le volume de trafic global.

En défense, l’IA coûte cher

OpenAI a publié une note pour défendre le licenciement de trois chercheurs de ses équipes de sécurité, qui contestent toute faute dans une lettre ouverte.

La plateforme e-votez, où se déroule le vote pour la « primaire de la gauche socialiste et démocratique », fait l’objet d’une attaque par déni de service, qui ralentit mais ne compromet pas, à ce stade, son fonctionnement.

« La plateforme e-votez, prestataire du vote pour la primaire socialiste et démocratique, est victime d’une cyberattaque depuis son ouverture ce vendredi matin 8h00 », a signalé le compte X du Parti socialiste vers midi, reprenant un communiqué de la commission d’organisation de la primaire.

« De fait, cet afflux massif et fictif de connexions entrave la capacité à voter d’une partie des électrices et électeurs. Toutefois, à aucun moment la plateforme de vote n’a été interrompue et le scrutin a pu se poursuivre sans coupure depuis son ouverture. L’intégrité des votes enregistrés n’est pas compromise », rassure la commission.

« Dès l’identification de cette attaque, toutes les mesures nécessaires ont été prises pour garantir la continuité du scrutin et permettre à chacune et chacun d’exercer son droit de vote », indique encore l’organisation, qui promet des poursuites :

« Les organisations politiques parties prenantes condamnent fermement cette tentative de perturbation et saisissent la justice de cette grave attaque d’un processus démocratique. »

Le premier tour de la primaire oppose Olivier Faure, Raphaël Glucksmann, Jérôme Guedj, Emmanuel Maurel et Ségolène Royal. Il se tient les vendredi 9 et samedi 10 octobre, avant un second tour programmé les 16 et 17 octobre.

La plateforme e-votez, où se déroule le vote pour la « primaire de la gauche socialiste et démocratique », fait l’objet d’une attaque par déni de service, qui ralentit mais ne compromet pas, à ce stade, son fonctionnement.

« La plateforme e-votez, prestataire du vote pour la primaire socialiste et démocratique, est victime d’une cyberattaque depuis son ouverture ce vendredi matin 8h00 », a signalé le compte X du Parti socialiste vers midi, reprenant un communiqué de la commission d’organisation de la primaire.

« De fait, cet afflux massif et fictif de connexions entrave la capacité à voter d’une partie des électrices et électeurs. Toutefois, à aucun moment la plateforme de vote n’a été interrompue et le scrutin a pu se poursuivre sans coupure depuis son ouverture. L’intégrité des votes enregistrés n’est pas compromise », rassure la commission.

« Dès l’identification de cette attaque, toutes les mesures nécessaires ont été prises pour garantir la continuité du scrutin et permettre à chacune et chacun d’exercer son droit de vote », indique encore l’organisation, qui promet des poursuites :

« Les organisations politiques parties prenantes condamnent fermement cette tentative de perturbation et saisissent la justice de cette grave attaque d’un processus démocratique. »

Le premier tour de la primaire oppose Olivier Faure, Raphaël Glucksmann, Jérôme Guedj, Emmanuel Maurel et Ségolène Royal. Il se tient les vendredi 9 et samedi 10 octobre, avant un second tour programmé les 16 et 17 octobre.

Des « outils prédictifs et préventifs » de « détection précoce »

Confrontées à une « ubérisation de la corruption » émanant notamment du narcobanditisme, les inspections générales de la police (IGPN) et de la gendarmerie (IGGN) ont musclé leurs dispositifs anti-corruption. Leurs nouveaux algorithmes de « surveillance et contrôle des accès aux fichiers de la Police nationale » (SCAF-PN) et de « contrôle interne des traces des applications et du réseau » (CITAR) ont presque doublé le nombre d’identifications de consultations illicites de fichiers policiers et de cas de corruption.

Dans son rapport 2025, l’inspection générale de la police nationale (IGPN) relève que « l’année écoulée a connu une augmentation des affaires d’atteintes à la probité, en valeur absolue et en proportion ». Mais également que « pour la première fois, la détection interne, portée par l’ensemble du commandement, représente une part très significative de cette tendance ».

L’IGPN a en effet identifié 136 infractions pour détournement de la finalité d’un traitement de données à caractère personnel (consultations illicites de fichiers), contre 75 l’an passé (+ 81 %). À titre de comparaison, le nombre de cas de corruption est passé de 66 à 88 (+ 33 %), les violations du secret professionnel de 93 à 117 (+ 26 %), les faux en écriture de 98 à 65 (- 33 %), les vols de 65 à 56 (- 14 %).

L’IGPN dénombre par ailleurs 16 manquements aux règles d’utilisation des fichiers de données à caractère personnel, dont un « par inobservation des règles de securité », 14 manquements « par détournement des finalités dans un but lucratif », et 14 autres « sans but lucratif ».

Les fichiers les plus fréquemment détournés sont constitués, par ordre décroissant, du traitement des antécédents judiciaires (TAJ), du système d’immatriculation des véhicules (SIV) ainsi que du fichier des personnes recherchées (FPR), qualifiés de « vecteurs principaux de compromission ». La majorité de ces consultations illicites l’avaient été « à des fins lucratives », mais sans réel enrichissement, et sans commune mesure avec les risques encourus, souligne l’IGPN :

« Les contreparties ne sont jamais réellement ostentatoires, les enquêtes révélant des petits montants (en numéraire ou dématérialisé) ou des services divers, le tout inversement proportionnel au risque pénal et administratif encouru par l’agent indélicat. »

Une « menace pour l’heure non existentielle », et « marginale »

L’IGPN évoque également des consultations illicites de fichiers à des fins non lucratives, « dans lesquelles l’agent indélicat n’a pas vraiment conscience d’être auteur de faits répréhensibles ». Certains le font en effet pour rendre service à des amis, voisins, proches, pour vérifier la moralité de la personne censée garder les enfants, ou bien par jalousie pour « identifier et localiser » le nouveau conjoint de son ex’, voire même « au nom d’une juste cause ».

S’il n’y a bien évidemment pas de profil-type de l’agent corrompu, la majorité des agents mis en cause sont néanmoins des hommes âgés de moins de 40 ans, dans le premier tiers de leur carrière. Ils ne bénéficient pas de revenus élevés et certains se trouvent dans des situations personnelles très dégradées (situations familiales complexes, endettement, addictions), précise le rapport.

L’IGPN relève en outre que ces agents « commencent toujours de façon très modeste avant de rapidement effectuer des consultations massives ». Une « uberisation de la corruption » facilitée par l’accès quasi-instantané aux fichiers de police par leur terminal mobile NEO (comme l’avait notamment révélé l’enquête de Disclose consacrée aux contrôles d’identité « au faciès » recourant illégalement à la reconnaissance faciale), relève l’IGPN :

« L’ubérisation de la corruption distancie de fait les agents compromis de leur acte répréhensible, laissant ces derniers pantois lorsqu’ils apprennent à quelles fins ont été utilisés les fichiers qu’ils ont détournés. »

• Des contrôles d’identité « au faciès » recourent illégalement à la reconnaissance faciale

Le cloud est bleu comme une Orange

Bleu est en retard sur le calendrier de la qualification SecNumCloud d’une partie de ses services. Elle prévoyait le premier semestre 2026, mais il est désormais question de « la fin d’année ».

L’annonce des « clouds de confiance » basés sur des technologies américaines avait fait beaucoup parler. Nous avons d’un côté Thales avec Google pour former S3ns, de l’autre Capgemini, Orange et Microsoft pour Bleu. Le principe est de faire héberger les technologies de Microsoft ou Google par des prestataires français.

Les deux visent depuis le début la qualification SecNumCloud, le plus haut niveau d’exigence en cybersécurité de l’ANSSI. Elle assure notamment une étanchéité aux lois extraterritoriales, une robustesse des systèmes informatiques, des équipes, etc.

• SecNumCloud : pour l’ANSSI, « rien ne s’oppose » à la qualification de Bleu et S3ns

S3ns : 17 mois entre le jalon J0 et la qualification SecNumCloud

S3ns est arrivé au bout du chemin, il y a un peu moins d’un an : son offre PREMI3NS est qualifiée SecNumCloud par l’ANSSI depuis décembre 2025, soit un processus de 17 mois pour être précis depuis la validation du jalon J0, « sans réserve » de l’ANSSI. La validation du jalon J1 avait ensuite pris cinq mois, puis 12 mois pour terminer la procédure.

Il y a, pour rappel, quatre niveaux dans la procédure de qualification SecNumCloud :

• J0 : acceptation de la demande de qualification
• J1 : acceptation de la stratégie d’évaluation
• J2 : acceptation des travaux d’évaluation
• J3 : décision de qualification

Si l’Agence émet des réserves, cela signifie que « l’ensemble des critères d’acceptation […] sont respectés, mais l’ANSSI estime qu’un jalon de la qualification ne peut a priori pas être franchi ou que les coûts et délais nécessaires pour atteindre la qualification sont très importants ». C’est une mise en garde, comme son nom l’indique, mais S3ns et Bleu n’y ont pas eu droit.

Bleu a validé le jalon J0 il y a 18 mois, la qualification prévue pour fin 2026

Bleu s’est lancé plus tard dans la procédure, avec une acceptation du jalon J0 en avril 2025. Le jalon J1 a pris un peu plus de temps – sept mois – que pour S3ns. Le calendrier était alors en phase avec ce que nous indiquait Bleu aux Assises de la cybersécurité de l’année dernière. La coentreprise de Capgemini et Orange ajoutait que la qualification SecNumCloud était attendue pour le premier semestre 2026, un calendrier déjà annoncé lors du passage du jalon J0. Nous avions aussi profité de l’occasion pour faire un rapide tour des enjeux de souveraineté et des relations avec Microsoft.

• Bleu nous parle SecNumCloud, étanchéité, autarcie et relations avec Microsoft
• Thales et Google détaillent le fonctionnement de S3ns sur le « cloud de confiance »

Un an plus tard, force est de constater que la qualification n’est toujours pas finalisée. Le stand de Bleu aux Assises de la cybersécurité 2026 n’affiche que le jalon J1. « Nous sommes toujours dans le process de qualification pour un très large catalogue de services IaaS, PaaS, et CaaS. Nous visons la qualification pour la fin d’année », nous explique le service presse.

Iaas (Infrastructure as a Service), PaaS (Platform as a Service) et CaaS (Container as a Service) correspondent à ce que propose Microsoft avec Azure. Avec la partie SaaS (Software as a Service) de Microsoft 365, qui passera la qualification dans un second temps, cela représente selon Bleu une centaine de services.

• Perdus face au cloud ? On vous explique les notions principales – Next

Cette qualification de trois niveaux de services en même temps était déjà présente chez S3ns, qui affirmait d’ailleurs que c’était « la première fois que l’ANSSI accorde la qualification SecNumCloud en simultanée pour les périmètres IaaS, CaaS et PaaS, couvrant plus de vingt services ».

Si Bleu obtient bien la qualification en décembre comme prévu, cela donnerait environ 13 mois d’écart avec le J1. Au total, si le délai annoncé est cette fois-ci respecté, la qualification prendrait donc 21 mois.

Procédure de qualification SecNumCloud de S3ns (Thales et Google) :

• J0 : juillet 2024
• J1 : décembre 2024 (5 mois)
• Qualification : décembre 2025 (17 mois au total)

Procédure de qualification SecNumCloud de Bleu (Capgemini, Orange et Microsoft) :

• J0 : avril 2025
• J1 : novembre 2025 (7 mois)
• Qualification : attendue fin 2026 (estimation 20 mois)

Le cloud est bleu comme une Orange

Bleu est en retard sur le calendrier de la qualification SecNumCloud d’une partie de ses services. Elle prévoyait le premier semestre 2026, mais il est désormais question de « la fin d’année ».

L’annonce des « clouds de confiance » basés sur des technologies américaines avait fait beaucoup parler. Nous avons d’un côté Thales avec Google pour former S3ns, de l’autre Capgemini, Orange et Microsoft pour Bleu. Le principe est de faire héberger les technologies de Microsoft ou Google par des prestataires français.

Les deux visent depuis le début la qualification SecNumCloud, le plus haut niveau d’exigence en cybersécurité de l’ANSSI. Elle assure notamment une étanchéité aux lois extraterritoriales, une robustesse des systèmes informatiques, des équipes, etc.

• SecNumCloud : pour l’ANSSI, « rien ne s’oppose » à la qualification de Bleu et S3ns

S3ns : 17 mois entre le jalon J0 et la qualification SecNumCloud

S3ns est arrivé au bout du chemin, il y a un peu moins d’un an : son offre PREMI3NS est qualifiée SecNumCloud par l’ANSSI depuis décembre 2025, soit un processus de 17 mois pour être précis depuis la validation du jalon J0, « sans réserve » de l’ANSSI. La validation du jalon J1 avait ensuite pris cinq mois, puis 12 mois pour terminer la procédure.

Il y a, pour rappel, quatre niveaux dans la procédure de qualification SecNumCloud :

• J0 : acceptation de la demande de qualification
• J1 : acceptation de la stratégie d’évaluation
• J2 : acceptation des travaux d’évaluation
• J3 : décision de qualification

Si l’Agence émet des réserves, cela signifie que « l’ensemble des critères d’acceptation […] sont respectés, mais l’ANSSI estime qu’un jalon de la qualification ne peut a priori pas être franchi ou que les coûts et délais nécessaires pour atteindre la qualification sont très importants ». C’est une mise en garde, comme son nom l’indique, mais S3ns et Bleu n’y ont pas eu droit.

Bleu a validé le jalon J0 il y a 18 mois, la qualification prévue pour fin 2026

Bleu s’est lancé plus tard dans la procédure, avec une acceptation du jalon J0 en avril 2025. Le jalon J1 a pris un peu plus de temps – sept mois – que pour S3ns. Le calendrier était alors en phase avec ce que nous indiquait Bleu aux Assises de la cybersécurité de l’année dernière. La coentreprise de Capgemini et Orange ajoutait que la qualification SecNumCloud était attendue pour le premier semestre 2026, un calendrier déjà annoncé lors du passage du jalon J0. Nous avions aussi profité de l’occasion pour faire un rapide tour des enjeux de souveraineté et des relations avec Microsoft.

• Bleu nous parle SecNumCloud, étanchéité, autarcie et relations avec Microsoft
• Thales et Google détaillent le fonctionnement de S3ns sur le « cloud de confiance »

Un an plus tard, force est de constater que la qualification n’est toujours pas finalisée. Le stand de Bleu aux Assises de la cybersécurité 2026 n’affiche que le jalon J1. « Nous sommes toujours dans le process de qualification pour un très large catalogue de services IaaS, PaaS, et CaaS. Nous visons la qualification pour la fin d’année », nous explique le service presse.

Iaas (Infrastructure as a Service), PaaS (Platform as a Service) et CaaS (Container as a Service) correspondent à ce que propose Microsoft avec Azure. Avec la partie SaaS (Software as a Service) de Microsoft 365, qui passera la qualification dans un second temps, cela représente selon Bleu une centaine de services.

• Perdus face au cloud ? On vous explique les notions principales – Next

Cette qualification de trois niveaux de services en même temps était déjà présente chez S3ns, qui affirmait d’ailleurs que c’était « la première fois que l’ANSSI accorde la qualification SecNumCloud en simultanée pour les périmètres IaaS, CaaS et PaaS, couvrant plus de vingt services ».

Si Bleu obtient bien la qualification en décembre comme prévu, cela donnerait environ 13 mois d’écart avec le J1. Au total, si le délai annoncé est cette fois-ci respecté, la qualification prendrait donc 21 mois.

Procédure de qualification SecNumCloud de S3ns (Thales et Google) :

• J0 : juillet 2024
• J1 : décembre 2024 (5 mois)
• Qualification : décembre 2025 (17 mois au total)

Procédure de qualification SecNumCloud de Bleu (Capgemini, Orange et Microsoft) :

• J0 : avril 2025
• J1 : novembre 2025 (7 mois)
• Qualification : attendue fin 2026 (estimation 20 mois)

• lien nᵒ 1 : Site officiel des Big Brother Awards Allemagne 2026
• lien nᵒ 2 : Les dépêches précédentes sur LinuxFR
• lien nᵒ 3 : Captation du live (PeerTube)
• lien nᵒ 4 : Site des Big Brother Awards

Commentaires : voir le flux Atom ouvrir dans le navigateur

Asseyez-vous, ça va piquer

Pour renforcer la cybersécurité de manière globale, Vincent Strubel milite pour plus de transparence et de retour d’expérience. Le général Patrick Touak, en charge du Comcyber Mi, confirme et ajoute que cela passe aussi par un renforcement sans compromis de la cybersécurité, notamment la double authentification obligatoire.

Lors de la traditionnelle conférence d’ouverture des Assises de la sécurité, Vincent Strubel (patron de l’ANSSI) est revenu sur les trop nombreuses fuites de données dont sont victimes les Français depuis des mois, voire des années. L’année dernière, il avait plombé l’ambiance en parlant de la « brutalisation du monde » et de la perspective d’une « guerre de haute intensité » d’ici 2030, avec un « engagement de nos armées ».

• Vincent Strubel (ANSSI) face à la « brutalisation du monde » et la menace quantique

Cette année, il affirme qu’il n’a « pas besoin de plomber l’ambiance, les attaquants l’ont déjà fait ». La DGFiP, victime d’une cyberattaque avec fuite de données, est l’éléphant dans la pièce. L’ANSSI a, pour rappel, publié récemment un billet détaillé sur les vecteurs d’attaque utilisés par les pirates.

Les « attaques qu’on a subies ne sont pas très sophistiquées »

L’attaque n’était pas sophistiquée, elle surfait sur une série de défaillances. Le général Patrick Touak, chef du commandement du ministère de l’Intérieur dans le Cyberespace, confirme et élargit le périmètre bien au-delà de la DGFiP : les « attaques qu’on a subies ne sont pas très sophistiquées ».

• Piratage de la DGFiP : pas d’attaque sophistiquée, mais une série de défaillances techniques
• Sécurité : le premier point de situation REACTIV de l’ANSSI illustre l’ampleur du problème

Cette fuite de la DGFiP est une parmi tant d’autres ; aussi bien des institutions publiques que des entreprises privées sont concernées, et ce quelle que soit leur taille. Vincent Strubel soulève toutefois la question de ce que « disent les attaques de nos vulnérabilités basiques et universelles ». C’est d’autant plus grave quand on les retrouve dans des institutions étatiques : « c’est particulièrement inacceptable ».

Pour le patron de l’ANSSI, ce « travail de transparence » – très récent, le rapport de la DGFiP est une exception à ce jour – de l’Agence est nécessaire, mais fait grincer des dents : « Ça pique, mais on va continuer car c’est vital ». Ce qui est arrivé à la DGFiP doit servir d’électrochoc : d’autres institutions traînent certainement le même genre de vulnérabilité : il faut « avoir le courage de le dire et de le répéter ; c’est un chantier colossal ».

Associations, coopératives et entreprises sociales peuvent suivre gratuitement, d'octobre 2026 à mars 2027, un parcours de six webinaires consacré à la cybersécurité, à la compréhension des opportunités et des risque liés au numérique. Le premier a lieu le 14 octobre à midi.