Arrestation complice de ShinyHunters 🕵️, l'ANSSI analyse le scraping DGFiP 🏛️, faille SonicWall déjà ciblée 🚨

Bonjour, voici ta veille Cybere du 10 octobre 2026 !

Du judiciaire aux équipements réseau, l'actualité du jour balaye l'ensemble du spectre de la menace. Côté arrestations, le FBI interpelle aux États-Unis un cofondateur d'une société canadienne soupçonné de soutenir le groupe ShinyHunters. Sur le volet défense, l'ANSSI publie un retour d'expérience détaillé après l'aspiration massive subie par la DGFiP et préconise six axes de renforcement. Enfin, sur le plan des vulnérabilités, une faille de sévérité maximale touchant la gamme SonicWall SMA1000 subit déjà des tentatives d'exploitation ciblées.

Retrouve les trois articles à la une du jour :

• Un cofondateur d'une société canadienne soupçonné d'aide logistique à ShinyHunters arrêté par le FBI
• Scraping à la DGFiP : l'ANSSI formule six recommandations clés sur le filtrage VPN, le MFA et la gestion des sessions
• La vulnérabilité maximale CVE-2026-102255 sur SonicWall SMA1000 fait l'objet de requêtes d'exploitation détectées par des honeypots

Le FBI arrête un Canadien soupçonné d'aider ShinyHunters

Le FBI a arrêté jeudi en Pennsylvanie un cofondateur d'une société canadienne de cybersécurité spécialisée dans la négociation de rançons, selon plusieurs sources de KrebsOnSecurity. Le New York Times a rapporté l'arrestation d'un Canadien soupçonné d'avoir aidé ShinyHunters, sans le nommer.

D'après les registres judiciaires, un certain Edward Dobrovsky a été arrêté le 8 octobre pour complot en vue d'extorquer de l'argent par menace d'atteinte à la confidentialité de données, et pour entrave au commerce par menaces. L'affaire a été transférée le 9 octobre au district Est du Texas, où l'enquête est centralisée.

Points d'attention

• L'identité repose sur un recoupement : les dossiers écrivent Dobrovsky, alors que l'annuaire des détenus fédéraux liste Edward Dubrovsky, 54 ans, à Philadelphie.
• Selon le FBI, ShinyHunters, qui combine phishing et identifiants volés contre des comptes SaaS, a extorqué plus de 70 millions de dollars cette année.
• Les appareils saisis lors de l'arrestation de Pepijn van der Stap par la police néerlandaise sont analysés, et d'autres négociateurs de ransomware pourraient être inculpés.

→ Lire la source

L'ANSSI détaille six chantiers après le scraping DGFiP

L'ANSSI a publié un retour d'expérience d'une vingtaine de pages sur le scraping de données ayant touché la Direction générale des finances publiques (DGFiP). Le document identifie six niveaux de contrôle à renforcer, de l'exposition des applications métiers à la gestion des comptes compromis.

L'agence recommande un accès aux applications internes par VPN, une authentification multifacteur indépendante du premier facteur, des quotas de requêtes et de données, ainsi que la révocation des sessions actives après compromission. Selon l'ANSSI, un plan d'action a été défini avec la DGFiP, dont le calendrier reste à connaître.

Points d'attention

• Un code à usage unique envoyé par e-mail est jugé insuffisant par l'ANSSI si la messagerie s'ouvre avec les mêmes identifiants.
• Selon l'ANSSI, des recherches suspectes sur E-Contact ont généré de vrais positifs : la détection n'était donc pas nécessairement absente.
• L'ANSSI précise que seul un audit complet du SI permettra d'identifier toutes les failles exploitables, les mesures listées ne constituant pas des failles avérées.

→ Lire la source

Une faille maximale des SonicWall SMA1000 est déjà exploitée

La CVE-2026-102255, une faille de sévérité maximale corrigée mardi par SonicWall, fait déjà l'objet de tentatives d'exploitation, selon Previdian. Elle touche l'interface Appliance WorkPlace des SMA1000 6210, 7210 et 8200v, mais épargne la gamme SMA 100 et le SSL-VPN des pare-feu SonicWall.

D'après son fondateur Ryan Dewhurst, le réseau de honeypots de Previdian a détecté des requêtes OPTIONS forgées contre l'interface WorkPlace Extraweb. L'avis de SonicWall de mardi ne signale pas encore d'exploitation. Selon l'éditeur, un attaquant distant non authentifié peut faire émettre des requêtes à l'appliance pour atteindre des fonctions internes.

Points d'attention

• Le payload vise le service CouchDB interne à 127.0.0.1:5984, invoque la fonction _rewrite d'un design document et fournit les identifiants admin:admin dans l'en-tête Basic.
• Previdian n'a pas établi si ces tentatives auraient compromis des systèmes, et Shadowserver recense plus de 400 SMA1000 exposés sans distinguer honeypots et appliances corrigées.
• En juillet, les zero-days CVE-2026-15409 et CVE-2026-15410 ont déployé Sou5, OrangeTail et RootRun, dont certaines attaques ont été liées par la CISA à des groupes de ransomware.

→ Lire la source

Autres actus importantes

• 247 failles corrigées d'un coup dans Chrome 155 : l'IA est passée par là
• Le Japon confirme l'arrestation d'un membre de Qilin, extradition vers l'Allemagne
• Des chercheurs publient un exploit fonctionnel pour la faille AnyDesk Linux sans authentification préalable qui donne l'accès root
• Des failles non corrigées d'AhsayCBS exploitées pour déployer des webshells et miner des cryptomonnaies

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere