Épingles correspondant à user:CyberDesk

Les chercheurs en menaces de Google ont expliqué qu'une équipe se faisant passer pour le support informatique au téléphone convainquait des employés d'approuver une fausse application Data Loader, avant de dérober en masse les données Salesforce de leurs entreprises à des fins d'extorsion.

Un juge fédéral de Las Vegas a donné son approbation finale au règlement de 45 millions de dollars de MGM Resorts avec des clients dont les données personnelles avaient été volées lors de la violation de 2019 et de la cyberattaque de septembre 2023 qui avait paralysé des casinos du Strip, avec jusqu'à 15 000 dollars chacun pour les pertes documentées.

À l'aide de jetons OAuth volés au chatbot Drift de Salesloft, le groupe UNC6395 a exporté des données des instances Salesforce de centaines d'entreprises, à la recherche, dans les dossiers d'assistance, de clés AWS, de mots de passe et de jetons Snowflake.

Le FBI a publié des indicateurs concernant deux groupes qui volent les données Salesforce d'entreprises, l'un en téléphonant au personnel en se faisant passer pour le support informatique, l'autre à l'aide de jetons Salesloft Drift volés.

Un groupe utilisant la marque d'extorsion Cl0p a commencé à envoyer massivement des courriels à des dirigeants, affirmant avoir volé des données des systèmes Oracle E-Business Suite de leurs entreprises et exigeant un paiement.

Le gang a publié des échantillons de données Salesforce volées à 39 entreprises et a sommé Salesforce de payer avant le 10 octobre, sous peine de voir environ un milliard d'enregistrements divulgués.

L'alerte de sécurité hors cycle d'Oracle corrige une faille d'exécution de code à distance sans authentification, notée 9,8, dans E-Business Suite, que Cl0p avait exploitée pour voler des données.

La CISA a inscrit CVE-2025-61882 sur sa liste des vulnérabilités connues et exploitées, donnant aux agences civiles fédérales jusqu'au 27 octobre 2025 pour corriger Oracle E-Business Suite.

Alors que l'échéance de fuite fixée par le gang approchait à trois jours près, Salesforce a envoyé un courriel à ses clients indiquant qu'elle n'engagerait, ne négocierait ni ne paierait aucune demande d'extorsion.

Après l'expiration de l'échéance de la rançon, Scattered Lapsus$ Hunters a publié les données Salesforce volées de six entreprises, dont 5 millions de fiches clients de Qantas et 7,3 millions d'adresses e-mail de Vietnam Airlines.

Salesforce a révoqué tous les jetons détenus par les applications publiées par Gainsight et les a retirées de l'AppExchange après avoir repéré des appels d'API provenant d'adresses IP non reconnues vers les données Salesforce de ses clients.

Le groupe d'extorsion WorldLeaks a inscrit Nike sur son site de fuites le 22 janvier 2026, puis a diffusé environ 1,4 To de ce qu'il présentait comme 188 347 fichiers internes de conception et de fabrication de Nike ; Nike s'est bornée à dire qu'elle enquêtait sur un possible incident de cybersécurité.

Nike a commencé à envoyer, le 25 février 2026, des notifications de violation de données au sujet d'une intrusion, découverte le 21 janvier, dans un portail hébergé par un prestataire tiers ayant exposé les coordonnées, commandes et informations de cartes bancaires de clients ; Nike affirme qu'aucune donnée complète de carte ni identifiant de compte n'a été dérobé.

Qualcomm et Google ont révélé une faille de corruption de mémoire dans un composant graphique open source de Qualcomm, touchant plus de 230 puces, qui « pourrait faire l'objet d'une exploitation limitée et ciblée ».

Salesforce a indiqué qu'un groupe de menace connu balayait en masse des sites Experience Cloud publics à l'aide d'un outil Mandiant modifié et récupérait des données CRM via des profils d'utilisateur invité trop permissifs.

L'alerte de sécurité d'Oracle pour CVE-2026-35273, une faille d'exécution de code à distance sans authentification notée 9,8 dans PeopleSoft PeopleTools, est parue alors que ShinyHunters volait des données à plus de 100 organisations, en majorité des universités.

Black Hat USA a attiré plus de 23 000 participants au Mandalay Bay Convention Center du 1er au 6 août 2026, avec plus de 100 conférences, plus de 100 formations et plus de 400 exposants dans son Business Hall.

DEF CON 34 a rempli le West Hall du Las Vegas Convention Center du 6 au 9 août 2026, remettant à ses participants un badge électronique construit autour du Baochip open source et inspectable d'Andrew « bunnie » Huang.

Amazon ajoute à son conseil d'administration et à ses comités d'audit et de sécurité le vétéran de la cybersécurité Kevin Mandia, qui a fondé Mandiant et l'a vendu à Google pour 5,4 milliards de dollars.

La plus grande mise à jour de sécurité jamais publiée par Microsoft corrige 966 vulnérabilités, dont deux failles zero-day d'élévation de privilèges Windows déjà exploitées dans des attaques et 105 classées critiques.

L'entreprise de vérification d'identité IDScan.net, basée en Louisiane, a confirmé que des pirates avaient dérobé dans son cloud les données de permis de conduire - noms complets, numéros de permis et numéros d'identité issus d'autres documents officiels - de plus de 150 millions de personnes aux États-Unis et au Canada. Les données, y compris les photos des permis, ont été publiées sur un site du dark web.

Le Cyber Resilience Act de l'UE atteint sa première phase active : les fabricants de tout produit comportant des éléments numériques vendu dans l'UE doivent signaler les vulnérabilités activement exploitées et les incidents graves à l'ENISA et à leur CSIRT national - une alerte précoce sous 24 heures, une notification complète sous 72 heures, et un rapport final sous 14 jours.

Le 13 octobre 2026, Microsoft met fin à la prise en charge d'Office LTSC 2021 et d'Office 2021, et la troisième et dernière année des mises à jour de sécurité étendues pour Windows Server 2012 et 2012 R2 expire. Après cette date, ni l'un ni l'autre ne reçoit de correctifs de sécurité ni d'assistance technique de Microsoft.

Le lot trimestriel de correctifs de sécurité d'Oracle pour ses produits sur site est attendu le troisième mardi d'octobre.

DEF CON 35 est prévu du 5 au 8 août 2027 dans le West Hall du Las Vegas Convention Center, où s'est tenu DEF CON 34 en 2026.

Le programme grand public de mises à jour de sécurité étendues (ESU) de Microsoft pour Windows 10 22H2 livre ses derniers correctifs de sécurité. Un PC Windows 10 domestique continue de fonctionner après cette date, mais ne reçoit plus de correctifs de sécurité, et le 12 octobre 2027 est aussi le dernier jour pour s'y inscrire.

Toutes les obligations portées par le Cyber Resilience Act entrent en vigueur : les produits comportant des éléments numériques ne peuvent être mis sur le marché de l'UE que s'ils répondent aux exigences essentielles de cybersécurité du texte, portent une évaluation de conformité et bénéficient de mises à jour de sécurité pendant leur période de support déclarée.