Rapport ANSSI piratage DGFiP 🇫🇷, 2 zero-days NetScaler attaquées en masse 🚨, Signal déploie sauvegardes chiffrées 🔐

Bonjour, voici ta veille Cybere du 30 septembre 2026 !

Un rapport d'autopsie de l'ANSSI révélant l'exfiltration aveugle de 14 Go de données fiscales sans la moindre alerte SOC, une vague de scans de masse frappant les équipements Citrix NetScaler dès la parution d'un PoC, et l'arrivée des sauvegardes chiffrées sur toutes les éditions de Signal : l'actualité du jour rappelle que la vitesse de réaction et l'étanchéité des accès restent le cœur de la cyberdéfense.

Retrouve les trois articles à la une du jour :

• Rapport ANSSI : le groupe Zerobytes pille les données de la DGFiP via des identifiants dérobés et le contournement de l'A2F par email
• Exploitation massive des zero-days NetScaler : plus de 100 organisations déjà compromises après la publication d'un exploit de démonstration
• Signal lance la version 8.30 : généralisation des sauvegardes chiffrées locales et hébergées sur iOS, Android et Desktop

L'ANSSI dissèque le piratage de la DGFiP : des identifiants volés et aucune détection

L'ANSSI a publié le 29 septembre 2026 son rapport sur la compromission de la Direction générale des Finances publiques, survenue en juin et juillet. Le groupe Zerobytes avait exfiltré les données de près de 353 000 particuliers et 252 000 professionnels via E-Contact et le portail APEX, exploitant des identifiants dérobés par infostealers sur des postes d'agents et de partenaires externes.

Selon l'agence, l'absence d'authentification multifacteur sur plusieurs services a permis l'intrusion. APEX utilisait un code envoyé par email comme second facteur, contourné dès lors que le poste d'un géomètre-expert était compromis. Le portail ADER, point d'accès à E-Contact, n'était pas supervisé par le SOC de la DGFiP : 11 Go ont été transférés entre le 22 et le 25 juin, puis 3 Go entre le 21 et le 23 juillet, de nuit, via des IP malveillantes et des VPN étrangers, sans déclencher d'alerte. L'attaquant a aussi exploité une infrastructure compromise du ministère de l'Éducation nationale pour atteindre le réseau interministériel.

Points d'attention

• Le changement de mot de passe d'un compte le 24 juin n'a pas fermé la session active de l'attaquant, qui a poursuivi l'exfiltration après la réinitialisation.
• Les connexions présentaient des marqueurs évidents : horaires nocturnes, volumes inhabituels, scraping automatisé et adresses IP étrangères, autant de signaux que le SOC aurait dû détecter s'il avait supervisé ADER.
• L'ANSSI recommande désormais des clés physiques ou des applications dédiées pour l'authentification forte, en remplacement des codes par email, jugés trop faciles à intercepter sur un poste compromis.

→ Lire la source

L'exploitation de deux zero-days NetScaler passe du ciblage furtif aux attaques de masse

L'exploitation des CVE-2026-88771 et CVE-2026-88772, deux zero-days corrigées par Citrix dans NetScaler ADC et Gateway, a basculé en campagnes opportunistes après la publication d'une analyse technique et d'un exploit de démonstration pour la CVE-2026-88771. GreyNoise avait détecté les premières tentatives dès le 24 septembre, trois jours avant la divulgation officielle. L'attaquant a tenté sans succès de placer un webshell derrière une fausse feuille de style et d'effacer les traces dans les journaux, mais n'a pu obtenir de point d'ancrage.

Selon Xavier Bellekens de Lupovis, les scans ont déferlé quelques minutes après la sortie du PoC de watchTowr Labs, ciblant l'ensemble des appliances exposées sur Internet. Kevin Beaumont recense plus de cent organisations compromises, chacune dotée d'un webshell unique que seul l'attaquant peut scanner à distance. Censys dénombre environ 42 000 instances publiques, dont moins de 10 % sont aujourd'hui corrigées d'après les scans de firmware.

Points d'attention

• La CVE-2026-88771 est exploitable à distance sur toute appliance en configuration par défaut, sans authentification ni prérequis autre que l'exposition du service sur Internet.
• Dans les tentatives opportunistes capturées après la sortie du PoC, les attaquants exfiltrent les données collectées vers un serveur Hetzner (138.199.200.90) et s'appuient sur la technique de log poisoning, marqueur d'un premier assaut ciblé désormais devenu campagne de masse.
• Aucun exploit public ne circule encore pour la CVE-2026-88772, ce qui laisse supposer que seuls les acteurs initiaux, vraisemblablement motivés par l'espionnage, la maîtrisent à ce stade.

→ Lire la source

Signal généralise les sauvegardes chiffrées locales sur iOS et desktop

Signal a publié la version 8.30, qui achève le déploiement de sa fonction de sauvegarde sécurisée sur l'ensemble des plates-formes supportées : Android, iOS, Linux, macOS et Windows. Introduite sur Android il y a près d'un an, elle permet de créer des sauvegardes chiffrées de bout en bout et de restaurer les conversations sur un autre appareil.

Le système propose deux options : des sauvegardes hébergées par Signal, limitées à 45 jours de média et 128 Ko par message pour les comptes gratuits, et des sauvegardes locales sans restriction de taille. Dans les deux cas, le déchiffrement repose sur une clé de récupération, mais les sauvegardes hébergées bénéficient d'une clé supplémentaire qui pivote quotidiennement dans un environnement d'exécution de confiance. Les acteurs malveillants ont déjà intégré cette clé dans leur périmètre de ciblage peu après le lancement de la fonctionnalité.

Points d'attention

• Les médias sont désormais stockés à l'écart de l'archive de sauvegarde, et les fichiers dupliqués ne sont enregistrés qu'une seule fois, ce qui réduit la volumétrie sauvegardée.
• Les messages éphémères configurés pour disparaître en moins de 24 heures sont ignorés par les deux méthodes de sauvegarde et exclus de toute archive.
• Sur iOS, la version 8.30 active le transfert direct iPhone-iPhone via une liaison Wi-Fi Aware locale chiffrée de bout en bout, que Signal présente comme plus rapide et fiable.

→ Lire la source

Autres actus importantes

• Ubuntu : face à l'explosion des failles, Canonical va publier un nouveau noyau chaque semaine
• Kiteworks corrige une faille critique et redéploie les systèmes clients
• L'agence du Pentagone victime d'une fuite de données affectant 3 millions de personnes
• Des militaires de l'US Air Force condamnés à plus de 6 ans de prison pour le vol de plus de 2 millions de dollars via la cybercriminalité

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere