Cyber-assurance : les événements de la semaine du 31 octobre au 7 novembre 2026

Cinq événements cyber de la semaine du 31 octobre au 7 novembre 2026, de la nouvelle vague d'attaques contre les installations frigorifiques des supermarchés européens à Crédit Mutuel Arkéa, Chainalysis, DigiCert et Queens Public Library, reliés par des systèmes exposés et des prestataires servant de porte d'entrée. Avec l'impact assurantiel et les questions à apporter aux renouvellements.

Semaine du 31 octobre au 7 novembre 2026

La semaine du 31 octobre au 7 novembre 2026 a un fil conducteur : des systèmes laissés exposés, parfois pendant des années, qui deviennent la porte d'entrée. En Europe, une deuxième vague d'attaques frappe les installations frigorifiques de supermarchés dotées de logiciels obsolètes et de mots de passe par défaut, jusqu'en Sicile. En France, une banque mutualiste perd environ 100 millions d'euros via la plateforme d'un prestataire. Une autorité de certification découvre qu'un système interne est resté accessible depuis internet pendant plus de 16 mois, et une société d'analyse des blockchains admet que l'attaque de fin octobre a aussi exposé des mots de passe de clients. Pour la souscription du risque cyber, la question n'est pas seulement de savoir si l'assuré a corrigé les vulnérabilités connues, mais s'il sait quels systèmes il expose réellement.

En bref

Installations frigorifiques en Europe : dans la nuit du 1er au 2 novembre, une nouvelle vague frappe des supermarchés en Belgique, en Suède, en Irlande, aux Pays-Bas, au Portugal, en Estonie, en Finlande et en Italie ; le 4 novembre, l'ENISA, la Commission européenne, Europol et le réseau des CSIRT publient une déclaration commune.
Crédit Mutuel Arkéa : le 4 novembre, la banque confirme une attaque ayant permis des opérations frauduleuses ; le préjudice est de l'ordre de 100 millions d'euros, convertis en cryptomonnaies.
Chainalysis : le 4 novembre, la société confirme que l'attaque de fin octobre a aussi exposé une partie des mots de passe des clients ; plusieurs produits restent à l'arrêt.
DigiCert : un système interne est resté exposé à internet pendant plus de 16 mois ; entre le 27 juin et le 2 juillet, un compte non autorisé a consulté des données archivées de clients, peut-être aussi des pièces d'identité.
Queens Public Library : depuis le 4 novembre, un rançongiciel paralyse le site, l'application, les automates de prêt, les ordinateurs et le Wi-Fi dans les 66 sites du réseau de bibliothèques de New York.

Les attaques de la semaine

1. Installations frigorifiques : la deuxième vague en Europe

Dans la nuit du dimanche 1er au lundi 2 novembre 2026, des cyberattaques ont frappé les systèmes de réfrigération de supermarchés dans plusieurs pays européens. En Belgique, les équipements ont été passés en mode dégivrage, chauffant au lieu de refroidir : plusieurs dizaines de magasins Delhaize, 15 Carrefour, entre 10 et 15 Intermarché et 5 Spar ont été touchés. En Suède, dans un magasin ICA, les températures ont été réglées à 50 °C et la marchandise a été jetée. En Irlande, Musgrave a retiré par précaution les produits frais et surgelés de 13 magasins SuperValu. Des cas ont aussi été signalés aux Pays-Bas, au Portugal, en Estonie, en Finlande et en Italie, où au moins quatre supermarchés Coop du groupe Radenza en Sicile ont été touchés (The Hacker News).

La méthode rappelle les attaques du 11 octobre contre des centaines de supermarchés français, qui avaient exploité des contrôleurs Danfoss AK-SM 800 et AK-SC 355 que le fabricant ne met plus à jour. L'alerte du CERT-FR couvre aussi les équipements Copeland et Dixell xweb. Danfoss a indiqué que les systèmes touchés aux Pays-Bas n'étaient pas sur un réseau protégé et utilisaient encore des mots de passe par défaut. Personne n'a revendiqué les attaques ; le centre belge pour la cybersécurité a déclaré que le responsable pourrait ne jamais être identifié, et le parquet fédéral belge a ouvert une enquête (même source).

Le 4 novembre, l'ENISA, la Commission européenne, le centre de lutte contre la cybercriminalité d'Europol, le réseau des CSIRT de l'UE et EU-CyCLONe ont publié une déclaration commune sur les incidents touchant les installations frigorifiques commerciales de plusieurs États membres, appelant à réduire immédiatement l'exposition des systèmes. La déclaration n'attribue pas les attaques (ENISA).

2. Crédit Mutuel Arkéa : environ 100 millions sortis du compte de la banque

Le 4 novembre 2026, Crédit Mutuel Arkéa, groupe bancaire mutualiste qui comprend le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest et Fortuneo, a confirmé une cyberattaque ayant permis « la réalisation d'opérations frauduleuses », qualifiant l'incident de maîtrisé. Certaines opérations ont été suspendues par précaution, retardant des virements. Selon Le Télégramme, environ 118 millions d'euros auraient été détournés ; la banque n'a pas confirmé ce chiffre. Les fonds auraient été transférés vers d'autres comptes et plateformes d'échange puis convertis en cryptomonnaies ; Kraken et Crypto.com auraient bloqué des comptes liés à ces mouvements. La banque affirme que l'incident n'aura aucune conséquence financière pour les clients (Le Monde Informatique).

La banque a ensuite expliqué que les attaquants sont passés par la plateforme d'un de ses prestataires, non nommé, et ont utilisé le compte de la banque elle-même pour envoyer des virements vers d'autres banques, sans toucher aux comptes des clients. Elle a évoqué une attaque sophistiquée venant de l'extérieur, en écartant une erreur humaine interne, et n'a confirmé que l'ordre de grandeur du préjudice, qui pourrait dépasser 100 millions d'euros. Personne n'a revendiqué l'attaque (DH).

Un expert cité par la même source pose la question qui compte pour le marché : si le prestataire sert aussi d'autres banques, le risque ne concerne pas un seul établissement.

3. Chainalysis : des e-mails aux mots de passe

Le 30 octobre 2026, Chainalysis, société d'analyse des blockchains, avait signalé une attaque, en précisant qu'elle n'était pas liée au vol chez Binance. La première analyse indiquait que seuls des identifiants utilisateur, des noms, des e-mails et des rôles avaient été exposés, sans accès aux identifiants de connexion ni aux jetons de session. Le 4 novembre, la société a confirmé qu'une attaque de type « on-path » avait aussi exposé une partie des mots de passe des clients, et que le vecteur était maîtrisé. Reactor, Data Solutions et Chain (Beta) ont été arrêtés par précaution ; KYT, les autres produits de vérification d'adresses et la page de connexion ont été coupés en raison d'une activité anormale, et étaient en partie rétablis à la date de l'article. Chainalysis a imposé le changement de mot de passe à tous les utilisateurs et demandé aux clients de renouveler leurs clés API. Aucun groupe n'a revendiqué l'attaque (TechRadar).

Le préjudice ne reste pas chez Chainalysis : les clients utilisent KYT et les autres produits pour vérifier transactions et adresses, et un arrêt de ces services se traduit chez eux par des contrôles suspendus ou manuels.

4. DigiCert : 16 mois d'exposition passée inaperçue

Le 6 novembre 2026, on a appris que DigiCert, autorité de certification, a subi un accès à des données archivées de clients. En février 2025, un système interne avait été déplacé d'un réseau protégé par VPN vers une autre zone, devenant accessible depuis internet ; il l'est resté pendant plus de 16 mois. Le système disposait d'une fonction d'auto-inscription permettant à n'importe qui de créer un compte sans authentification multifacteur, et une erreur de droits laissait ces comptes consulter des données archivées. DigiCert a trouvé les comptes non autorisés le 18 juin 2026 mais les a jugés inoffensifs ; le 2 juillet, il a fermé l'inscription ; le 19 octobre, il a confirmé qu'un compte avait consulté une partie des enregistrements entre le 27 juin et le 2 juillet (The Register).

Sont concernés des noms, des e-mails professionnels, des numéros de téléphone et des adresses ; certains enregistrements pourraient contenir des passeports, permis de conduire ou factures fournis pour la vérification d'identité. DigiCert n'a pas indiqué le nombre de clients concernés et déclare que les activités de l'autorité de certification, CertCentral et DigiCert ONE n'ont pas été touchées, sans preuve de certificats émis, révoqués ou validés par le compte non autorisé (même source).

5. Queens Public Library : 66 sites sans systèmes

Le 4 novembre 2026, la Queens Public Library, à New York, a signalé une panne du réseau sur l'ensemble du système, attribuée ensuite à un rançongiciel. Le lendemain, le site et l'application, les automates de prêt et de retour, les renouvellements, les ordinateurs des sites et le Wi-Fi gratuit étaient hors service ; les 66 sites sont restés ouverts. La bibliothèque travaille avec la police de New York, des partenaires fédéraux et des experts externes ; la police collabore avec le FBI. Ni le groupe responsable ni un éventuel vol de données n'ont été indiqués, et aucune date de rétablissement n'est annoncée (NY1).

Autres événements à signaler

Binance (cryptomonnaies) : le 31 octobre, le FBI attribue le vol de 6,3 milliards de dollars au groupe nord-coréen TraderTraitor ; le 1er novembre, la plateforme rouvre les retraits par étapes et enregistre en quelques heures une sortie nette de 3,6 milliards, soit 2,1 % des actifs.
Amadeus (transport aérien) : les compagnies concernées par l'accès au système de réservation passent à au moins 15 ; le 3 novembre, Singapore Airlines signale environ 46 000 enregistrements, Condor confirme des données de vols internationaux et Qantas vérifie sa propre exposition.
Synology (technologie) : le groupe C3RB3R chiffre des NAS sous des versions de DSM non mises à jour, en exploitant des failles corrigées entre fin 2024 et septembre 2026.
QNAP et Plex (technologie) : QNAP signale des NAS compromis via les quatre failles Plex2Shell de Plex Media Server et prévient que la mise à jour ne supprime pas les programmes déjà installés par les attaquants.

Impact assurantiel

Le tableau commun est l'exposition non maîtrisée : des équipements et des systèmes accessibles depuis internet que l'assuré ne contrôle pas ou dont il ignore l'existence. Pour chaque événement, l'impact possible sur les polices peut se lire ainsi.

Installations frigorifiques. Garanties potentiellement activées : dommages aux biens de tiers et marchandises perdues, pertes d'exploitation, gestion de l'incident. Potentiel de cumul : très élevé, car les mêmes contrôleurs équipent des milliers de magasins dans plusieurs pays. Point contractuel : le dommage matériel causé par un événement cyber, qui peut tomber entre la police cyber et la police dommages, et les éventuelles exclusions pour les systèmes non supportés.
Crédit Mutuel Arkéa. Garanties potentiellement activées : fraude informatique et virement frauduleux de fonds, gestion de l'incident. Potentiel de cumul : moyen à élevé si le prestataire sert d'autres banques. Point contractuel : la frontière entre police fraude et police cyber pour la perte directe de fonds, et le rôle du prestataire dans la chaîne de responsabilité.
Chainalysis. Garanties potentiellement activées : pertes d'exploitation, responsabilité envers les clients, notification. Potentiel de cumul : moyen, pour les clients qui dépendent des services de vérification des transactions. Point contractuel : la carence de fournisseur chez les clients et la durée de l'arrêt des produits.
DigiCert. Garanties potentiellement activées : notification, responsabilité au titre de la protection des données, gestion de l'incident. Potentiel de cumul : faible pour les données, mais à surveiller vu la position centrale de l'émetteur. Point contractuel : une exposition commencée en 2025 et découverte en 2026, face à la date de rétroactivité et à la date de découverte.
Queens Public Library. Garanties potentiellement activées : restauration, interruption des services, extorsion, notification. Potentiel de cumul : faible. Point contractuel : les frais supplémentaires pour maintenir ouverts les services publics avec des systèmes à l'arrêt.

Le dommage cyber devient matériel. Les attaques contre les installations frigorifiques détruisent des marchandises et peuvent endommager des équipements. Ce scénario met à l'épreuve les définitions du dommage matériel et les exclusions des polices cyber et dommages.

Le prestataire est la porte d'entrée. Crédit Mutuel Arkéa désigne la plateforme d'un prestataire, et Chainalysis est lui-même prestataire de nombreux acteurs. Le risque se déplace de l'assuré vers ses dépendances.

L'exposition dure plus longtemps que l'attaque. DigiCert laisse un système accessible pendant 16 mois et les contrôleurs des supermarchés ne sont plus supportés depuis des années. L'inventaire des systèmes exposés et les dates de découverte comptent davantage que l'attaque isolée.

Ce qu'il faut apporter aux renouvellements

L'assuré dispose-t-il d'un inventaire des équipements de contrôle (froid, climatisation, installations techniques) accessibles depuis internet, et qui les gère ?
Les équipements non supportés par le fabricant sont-ils isolés du réseau public, et les mots de passe par défaut ont-ils été changés ?
La police couvre-t-elle les dommages aux biens et aux marchandises causés par une cyberattaque, ou renvoie-t-elle à la police dommages ?
Comment sont traitées les pertes directes de fonds dues à des virements frauduleux, et quelle police répond entre fraude et cyber ?
Quels prestataires ont accès aux systèmes de paiement ou aux comptes de l'assuré, et avec quels contrôles ?
Comment l'assuré vérifie-t-il qu'un changement de réseau ou de configuration n'expose pas des systèmes internes à internet ?
Quels services externes sont indispensables aux obligations légales de l'assuré, comme la vérification des transactions, et que se passe-t-il s'ils s'arrêtent ?

Côté portefeuille, il est utile de recenser les assurés de la grande distribution et de la logistique du froid qui utilisent des contrôleurs exposés, et de traiter les fournisseurs de plateformes bancaires et de services de vérification des transactions comme des points de cumul partagés.