Bonjour ️😊,
Je vous retrouve pour l'édition de Juillet-Août du Récap'IT.
Cet été, la cybersécurité française a pris l'eau de toutes parts. Les incidents se sont enchaînés avec un point commun, un compte légitime détourné, un prestataire mal supervisé, un MFA absent. Dans ce numéro, on revient sur la vague estivale et les 43,4 millions de comptes qui font de la France la première victime d'Europe. On décortique aussi un serveur de phishing laissé ouvert qui révèle l'industrialisation du contournement MFA, un Muséum toujours en mode dégradé un an après une attaque, et un groupe de ransomware qui accélère ses intrusions de 50 % grâce à un agent IA du commerce. Côté Youzer, la rentrée des alternants rappelle que chaque compte non désactivé à temps reste une porte ouverte.
Bonne lecture !
📅 Au programme aujourd'hui :
👉 Go !!
Avant de commencer, je vous invite à nous suivre 👉️
DGFiP, SFR, Intermarché, Lidl, Bloctel, Tchap, Éducation nationale. La liste des organisations françaises compromises entre juin et août 2026 ressemble à un inventaire à la Prévert, sauf que chaque ligne pèse des centaines de milliers de données personnelles. Le point commun entre ces incidents ne se trouve pas dans la sophistication des attaques, mais dans leur banalité.
À la DGFiP, l'intrusion du 26 juin a exploité les identifiants usurpés d'un agent puis d'un tiers habilité : 678 000 dossiers fiscaux extraits, revenus, adresses, échanges avec l'administration. Une seconde intrusion sur les données cadastrales a suivi, puis une troisième sur un portail public (FrenchBreaches, août 2026). Chez SFR, un compte interne a suffi pour accéder à l'outil de gestion des raccordements fibre et aspirer 2,1 millions de lignes clients (revendication du 17 juillet 2026). Chez Intermarché, un accès non autorisé aux fichiers du service Drive a exposé 287 605 clients (confirmation du 3 août). Chez Lidl, la fuite est passée par un prestataire externe, sans que l'enseigne ait jamais eu la main sur le compte compromis (notification du 10 juillet). Sur Tchap, la messagerie souveraine de l'État, un seul compte utilisateur usurpé a ouvert l'accès à des salons publics non chiffrés : 643 000 messages et les métadonnées de 73 000 agents, selon la revendication (DINUM, 8 juin 2026). Bloctel a fermé le 11 août avec 3 millions de numéros en fuite, l'accès ayant été obtenu via un compte professionnel dépourvu de MFA.
Ce qui frappe un DSI dans cette séquence, c'est la répétition du scénario. Pas de zero-day. Pas d'exploit sur mesure. Un compte légitime détourné, un prestataire dont personne ne surveille les accès, un MFA absent ou partiel. La question n'est plus de savoir si votre organisation sera ciblée, mais combien de comptes actifs dans votre SI échappent aujourd'hui à une revue régulière de leurs droits et de leurs accès.
Sources : FrenchBreaches, L'Usine Digitale, DINUM, cyberattaque.org, INCYBER News
43,4 millions de comptes compromis en six mois. Entre janvier et juin 2026, la France s'est imposée comme le pays européen le plus touché par les fuites de données, concentrant à elle seule plus de la moitié des comptes piratés sur le continent. À l'échelle mondiale, seuls les États-Unis font pire. C'est le constat d'une étude Surfshark publiée en juillet 2026.
Le rythme donne le vertige : près de trois comptes compromis chaque seconde, et une augmentation de 62,3 % par rapport au second semestre 2025. En six mois, le record annuel de 2025 (40,3 millions de comptes) a déjà été dépassé. Rapporté à la population, la France affiche la plus forte densité de comptes compromis au monde : chaque Français a été concerné par environ 11 violations de données depuis 2004.
Les chercheurs de Surfshark pointent un glissement dans le ciblage. Les cybercriminels se tournent vers des cibles perçues comme plus accessibles, notamment les institutions publiques. En France, l'ANTS, Parcoursup, l'Éducation nationale et Service-public.gouv.fr ont tous été touchés au premier semestre. Le gouvernement a réagi en débloquant 200 millions d'euros pour sécuriser les systèmes d'État.
Ce qui devrait préoccuper un DSI au-delà du volume brut, c'est la persistance des données volées. Un identifiant dérobé en 2023 peut ressurgir dans une campagne de credential stuffing en 2026. La question n'est pas seulement "avons-nous été touchés", mais : combien d'identifiants issus de fuites passées sont encore valides dans votre annuaire ? Sans politique de rotation forcée et sans surveillance active des bases de credentials exposées, chaque fuite ancienne reste une porte ouverte.
Source : 01net / étude Surfshark, juillet 2026
Recevez le meilleur des actus IT du mois.
Évolution du marché, tendances IT, les cyberattaques en France ... un condensé de l'actualité
44 % des PME françaises ont subi au moins une cyberattaque en douze mois. Dans le même temps, 78 % se déclarent confiantes dans leur niveau de résilience. Le décalage est documenté par une étude Eset menée auprès de 500 décideurs impliqués dans les choix de cybersécurité de leur organisation (étude Eset France, 2026).
Les vecteurs d'attaque n'ont rien d'exotique. Le phishing reste en tête (31 %), suivi de l'exploitation de vulnérabilités non corrigées (24 %) et des défaillances dans la gestion des accès et des comptes utilisateurs (20 %). Pas de zero-day spectaculaire, pas de supply chain compromise : ce sont des fondamentaux mal tenus qui ouvrent les portes. Côté impacts, la perte de données arrive en première préoccupation (51 %), devant les conséquences financières directes (42 %) et les interruptions d'activité (33 %). Parmi les entreprises touchées, 12 % l'ont été à plusieurs reprises sur la même période.
L'IA ajoute une couche de complexité. Les logiciels malveillants exploitant l'IA sont identifiés comme la menace émergente la plus préoccupante (36 %), devant le vol d'identifiants (34 %) et le phishing augmenté (23 %). Deux tiers des PME interrogées intègrent déjà l'IA dans leurs activités, mais 72 % reconnaissent qu'elle introduit des risques de sécurité supplémentaires.
Ce qui rend ces résultats inconfortables pour un DSI, c'est le troisième vecteur. Le phishing, on le connaît. Les correctifs en retard, on les subit. Mais une défaillance sur les accès et les comptes, c'est un problème de gouvernance : qui a accès à quoi, depuis quand, et qui le vérifie ? Quand un compte compromis peut se déplacer librement parce que personne ne surveille les droits attribués, la confiance affichée dans sa résilience devient un angle mort. Les 78 % de PME sereines gagneraient à confronter cette certitude à un audit réel de leurs habilitations.
Source : Le Monde Informatique
Un opérateur de phishing lance un serveur HTTP Python à Budapest et oublie de désactiver l'indexation des fichiers. Configurations d'attaque, journaux de victimes, outils de contrôle à distance, session Telegram personnelle : tout en accès libre. L'équipe de renseignement cyber de Lexfo, société française, repère le répertoire ouvert et remonte le fil. Ses conclusions, publiées le 13 juillet 2026, décrivent trois opérateurs indépendants qui partagent la même infrastructure pour contourner le MFA sur Microsoft 365 : proxy inversé interceptant les cookies de session après validation du second facteur, abus du flux OAuth Device Code où la victime s'authentifie sur le vrai portail pendant que l'attaquant récupère le jeton. Bilan : 218 comptes professionnels compromis dans 12 pays, dont 94 % de messageries d'entreprise. Des traces d'IA générative apparaissent dans le code, et les briques s'achètent pour quelques centaines de dollars sur Telegram.
Quand le contournement du MFA est industrialisé et vendu clé en main, la réponse ne tient plus dans un simple code par SMS. Elle passe par des méthodes résistantes au phishing : FIDO2, passkeys, surveillance active des jetons de session.
Source : Les Numériques / rapport Lexfo, juillet 2026
Le 28 juillet 2025, une cyberattaque a mis à l'arrêt l'ensemble des systèmes numériques du Muséum national d'histoire naturelle. Plus de mails, plus de téléphonie, plus d'accès aux systèmes financiers ni aux bases de données scientifiques. Un an plus tard, l'institution n'en est toujours pas sortie.
Les services administratifs ont été rétablis, mais le réseau téléphonique filaire reste coupé hors du Jardin des plantes, les imprimantes sont déconnectées, le traitement des congés se fait manuellement et les agents ne peuvent plus consulter leur dossier administratif. Dans les laboratoires, faute de serveurs centralisés, les chercheurs s'échangent leurs résultats par clé USB ou disque dur. Les grandes bases de données sur la biodiversité restent inaccessibles. L'institution, répartie sur treize sites en France, espère un retour à la normale « dans le courant de l'automne ».
Ce cas illustre une réalité que les plans de réponse à incident sous-estiment systématiquement : le temps de reconstruction réel. Pas celui du communiqué de presse à J+3, mais celui des mois de fonctionnement dégradé où chaque contournement crée un nouveau risque. Des chercheurs qui copient des données sur des supports non chiffrés pour pouvoir travailler, c'est exactement le type de dette de sécurité qu'une attaque engendre bien après son endiguement.
Source : Le Monde, août 2026
Vous souhaitez recevoir notre livre blanc sur la gestion des identités et des accès ?
Un groupe de ransomware qui utilise un éditeur de code grand public pour mener ses intrusions. Pas un prototype de laboratoire, pas un outil développé sur mesure : Cursor, un assistant de codage IA accessible à tous, détourné pour scanner des réseaux, voler des identifiants et escalader des privilèges, 30 à 50 % plus vite qu'un opérateur humain seul. C'est ce que révèlent les analyses de Gambit Security et CloudSEK publiées le 27 août, à partir d'un serveur exposé du groupe russophone Aur0ra. Plus de 20 organisations ciblées dans neuf pays entre avril et juillet 2026.
Quand l'agent refusait une action jugée malveillante, les attaquants relançaient la conversation en présentant la demande comme un "test de sécurité". La technique fonctionnait presque à chaque fois.
En parallèle, OpenAI a suspendu le développement de son prochain modèle Astra après avoir conclu qu'il pourrait être capable de découvrir des zero-day et de conduire des attaques de bout en bout sans intervention humaine. Premier modèle de l'histoire à approcher ce seuil.
Pour un DSI, l'équation se résume simplement : si un outil du commerce rend un attaquant deux fois plus rapide, le temps dont disposent vos équipes pour détecter un comportement anormal sur un compte à privilèges se divise d'autant.
Sources : The Hacker News, Cybernews, OpenAI, Solutions Numériques
Le 31 août, des milliers de contrats d'alternance se terminent. Le 1er septembre, autant en commencent. Entre les deux, une question que peu de DSI se posent à temps : qu'advient-il des comptes, des accès et des droits associés ?
Les alternants sont une population particulière en gestion des identités. Présents dans l'entreprise pendant un ou deux ans, ils accumulent des accès au même titre qu'un salarié en CDI. Mais parce qu'ils sont perçus comme temporaires, leur cycle de vie est souvent traité avec moins de rigueur. Résultat : des comptes qui restent actifs après la fin du contrat, des droits jamais révoqués, des accès applicatifs qui traînent dans l'annuaire sans que personne ne s'en préoccupe. Exactement le type de comptes dormants qu'un attaquant exploite en priorité.
Automatiser le provisioning et le déprovisioning en s'appuyant sur les dates de contrat, c'est ce que permet une solution d'IGA comme Youzer. Le compte se crée à J, avec les droits liés au poste. Il se désactive à la date de fin, sans intervention manuelle, sans oubli. Les mouvements de rentrée ne sont plus un angle mort : ils deviennent un processus géré comme n'importe quel autre mouvement RH.
Quand la première cause de compromission de l'été est un compte légitime détourné, chaque compte non désactivé à temps est une porte laissée ouverte.
Merci de m'avoir lu jusqu'ici !
Un retour, envie de discuter d'un projet ?
Je suis là pour ça 👋.
On vous a transféré la newsletter et vous la trouvez top ?? Inscrivez-vous ici 👇
Partagez cette newsletter, c'est ce qui la fait vivre !
Moi, c'est Mélanie !
Je vous fais un débrief de tout ce que j'ai pu parcourir et lire durant le mois passé et je vous fais un résumé des actus les plus intéressantes.
Je suis au marketing chez Youzer.
Vous pouvez me suivre sur Linkedin.
Tous les mois je vous envoie mes découvertes, mes analyses sur l'actu IT.
Je fais beaucoup de veille et je partage tout ça !
Je suis Mélanie et je suis responsable marketing de Youzer.
À propos de moi ? J'ai une soif d'apprendre inétanchable ! Je préfère 100 fois lire un livre que voir un film. Je suis une fan d'HP 🧙🏼.
Je fais du running et des sports collectifs.