L’Administration chinoise du cyberespace a mis en ligne, le 27 décembre 2025, un « Règlement provisoire sur la gestion des services d’interaction anthropomorphique basés sur l’IA ». Ce document définit de grands axes de régulation pour les robots anthropomorphiques engagés « dans une interaction émotionnelle avec les humains ».

Le règlement comporte des normes précises en matière de sécurité et de résilience au piratage. Il impose surtout de nombreux garde-fous dans l’interface humain-machine, afin de prévenir la dépendance et les dérives commerciales. Les robots devront ainsi indiquer clairement à l’utilisateur qu’il interagit avec une IA, et évaluer en continu son état émotionnel et son niveau de dépendance.

Les mesures de prévention sont encore plus drastiques pour les personnes à risque, en particulier les mineurs et les personnes âgées. Le texte interdit notamment de simuler les proches d’un utilisateur âgé. Soumise à consultation publique jusqu’au 25 janvier 2026, cette réglementation devrait entrer en vigueur au cours de l’année 2026.

The post La Chine veut réguler les robots anthropomorphiques appeared first on INCYBER NEWS.

Cloudflare a publié, le 3 décembre 2025, un rapport sur les dernières attaques DDoS de grande envergure, en particulier celles lancées par le botnet Aisuru. Composé de plusieurs millions de machines zombies, ce dernier aurait mené en trois mois plus de 1 300 attaques DDoS, dont de nombreuses classées comme « hypervolumétriques » – avec des pics dépassant les 1 Tbit/s.

L’une d’elles a même établi un nouveau record mondial, avec un pic à 29,7 Tbit/s. Le rapport ne précise ni la cible ni le commanditaire supposé de cette offensive, remarquable par sa brièveté (69 secondes), mais que Cloudflare aurait réussi à déjouer. L’entreprise affirme avoir atténué 2 867 attaques liées à Aisuru depuis le début de l’année 2025, dont près de 45 % étaient hypervolumétriques.

The post Cloudflare alerte sur une attaque DDoS record menée par le botnet Aisuru appeared first on INCYBER NEWS.

Trois ans après le lancement commercial de ChatGPT d’OpenAI, l’IA générative a modifié en profondeur notre façon de rechercher de l’information en ligne. Selon le dernier baromètre Heroiks Pulse via Toluna Start pour Peak Ace, 34 % des Français utilisent désormais l’intelligence artificielle pour leurs recherches, soit une progression de six points en quelques mois. Le phénomène est encore plus marqué chez les 18-24 ans, plus de 60 % d’entre eux affirmant avoir modifié leurs pratiques.

Plutôt que de parcourir une liste de liens référencés par un moteur de recherche, un nombre croissant d’utilisateurs s’en remet à ChatGPT, Perplexity ou Google Gemini pour les questionner en langage naturel et obtenir immédiatement une réponse sous forme de synthèse. Pour faciliter encore l’usage de leurs grands modèles de langage (LLM), ces éditeurs spécialisés proposent désormais leurs propres navigateurs web. 

Pour les plus connus, on peut citer Comet, lancé début juillet par Perplexity, et ChatGPT Atlas, par OpenAI fin octobre. D’autres éditeurs comme Dia, Genspark ou Opera (Neon) proposent également ce type de browsers IA tandis que des navigateurs établis comme Microsoft Edge et Chrome de Google intègrent leur IA maison, en l’occurrence Copilot et Gemini. 

Ces nouveaux navigateurs, à l’interface minimaliste, comprennent nativement un assistant intelligent qui va interagir avec les pages web consultées. Celui-ci va résumer un article, remplir un formulaire en ligne, réaliser des transactions allant jusqu’à procéder au paiement en ligne.

Cette autonomie laissée à ces nouveaux outils pour naviguer librement sur internet et réaliser une suite de tâches sans supervision humaine ne va pas sans exposer les utilisateurs à de nouvelles vulnérabilités. Pour fonctionner et créer « une mémoire personnelle » comme l’appelle OpenAI, les navigateurs doivent accéder à des données sensibles comme l’historique de navigation, une adresse, des identifiants, la saisie automatique de mots de passe et de moyens de paiement, mais aussi à des informations provenant de services tiers comme une messagerie ou un calendrier des suites collaboratives Google Workspace ou Microsoft 365.

« Biais d’oubli » et injection de prompt 

Lors des premières sessions, le navigateur soumet des demandes d’autorisation d’accès à l’utilisateur et ce dernier peut, depuis les paramètres, ajuster plus ou moins finement les règles de confidentialité et de sécurité. Le risque est toutefois grand que des données personnelles soient partagées à son insu. 

Expert en cybersécurité chez ESET France, Benoît Grunemwald évoque « un biais d’oubli ». « Contrairement aux applications de type chatbot où l’utilisateur sait explicitement qu’il interagit avec une IA et partage ses données, ces navigateurs fonctionnent selon un modèle similaire aux environnements intégrés de type Microsoft Copilot, dans lesquels pratiquement toutes les actions sont scrutées en arrière-plan par l’intelligence artificielle. Il perd de vue que l’IA écoute et enregistre constamment ce qu’il fait ».

En termes de menaces, cette nouvelle génération de navigateurs est vulnérable aux injections de prompts. Un lien malveillant dissimulé dans un email, un fichier ou une page web déclenche une série d’instructions cachées. « Des pages web peuvent être spécialement conçues pour interagir avec le navigateur de façon invisible pour l’utilisateur, par exemple via du contenu affiché blanc sur blanc ou masqué dans des balises HTML », poursuit Benoît Grunemwald.

Une faille critique de ce type a été documentée sous le terme de « CometJacking ». Comme son nom l’indique, cette attaque vise spécifiquement Comet de Perplexity en intégrant des invites malveillantes dans un lien apparemment anodin afin de siphonner des données sensibles. Les chercheurs de Radware ont, eux, mis en avant une menace spécifique à l’environnement d’OpenAI et qui s’applique à Atlas. ShadowLeak soulève le pouvoir caché des agents IA qui facilitent la vie des utilisateurs en agissant en leur nom. Une autonomie qui peut être détournée. 

Attaque « zéro clic » pour détourner les agents autonomes

Dans le cas présent, cette attaque dite « zéro clic » a lieu sans action de la part de l’utilisateur. L’exfiltration des données « se fait directement depuis l’infrastructure cloud d’OpenAI, la rendant invisible aux défenses locales ou d’entreprise », note Radware. Cette IA agentique donne accès à des informations qui étaient jusqu’alors hébergées dans des applications traditionnelles, pourvues de mécanismes de protection propres. « Les notions classiques de contrôle d’accès et d’accès restreint risquent de progressivement s’effacer », alerte Karim Hamia, SE Manager chez Check Point.

La menace ne se limite pas à l’exploitation des données. Les agents IA peuvent également réaliser des transactions comme, par exemple, planifier de bout en bout un séjour pour les vacances en échangeant avec différentes centrales de réservation. « Transposé dans un contexte malveillant, un attaquant pourrait détourner ces capacités pour effectuer des appels vers des numéros surtaxés », envisage Benoît Grunemwald. À ses yeux, cette autonomie signifie qu’une faille « zero day » sur ce type de navigateur aurait des conséquences potentiellement plus importantes qu’une vulnérabilité équivalente sur un navigateur classique.

La menace est à prendre d’autant plus au sérieux que les navigateurs IA, de conception récente, n’embarquent pas le même niveau de sécurité que leurs aînés. Selon des tests pratiqués par LayerX Security, ils affichent des taux de protection contre le phishing dramatiquement inférieurs à ceux des navigateurs traditionnels. Comet et Genspark parviennent à un taux de blocage de 7 % contre 47 % pour Google Chrome et 54 % pour Microsoft Edge. En revanche, Benoît Grunemwald note que les navigateurs IA présentent l’avantage de ne pas intégrer d’extensions qui constituent « un vecteur majeur d’attaques ciblées, de fausses publicités, de tentatives de phishing et de vols de d’informations d’identification ».

De son côté, Karim Hamia pointe du doigt un risque de désinformation. « Contrairement à des moteurs de recherche qui mettent en avant les sites les mieux référencés, les navigateurs IA fournissent des résultats consolidés sans qu’il soit toujours possible de vérifier la pertinence des sources. Dans le cadre de campagnes de désinformation, des organisations étatiques peuvent créer massivement de faux sites présentés comme fiables. »

Encadrer l’expérimentation, placer les navigateurs sous contrôle

Que faire face à ces risques ? Si le recours en entreprise des navigateurs IA reste pour l’heure marginal selon nos deux experts, le premier réflexe consiste tout simplement à interdire leur installation et leur exécution. Entre les solutions d’EDR (Endpoint detection and response) et de UEM (Unified Endpoint Management), les outils permettant de bloquer le déploiement d’applications non approuvées sur les postes de travail ne manquent pas. Il reste toutefois un risque de contournement de la politique de cybersécurité. Un collaborateur peut installer Comet ou ChatGPT Atlas sur son terminal personnel qui sera, lui, connecté au système d’information de l’entreprise.

Pour lutter contre ce phénomène de shadow AI et ne pas entraver l’innovation, une organisation se doit d’encadrer l’expérimentation de ces nouveaux outils d’IA. Benoît Grunemwald conseille d’avoir au préalable une réflexion stratégique sur les objectifs recherchés, d’évaluer des solutions alternatives et de sélectionner rigoureusement les testeurs. Sur le plan technique, il est possible, sur le principe du bac à sable, d’exécuter l’application dans un environnement isolé et sécurisé, sans accès aux ressources critiques du SI.

De son côté, Karim Hamia recommande d’appliquer l’approche « zero trust », « en limitant l’accès aux données sensibles et de traiter les agents autonomes comme des utilisateurs en leur accordant des droits d’accès clairement définis. » Prêchant pour sa paroisse, il conseille ensuite de s’appuyer sur une plateforme comme celle de Check Point pour superviser et mettre sous contrôle les navigateurs IA. « L’objectif est de bloquer l’injection de prompts malveillants, en analysant le contenu sensible et en distinguant les prompts personnels des prompts professionnels, et de masquer des éléments critiques tels les numéros de cartes bancaires ».

Sensibiliser les utilisateurs, prévenir le risque de perte de compétences

En parallèle à ce système de défense, il convient, sur le plan organisationnel, de sensibiliser les utilisateurs à ces nouveaux risques. « Il s’agit de faire comprendre que les fuites d’informations générées par ces nouveaux navigateurs peuvent avoir des conséquences au moins aussi graves qu’une attaque de phishing, même si la menace est moins palpable », estime Karim Hamia.

Au-delà des menaces cyber, Benoît Grunemwald pointe, pour sa part, des risques plus diffus liés à l’utilisation de ces outils d’IA avancée. Au-delà de l’impact social qu’entraîne l’automatisation d’un nombre croissant de processus se pose la question de la perte de compétences. « Lorsqu’un collaborateur confie des tâches complexes à un navigateur IA, agissant comme une boîte noire, l’entreprise risque d’accumuler une forte dépendance envers ce système sans pouvoir capitaliser sur la connaissance métier. »

Selon lui, la « documentabilité » et la reproductibilité du travail effectué deviennent problématiques. Comment une autre personne peut-elle prendre la suite en cas de congé ou de départ du collaborateur ? Comment l’entreprise s’assure-t-elle que ce savoir-faire reste documenté et le processus traçable ? Dans les professions réglementées, les décisions prises doivent notamment pouvoir être explicitées et auditables.

The post Les <strong>navigateurs dopés à l’IA</strong> créent de nouvelles vulnérabilités appeared first on INCYBER NEWS.

Depuis décembre 2024, les règles du jeu ont changé en Europe. Avec l’entrée en vigueur du Cyber Resilience Act, les fabricants de produits numériques ont désormais jusqu’au 11 décembre 2027 pour fournir une Software Bill of Materials (SBOM) lisible par machine. Cette nomenclature logicielle, qui dresse un inventaire complet et traçable des composants utilisés, devient un passage obligé pour accéder au marché européen et répondre aux obligations de conformité.

« Savoir ce qu’il y a dans son propre logiciel »

Pour Allan Friedman, conseiller principal auprès de la CISA et figure historique du mouvement, la formule est simple : « SBOM est l’idée radicale selon laquelle on devrait réellement savoir ce qui se trouve dans son propre logiciel ». La SBOM ne se limite pas à une liste statique, elle décrit l’élaboration du logiciel, ses dépendances, ses versions et ses licences dans un format standard.

Pour Gonda Lamberink, Senior Global Director Cybersecurity chez Bureau Veritas, son rôle est devenu évident : « Les SBOM représentent une grande partie de la solution au problème de la sécurité de la chaîne d’approvisionnement… elles peuvent devenir un élément essentiel des pratiques de sécurité logicielle en facilitant la collaboration dans la chaîne et la responsabilisation ». Les crises SolarWinds ou Log4j ont prouvé combien le manque de transparence ralentissait les réactions et amplifie les attaques.

Des obligations fortes aux États-Unis

Aux États-Unis, les autorités n’ont pas attendu Bruxelles pour imposer des règles strictes. La FDA exige depuis plusieurs années que tout dépôt préalable à la mise sur le marché d’un dispositif médical inclue une SBOM complète, couvrant composants commerciaux, open source et logiciels prêts à l’emploi. La base légale repose sur le §524B du Federal Food, Drug, and Cosmetic Act, et la dernière mise à jour des lignes directrices, le 26 juin 2025, en fait une condition explicite pour les Cyber-Devices.

Le secteur public fédéral est également concerné. Avec les mémos OMB M-22-18 et M-23-16, la Maison-Blanche impose aux fournisseurs d’attester du respect du NIST SSDF via la procédure de Secure Software Development Attestation gérée par la CISA. Même si toutes les SBOM ne sont pas exigées systématiquement, l’obligation de transparence devient une attente claire et structurante pour les fournisseurs.

Une pratique qui se professionnalise

Pour Kelli Schwalm, Senior Product Manager chez RunSafe Security, l’évolution est radicale : « Les éléments minimaux de SBOM recommandés en 2025 montrent à quel point le secteur a progressé… d’une liste théorique à des exigences pratiques ». L’intégration de hachages cryptographiques, d’informations sur les auteurs ou du contexte de génération impose désormais une génération automatisée et fiable. Schwalm souligne qu’une SBOM produite au moment du build reste la plus fidèle et met en garde contre l’exclusion des logiciels embarqués, souvent parmi les systèmes les plus critiques.

CISA en chef d’orchestre technique

La CISA ne fixe pas seulement des obligations, elle décrit aussi les types de SBOM : source, build, analyse, installation et exécution. Cette classification facilite la mise en œuvre opérationnelle dans les processus de développement et d’exploitation. Elle fournit une boussole commune aux développeurs, intégrateurs, acheteurs et régulateurs.

« BOMs are not a new concept », rappelle Steve Springett, initiateur de CycloneDX et fondateur d’OWASP Dependency-Track. L’inventaire existe depuis longtemps, mais son intégration systématique dans les pipelines CI/CD change la donne en offrant transparence et traçabilité à grande échelle.

Un écart entre ambition et réalité

Les chiffres montrent un retard préoccupant. Selon l’étude Ponemon de 2025, 59 % des entreprises ont subi une attaque contre leur chaîne d’approvisionnement logicielle, la moitié au cours de la dernière année. Plus d’un quart de ces incidents étaient liés à des vulnérabilités open source non corrigées. Pourtant, seules 39 % disposent d’un inventaire complet de leurs dépendances, et une proportion importante ne valide pas les SBOM livrées ou ne les relie pas à une surveillance continue. Résultat : des retards de plusieurs semaines dans la détection et la réponse, avec des coûts accrus et un glissement de la prévention vers la gestion de crise.

L’IA générative, nouveau facteur de risque

L’arrivée massive de l’IA générative ajoute une complexité nouvelle. Les équipes intègrent du code suggéré sans traçabilité sur la provenance, les licences ou les dépendances transitives. Des « phantom packages » apparaissent dans les arbres de dépendances, rendant la surveillance encore plus difficile. Backslash Security s’est emparée du sujet en proposant une plateforme capable d’analyser l’atteignabilité, la vulnérabilité et la traçabilité du code généré par IA, avec une visibilité spécifique sur ces packages fantômes.

Formats, VEX et SBOM vivantes

Du côté des formats, deux standards dominent le marché : SPDX et CycloneDX. Tous deux couvrent les champs minimaux établis par la NTIA et peuvent être générés en continu grâce aux intégrations CI. Synopsys a choisi d’ancrer la SBOM dans son SDLC, en reliant export, import, validation et curation à une gestion des vulnérabilités en plusieurs étapes. Pour Tim Mackey, Principal Security Strategist de l’éditeur, « les applications logicielles modernes ont un problème de dépendances ». La complexité des architectures actuelles impose des nomenclatures exhaustives incluant sources, artefacts, hachages, dépendances et licences, afin de transformer la SBOM en artefact vivant et non en simple instantané.

La VEX, pour Vulnerability Exploitability eXchange, complète ce dispositif en apportant un éclairage sur l’exploitabilité réelle des vulnérabilités identifiées. La CISA a défini des statuts et exigences minimales pour ces documents, qui permettent aux consommateurs de décider avec discernement. En associant SBOM et VEX, les entreprises réduisent les faux positifs et allègent les chaînes de réponse, même lorsque les avis de sécurité se succèdent rapidement.

2025-2026 : l’opérationnalisation

La SBOM cesse d’être un rapport ponctuel pour devenir un artefact produit automatiquement au build, stocké dans des dépôts, signé si nécessaire et intégré par API dans les plateformes de gestion des risques. La classification de la CISA s’impose comme référence, notamment pour éviter les angles morts dans les environnements conteneurisés ou lors des chaînages dynamiques de services à l’exécution. Anchore pose la question de manière directe : « « Quand le prochain zero-day frappera votre infrastructure, passerez-vous cinq minutes à identifier les systèmes affectés ou cinq mois à fouiller dans des inventaires manuels ? » »

La réflexion ne s’arrête pas au code classique. La Linux Foundation propose d’étendre le concept avec un AI-BOM, destiné à documenter les algorithmes, datasets, frameworks et licences. Basé sur SPDX 3.0, ce nouvel artefact vise à renforcer la transparence dans un contexte où l’intelligence artificielle devient un composant central des chaînes de valeur numériques.

Un marché en mouvement

Le marché suit le mouvement avec une offre foisonnante. Dependency-Track s’impose pour l’analyse massive de SBOM et leur corrélation avec les nouveaux avis de sécurité. CycloneDX se distingue par sa proximité avec la pratique terrain, tandis que SPDX s’impose dans les contextes de conformité. Des outils comme LibTracker, intégrés directement à l’environnement de développement, rendent visibles en temps réel les versions, vulnérabilités et aspects de licence, comblant ainsi le fossé entre build, sécurité et juridique.

Pour Josh Bressers, VP Security chez Anchore et co-responsable de l’initiative OpenSSF-SIG « SBOM Everywhere », la valeur pratique ne fait plus débat : sans nomenclature fiable, aucune organisation ne peut accélérer lors d’un zero-day. Avec une SBOM structurée, la réaction gagne en précision et en rapidité. Josh Corman, Vice President of Cyber Safety Strategy chez Claroty, insiste sur la portée intersectorielle : « SBOMs sont un standard apprécié dans chaque secteur ; nous voulons appliquer des principes éprouvés de chaîne d’approvisionnement au développement logiciel – cela ne devrait pas être controversé. »

Gouvernance, contrats et audit

À l’avenir, les SBOM ne seront pas seulement des artefacts techniques, mais des outils de gouvernance intégrés aux contrats et aux audits. Synopsys recommande déjà de définir les exigences selon le contexte, d’identifier les groupes d’utilisateurs et de vérifier la situation juridique. Les clients, de leur côté, attendent des preuves de SDLC sécurisé, des rapports de vulnérabilités et acceptent les documents VEX comme base de décision. L’intégration de ces éléments dans les relations commerciales structure les processus et évite la logique du simple « case à cocher ». Kelli Schwalm recommande même de commencer par une SBOM exhaustive pour identifier et prioriser les vulnérabilités mémoire dans les environnements OT.

Des signaux clairs pour 2025 et 2026

Les chiffres du Ponemon envoient des signaux clairs. Moins de la moitié des entreprises automatisent la validation des dépendances open source et un tiers seulement évalue de manière structurée le code généré par IA. Beaucoup s’appuient encore sur des inventaires manuels incomplets. L’étude recommande l’importation et la validation continue de données SBOM issues de sources tierces, leur confrontation à des listes de paquets malveillants et la surveillance active des applications en production. Les conclusions confirment la corrélation directe entre transparence, rapidité de réaction et réduction du risque.

La SBOM s’impose comme un instrument à double visage : contrainte réglementaire en Europe et aux États-Unis, mais aussi outil opérationnel majeur. En combinant formats standardisés, assertions VEX, intégrations CI/CD et vues à l’exécution, elle comble des angles morts exploités depuis des années par les attaquants. Les échéances réglementaires fixent le minimum et poussent les entreprises à investir. Celles qui, dès 2025 et 2026, intégreront la génération et la validation de SBOM dans leurs pipelines transformeront cette contrainte en avantage compétitif : conformité fluide, gouvernance renforcée et réduction tangible des risques.

The post SBOM : de la contrainte réglementaire au socle de la sécurité logicielle appeared first on INCYBER NEWS.

La société de cybersécurité Threat Fabric a publié, le 20 novembre 2025, un rapport sur un nouveau spyware Android particulièrement dangereux, qu’elle a baptisé « Sturnus ». Encore en cours de développement, le logiciel malveillant serait déjà fonctionnel et prêt à être déployé.

Sturnus peut détourner le service d’accessibilité d’Android, conçu pour les personnes en situation de handicap, afin de capter et transmettre tout ce qui s’affiche à l’écran de l’appareil. Il peut ainsi exfiltrer les conversations issues de messageries chiffrées comme WhatsApp, Telegram ou Signal, dès lors que l’utilisateur les affiche.

Sturnus dispose également d’un mécanisme de superposition HTML, qui lui permet de créer une copie d’un site visité par l’utilisateur, afin de lui dérober des identifiants. Le logiciel malveillant peut aussi afficher une fausse page de mise à jour Android sur l’ensemble de l’écran, pour dissimuler les activités qu’il effectue en arrière-plan.

Les chercheurs de Threat Fabric ont identifié des calques HTML conçus par les cybercriminels en vue d’attaques ciblées contre des institutions financières, notamment en Europe du Sud et en Europe centrale. Ils y voient le signe d’une prochaine campagne à grande échelle et invitent toutes les cibles potentielles à redoubler de vigilance.

The post Threat Fabric alerte sur Sturnus, un redoutable spyware Android appeared first on INCYBER NEWS.

Les autorités européennes et américaines ont mis à jour, le 13 novembre 2025, l’avis de sécurité concernant le gang de rançongiciel Akira, publié initialement en avril 2024. Le FBI, les ministères américains de la Défense et de la Santé, Europol et les forces de l’ordre françaises, allemandes et néerlandaises ont participé à la rédaction de ce document. Il révèle que les rançons perçues par le groupe depuis sa création, en 2023, atteindraient désormais 210 millions d’euros.

L’avis propose aussi une liste des tactiques et des vulnérabilités exploitées par les affiliés d’Akira à travers le monde, ainsi que des recommandations pour prévenir une infection. Les auteurs confirment l’existence de liens entre Akira et le groupe russophone Conti, leader mondial du rançongiciel entre 2020 et 2022, auto-dissous en 2022.

The post Rançongiciel : les gains du gang Akira atteindraient 210 millions d’euros appeared first on INCYBER NEWS.

Amazon Integrated Security a révélé, le 10 novembre 2025, qu’un acteur malveillant sophistiqué exploitait des failles zero-day dans des produits de Citrix et de Cisco. La campagne, en cours depuis au moins mai 2025, s’appuie sur deux vulnérabilités :

• CVE-2025-5777, surnommée « Citrix Bleed Two », rendue publique en juillet 2025 ;
• CVE-2025-20337, une faille affectant Cisco Identity Services Engine (ISE), découverte en juin 2025.

Selon CJ Moses, responsable de la sécurité informatique chez Amazon Integrated Security, cette campagne illustre une tendance croissante chez les cybercriminels : cibler les infrastructures critiques de gestion des identités et des accès, comme Cisco ISE.

La société de cybersécurité n’a pas précisé l’origine, les motivations ou les cibles de l’attaquant. CJ Moses estime toutefois que « l’identification de plusieurs exploits zero-day non publiés suppose un acteur malveillant disposant de ressources considérables, de capacités avancées en matière de recherche de vulnérabilités ou d’un accès à des informations non publiques sur les failles ».

The post Un groupe cybercriminel sophistiqué exploite des failles zero-day dans Citrix et Cisco appeared first on INCYBER NEWS.

Le Google Threat Intelligence Group (GTIG) a publié, le 6 novembre 2025, un rapport révélant l’existence de logiciels malveillants exploitant des modèles d’IA pour adapter leur comportement en temps réel. Selon les chercheurs, cette évolution marque le début d’une nouvelle ère pour la cybercriminalité.

Le GTIG a identifié plusieurs souches de malwares capables, grâce à des échanges avec une IA génératrice tierce, de :

• générer des scripts malveillants ciblés ;
• transformer leur code source pour échapper à la détection ou faire évoluer leurs capacités ;
• modifier leur comportement pendant la phase d’attaque.

Si certaines souches semblent issues de projets expérimentaux, d’autres sont déjà opérationnelles. Selon le GTIG, le groupe APT28, affilié à la Russie, aurait déjà utilisé un logiciel malveillant générant des commandes via un LLM lors d’une attaque contre l’Ukraine.

The post Des cybercriminels exploitent l’IA pour créer des malwares adaptatifs appeared first on INCYBER NEWS.

Une pratique essentielle mais juridiquement fragile

Les hackers éthiques, ou pentesters, sont devenus des alliés incontournables des organisations face à la multiplication des cyberattaques. Leur objectif est d’identifier les vulnérabilités avant qu’elles ne soient exploitées par des acteurs malveillants. Cependant, cette mission à visée protectrice évolue dans un cadre pénal rigide où la bonne foi ne suffit pas toujours à exclure la responsabilité. Les affaires Kitetoa, Bleutouff ou Panthéon-Assasl’ont illustré : même animée d’une intention bienveillante, une intrusion non autorisée dans un système d’information reste répréhensible.

Quand la loi pénale ne distingue pas les intentions

Les articles 323-1 à 323-7 du Code pénal constituent le socle de la répression des atteintes aux systèmes informatiques. Ils sanctionnent l’accès ou le maintien frauduleux dans un système, l’entrave à son fonctionnement ou la modification de données, sans qu’il soit nécessaire de prouver une intention malveillante. En pratique, cela signifie qu’un pentester qui dépasse le périmètre fixé par son mandat ou agit sans autorisation écrite peut voir sa responsabilité engagée, même s’il agit pour renforcer la sécurité de l’organisation.

Cette approche objective de la responsabilité pénale repose sur la matérialité des faits : dès lors qu’un accès non autorisé est constaté, le délit est constitué, indépendamment de l’intention. Pour les professionnels du test d’intrusion, cela crée un risque juridique réel dès que les limites contractuelles ou techniques de la mission sont franchies.

L’OSINT aussi peut tomber sous le coup de la loi pénale

Le risque pénal ne concerne pas uniquement les intrusions techniques. Il s’étend également à la collecte et à l’exploitation de données personnelles. L’article 226-18 du Code pénal sanctionne la collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite. Autrement dit, même une recherche d’informations publiques peut devenir illégale si elle détourne la finalité de leur mise en ligne.

Un arrêt rendu par la Chambre criminelle de la Cour de cassation le 30 avril 2024 (n° 23-80.962) illustre bien cette notion de déloyauté. Le prévenu avait répondu à la demande du directeur de la sécurité d’une entreprise en réalisant des recherches sur plusieurs personnes, recueillant des informations comme leurs antécédents judiciaires, leurs comptes bancaires ou leur situation familiale. Ces données provenaient de sites publics, d’annuaires, de réseaux sociaux et de la presse régionale.

La Cour a considéré que le moyen de collecte était déloyal, car ces informations, bien qu’accessibles en ligne, avaient été utilisées à des fins étrangères à celles de leur publication. Elles avaient été recueillies à l’insu des personnes concernées, les privant ainsi du droit d’opposition prévu par la loi Informatique et Libertés. L’enseignement de cette décision est clair : la loyauté du traitement ne dépend pas de l’accessibilité de la donnée, mais de l’usage qui en est fait.

En pratique, cette jurisprudence impose une vigilance accrue pour les professionnels de la cybersécurité recourant à l’OSINT. Même lorsqu’une information est publique, son exploitation doit rester strictement conforme à la finalité du test de sécurité. Tout détournement ou usage non autorisé pourrait être assimilé à une collecte déloyale au sens de l’article 226-18.

Les autres risques pénaux à ne pas négliger

Au-delà des atteintes aux systèmes ou de la collecte déloyale de données, d’autres infractions de droit commun peuvent concerner les hackers éthiques. Le recel de données, prévu aux articles 321-1 à 321-5 du Code pénal, sanctionne la détention ou l’utilisation d’informations issues d’intrusions ou de fuites non autorisées. L’usurpation d’identité, prévue à l’article 226-4-1, peut être constituée si un pentester utilise des identifiants personnels sans accord. Le faux et l’usage de faux, réprimés par l’article 441-1, peuvent aussi être retenus lorsque des documents simulés sont employés dans le cadre de tests d’ingénierie sociale.

Encadrer et tracer pour se protéger

Pour éviter toute dérive, la clé réside dans un encadrement contractuel précis. Le contrat de pentest doit définir les limites techniques et temporelles de l’intervention, la nature des accès autorisés et les conditions de restitution des résultats. Il doit aussi intégrer des clauses de conformité au RGPD, garantissant la transparence des traitements de données personnelles. Enfin, la traçabilité de toutes les actions effectuées constitue une preuve indispensable en cas de contestation. Un cadre clair protège à la fois le client et le prestataire, tout en renforçant la légitimité de la pratique du hacking éthique.

Par Me Djamel Belhaouci, avocat au barreau de Marseille, Avocat en Cybercriminalité.

The post Le risque pénal des hackers éthiques appeared first on INCYBER NEWS.

Google a publié, le 4 novembre 2025, son rapport annuel sur les tendances en matière de cybersécurité pour 2026, le Cybersecurity Forecast Report. S’appuyant sur les données recueillies par les équipes de Google Threat Intelligence, Google Cloud Security et Mandiant Consulting, le document alerte sur une hausse mondiale des risques cyber.

Dans le détail, les équipes de Google ont identifié quatre évolutions particulièrement inquiétantes :

• une utilisation généralisée de l’IA par les groupes cybercriminels, couplée à l’usage non autorisé d’outils d’IA par des salariés (phénomène du « Shadow Agent ») ;
• une intensification du cybercrime, notamment via la multiplication des attaques par rançongiciel ;
• les premières attaques ciblant la virtualisation, en particulier les hyperviseurs : réputés
  « inattaquables », ces infrastructures s’avèrent souvent obsolètes et mal couvertes par les solutions de détection classiques ;
• un environnement géopolitique « instable », marqué par une recrudescence d’opérations cyber menées par la Russie, la Chine, l’Iran et la Corée du Nord.

The post 2026, année de tous les dangers cyber selon Google appeared first on INCYBER NEWS.

OpenAI a mis en ligne, fin octobre 2025, Aardvark, une IA agentique fondée sur GPT-5 et conçue pour identifier et corriger les vulnérabilités dans le code source. Elle fonctionne en quatre étapes :

• analyser un dépôt de code pour en comprendre la finalité et les risques ;
• détecter d’éventuelles vulnérabilités en se penchant sur l’historique et les ajouts récents de code, tout en décrivant, au fur et à mesure, ses découvertes et les risques associés ;
• tenter d’exploiter les failles identifiées dans un environnement isolé afin d’en confirmer l’existence ;
• proposer un correctif généré par Codex, l’assistant de programmation d’OpenAI intégré dans GPT-5.

L’ensemble est conçu pour aider l’utilisateur à choisir l’action qu’il juge la plus adaptée, à chaque étape, sans aucune automatisation. OpenAI précise qu’Aardvark est encore en développement et attend des retours en vue de son amélioration.

The post OpenAI lance Aardvark, une IA agentique pour détecter et corriger les vulnérabilités appeared first on INCYBER NEWS.

La vérificatrice générale du Canada (VG) a publié, le 21 octobre 2025, un rapport dénonçant les « importantes lacunes » du gouvernement fédéral canadien en matière « de cybersécurité, de surveillance et de réponse aux attaques ». Le document souligne notamment le manque de coordination entre les trois principales entités chargées de la cybersécurité fédérale :

• Services partagés Canada ;
• le Centre de la sécurité des télécommunications ;
• le Secrétariat du Conseil du trésor.

« Lors d’une récente cyberattaque majeure contre un ministère fédéral, l’intervention du gouvernement a été retardée de 7 jours par la coordination lente et une communication d’informations limitée », peut-on lire dans le rapport. La VG déplore par ailleurs que 119 des 134 organisations fédérales ne soient pas contraintes d’utiliser les services de cybersécurité fournis par les entités désignées par le gouvernement.

Le rapport note toutefois que les efforts déployés ces dernières années ont contribué à une amélioration de la situation. La récente stratégie de cybersécurité triennale est ainsi jugée « solide et complète ».

The post Le gouvernement fédéral canadien souffre de graves lacunes en cybersécurité appeared first on INCYBER NEWS.

Microsoft a publié, le 16 octobre 2025, son rapport annuel Digital Defense, consacré à l’évolution des cybermenaces étatiques dans le monde. Il révèle notamment une hausse de 25 % des incidents attribués à des acteurs russes. Toujours focalisé sur la guerre en Ukraine, Moscou a élargi son spectre de cyberattaques à l’ensemble des États de l’Otan. Les principaux pays ciblés par la Russie restent les États-Unis (20 %), le Royaume-Uni (12 %) et l’Ukraine (11 %).

Concernant la Chine, Microsoft note une recrudescence des attaques contre des ONG et, surtout, des compromissions de longue durée touchant des SI stratégiques. En douze mois, plus d’un tiers des cyberattaques chinoises ont ciblé les États-Unis, 14 % la Thaïlande et 12 % Taïwan.

Microsoft met également en évidence l’usage croissant de l’IA par les cybercriminels étatiques, notamment pour « automatiser l’hameçonnage, renforcer l’ingénierie sociale, générer des contenus synthétiques, détecter plus rapidement les vulnérabilités et développer des logiciels malveillants adaptatifs ». Sur les six premiers mois de 2025, les attaques visant l’identité ont par ailleurs augmenté de 32 %.

The post Microsoft publie son rapport annuel sur les cybermenaces étatiques appeared first on INCYBER NEWS.

Nouvelle couche au mille-feuilles ou vrai trou en moins dans la raquette ? Les récentes attaques informatiques qui ont paralysé le mois dernier le fonctionnement des aéroports de Londres-Heathrow, Berlin et Bruxelles ont à nouveau démontré la vulnérabilité du secteur aérien. La nouvelle réglementation Part-IS renforce la sûreté en protégeant les systèmes d’information critiques dans l’aviation. Ce bouclier réglementaire a été imaginé par l’Agence européenne de sécurité aérienne (AESA). Il entrera en vigueur en deux temps : le 16 octobre prochain pour une partie des acteurs (exploitants d’aéroport, services de gestion des aires de trafic et avionneurs) puis début 2026 pour les suivants. « Toutes ces mesures ont des points de chevauchements et s’adressent en partie aux mêmes organisations, met en garde Anne Frisch, directrice du programme cybersécurité à la DGAC (Direction générale de l’aviation civile). Cela crée une certaine complexité et une lourdeur d’où notre initiative de rationaliser ces exigences dans un référentiel unique qui est le 3CF. » Ainsi, les compagnies aériennes dont les activités relèvent à la fois du transport, de la maintenance et de la formation vont être placées sous la surveillance de différentes autorités, la DSAC pour le transport et la formation et l’OSAC (Organisme pour la Sécurité de l’Aviation Civile, filiale du groupe Apave) pour la maintenance, « ce qui impose de parfaitement se coordonner et éviter de les sur-auditer », suggère Mme Frisch. 

Éviter le scénario des hôpitaux 

Le règlement Part-IS arrive en effet après le règlement 2015/1998 applicable depuis 2021. Il précède aussi la directive NIS2 en cours de transposition dans le droit français. « Ce n’est pas pour autant redondant, affirme pour sa part Yann Berger, consultant en gouvernance de la cybersécurité chez Airbus. La Part-IS impose une intégration dans les agréments aéronautiques (DOA, POA, AOC…), ce qui n’est pas le sujet de NIS2 et de CRA. » À terme, en février prochain, tous les acteurs du secteur (compagnies aériennes, organismes de maintenance ou centres médicaux pour le personnel navigant, etc.) devront donc avoir mis en place dans leurs organisations internes ces moyens de détection et de réaction rapide aux cyberattaques. « Le but est simple, résume Jean-Marc Grémy, consultant indépendant et spécialiste en cybersécurité dans le transport aérien, il s’agit du fait que le monde de l’aérien ne subisse pas les mêmes heures sombres et difficiles que le secteur de la santé avec les cyberattaques contre des hôpitaux. » 

Homogénéisation des pratiques

Vu l’interconnexion croissante entre ces systèmes, une vulnérabilité dans un seul composant peut en effet provoquer une réaction en chaîne et mettre en péril la sécurité de l’ensemble des opérations. « Dans son rapport de janvier 2025, le Centre européen pour la sécurité dans l’aviation (ECCSA) faisait état d’une multiplication par trois des cyberattaques dans le secteur entre 2023 et 2024, insiste Mme Frisch. Les menaces sont aujourd’hui plus fréquentes et sophistiquées que jamais. » Chacun s’accorde à penser que la Part-IS n’éliminera pas totalement les risques mais qu’elle réduira le nombre d’attaques réussies. La nouvelle réglementation prévoit aussi une homogénéisation des pratiques et une culture de cybersécurité renforcée. « Le véritable impact dépendra de la qualité de mise en œuvre par chaque acteur (constructeurs, équipementiers, compagnies aériennes, MRO, aéroports, etc.) et de la coopération sectorielle (partage d’informations, retour d’expérience..), relativise toutefois M. Berger. Ce qui est certain, c’est que la nouvelle réglementation impose un cadre commun qui élève la maturité cyber de l’ensemble du secteur. » Chez les compagnies aériennes, le sujet paraît sensible. Silence radio à easyJet. Dans un communiqué laconique, Air France nous précise pour sa part : « Nous travaillons en concertation avec nos autorités, notre écosystème aérien et avec des partenaires sur cette réglementation pour être parfaitement alignés avec ses exigences d’ici son entrée en vigueur. » 

Changements d’habitude

Les incidents de sécurité seront eux déclarés à la DGAC avec si besoin l’appui technique de l’ANSSI. « C’est une contrainte supplémentaire avec des changements d’habitude, reconnaît M. Grémy, mais ce n’est pas non plus une grande révolution ! Vu leurs excellents résultats financiers, les aéroports et les compagnies aériennes ont de quoi mettre la main à la poche. » Airbus affirme de son côté avoir intégré il y a près de vingt ans déjà la sûreté de l’information directement dans la conception de ses appareils, un engagement initié avec l’A380 et l’A350, et aujourd’hui étendu à l’ensemble de sa gamme. Cette approche est basée sur le « security by design » (sûreté dès la conception). « Les systèmes avioniques et logiciels sont conçus dès le départ avec des protections intégrées puis validées selon des normes internationales strictes et les exigences de l’AESA », détaille M. Berger. Cette nouvelle réglementation Part-IS va ainsi contraindre aussi les fournisseurs à mettre en place les moyens d’éviter ou de parer à toute cyberattaque. « Si les grosses sociétés ont pris le sujet à bras le corps, il y a encore un important travail de sensibilisation et d’accompagnement à faire auprès des petites et moyennes entreprises de la chaîne d’approvisionnement », alerte Mme Frisch. Pour une compagnie aérienne, une non-conformité à ce nouveau règlement peut conduire jusqu’à la perte de son CTA (certificat de transport aérien) lui permettant de faire voler ses avions.

The post Cybersécurité : le secteur aérien européen appelé à muscler sa défense appeared first on INCYBER NEWS.

Le journaliste spécialisé en cybersécurité Amine Baba Aissa a publié une enquête, le 5 octobre 2025 pour Numerama, sur des commentaires positifs générés par des bots sous des vidéos YouTube. Ces comptes se distinguent par des photos de profil présentant des jeunes femmes dénudées ou des postérieurs féminins, et par leurs messages génériques. Ce type de commentaires pullule désormais sur YouTube.

La rédaction de Numerama s’est associée à la société de cybersécurité slovaque ESET pour remonter le fil d’une vaste campagne d’hameçonnage. En cliquant sur une photo de profil suggestive, l’utilisateur est redirigé vers la chaîne YouTube du compte, elle aussi remplie d’images à connotation sexuelle. Le message de présentation l’invite alors à visiter une autre chaîne, aux images encore plus explicites, qui redirige elle-même vers une troisième.

Le véritable piège se trouve sur ce troisième compte YouTube, qui met en avant un lien vers un site pornographique externe. À peine ouvert, ce dernier redirige immédiatement l’utilisateur vers une page de vérification d’âge, conçue pour lui soutirer des données personnelles.

Selon les experts d’ESET, les images suggestives utilisées sont soigneusement calibrées pour ne pas dépasser le seuil de censure imposé par YouTube. Le problème touche d’ailleurs d’autres plateformes : cela en ferait, d’après le youtubeur américain Cr1TiKaL, le « plus grand problème de bots de tous les temps ».

The post Une campagne d’hameçonnage se cache derrière les bots YouTube aux photos suggestives appeared first on INCYBER NEWS.

Selon le « Cyber Benchmark 2024 » de Wavestone, les grands groupes (chiffre d’affaires supérieur à 1 milliard de dollars) montrent un niveau de maturité relativement élevé en cybersécurité (53 % en moyenne). Mais l’étude souligne le besoin de structurer la gouvernance cyber à l’échelle du groupe et de ses filiales, pour mutualiser les ressources, renforcer la gestion des sous-traitants, améliorer la réactivité face aux incidents et faciliter la mise en conformité.

Au sein du groupe RATP, la politique de cybersécurité s’articule autour d’un socle composé de trois piliers principaux. Le premier est la réglementation. L’enjeu est d’identifier une base commune à l’ensemble du groupe et de ses filiales, comme c’est le cas, par exemple, avec la directive NIS2. Le deuxième pilier concerne la menace, à savoir l’identification des scénarios de risque pertinents pour tous les métiers. Enfin, le troisième est la stratégie de l’entreprise. Cette dernière permet d’aligner le plan de cybersécurité sur les objectifs globaux du groupe, assurant ainsi une cohérence d’ensemble.

« L’objectif est de donner à la stratégie de cybersécurité une base homogène à laquelle toutes les filiales peuvent se référer. Cela permet à tout le monde de travailler dans une seule et même direction et de mutualiser les efforts au niveau du groupe », déclare François Bidondo, Directeur Cybersécurité de RATP Group et administrateur du CESIN. En complément, des discussions ont lieu avec chaque filiale pour comprendre ses besoins spécifiques, ses métiers et ses enjeux propres, ainsi que les menaces particulières auxquelles elle pourrait être confrontée compte tenu de sa zone géographique, de son activité et de son contexte réglementaire.

Au sein du Groupe Caisse des Dépôts, le mécanisme est sensiblement le même. « Nous définissons une politique de cybersécurité groupe qui se décline en un canevas de points à adresser. Ce framework est souvent lié à des normes, comme ISO 27001 ou le NIST. Ensuite, lors d’une deuxième phase, nous pouvons être amenés à aider les filiales à s’outiller pour être conformes. Enfin, une troisième étape consiste à mesurer régulièrement si les ambitions sont atteintes », explique Arnaud Martin, Directeur des risques opérationnels du groupe.

Harmoniser sans uniformiser

Pour déployer les stratégies définies au niveau du siège, différentes approches existent. Elles dépendent en grande partie de la structure du groupe : intégré ou non-intégré. « Dans les groupes intégrés, où les systèmes d’information sont fortement interconnectés, la politique de sécurité est très stricte, avec des objectifs de résultat précis. À l’inverse, dans les groupes décentralisés, l’objectif est d’aligner les moyens et les exigences de sécurité sur les enjeux business et réglementaires, sans pour autant qu’une intrusion au sein d’une filiale ne fasse peser un risque majeur sur la maison mère », note Arnaud Martin.

Dans un groupe décentralisé comme la RATP, l’implémentation et la mise en œuvre de la politique de cybersécurité reviennent à chaque filiale. « Nous définissons la philosophie et les objectifs de sécurité globaux, sans imposer de produits spécifiques. Par exemple, si nous décidons que chaque poste de travail doit être protégé par un EDR, une filiale peut choisir un produit Aet une autre un produit B. Le point important est que ces solutions répondent aux exigences de sécurité. Il arrive par ailleurs que nous lancions des programmes d’acquisition mutualisés pour l’ensemble du groupe, lorsque la maturité des filiales est encore faible », commente François Bidondo.

Une déclinaison structurée en plusieurs phases

Au sein de la Caisse des Dépôts, quand les thématiques relèvent du système d’information de la filiale, le groupe définit des niveaux d’exigence (par exemple, effectuer des sauvegardes avec tel ou tel niveau de séparation) sans fournir de solutions. En revanche, pour certaines solutions plus agnostiques du SI et plus faciles à déployer de manière globale, comme les plateformes CTI (Cyber Threat Intelligence) ou de gestion des vulnérabilités, une mutualisation peut avoir lieu. 

« Au sein de notre CERT interne, tous les outils dont il dispose sont considérés comme des investissements ‘groupe’ qui profitent à l’ensemble des filiales », note Arnaud Martin. Même logique à la RATP où le CERT et la veille sur la menace sont mutualisés. « Ces outils sont d’autant plus efficaces qu’ils ont une vue complète de ce qui se passe dans l’ensemble du groupe. Leur centralisation leur donne plus de valeur que s’ils étaient installés dans chaque filiale », ajoute François Bidondo.

Un autre aspect de la mutualisation porte sur le partage des compétences. Des experts peuvent ainsi être déployés depuis le siège pour soutenir des projets importants dans les filiales. Cela peut concerner une acquisition, la réponse à un appel d’offres, un audit très pointu techniquement (red team) ou une réponse à incident dans le cadre d’une cybercrise. Cette mise à disposition de compétences rares évite aux filiales de devoir recruter des profils hautement spécialisés qu’elles ne pourraient employer à temps plein.

Parfois, la mutualisation fonctionne en sens inverse, une entité pouvant développer une expertise très pointue qui profite à l’ensemble de l’organisation. Au sein de la RATP, une filiale spécialisée dans le développement logiciel possède ainsi en interne des experts en cybersécurité pour le développement d’applications, qui servent de pôle de compétence pour toutes les autres entités.

Le plan de contrôle : un audit régulier

Pour s’assurer de l’application des standards et de l’atteinte des objectifs fixés, ainsi que de la montée en maturité des filiales, un plan de contrôle doit être mis en place. Au sein de la Caisse des Dépôts, il est mené une fois par an. Cette évaluation permet de consolider une vision globale du niveau de cybersécurité à l’échelle du groupe et de la présenter à la gouvernance. 

« Notre campagne de contrôle s’applique à la maison mère puis à ses filiales. Je commence par la maison mère au premier semestre et j’enchaine avec les filiales au second semestre. Cela leur laisse le temps de réaliser un certain nombre de contrôles de leur côté puis de consolider les données pour le siège », conclut Arnaud Martin. 

The post Grands groupes : aligner stratégie globale et dynamiques métiers appeared first on INCYBER NEWS.

La simulation technique : apprendre par la pratique

Ces exercices plongent directement les équipes opérationnelles dans des scénarios concrets : attaque par ransomware, intrusion réseau, compromission d’applications critiques. Ils reproduisent fidèlement la dynamique d’une attaque réelle et obligent les analystes, ingénieurs et responsables IT à réagir vite, avec les outils et processus dont ils disposent au quotidien.

Bénéfices principaux :

• Expérience réaliste : réagir comme face à une véritable attaque, mais dans un environnement contrôlé.
• Identification des failles : révéler les lacunes dans les processus, outils ou procédures.
• Renforcement de la coordination : fluidifier la communication entre SOC, IT et métiers.

L’exercice exécutif : penser et décider en cellule de crise

À un autre niveau, les exercices exécutifs s’adressent aux dirigeants et responsables métiers. Ici, il ne s’agit pas de manipuler des outils techniques mais de prendre des décisions stratégiques dans un contexte incertain et stressant. Réunis autour d’un scénario réaliste, les participants doivent :

• Arbitrer entre continuité des opérations et gestion du risque.
• Décider vite avec une visibilité partielle.
• Gérer la communication interne, externe et réglementaire.

Ces ateliers révèlent combien une crise cyber dépasse le périmètre de l’IT : réputation, finances, conformité et confiance des partenaires sont en jeu.

 « Cet exercice nous a permis non seulement de tester la précision de nos plans de réponse et de nos playbooks, mais aussi de démontrer aux métiers qu’un incident cyber ne se limite pas à un problème “technique”. Ses impacts non techniques peuvent durer des semaines, des mois, voire des années.” — Joel, Responsable Cyber.

Simulations techniques & Executive Cyber Exercises (ECE) : deux formats complémentaires

Deux grandes approches structurent la préparation :

1. Simulation technique : test opérationnel de détection, investigation et remédiation.
2. Executive Cyber Exercise (ECE) : expérience immersive pour les dirigeants, combinant réalisme, pression et réflexion stratégique, suivie d’une discussion guidée pour évaluer les rôles et les plans de réponse.

Les opposer serait une erreur : les organisations les plus résilientes les combinent. Les équipes techniques s’entraînent à contenir l’attaque, tandis que les dirigeants pilotent la crise et gèrent ses conséquences stratégiques.

 « La meilleure façon d’apprendre est d’être immergé dans des scénarios réalistes. Les exercices pratiques forcent à réagir et à mitiger les impacts en temps réel. Ce sont des compétences qu’aucune présentation PowerPoint ne peut transmettre.” — Nicole, Cybersecurity Sales Engineer.

Pourquoi les Executive Cyber Exercises (ECE) font la différence

Les ECE de SANS offrent un cadre sécurisé et confidentiel pour confronter les décideurs à des crises réalistes. Animés par des experts, ils permettent de :

• Évaluer la préparation organisationnelle.
• Mettre à l’épreuve les plans documentés.
• Appliquer les meilleures pratiques de gouvernance et de communication.
• Anticiper les tendances émergentes de la cybercriminalité.

Contrairement à une formation classique, il s’agit d’une expérience immersive : les dirigeants vivent la pression d’un incident et apprennent à réagir collectivement.

« Les Executive Cybersecurity Exercises de SANS offrent une préparation inestimable face aux potentielles cyberattaques et violations de données. En simulant divers scénarios d’incidents, ces exercices permettent aux dirigeants et aux équipes de leadership de passer en revue les plans de réponse, d’identifier les lacunes et d’affiner leurs compétences en gestion de crise cyber dans un environnement protégé. Pour moi, cela met en évidence les faiblesses des politiques, procédures et systèmes actuels. La discussion autour de scénarios hypothétiques révèle là où les plans peuvent être insuffisants et où des améliorations peuvent être mises en place de manière proactive avant qu’un véritable incident ne survienne. » — Oscar, CISO.

Rendez-vous à Paris le 18 novembre

Le prochain Executive Cyber Exercise de SANS se tiendra à Paris, le mardi 18 novembre. Une occasion unique pour les cadres et dirigeants d’expérimenter la gestion d’une crise cyber dans un environnement sûr, collaboratif et guidé par des experts.

📩 Pour plus d’informations ou pour participer : contactez Axelle SAIM, Directrice France & Luxembourg à [email protected] ou au +33 (0)7 67 82 75 52.

Découvrez les SANS Executive Cybersecurity Exercises en vidéo

The post Se préparer aux crises cyber : simulations techniques ou exercices exécutifs ? appeared first on INCYBER NEWS.

Cisco a publié, le 26 septembre 2025, un bulletin d’alerte sur une campagne de cyberespionnage baptisée « ArcaneDoor », exploitant des failles 0-day dans ses pare-feux ASA et Firepower. Ces vulnérabilités permettent à un attaquant d’exécuter du code à distance et de modifier la mémoire ROM des équipements.

La CISA, équivalent américain de l’Anssi, a exigé que les agences fédérales appliquent des mesures de protection renforcées. Elle invite par ailleurs toutes les organisations utilisant ces pare-feux à suivre le protocole de remédiation qu’elle a publié. Le CERT-FR et l’agence britannique de cybersécurité (NCSC) ont publié des alertes avec des recommandations comparables.

The post Cyberespionnage : Cisco alerte sur une campagne ciblant ses pare-feux appeared first on INCYBER NEWS.