Faille macOS exploitée pour miner du Monero 💻, fuite chez des fonctionnaires écossais 🏴, intrusion VPN à la DGFiP 🇫🇷
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 15 août 2026 !
Un port macOS laissé ouvert sur Internet, un prestataire tiers gérant les données de fonctionnaires ou un VPN ministériel infiltré via des identifiants compromis : l'actualité du jour rappelle avec force que l'exploitation de la moindre brèche d'accès ou d'un canal de confiance peut conduire à des compromissions massives.
Retrouve les trois articles à la une du jour :
- Exploitation active de la
CVE-2026-65400sur macOS Screen Sharing pour déployer des mineurs Monero - Exposition de données personnelles auprès de 300 employés du ministère public écossais via un prestataire
- Compromission d'un accès VPN de la DGFiP exposant potentiellement jusqu'à 600 000 dossiers fiscaux
Une faille d'authentification macOS exploitée pour miner Monero
La CVE-2026-65400, une vulnérabilité d'authentification dans la fonction Screen Sharing de macOS, est exploitée en conditions réelles depuis sa divulgation publique. Le centre de cybersécurité néerlandais (NCSC) rapporte que des attaquants contournent les identifiants sur les systèmes exposés au port 5900 pour accéder à distance sans authentification valide.
Apple a corrigé la faille le 6 août dans macOS Tahoe 26.6.1 et versions antérieures. Selon le NCSC, sur plusieurs systèmes compromis où le port 5900 était accessible depuis Internet, les attaquants ont obtenu un accès root et déployé un mineur de Monero pour exploiter les ressources système.
Points d'attention
- L'exploitation repose sur le protocole VNC sur le port TCP 5900 exposé publiquement, sans mécanisme d'authentification à franchir pour gagner un accès initial aux applications et fichiers du système.
- Les attaquants acquièrent directement les privilèges root sur le système ciblé, ce qui leur permet de modifier les paramètres de sécurité et de persister en déployant des composants malveillants comme le mineur de cryptomonnaie.
- Le NCSC n'a pas communiqué le nombre de systèmes affectés ni l'étendue précise des campagnes d'exploitation, ce qui limite la visibilité sur l'ampleur du phénomène en conditions réelles.
Un prestataire expose des informations personnelles des fonctionnaires du gouvernement écossais
Le Bureau du procureur fiscal écossais (COPFS) a annoncé le 13 août qu'un prestataire externe non identifié avait subi une faille affectant certaines données personnelles de ses employés. Environ 300 individus sont concernés, dont noms, fonctions et adresses e-mail professionnelles. Les informations relatives aux dossiers, victimes et témoins restent intactes.
Dark Reading identifie comme probable gestionnaire des évaluations la société de recherche britannique Data Orchard, mandatée pour conduire les formations annuelles du programme Data Maturity Programme en Écosse. La brèche pourrait affecter d'autres agences gouvernementales écossaises ayant participé aux mêmes évaluations. Dark Reading n'a pas encore reçu de confirmation officielle de Data Orchard ni du gouvernement écossais quant à l'étendue réelle de la faille.
Points d'attention
- L'incident cible un prestataire périphérique chargé d'une évaluation ponctuelle, le type de fournisseur rarement inscrit aux listes de surveillance continue des risques fournisseurs selon Cory Kennedy, analyste chez SecurityScorecard.
- Les données divulguées (noms, rôles, e-mails) constituent une reconnaissance efficace pour du phishing ciblé, permettant à un attaquant de forger des messages crédibles émanant de départements internes ou partenaires.
- Le nombre restreint d'individus affectés masque un risque réel : un seul compte d'employé compromis suffit à fournir à un attaquant un pied d'appui dans l'environnement gouvernemental plus large.
L'administration fiscale française ciblée, 600 000 victimes pressenties
La Direction générale des finances publiques (DGFiP) a confirmé une intrusion dans ses systèmes survenue fin juin, découverte et contenue au même moment. Un attaquant aurait exploité le vol ou l'usurpation d'identité pour accéder aux données fiscales de particuliers et entreprises, selon le ministère de l'Économie.
L'accès s'est fait par une connexion VPN interne après une compromission des serveurs de l'agence, permettant à l'intrus de consulter et extraire des informations sensibles. Un hacker se présentant sous l'alias ZeroBytes a revendiqué l'attaque en début de semaine, affirmant disposer de données sur plus de 600 000 personnes : noms, numéros d'identification fiscale, adresses électroniques et détails de statut fiscal. L'authenticité de ces revendications n'a pas été vérifiée indépendamment.
Points d'attention
- Le vecteur d'accès reposait sur l'usurpation ou le vol d'identité d'un compte autorisé, permettant à l'attaquant de contourner les contrôles d'authentification et de se connecter au VPN interne de la DGFiP.
- ZeroBytes, l'alias du revendiquant, reste non attribué officiellement : la DGFiP n'a confirmé ni l'identité de l'acteur ni l'exactitude des données prétendument exfiltrées.
- Cette intrusion s'inscrit dans une série de violations affectant des agences françaises depuis février, incluant le Fichier national des comptes bancaires (FICOBA), l'ANTS et le ministère de l'Éducation.
Autres actus importantes
- Des pirates exploitent une faille zero-day non corrigée dans GeoServer
- Des pirates arrêtés pour une fraude bancaire de 30 M€ exploitant une faille chez un fournisseur de services
- Shell enquête sur un 'incident potentiel' après les allégations de vol de données par Clop
- 1,6 million de personnes probablement touchées par la fuite de données de RingCentral
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere