Cyber-assurance : les événements de la semaine du 24 au 31 octobre 2026

Six événements cyber de la semaine du 24 au 31 octobre 2026, du vol de 6,3 milliards de dollars chez Binance à Amadeus, GMO Internet, PHP2Shell, UNM Health et Sony Network Communications, reliés par la dépendance à des fournisseurs et plateformes partagés. Avec l'impact assurantiel et les questions à poser lors des renouvellements.

Semaine du 24 au 31 octobre 2026

Mis à jour le 1er novembre 2026 : le FBI a attribué le vol chez Binance à TraderTraitor et Binance a commencé à rouvrir les retraits.

La semaine du 24 au 31 octobre 2026 a un fil conducteur clair : la dépendance à un fournisseur ou à une plateforme partagée. Quatre des six événements retenus partent d'un point d'accès unique en amont (un système de réservation, un service de bureau virtuel dans le cloud, un logiciel web très répandu) qui se propage à de nombreux clients. Le plus important, le vol de 6,3 milliards de dollars chez Binance, montre ce qui se passe lorsque la gestion des systèmes qui signent les transactions cède. Un autre, le ransomware contre un grand système de santé, montre à quel point une interruption opérationnelle pèse plus que le vol de données. Pour la souscription du risque cyber, la question n'est pas seulement de savoir qui est l'assuré, mais de quels fournisseurs il dépend avec d'autres assurés.

En bref

Binance : le 29 octobre, la plateforme d'échange suspend les retraits après un vol estimé à environ 6,3 milliards de dollars, le plus important de l'histoire des cryptomonnaies ; environ 3 milliards gelés.
Amadeus : un accès non autorisé, du 10 août 2023 au 23 septembre 2026, au système de réservation utilisé par de nombreuses compagnies aériennes. JAL, ANA et Cathay Pacific ont annoncé des dizaines de milliers de clients concernés.
GMO Internet : le service de bureau virtuel Onamae.com est arrêté après une attaque assortie d'une demande d'extorsion de 50 millions de dollars, refusée. Jusqu'à 26 739 serveurs potentiellement concernés.
PHP2Shell : les deux vulnérabilités de PHP entrent dans le catalogue de la CISA des vulnérabilités exploitées le 26 octobre, avec une exploitation observée à l'échelle mondiale.
UNM Health : une attaque par ransomware oblige un système hospitalier du Nouveau-Mexique à dérouter des ambulances et à suspendre des interventions.
Sony Network Communications : 2 585 481 enregistrements de clients des fournisseurs d'accès So-net et plala exposés.

Les attaques de la semaine

1. Binance : le plus grand vol de l'histoire des cryptomonnaies

Le 29 octobre 2026, Binance a suspendu les dépôts et les retraits après un incident de sécurité qui, selon la plateforme, a touché environ 6,3 milliards de dollars d'actifs. Binance indique qu'environ 3 milliards ont été gelés sur les blockchains avec l'aide de partenaires du secteur. Les estimations de tiers varient : Chainalysis avance environ 5,9 milliards au moment du vol, Elliptic 6,43 milliards (The Hacker News). Le précédent record était le vol d'environ 1,5 milliard de dollars chez Bybit en 2025 (Cybersecurity Dive).

Selon TRM Labs, les transferts ont eu lieu sur dix blockchains, pour environ 6,36 milliards, en grande partie en une vingtaine de minutes ; les premiers mouvements non autorisés remontent à 20 h 05 UTC le 29 octobre. Les attaquants se préparaient depuis au moins 36 heures (CoinCentral).

La cause n'a pas été publiée. Les premières investigations de Binance désignaient l'ordinateur portable compromis d'un ingénieur DevOps, qui aurait donné accès à un conteneur de service depuis lequel des transactions de retrait non autorisées ont été envoyées. Le co-PDG Richard Teng a ensuite déclaré que l'attaque était plus complexe et que Binance avait trouvé d'autres points d'intrusion ; aucun élément n'indique une fuite des clés privées des wallets (The Hacker News). Binance affirme que les cold wallets, qui détiennent la majeure partie des fonds des clients, n'ont pas été touchés (Boston Globe).

TRM Labs et Chainalysis attribuent l'attaque avec un haut degré de confiance à TraderTraitor, une unité liée à la Corée du Nord et déjà désignée pour le vol chez Bybit ; Elliptic appelle à la prudence en raison de différences de calendrier et de méthodes de blanchiment. Binance se borne à dire qu'elle coopère avec les forces de l'ordre. Le 1er novembre 2026, le FBI a officiellement attribué le vol à TraderTraitor et, avec le Secret Service et l'IRS Criminal Investigation, a publié les adresses des wallets utilisés pour déplacer les fonds, convertis surtout en Ethereum (The Hacker News). Binance a mis de côté plus de 6,34 milliards de dollars de fonds propres pour couvrir les pertes des utilisateurs. Le 1er novembre, elle a lancé la première phase de réouverture des retraits et prévoit de l'achever progressivement, au fur et à mesure des contrôles de sécurité (même source).

2. Amadeus : trois ans d'accès à un système de réservation

Japan Airlines a annoncé que les données d'environ 92 000 clients ont été exposées à la suite d'un accès non autorisé au système de gestion des passagers d'Amadeus, utilisé pour les réservations, l'émission des billets et l'enregistrement. Pour environ 90 000 personnes, sont concernés le code de réservation, le nom, la date du vol, le trajet et la classe. Pour environ 2 000, également l'e-mail, le téléphone, le numéro de passeport, la nationalité, le numéro de voyageur fréquent et les numéros de billet et de siège (BleepingComputer).

L'accès non autorisé couvre la période du 10 août 2023 au 23 septembre 2026. Amadeus a informé JAL le 23 octobre 2026. Le 1er octobre 2026, Amadeus avait publié un avis sur une vulnérabilité dans l'environnement d'affichage des réservations ; BleepingComputer note que la faille semble avoir été exploitée par la suite. Ni l'article ni Amadeus ne désignent de responsable.

All Nippon Airways a annoncé environ 37 800 clients concernés, avec passeport et nationalité pour 1 700 d'entre eux. Asiana Airlines et Korean Air ont confirmé être touchées (ID Tech). JAL exclut l'exposition de cartes de crédit et de mots de passe et déclare n'avoir aucune preuve d'utilisation abusive.

Le 31 octobre 2026, Cathay Pacific a annoncé environ 53 000 réservations concernées, créées entre août 2023 et septembre 2026. Amadeus l'a informée le 28 octobre et a expliqué qu'une partie non autorisée avait utilisé les identifiants d'un compte système pour accéder aux données de réservation ; Amadeus a réinitialisé le mot de passe et renforcé la surveillance (Aviation A2Z).

3. GMO Internet : un service de bureau virtuel fermé

GMO Internet, grand fournisseur japonais, a découvert le 20 octobre 2026 que des tiers avaient installé des programmes malveillants sur les serveurs de certains clients du service Onamae.com Desktop Cloud, utilisé notamment pour le trading de devises. Le 21 octobre est arrivé un e-mail d'extorsion de 50 millions de dollars et les arrêts de serveurs ont commencé. GMO a refusé de payer. Le 24 octobre, elle a confirmé que des informations de clients avaient été dérobées et, le 27 octobre, que les attaquants avaient publié des données qui semblent concerner des clients, en avertissant qu'elles pourraient contenir de fausses informations (Webhosting Today).

Jusqu'à 26 739 serveurs sont potentiellement concernés ; il s'agit d'une estimation des serveurs qui pourraient avoir été touchés, et non d'intrusions avérées. Certains clients ont signalé des opérations de trading qu'ils ne reconnaissaient pas. GMO ne relancera pas la plateforme sous sa forme actuelle. Elle proposera un environnement de remplacement gratuit pendant six mois, une indemnité de 5 000 yens à chaque client et le remboursement des pertes confirmées, après d'éventuels remboursements par les sociétés de trading. Elle a aussi ouvert une récompense allant jusqu'à 1 million de dollars pour des informations utiles aux enquêteurs (même article).

Selon The Register, le PDG Masatoshi Kumagai a reconnu que la réponse à des signalements internes antérieurs n'avait pas été suffisamment approfondie ni rapide, et a relié une attaque contre une vingtaine d'entreprises japonaises à l'utilisation d'ARTEX, un outil autonome de penetration testing fondé sur l'IA (The Register). Il s'agit d'une déclaration du dirigeant, pas d'une vérification indépendante.

4. PHP2Shell : de la vulnérabilité à l'exploitation confirmée

Les deux failles du moteur PHP (CVE-2026-109618 et CVE-2026-109619), déjà traitées la semaine dernière, ont franchi une étape supplémentaire. Le 26 octobre 2026, la CISA les a ajoutées à son catalogue des vulnérabilités connues et exploitées, avec une échéance au 29 octobre pour les agences civiles fédérales américaines. PHP avait publié les correctifs le 21 octobre, dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 (The Next Web).

Le 24 octobre, un chercheur a enregistré dans trois honeypots 35 commandes shell lancées depuis le serveur Apache, à partir de deux adresses IP, de manière cohérente avec le premier CVE. Le laboratoire de l'Université de technologie de Delft a compté depuis le 21 octobre 68 499 requêtes d'exploitation provenant de 652 adresses IP dans 73 pays, dont 174 avec du code ou un dropper. La même source rapporte que Sophos a corrigé un compte rendu d'attaques réussies contre ses propres clients et que l'Unit 42 de Palo Alto Networks a retiré une évaluation d'une attaque contre un organisme gouvernemental européen : les attributions doivent donc être traitées avec prudence.

5. UNM Health : l'interruption opérationnelle d'un hôpital universitaire

Le 26 octobre 2026, University of New Mexico Health a subi une panne de ses systèmes informatiques. UNM Health a limité les nouvelles admissions, dérouté les ambulances vers d'autres hôpitaux et suspendu des interventions ambulatoires et des rendez-vous ; les cours des quatre écoles de sciences de la santé ont été annulés (BleepingComputer).

L'université n'a pas précisé le type d'attaque. Le groupe Byod, nouveau et avec six victimes sur son site, a revendiqué l'attaque, affirmant avoir accès à environ 36 000 systèmes et à des données de patients, d'étudiants et d'employés. Ce sont des déclarations du groupe, non vérifiées. UNM Health affirme que l'événement n'a pas pénétré les systèmes et serveurs principaux, mais a touché certains appareils d'utilisateurs. À la date de l'article, le 27 octobre, les systèmes critiques étaient de nouveau en ligne, les hôpitaux pleinement ouverts et les cliniques avaient repris leur activité.

6. Sony Network Communications : la fuite de données massive

Sony Network Communications, filiale de Sony Group qui opère comme fournisseur d'accès à internet au Japon, a annoncé que la base de données des membres de So-net avait été consultée par une personne non autorisée. Les enregistrements concernés sont au nombre de 2 585 481 : 2 141 986 de So-net et 443 495 du service plala, qui concerne des clients Docomo Hikari de NTT Docomo. En outre, 54 401 adresses e-mail de divers services ont été exposées, avec les mots de passe des comptes (BleepingComputer).

Les données comprennent nom, téléphone, e-mail, identifiant utilisateur, date de naissance, genre et identifiants de connexion ; aucune donnée bancaire ni de carte n'apparaît. L'intrusion a eu lieu le 19 octobre et a été détectée environ quatre jours plus tard ; Sony l'a annoncée le 27 octobre et l'a signalée à la Commission japonaise de protection des informations personnelles. L'article n'indique ni l'auteur ni la méthode, et au 27 octobre aucune utilisation abusive n'était confirmée.

Autres événements à signaler

Université de Copenhague (enseignement) : accès à un environnement de test, avec les données d'environ 525 000 personnes (nom, numéro d'identité nationale CPR, téléphone, e-mail) et, selon une mise à jour, les codes d'accès physique d'environ 20 000 membres du personnel et étudiants. Notifié à l'autorité danoise de protection des données.
ENGIE (énergie) : compromission d'une plateforme marketing utilisée par les partenaires commerciaux ; coordonnées et données contractuelles de clients en France exposées, nombre non communiqué. ENGIE indique que ses systèmes internes n'ont pas été touchés.
Quest Diagnostics (santé) : accès non autorisé à Quanum, plateforme de commande d'analyses et de facturation, avec vol de données de patients. Le volume et le responsable ne sont pas connus ; la société a déposé une déclaration auprès de la SEC (Beinsure).

Impact assurantiel

Le tableau commun est la concentration : le sinistre ne naît pas chez l'assuré, mais dans une infrastructure partagée. Pour chaque événement, l'impact possible sur les polices peut se lire ainsi.

Binance. Garanties potentiellement activées : vol d'actifs numériques, extorsion et interruption d'activité, lorsqu'elles sont prévues. Potentiel de cumul : moyen à élevé, pour les contreparties et les services liés à la plateforme (gels de stablecoins, protocoles de finance décentralisée ayant suspendu dépôts et prêts). Point contractuel : de nombreuses polices cyber limitent ou excluent les actifs numériques et le vol de cryptomonnaies ; comptent la définition du bien assuré, la conservation et la sous-limite. L'attribution à un État, désormais faite par le FBI, fait entrer en jeu les exclusions pour actes de guerre ou opérations étatiques.
Amadeus. Garanties potentiellement activées : responsabilité pour violation de données, frais de notification et de gestion de l'incident, sanctions lorsqu'elles sont assurables. Potentiel de cumul : élevé, car le même système sert plusieurs compagnies aériennes dans plusieurs pays. Point contractuel : la durée de l'accès (depuis 2023) et la date de découverte au regard de la rétroactivité et du délai subséquent de déclaration.
GMO Internet. Garanties potentiellement activées : extorsion, interruption d'activité, restauration des systèmes, responsabilité envers les clients. Potentiel de cumul : élevé parmi les clients du service. Point contractuel : les pertes financières liées au trading non autorisé, que de nombreuses polices excluent ou limitent, et la distinction entre dommage du client et dommage du fournisseur.
PHP2Shell. Garanties potentiellement activées : toutes celles d'un incident informatique, de la restauration à la responsabilité. Potentiel de cumul : très élevé, car le logiciel est extrêmement répandu et la même faille touche des assurés différents. Point contractuel : le retard dans l'application des correctifs et les conditions de gestion des vulnérabilités.
UNM Health. Garanties potentiellement activées : interruption d'activité, restauration, extorsion, responsabilité liée aux données de santé. Potentiel de cumul : faible en tant qu'événement isolé, mais élevé en gravité. Point contractuel : sous-limites et délais de carence de l'interruption, et coût des soins non dispensés.
Sony Network Communications. Garanties potentiellement activées : responsabilité pour violation de données, notifications, surveillance du crédit. Potentiel de cumul : moyen. Point contractuel : la présence de mots de passe parmi les données exposées, qui peut étendre le dommage à d'autres services des clients.

Le fournisseur est le point de cumul. Amadeus (désormais aussi avec Cathay Pacific), GMO et PHP2Shell montrent que le risque se trouve dans les dépendances partagées plus que chez l'assuré pris isolément. Il faut des cartographies des dépendances du portefeuille, pas seulement des questionnaires par client.

La durée de l'intrusion change la lecture du sinistre. Un accès qui dure des années, comme celui décrit pour Amadeus, rend centrales les dates de rétroactivité, de découverte et de notification. La même prudence vaut pour les déclarations des groupes criminels, souvent invérifiables : pour l'évaluation, compte le fait établi par l'assuré et par le fournisseur.

L'attribution étatique pèse sur les libellés. Pour Binance, l'attribution à la Corée du Nord, d'abord avancée par les analystes, a été confirmée par le FBI le 1er novembre 2026, trois jours après le vol. Les clauses sur les actes de guerre et les opérations étatiques dépendent de la façon dont le libellé définit l'attribution et de qui peut l'établir.

L'interruption pèse plus que le vol de données. Pour un hôpital, la perte principale est l'impossibilité de fonctionner. Les conditions relatives à l'interruption d'activité, y compris du fait d'un fournisseur, méritent plus d'attention que celles portant sur la seule fuite de données.

Ce qu'il faut apporter aux renouvellements

Les actifs numériques et les cryptomonnaies sont-ils couverts, avec quelle sous-limite, et comment la conservation et les wallets sont-ils définis ?
Quels fournisseurs critiques (réservation, bureau virtuel dans le cloud, hébergement, MSP) soutiennent l'activité de l'assuré, et la police couvre-t-elle l'interruption causée par un fournisseur ?
Existe-t-il des sous-limites pour l'interruption d'activité due à un fournisseur, et quelle est la durée des délais de carence ?
Comment sont traitées les pertes financières causées par l'utilisation non autorisée d'identifiants ou de comptes de trading ?
Quelles sont la rétroactivité et le délai subséquent de déclaration, en cas d'accès non autorisés découverts des années plus tard ?
Existe-t-il un processus documenté pour appliquer les correctifs aux vulnérabilités exploitées (par exemple celles du catalogue de la CISA), et dans quels délais ?
Comment sont couverts les frais de notification et de gestion de l'incident lorsque les données exposées concernent des personnes dans plusieurs pays ?

Côté portefeuille, il est utile de recenser les expositions à quelques plateformes récurrentes (systèmes de réservation, hébergement et bureau virtuel dans le cloud, langages et logiciels très répandus) et de simuler un scénario dans lequel un seul fournisseur touche de nombreux assurés sur la même période.