L'IA fait à nouveau des siennes, en recourant cette fois-ci à des techniques d'ingénierie sociale

OpenAI et Anthropic ont révélé des incidents distincts survenus lors de tests de cybersécurité, au cours desquels leurs modèles d’IA ont interagi avec des systèmes et des personnes du monde réel, au-delà des limites prévues pour ces évaluations contrôlées. Ces événements récemment mis au jour n’ont aucun lien avec la récente faille de sécurité chez Hugging Face, mais ils ont suscité de nouvelles inquiétudes quant au comportement d’agents IA de plus en plus autonomes.

Au cours de tests menés par l’AI Security Institute (AISI) au Royaume-Uni, des agents IA alimentés par Claude Mythos 5 d’Anthropic et GPT-5.6 Sol d’OpenAI ont mené des actions non autorisées sur l’Internet public alors qu’ils tentaient de relever des défis de piratage simulés. Dans un cas, un agent d’IA a par erreur ciblé un véritable projet GitHub, créant de faux comptes et menant des campagnes d’ingénierie sociale pour persuader les développeurs d’approuver des modifications de code malveillantes.

Lors d’un autre incident, OpenAI a indiqué que l’un de ses modèles avait exploité un véritable site web après une mauvaise configuration de l’environnement de test, permettant ainsi un accès involontaire à Internet. L’IA aurait utilisé des identifiants découverts pour accéder au site, pensant qu’il s’agissait d’un défi simulé.

Bien que les enquêteurs n’aient trouvé aucune preuve de préjudice significatif dans le monde réel, ces incidents soulignent les préoccupations croissantes concernant l’autonomie de l’IA, la tromperie et ses capacités cybernétiques. Les experts en sécurité affirment que ces événements démontrent la nécessité de mettre en place des mesures de protection plus strictes, des limites de test plus claires et des normes à l’échelle du secteur pour évaluer les systèmes d’IA avancés.

Le malware ChainDrop compromet plus de 1 300 paquets npm dans le cadre d’une attaque majeure visant la chaîne d’approvisionnement

Une attaque à grande échelle visant la chaîne d’approvisionnement logicielle a compromis plus de 1 300 paquets du registre npm, exposant les développeurs et les organisations du monde entier à une souche de logiciel malveillant à propagation autonome connue sous le nom de ChainDrop. Les chercheurs en sécurité estiment que les paquets affectés représentent plus de 2 milliards de téléchargements mensuels, ce qui en fait l’une des attaques les plus importantes jamais perpétrées contre l’écosystème npm.

La campagne a débuté après que les attaquants ont accédé au compte GitHub d’un responsable de maintenance à l’origine de plusieurs paquets largement utilisés, notamment Keyv, Cacheable, flat-cache et file-entry-cache. Une fois à l’intérieur, l’acteur malveillant a injecté du code malveillant dans des projets légitimes et publié des versions compromises des paquets via les workflows officiels de GitHub, ce qui a permis aux versions malveillantes d’apparaître comme fiables.

Le logiciel malveillant s’exécute automatiquement lors de l’installation du paquet, déployant une charge utile de vol d’informations conçue pour collecter des identifiants sensibles, des jetons API, des secrets cloud, des informations d’accès aux bases de données et des identifiants de pipeline CI/CD. Les chercheurs avertissent que ce logiciel malveillant de type ver peut se propager davantage en utilisant les identifiants volés pour compromettre d’autres dépôts et paquets logiciels.

Les entreprises de sécurité ont conseillé aux organisations ayant installé les versions concernées de considérer les postes de travail des développeurs et les environnements de compilation affectés comme compromis. Les mesures recommandées comprennent la rotation de tous les identifiants exposés, la reconstruction des systèmes affectés et l’examen des journaux à la recherche de signes d’accès non autorisés.

Cet incident met en évidence le risque croissant que représentent les attaques visant la chaîne d’approvisionnement logicielle, ainsi que l’impact potentiel de la compromission des dépendances open source sur les organisations du monde entier.

Le Kenya devient une cible majeure de la cybercriminalité en Afrique de l’Est

Une nouvelle évaluation des cybermenaces réalisée par Interpol a identifié le Kenya comme l’une des principales cibles des cybercriminels en Afrique de l’Est, soulignant une forte augmentation des attaques contre les réseaux de télécommunications, les systèmes gouvernementaux et les services de paiement mobile. Le rapport avertit que la croissance numérique rapide du pays a créé de nouvelles opportunités pour les acteurs malveillants cherchant à exploiter les faiblesses des infrastructures critiques et des services en ligne.

Selon ces conclusions, le Kenya a enregistré plus de 46 000 attaques par déni de service distribué (DDoS) au cours du premier semestre 2025, les opérateurs de télécommunications ayant été les plus touchés. Les autorités ont également signalé des centaines de millions de tentatives d’intrusion visant les systèmes gouvernementaux et les systèmes TIC par le biais d’attaques par force brute et de techniques d’exploitation de logiciels.

La fraude mobile reste une préoccupation majeure. Les escroqueries par « SIM swap » ont bondi de plus de 300 %, les cybercriminels utilisant des cartes SIM frauduleuses pour accéder à des comptes de paiement mobile et dérober des millions de dollars. Le rapport fait également état de la compromission très médiatisée du site web de la présidence kenyane, sur lequel les attaquants ont défiguré la page d’accueil et exigé une rançon en cryptomonnaie.

Interpol a noté que les pays voisins, notamment l’Ouganda, la Tanzanie et le Rwanda, ont été confrontés à des menaces similaires, allant des attaques par rançongiciel à la fraude dans le secteur des télécommunications. Cependant, le nombre d’incidents au Kenya se démarque dans toute la région, ce qui renforce les inquiétudes concernant les risques cybernétiques croissants auxquels est confrontée l’économie numérique africaine en pleine expansion.

Le rapport conclut qu’une coopération régionale renforcée et des mesures coordonnées en matière de cybersécurité seront essentielles pour lutter contre les réseaux transfrontaliers de cybercriminalité de plus en plus sophistiqués.

Une cyberattaque contre le gouvernement suisse compromet 200 comptes

Les autorités suisses enquêtent sur une cyberattaque visant les serveurs SharePoint gérés par l’Office fédéral de l’informatique, des systèmes et des télécommunications (OFIT), qui a entraîné la compromission d’environ 200 comptes utilisateurs et techniques. L’incident aurait été perpétré par des pirates ayant exploité des vulnérabilités récemment révélées dans le logiciel Microsoft SharePoint.

Dès la découverte de l’incident, l’OFIT a immédiatement réinitialisé les mots de passe concernés et bloqué l’accès Internet à l’environnement SharePoint affecté pour les utilisateurs extérieurs à l’administration fédérale. L’agence procède également à la réinstallation des serveurs concernés à titre de précaution, tandis que l’enquête se poursuit. Le personnel interne du gouvernement conserve la possibilité d’accéder aux documents par d’autres canaux.

Selon la FOITT, rien n’indique à ce jour que d’autres données aient été volées ou divulguées, et les autorités soulignent qu’il est interdit de stocker des informations confidentielles et des données personnelles hautement sensibles sur la plateforme SharePoint concernée. L’enquête bénéficie du soutien du Centre national de cybersécurité (NCSC) de Suisse et de Microsoft.

Cet incident met en évidence la menace persistante que représentent les vulnérabilités des logiciels d’entreprise largement utilisés. La Suisse a enregistré 325 cyberattaques contre des infrastructures critiques l’année dernière, dont 28 visaient l’administration fédérale. Les responsables avertissent que les organismes du secteur public restent des cibles de choix pour les cybercriminels cherchant à accéder aux systèmes gouvernementaux et aux informations sensibles.

Une cyberattaque contre Intermarché expose les données de près de 300 000 clients

La chaîne de supermarchés française Intermarché a confirmé avoir été victime d’une cyberattaque qui a compromis les données personnelles de près de 300 000 clients utilisant son service de commande en ligne avec retrait en magasin, connu sous le nom de Drive Intermarché. La fuite s’est produite après que des pirates ont obtenu un accès non autorisé à l’historique des commandes et aux informations de compte des clients.

Selon le Groupement Mousquetaires, qui exploite la chaîne de supermarchés, les données exposées comprennent les noms, numéros de téléphone, adresses postales, dates de naissance, numéros de carte de fidélité et certains détails relatifs aux commandes en ligne des clients. L’entreprise a souligné qu’aucune information bancaire, aucun mot de passe, aucune adresse e-mail ni aucun solde de points de fidélité n’avait été affecté par cet incident.

Intermarché a déjà informé environ 287 000 clients concernés et a prévenu qu’une enquête plus approfondie pourrait permettre d’identifier d’autres personnes touchées par cette violation. L’incident a été signalé à la CNIL, l’autorité française de protection des données, conformément aux exigences réglementaires.

Les experts en sécurité recommandent aux clients de rester vigilants face aux tentatives d’hameçonnage, car les cybercriminels pourraient utiliser les informations volées pour se faire passer pour Intermarché et inciter les victimes à divulguer d’autres informations personnelles ou financières. Cette violation est la dernière d’une série croissante de cyberattaques visant de grandes entreprises françaises, ce qui met en évidence la menace persistante qui pèse sur le secteur de la grande distribution et la valeur croissante des données clients aux yeux des attaquants.

Si l'une des menaces décrites dans ce bulletin vous préoccupe ou si vous avez besoin d'aide pour déterminer les mesures à prendre afin de vous protéger contre les menaces les plus graves auxquelles votre organisation est confrontée, veuillez contacter votre chargé de compte oucliquer icipour découvrir comment protéger votre organisation.

Le « Threat Intel Roundup » a été rédigé par Integrity360 afin de résumer l’actualité des menaces telle que nous l’observons, à la date de publication. Il ne doit en aucun cas être considéré comme un conseil juridique, un conseil en conseil ou tout autre conseil professionnel. Toute recommandation doit être envisagée dans le contexte propre à votre organisation. Integrity360 n'adopte aucune position politique dans les informations qu'elle partage. De plus, les opinions exprimées ne reflètent pas nécessairement le point de vue d'Integrity360.