En quelques semaines, une banque, des centaines de supermarchés et les chambres froides de l’Établissement français du sang ont été visés par des cyberattaques. Dans le même temps, une faille critique de PHP a exposé une grande partie des sites internet. Ces affaires n’ont pas toutes le même auteur. Elles ont en revanche un point commun : à chaque fois, l’attaquant est entré par un accès que personne ne surveillait.
Cet article fait le point sur ce qui s’est réellement passé, sans dramatiser. Il décrit les scénarios qui menacent une PME, puis donne un plan d’urgence en trois temps : ce qu’il faut faire aujourd’hui, cette semaine et ce mois-ci. Il s’appuie sur les communiqués des victimes et sur les alertes officielles, citées en fin de page.
En bref
- Les attaques récentes sont passées par un prestataire, un équipement connecté à internet ou un logiciel qui n’était pas à jour. Elles n’ont demandé aucun génie : un accès oublié a suffi.
- La première protection est une sauvegarde hors ligne, dont la restauration a été testée. Sans elle, une attaque par rançongiciel peut arrêter une entreprise.
- Les accès qui traînent (anciens prestataires, comptes inutilisés, mots de passe partagés) sont la porte la plus souvent ouverte.
- L’intelligence artificielle utilisée sans règles crée de nouveaux risques : données confidentielles collées dans un outil en ligne, assistants qui ont trop de droits.
- En cas d’attaque, il faut isoler, ne pas payer, prévenir la CNIL sous 72 heures si des données personnelles sont touchées, et porter plainte.
Ce qui s’est passé ces dernières semaines
Crédit Mutuel Arkéa : un prestataire comme point d’entrée
Le 4 novembre 2026, Crédit Mutuel Arkéa a annoncé avoir été victime d’une cyberattaque qui a permis des virements frauduleux depuis le compte propre de la banque. Selon la banque, les attaquants sont passés par la plateforme d’un prestataire. La presse évoque un montant d’environ 118 millions d’euros ; Arkéa n’a pas confirmé ce chiffre, mais en a validé l’ordre de grandeur. La banque indique qu’une partie des fonds a été bloquée, que l’incident est maîtrisé et qu’il n’entraîne aucune conséquence financière pour ses clients.
Les supermarchés : les frigos pilotés à distance
À partir du 12 octobre 2026, des magasins Intermarché et U ont vu leurs installations de froid déréglées à distance : dégivrages forcés, consignes de température modifiées, denrées à jeter. Le gouvernement a cité environ 700 supermarchés touchés. Le CERT-FR, le centre de réponse de l’ANSSI, a publié le jour même une alerte sur la compromission de régulateurs de froid Danfoss (séries AK-SM et AK-SC) et de superviseurs Copeland et Dixell xweb, joignables depuis internet.
Dans la nuit du 1er au 2 novembre, la même méthode a frappé des magasins en Belgique, en Suède, aux Pays-Bas et en Irlande. Aucun logiciel malveillant n’a été nécessaire : les attaquants ont simplement modifié les réglages d’équipements accessibles en ligne.
L’Établissement français du sang : le prestataire frigorifique visé
Au début du mois de novembre, le système de supervision des chambres froides d’un prestataire de l’EFS a été compromis sur trois sites. Les réglages de plusieurs installations ont été modifiés. Selon l’EFS, aucun impact sanitaire n’a été identifié et aucune perte de produits sanguins n’est à déclarer : les alarmes ont fonctionné, les accès à distance ont été coupés et les produits ont été déplacés. L’enquête se poursuit sur le mode opératoire.
Le conflit avec l’Iran : un contexte plus tendu
Depuis les frappes du 28 février 2026 contre l’Iran, les agences de cybersécurité alliées observent des campagnes de groupes hacktivistes : surtout des attaques par déni de service, qui saturent un site jusqu’à le rendre inaccessible, et des défigurations de pages d’accueil. Le Centre canadien pour la cybersécurité note que ces groupes exagèrent souvent la portée de leurs actions. Aucune des attaques françaises décrites ici ne leur a été officiellement attribuée.
PHP2Shell : une faille qui touche les sites eux-mêmes
Le 21 octobre 2026, PHP a publié en urgence des correctifs pour deux failles critiques qui permettent de prendre le contrôle d’un serveur sans mot de passe. WordPress, PrestaShop et la plupart des sites sur mesure fonctionnent avec PHP. Nous avons détaillé la faille PHP2Shell, les versions touchées et la marche à suivre dans un guide dédié.
Cinq scénarios qui menacent une PME
Ces affaires concernent de grandes organisations, mais les méthodes utilisées s’appliquent aussi aux petites entreprises, qui sont souvent moins bien protégées. Voici les cinq scénarios que nous rencontrons le plus souvent.
1. Le prestataire compromis
Votre comptable, votre installateur, votre ancien développeur ou votre éditeur de logiciel dispose d’un accès à vos outils. Si son compte est piraté, l’attaquant entre chez vous avec ses droits, sans déclencher d’alerte. C’est ce qui s’est passé chez Arkéa et à l’EFS.
2. L’équipement connecté oublié
Caméras, alarme, régulateur de chauffage ou de froid, imprimante, routeur : beaucoup d’équipements ont une interface d’administration accessible depuis internet, parfois avec le mot de passe d’usine. Personne ne les met à jour, parce que personne ne sait qu’ils sont exposés.
3. Le rançongiciel sur un serveur sans sauvegarde
Un rançongiciel chiffre les fichiers et exige une rançon pour les rendre. Si la seule sauvegarde est branchée sur le même réseau, elle est chiffrée elle aussi. L’entreprise n’a alors plus ni ses devis, ni sa comptabilité, ni ses fichiers clients.
4. Le site jamais mis à jour
Un site dont le CMS, les extensions ou la version de PHP ont plusieurs années de retard est attaqué automatiquement, quelle que soit sa taille. Il peut servir à envoyer du spam, à rediriger vos visiteurs vers des arnaques ou à voler les données de votre formulaire de contact. Les failles les plus fréquentes sont décrites dans notre article sur les dix vulnérabilités qui touchent les sites français.
5. Le déni de service
Un site saturé de fausses requêtes devient inaccessible pendant quelques heures. Pour une boutique en ligne ou un service de prise de rendez-vous, cela représente un manque à gagner direct. Un hébergement correctement protégé absorbe la plupart de ces attaques.
Le plan d’urgence
Aujourd’hui
- Vérifier les sauvegardes. Il faut au moins une copie hors ligne ou chez un autre fournisseur, que le rançongiciel ne peut pas atteindre. Restaurez un fichier ou une copie du site pour vérifier qu’elle fonctionne : une sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde.
- Changer les mots de passe partagés. Messagerie, banque en ligne, administration du site, hébergement, nom de domaine : un mot de passe différent et long pour chacun, rangé dans un gestionnaire de mots de passe.
- Activer la double authentification partout où elle est proposée, en commençant par la messagerie et la banque. C’est la mesure qui bloque le plus d’attaques pour le moins d’efforts.
Cette semaine
- Faire le tour des accès. Dressez la liste de ceux qui peuvent se connecter à vos outils : salariés, anciens salariés, prestataires actuels et passés. Supprimez les comptes inutilisés et les accès des prestataires qui ne travaillent plus pour vous.
- Repérer ce qui est exposé sur internet. Demandez à vos installateurs quels équipements sont accessibles à distance, et comment. Un accès à distance doit passer par une connexion sécurisée, jamais par une interface ouverte à tous.
- Mettre à jour le site et le serveur. CMS, thème, extensions et version de PHP. Si votre site tourne sur une version de PHP qui ne reçoit plus de correctifs, c’est la priorité.
Ce mois-ci
- Écrire un plan de continuité d’une page. Qui appeler, quels outils sont indispensables, comment travailler sans eux pendant trois jours, où sont les sauvegardes et qui sait les restaurer.
- Relire les contrats des prestataires. Qui est responsable de la sécurité, des mises à jour et des sauvegardes ? Dans quel délai le prestataire doit-il vous prévenir d’un incident ? Si le contrat ne dit rien, rien n’est garanti.
- Confier le suivi du site à quelqu’un dont c’est le travail. Une maintenance de site internet couvre les mises à jour, la surveillance des alertes de sécurité et les sauvegardes. Un hébergement infogéré fait de même pour le serveur.
Pour les entreprises concernées par la directive NIS2, ces mesures ne sont plus seulement conseillées : il faudra pouvoir prouver qu’elles sont appliquées.
L’IA utilisée à l’aveugle
L’intelligence artificielle fait gagner du temps, mais son usage sans règles ouvre trois risques nouveaux.
- Les données collées dans un outil en ligne. Un contrat, un fichier client ou un tableau de salaires copié dans un chatbot grand public peut être conservé par le fournisseur, voire servir à entraîner ses modèles. Choisissez une offre professionnelle dont les conditions excluent cet usage, et fixez la liste de ce qui ne doit jamais y être collé.
- Les assistants qui ont trop de droits. Un assistant IA relié à la messagerie, au partage de fichiers ou au CRM peut lire, et parfois envoyer, tout ce à quoi il a accès. Donnez-lui uniquement les droits dont il a besoin, comme à un nouveau salarié.
- Les instructions cachées. Un courriel ou une page web peut contenir un texte invisible qui donne des ordres à l’assistant qui le lit : transférer un document, cliquer sur un lien. Une action sensible, comme un paiement ou un envoi de fichier, doit toujours être validée par une personne.
Si vous êtes attaqué
- Isoler les machines touchées en les débranchant du réseau, sans les éteindre : elles gardent des traces utiles à l’enquête.
- Ne pas payer la rançon. Rien ne garantit que les fichiers seront rendus, et le paiement finance la prochaine attaque.
- Demander de l’aide sur cybermalveillance.gouv.fr, qui oriente vers des prestataires référencés, ou via le 17Cyber.
- Prévenir la CNIL sous 72 heures si des données personnelles ont pu être exposées, et informer les personnes concernées si le risque pour elles est élevé.
- Porter plainte au commissariat ou à la gendarmerie. La plainte est souvent exigée par l’assurance.
- Restaurer à partir d’une sauvegarde saine, après avoir corrigé la porte d’entrée. Sinon, l’attaquant revient par le même chemin.
Et le kit de survie du gouvernement ?
Le guide « Tous responsables », publié par le gouvernement en novembre 2025, recommande à chaque foyer de garder de quoi tenir 72 heures en cas de crise : eau, nourriture, radio, lampe, médicaments. Il ne s’adresse pas aux entreprises, mais l’idée vaut pour elles aussi. Pour une PME, le kit des 72 heures, c’est une sauvegarde hors ligne, la liste des contacts d’urgence imprimée et un plan qui dit comment continuer à travailler quand les outils ne répondent plus.
Ce que fait Novatis
Nous faisons le point avec vous sur votre site, votre hébergement, vos sauvegardes et les accès ouverts à vos prestataires. Vous recevez un rapport clair, avec la liste des corrections à faire par ordre de priorité. Si votre site doit être mis à jour ou sécurisé, nous nous en chargeons.
Faire le point sur ma sécurité ou appelez-nous au 07 56 82 86 52.
Sources
- CERT-FR (ANSSI), alerte CERTFR-2026-ALE-012 sur les contrôleurs de froid, 12 octobre 2026, mise à jour le 16 octobre
- Presse-citron, « Fraude chez Crédit Mutuel Arkéa : la banque en dit plus », 4 et 5 novembre 2026
- IT-Connect, la cyberattaque des frigos de supermarchés s’étend à l’Europe
- ICI, les chambres froides de l’Établissement français du sang victimes d’un piratage, 4 novembre 2026
- Centre canadien pour la cybersécurité, bulletin sur les cybermenaces iraniennes, 2026
- CERT-FR (ANSSI), alerte CERTFR-2026-ALE-014 sur PHP
- Gouvernement, « Tous responsables : un guide pour mieux faire face aux risques », 20 novembre 2025
- Cybermalveillance.gouv.fr et 17Cyber
- CNIL, notifier une violation de données personnelles
