Ces dernières années ont été marquées par une série d'incidents cybernétiques majeurs, allant des attaques contre la chaîne d'approvisionnement aux failles zero-day, en passant par les ransomwares et les deepfakes. Les cybercriminels adaptent sans cesse leurs méthodes pour accéder aux réseaux d'entreprise, voler des données sensibles et escroquer les organisations.
Dans ce billet de blog spécial Halloween, l'équipe dirigeante d'IO partage les incidents qui leur ont donné des frissons.
Kido Schools – Attaque de la chaîne d'approvisionnement
Notre directeur financier, Jon Orpen, déclare :
En septembre, des pirates informatiques ont accédé aux données de milliers d'enfants d'une chaîne de crèches. Écoles KidoIls ont initialement accédé aux informations via le logiciel de gestion de la petite enfance Famly. Les pirates ont publié en ligne les profils de 20 enfants et ont menacé d'en publier d'autres s'ils n'étaient pas payés en bitcoins. Ils ont également proféré des menaces directes contre les parents par téléphone. Ayant moi-même de jeunes enfants et étant passée par la crèche, cette attaque m'a particulièrement touchée.
Peu après les menaces, l'indignation publique a été vive. Les auteurs ont supprimé les publications et affirmé avoir effacé les informations, l'attaque étant condamnée comme un nouveau coup dur pour la cybercriminalité. Cependant, cette attaque démontre que les cybercriminels agissent sans distinction, allant jusqu'à cibler des enfants pour parvenir à leurs fins.
La cyberattaque contre Kido Schools n'est qu'une parmi plusieurs attaques récentes de grande envergure au cours desquelles des acteurs malveillants ont ciblé des fournisseurs pour accéder aux données sensibles des organisations. Rapport sur l’état de la sécurité de l’information 2025 ont constaté que trois répondants sur cinq (61 %) avaient été touchés par un incident de cybersécurité ou de sécurité de l’information causé par un fournisseur tiers ou un partenaire de la chaîne d’approvisionnement et que plus d’un quart (27 %) avaient été touchés plus d’une fois.
Dans le contexte actuel des menaces, il est indispensable d'examiner les mesures de sécurité de l'information mises en place par vos fournisseurs.
Oracle E-Business Suite – Vulnérabilité zero-day
Notre directeur des achats, Sam Peters, déclare :
Oracle a récemment corrigé une vulnérabilité de sa suite E-Business Suite. CVE-2025-61884Cette faille pourrait avoir été exploitée par des acteurs malveillants pour exfiltrer des données d'entreprise sensibles de plusieurs sociétés. Oracle a précisé dans une mise à jour que cette vulnérabilité est « exploitable à distance sans authentification, c'est-à-dire qu'elle peut être exploitée sur un réseau sans nécessiter d'identifiant ni de mot de passe. Si elle est exploitée avec succès, cette vulnérabilité peut permettre d'accéder à des ressources sensibles. »
L'entreprise a souligné qu'elle recommande à ses clients de rester sur des versions activement prises en charge et d'appliquer sans délai les alertes de sécurité et les correctifs de sécurité critiques.
Bien que les attaques zero-day soient imprévisibles par nature, les entreprises peuvent renforcer leurs défenses en veillant à ce que leurs logiciels soient à jour, que les correctifs soient installés et en adoptant une approche globale de la gestion des risques. La norme ISO 27001, par exemple, fournit un cadre qui aide les entreprises à construire et à maintenir un système de gestion de la sécurité de l'information robuste, et à renforcer leur résilience opérationnelle en cas d'attaque.
La mise en œuvre de plans de réponse aux incidents et de continuité des activités complets et réfléchis, requis pour la conformité à la norme ISO 27001, permettra aux organisations de réagir rapidement aux attaques zero-day et de minimiser les dommages.
Marks & Spencer – Attaque par rançongiciel contre la chaîne d'approvisionnement
Notre PDG, Chris Newton-Smith, déclare :
Une attaque contre Le géant britannique de la distribution Marks & Spencer M&S a fait la une des journaux en avril dernier. Des cybercriminels ont dérobé des données clients et déployé un rançongiciel qui a perturbé les systèmes informatiques de l'entreprise ainsi que ses activités en ligne et en magasin, entraînant des pertes financières estimées à 700 millions de livres sterling.
Les attaquants auraient utilisé l'ingénierie sociale et ciblé un fournisseur informatique de M&S pour obtenir un accès non autorisé. Se faisant passer pour un employé de M&S, ils ont convaincu le prestataire de réinitialiser le mot de passe d'un utilisateur interne. Une fois l'accès au réseau obtenu, ils ont également collecté des données clients sensibles avant de déployer le rançongiciel pour chiffrer les systèmes de M&S.
L'entreprise a rapidement fermé ses systèmes de commande en ligne et suspendu les paiements sans contact afin de limiter les dégâts, rétablissant les processus de vente manuels en magasin. Elle a également sollicité les forces de l'ordre, fait appel à des experts externes en cybersécurité et informé ses clients de l'incident et de ses conséquences. Si certains articles ont reproché au détaillant l'absence de plans de continuité d'activité et de plans de réponse aux incidents, il est clair que M&S a pris des mesures immédiates pour atténuer les risques.
Cette attaque à plusieurs niveaux démontre l'importance d'une gestion continue des risques liés aux tiers pour les entreprises ; elle souligne également la nécessité de segmenter le réseau afin de limiter l'étendue des dommages pouvant être causés en cas d'attaque.
Là encore, la norme ISO 27001 peut apporter son soutien aux organisations. La conformité et la certification à cette norme exigent des organisations qu'elles évaluent et mettent en œuvre les contrôles de sécurité nécessaires, notamment des sauvegardes régulières, des mesures de sécurité de l'information intégrées à des plans de continuité d'activité plus larges, et des actions concrètes pour identifier, évaluer, traiter et gérer les incidents.
Arup – Deepfake IA
Notre directeur marketing, Dave Holloway, déclare :
Cette année, le Rapport sur l'état de la sécurité de l'information Ce rapport montre une baisse des incidents liés aux deepfakes par rapport à celui de 2024 (20 % contre 30 %), mais les menaces alimentées par l'IA restent une préoccupation majeure pour les organisations. L'année dernière, une attaque par deepfake particulièrement sophistiquée a coûté 25 millions de dollars à la société d'ingénierie Arup.
Un employé d'Arup aurait été manipulé lors d'une fausse visioconférence où des individus se faisaient passer pour de hauts responsables de l'entreprise. L'employé a d'abord cru avoir reçu un courriel frauduleux, car celui-ci mentionnait la nécessité d'effectuer une transaction. Cependant, les pirates ont utilisé des deepfakes générés par intelligence artificielle pour imiter les responsables, ce qui a convaincu l'employé de la légitimité de l'appel ; il a alors procédé aux transactions.
Dans une entretien avec le Forum économique mondialRob Grieg, directeur informatique d'Arup, a décrit l'incident comme une « ingénierie sociale amplifiée par la technologie » et soupçonne que « cela se produit plus fréquemment que beaucoup de gens ne le pensent ».
La lutte contre les menaces alimentées par l'IA représente un défi permanent et évolutif pour les entreprises. La formation des employés permet de les sensibiliser aux signaux d'alerte, et les contrôles d'accès basés sur les rôles garantissent que seuls les employés autorisés peuvent accéder à des réseaux spécifiques ou à des informations confidentielles, telles que des données financières. Toutefois, un plan de réponse aux incidents robuste et bien rodé demeure essentiel en cas d'attaque réussie.
Attaque par rançongiciel contre Salesforce
Notre directeur commercial, Ross Down, déclare :
La attaque contre le fournisseur de CRM Salesforce Cette attaque suit un schéma similaire à celui perpétré contre M&S. Les pirates ont ciblé des employés et des applications tierces pour accéder aux réseaux de l'entreprise, compromettant notamment l'intégration tierce Salesloft Drift à l'aide de jetons OAuth volés pour obtenir un accès non autorisé.
Une fois l'accès obtenu, les auteurs de la menace ont pu exporter d'importantes quantités de données sensibles et affirment avoir volé près d'un milliard d'enregistrements chez des dizaines de clients de Salesforce, dont Fujifilm, Qantas, The Gap et bien d'autres.
Le groupe a exigé une rançon de Salesforce, mais a également incité les clients touchés à payer et a commencé à diffuser en ligne les données des victimes. Cependant, il semblerait que Salesforce ait refusé de payer la rançon, et rien ne prouve que les victimes aient versé quoi que ce soit. Salesforce a depuis lors désactivé la connexion de Drift à ses systèmes.
Au moment de la rédaction de ce document, l'incident est toujours en cours et les attaquants continuent de menacer de divulguer davantage de données clients de Salesforce. Cet incident souligne une fois de plus l'importance de la gestion des risques liés aux tiers, de la planification de la continuité des activités et de la planification des réponses aux incidents afin de réduire et d'atténuer l'impact d'une attaque.
La bonne nouvelle est que les organisations se préparent à ces éventualités. 80 % des répondants à notre rapport « État de la sécurité de l’information 2025 » ont déclaré avoir adopté des capacités améliorées de préparation et de reprise après incident, tandis que 18 % prévoient de le faire au cours des 12 prochains mois.
Gestion des risques : la proactivité est essentielle
À mesure que l'IA évolue, que les chaînes d'approvisionnement s'allongent et que la surface d'attaque s'étend, les cyberattaques telles que celles mises en lumière par l'équipe dirigeante d'IO gagneront en complexité et en sophistication. Il est donc essentiel de mettre en œuvre des normes de bonnes pratiques comme la norme ISO 27001 pour la gestion de la sécurité de l'information. et ISO 42001 La gestion par IA permet aux organisations d'atténuer les cyber-risques et d'améliorer l'identification et la réponse aux incidents.
Prêt à agir ? Notre checklist d'hygiène cybernétique propose dix bonnes pratiques que les entreprises peuvent mettre en œuvre pour renforcer leurs défenses cybernétiques.
