Aller au contenu
MMornn
Réserver une démo
Le brief tel qu'il est parti ce matin

Une édition réelle, par métier, chaque jour ouvré.

Ce que vous lisez ci-dessous a été généré cette nuit et envoyé à 7h00 au lecteur de référence de notre organisation de démonstration.

Mornn
Mardi 13 octobre

Lecture : 5 min
Votre brief matinal

Bonjour service Cybersécurité et RSSI,
Votre brief est prêt. Bonne lecture.
cyber
Des cyberattaques perturbent la chaîne du froid de supermarchés européens
Des cyberattaques ont compromis les systèmes Danfoss de régulation thermique chez Super U et Intermarché en France, portant certains congélateurs à 50°C et détruisant des stocks importants. Ahold Delhaize a subi des perturbations similaires aux Pays-Bas et en Belgique.
Selon BFMTV, des centaines de magasins français ont été touchés. L'attaque cible des équipements industriels connectés plutôt que les systèmes informatiques centralisés, révélant la vulnérabilité croissante des infrastructures de contrôle d'accès dans la chaîne d'approvisionnement alimentaire. Les pertes de stocks se chiffrent à plusieurs millions d'euros selon les rapports médias.

CONSÉQUENCE CONCRÈTE

Les systèmes de régulation thermique connectés deviennent des vecteurs d'attaque directs pour des dégâts matériels mesurables. Les enseignes d'envergure européenne sont exposées à des interruptions d'exploitation coûteuses.

En 2015, une attaque contre la centrale nucléaire d'Olkiluoto avait montré qu'un équipement industriel connecté n'a pas besoin de stocker des données sensibles pour causer des dégâts opérationnels. L'attaque contre Danfoss confirme ce schéma sur des cibles civiles et diffuses.

rgpd
L'Italie inflige 16,7 millions d'euros à Wind Tre pour démarchage illégal
Le Garante italien a condamné Wind Tre à 16,7 millions d'euros pour avoir envoyé des communications promotionnelles malgré les oppositions de clients et activé des contrats sans consentement.
L'enquête révèle des manquements dans le contrôle des mesures techniques et organisationnelles au sein du réseau de vente. Wind Tre n'a pas su sécuriser ses canaux de distribution tiers ni mettre en œuvre la responsabilité et la protection des données dès la conception, deux obligations cardinales du RGPD.

CE QUE ÇA CHANGE

Les réseaux de partenaires de vente opèrent en points faibles du contrôle RGPD chez les grands opérateurs. Cette amende établit que le régulateur sanctionne directement l'opérateur en l'absence de surveillance effective de ces chaînes.

La multa de la CNIL contre Orange de 50 millions d'euros en 2021 visait aussi les défaillances dans le contrôle des partenaires de vente du groupe. Wind Tre reproduit la même faille de gouvernance.
Sources : edpb.europa.eu

cyber
Un co-fondateur d'une société de négociation anti-rançongiciel arrêté par le FBI
Le FBI a arrêté le co-fondateur d'une société canadienne de négociation de rançongiciels en lien avec le groupe ShinyHunters, qui avait dérobé des données sensibles d'agents du FBI.

SIGNAL FAIBLE

Le profil de prestataire de négociation offre une couverture organisationnelle à des groupes de cybercriminalité. La capture de données fédérales fragilise la crédibilité des intermédiaires de rançongiciels auprès des organisations cibles.
Sources : krebsonsecurity.com · publié le 10 octobre

rgpd
La Norvège sanctionne Xandr, filiale Microsoft, de 8,5 millions d'euros
L'autorité norvégienne de protection des données a infligé 8,5 millions d'euros à Xandr, filiale Microsoft acquise en 2022, pour traitement illégal de données sensibles issues de l'application Grindr, notamment l'orientation sexuelle, sans base légale valide.
La plainte, déposée en 2020 par noyb et le Conseil norvégien des consommateurs, visait Grindr et plusieurs sociétés adtech recevant ses données. Selon noyb, le profilage publicitaire sur cette base exige un consentement explicite et valide, que les chaînes adtech obtiennent rarement. La transmission de catégories spéciales de données entre l'éditeur d'application et les régies suppose un accord de traitement écrit et traçable.

CE QUE ÇA CHANGE

Les régies adtech (adtech vendors) reçoivent massivement des données sensibles depuis des applications tierces sans consentement RGPD valide. Cette décision établit un précédent direct pour l'industrie et augmente les risques de redressements similaires.

La sanction de la CNIL contre Google LLC en 2021 pour tracage de consentement via cookies avait déjà signalé la fragilité des modèles adtech sur le consentement. La Norvège élargit le périmètre aux flux de données inter-applications.
Sources : noyb.eu

cyber
Un adolescent soupçonné de diriger ShinyHunters coopère avec le FBI
Un adolescent soupçonné de diriger ShinyHunters et détenu au Royaume-Uni aurait mené une tentative d'extorsion contre une filiale de Boeing cédée peu avant son arrestation.
Selon KrebsOnSecurity, le suspect surnommé 'Rey' est domicilié à Amman en Jordanie. Son père travaille pour Royal Jordanian Airlines, qui exploite des avions Boeing. La cible de l'extorsion était une filiale récemment vendue par le groupe, ce qui laisse supposer une reconnaissance d'entités liées à un groupe aérien concurrent ou partenaire.

SIGNAL FAIBLE

ShinyHunters maintenait une activité d'extorsion pendant l'enquête du FBI, indiquant une chaîne de décision distribuée et résiliente aux arrêtations ponctuelles.
Sources : krebsonsecurity.com · publié le 7 octobre

rgpd
noyb publie un classement des eurodéputés sur la défense de la vie privée
noyb a analysé plus de 1 000 amendements d'eurodéputés sur le RGPD et la directive ePrivacy dans le cadre du Digital Omnibus, et publie un classement en ligne (gdpr-omnibus.eu).
La proposition initiale de la Commission prévoyait d'exclure la publicité en ligne du champ du RGPD et d'autoriser l'usage de données personnelles pour l'IA sans consentement obligatoire. Les États membres ont déjà largement accepté ces modifications. Le Parlement européen demeure le dernier levier pour infléchir ce calendrier législatif.

CE QUE ÇA CHANGE

Le Digital Omnibus pourrait dégager la publicité en ligne du cadre RGPD et légaliser l'usage de données pour l'IA sans consentement. Le vote parlementaire reste le seul point de bascule accessible.

La révision de la directive ePrivacy en 2009 avait déjà créé des exemptions partielles pour les opérateurs de télécommunications. Le Digital Omnibus reproduit cette logique de sectorialisation, cette fois au profit de la publicité en ligne.
Sources : noyb.eu

cyber
Windows 11 26H2 introduit 32 nouveaux paramètres de GPO
Windows 11 26H2 ajoute 32 nouveaux paramètres de stratégie de groupe (GPO) couvrant les agents IA, le protocole MCP, le blocage du NTLM, la barre des tâches, BitLocker et Defender.

CONSÉQUENCE CONCRÈTE

Les administrateurs doivent auditer leurs GPO existantes avant déploiement, notamment sur le blocage NTLM et les paramètres BitLocker/Defender, pour éviter des incompatibilités de sécurité et de conformité.
Sources : it-connect.fr

Bonne journée, service Cybersécurité et RSSI.