TL;DR — Le bilan du Cybermois 2026 tient en quatre signaux. Des frigos de supermarchés sabotés via des contrôleurs OT (technologies opérationnelles) exposés. Un zero-day Ivanti Connect Secure exploité dès début octobre. Une vague de fuites de données le 17 octobre. Et NIS2, toujours pas transposée en France. Priorité : inventaire des actifs exposés, patching des VPN, gouvernance cyber.
Octobre a puni les actifs exposés, oubliés ou non patchés. Pendant ce temps, Cybermalveillance.gouv.fr menait la 14e édition du Cybermois. Les attaquants, eux, n’ont pas fait de pause.
Frigos sabotés, VPN compromis, données en fuite : le mois a été chargé. Pourtant, le signal le plus inquiétant vient du Parlement. La directive NIS2 n’est toujours pas transposée, deux ans après l’échéance.
Ce bilan s’adresse aux DSI (directeurs des systèmes d’information) et aux RSSI. Ces responsables de la sécurité des SI le savent déjà. Attendre la loi n’est plus une option.
Le Cybermois 2026 a d’abord été une campagne de sensibilisation. Son thème, « Se Cyber Protéger, ce n’est pas si bête », détourne des expressions populaires. L’objectif : ancrer les bons réflexes de façon ludique.
La cible principale reste claire. L’opération vise surtout à sensibiliser les TPE et PME aux enjeux de cybersécurité. Elle s’inscrit dans le Mois européen de la cybersécurité, porté par l’agence européenne ENISA. Par ailleurs, le CyberTour de France compte six étapes, jusqu’au 4 novembre.
Soyons clairs : la sensibilisation reste indispensable. Mais les incidents majeurs d’octobre ne relèvent pas d’un clic malheureux. Ils relèvent de l’architecture, de l’inventaire et de la gestion des tiers. Autrement dit, du périmètre direct de la DSI.
L’incident phare du Cybermois 2026 ne visait ni serveur ni poste de travail. Sa cible : les systèmes de réfrigération de centaines de supermarchés en France. Les températures sont montées jusqu’à 50 °C, provoquant pertes de denrées et incendies.
Les équipements visés sont identifiés. Il s’agit des contrôleurs de froid Danfoss des séries AK-SM et AK-SC. Côté impact, Les Mousquetaires évoquent plusieurs millions d’euros de pertes potentielles.
Dix jours après, l’Agence nationale de la sécurité des SI (ANSSI) a tranché. Les équipements étaient joignables depuis Internet, sans pare-feu ni segmentation. Leur interface d’administration n’était protégée que par des mots de passe faibles.
Le diagnostic fait toutefois débat. Certains analystes évoquent un contournement d’authentification documenté (CVE-2025-41450), indépendant du vrai mot de passe. En pratique, la conclusion reste identique. Un contrôleur non exposé échappait aux deux scénarios.
Qui, dans l’entreprise, savait que ces équipements étaient en ligne ? Ces modules de télégestion sont massivement déployés par les prestataires de maintenance du froid. Ils échappent ainsi à la CMDB (base de gestion des configurations) de la DSI. Résultat : un parc invisible des outils d’ITAM (gestion des actifs IT).
Et le risque persiste. Environ 2 750 systèmes Danfoss restaient exposés en ligne après l’attaque. De plus, l’ANSSI pointe désormais aussi les systèmes Copeland Xweb et Dixell Xweb. Enfin, l’agence publie depuis 2014 un guide dont la règle de base est simple : jamais d’exposition directe.
Actions immédiates :
Deuxième alerte majeure du Cybermois 2026 : la passerelle VPN Ivanti Connect Secure. Le 13 octobre, Ivanti a demandé un correctif immédiat pour un zero-day activement exploité. Référencée CVE-2026-104935, la faille permet de contourner l’authentification.
La chronologie inquiète davantage. Selon la CISA, agence américaine de cybersécurité, l’exploitation remonte au moins au 1er octobre. Pire, l’attaquant l’a combinée à une élévation de privilèges encore non corrigée. Concrètement, une appliance pourtant entièrement à jour a été compromise début octobre. L’objectif : dérober des identifiants et des informations sensibles de l’annuaire.
Ce n’est pas un accident isolé. Le catalogue de la CISA recense désormais 15 failles Connect Secure ou Pulse Connect Secure exploitées. Un équipement critique, exposé et ciblé en boucle appelle donc une question d’architecture. Faut-il conserver un VPN SSL ou basculer vers une approche ZTNA (Zero Trust Network Access) ? La réponse dépend du parc. Mais la question mérite son passage en comité de direction.
Actions immédiates :
Le 17 octobre a concentré les attaques. Une vingtaine d’organisations françaises ont vu leurs fichiers revendiqués en quelques heures. La plateforme FrenchBreaches estime à plus de 9 millions les personnes potentiellement touchées. Ce chiffre reste une estimation fondée sur des revendications, pas une donnée officielle.
Le contenu des fichiers pose problème. On y trouve des données médicales, des pièces d’identité et des adresses de livraison. De quoi alimenter des campagnes de phishing très ciblées pendant des mois.
En parallèle, le déni de service s’est invité. Le site de la CAF est tombé ce samedi matin, un groupe prorusse visant aussi l’ANSSI. Quatre jours plus tôt, un DDoS avait rendu le site du SGDSN inaccessible plus de quatre heures, sans fuite de données. Pour rappel, le SGDSN coordonne la défense et la sécurité nationale.
En pratique, ces attaques n’ont pas le même but. Le DDoS cherche la visibilité, la fuite cherche la monétisation. Mais la porte d’entrée est souvent un outil métier. Exemple : une mutuelle a confirmé une intrusion dans son outil de gestion des adhésions.
Actions immédiates :
Sur le plan réglementaire, le bilan du Cybermois 2026 tient en un mot : report. Le 6 octobre 2026, l’Assemblée nationale a retiré le projet de loi Résilience de son ordre du jour. Motif officiel : l’encombrement du calendrier parlementaire.
Le retard devient pourtant coûteux. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’UE. Or l’enjeu est massif : le texte concerne près de 15 000 entités. Il transpose aussi la directive REC (résilience des entités critiques) et des dispositions DORA. DORA encadre la résilience opérationnelle numérique du secteur financier.
Un délai de mise en conformité de trois ans après publication est annoncé. L’ANSSI envisagerait d’ailleurs une conformité complète à NIS2 fin 2028. Les attaquants, eux, n’attendent pas le Journal officiel. Surtout, l’ANSSI insiste : analyse des risques et cartographie peuvent commencer sans attendre.
Trois chantiers peuvent démarrer dès novembre :
Qualifier l’organisation : entité essentielle, importante ou hors périmètre.
Mesurer les écarts face au référentiel ReCyF de l’ANSSI.
Identifier qui, dans la direction, portera la gouvernance des risques cyber.
| Chantier | Action concrète | Pilote | Horizon |
|---|---|---|---|
| Accès distants | Patcher les VPN, chasser les indicateurs de compromission, réinitialiser les comptes exposés | Équipe infrastructure | Immédiat |
| Exposition Internet | Scanner la surface d’attaque externe, fermer les interfaces d’administration exposées | RSSI | 2 semaines |
| Inventaire OT/IoT | Intégrer les équipements des prestataires (froid, GTB, contrôle d’accès) à la CMDB et à l’ITAM | DSI + services généraux | 1 mois |
| Prestataires | Auditer les accès de télémaintenance, revoir les clauses de sécurité des contrats | Achats + RSSI | Trimestre |
| Conformité NIS2 | Qualifier l’entité, mesurer les écarts au référentiel ReCyF, désigner le porteur de la gouvernance | Direction générale + RSSI | T1 2027 |
| Gestion de crise | Organiser un exercice de crise DDoS et fuite de données avec la direction | Comex | Semestre |
Le Cybermois 2026 a rempli son rôle de sensibilisation. Octobre a surtout rappelé une réalité moins confortable. Les dégâts naissent d’actifs exposés, oubliés ou gérés par des tiers. Inventaire, exposition, accès distants, gouvernance : aucun de ces chantiers n’a besoin de NIS2 pour démarrer.
Combien d’équipements de votre SI répondent aujourd’hui depuis Internet ? Si la réponse prend plus d’une heure, le chantier est ouvert. Les experts Tenexa en cybersécurité, ITAM et services managés vous aident à le cadrer.
Cybermois 2026
Attaque des frigos de supermarchés
Zero-day Ivanti Connect Secure
Fuites de données et DDoS
NIS2
Réglementation