Cyber-assurance : les événements de la semaine du 7 au 14 novembre 2026

Cinq événements cyber de la semaine du 7 au 14 novembre 2026, d'Expedia atteinte via la plateforme de données d'un prestataire à Maersk, au tunnel de base du Brenner, à Nitori et à Vanderbilt University, reliés par des systèmes périphériques, hérités ou externalisés. Avec l'impact assurantiel et les questions à apporter aux renouvellements.

Semaine du 7 au 14 novembre 2026

La semaine du 7 au 14 novembre 2026 a un fil conducteur : le point faible se trouve là où l'entreprise regarde le moins. Un grand groupe de voyages en ligne est atteint via la plateforme de données d'un prestataire, tandis qu'un groupe criminel revendique près d'un milliard d'enregistrements volés. Un géant de la logistique découvre une intrusion dans un système hérité d'une acquisition. La société qui construit le tunnel de base du Brenner confirme le vol de données sur un serveur servant aux échanges de fichiers avec l'extérieur. Au Japon, un grand distributeur de meubles estime jusqu'à 37,6 millions d'enregistrements exposés, et aux États-Unis une université demande à tous d'éteindre leurs ordinateurs. Pour la souscription du risque cyber, la question n'est pas seulement de savoir comment le système principal de l'assuré est protégé, mais quels systèmes secondaires, hérités ou externalisés restent reliés à ses données.

En bref

Expedia Group : le 12 novembre, le groupe confirme un accès à ses systèmes via un fournisseur de plateformes de données compromis ; le groupe n0n revendique plus de 830 millions d'enregistrements de programmes de fidélité, chiffres non confirmés.
Maersk : le 11 novembre, le groupe confirme le vol de données dans un système hérité d'une acquisition ; aucun impact sur les opérations déclaré.
Tunnel de base du Brenner : le 7 novembre, BBT SE confirme une attaque de mi-octobre contre des données accessibles depuis internet ; le groupe Everest revendique 812 Go et réclame une rançon, que la société refuse.
Nitori : le 10 novembre, le distributeur japonais de meubles signale jusqu'à 37,62 millions d'enregistrements personnels potentiellement dérobés.
Vanderbilt University : le 9 novembre, l'université annonce une attaque et demande d'éteindre tous les appareils ; le groupe BYOD l'inscrit sur son site.

Les attaques de la semaine

1. Expedia Group : le fournisseur de la plateforme de données

Le jeudi 12 novembre 2026, Expedia Group a confirmé que des attaquants ont atteint ses systèmes via un fournisseur de plateformes de données compromis, dans une attaque de la chaîne d'approvisionnement qui a aussi touché d'autres entreprises. Le groupe dit avoir maîtrisé l'incident, enquêter avec des experts externes et que ses plateformes restent sûres ; il n'a nommé ni le fournisseur ni l'ampleur des données concernées. Les chercheurs de Wiz et Sentra ont documenté une attaque entre le 14 et le 26 octobre visant Qubole, plateforme de données dans le cloud et ancien fournisseur d'Expedia ; Expedia n'a pas confirmé le lien (Skift).

Le groupe d'extorsion n0n, apparu à la mi-septembre 2026 et tourné vers le vol de données plutôt que le chiffrement, affirme avoir dérobé plus de 830 millions d'enregistrements de 35 programmes de fidélité, 58 millions de profils de voyageurs, plus de 333 millions d'enregistrements de comptes et d'identifiants et environ 2,5 millions d'enregistrements de dépenses par carte liés à des adresses e-mail hachées. Selon Security Affairs, Wiz et Sentra indiquent que les attaquants ont utilisé une clé de fournisseur Qubole volée pour accéder à la plateforme big data d'Expedia. Expedia n'a pas confirmé les chiffres de n0n (Security Affairs).

2. Maersk : le système hérité d'une acquisition

Le 11 novembre 2026, Maersk a signalé un incident de sécurité informatique dans « un système ancien hérité d'une acquisition précédente ». Les attaquants ont obtenu un accès non autorisé et extrait des données ; selon les premières vérifications, aucune information sensible n'aurait été divulguée. Maersk déclare que l'incident semble limité à ce système, sans signe de compromission de ses autres infrastructures ni des systèmes de clients et partenaires reliés par API et EDI, et n'a signalé aucune interruption des activités logistiques (IT Nerd).

Le groupe WhiteArmour a inscrit Maersk sur son site, affirmant détenir plus de 16 000 mots de passe de chauffeurs stockés en clair et réclamant 5 millions de dollars en bitcoin ; Maersk n'a pas confirmé le lien. Les chercheurs de Cybernews relient l'incident à LF Logistics, société logistique rachetée par Maersk en 2022 (Cybernews). Pour un groupe frappé par NotPetya en 2017, le cas confirme que les acquisitions apportent des systèmes, des identifiants et des connexions qu'il faut réexaminer.

3. Tunnel de base du Brenner : les données du chantier

Le 7 novembre 2026, BBT SE, la société qui construit le tunnel ferroviaire de base du Brenner entre l'Italie et l'Autriche, contrôlée par ÖBB et RFI, a confirmé une attaque ciblée survenue à la mi-octobre. Les attaquants ont eu un accès partiel à des données « accessibles via internet » ; les systèmes touchés ont été isolés, et des experts externes ainsi que les autorités ont été mobilisés. Le 17 octobre, le groupe Everest avait inscrit le tunnel sur son site en affirmant avoir volé 812 Go ; le chiffre n'est pas vérifié (bluewin).

Selon Escudo Digital, le point d'entrée est un serveur relié à internet servant aux échanges de données avec l'extérieur, et les données volées comprennent des documents administratifs, des données topographiques et des dossiers d'appels d'offres. Everest a réclamé une rançon d'un montant non divulgué ; BBT SE refuse de négocier et de payer et signale chaque contact à la police. La société déclare que l'attaque n'a eu aucun effet technique sur le creusement et que les systèmes de sécurité industrielle sont intacts ; les enquêtes en Autriche et en Italie sont ouvertes (Escudo Digital).

4. Nitori : jusqu'à 37,6 millions d'enregistrements

Le 10 novembre 2026, Nitori, grand distributeur japonais de meubles et d'articles pour la maison, a annoncé que jusqu'à 37,62 millions d'enregistrements personnels « pourraient avoir fuité à l'extérieur ». L'entreprise a détecté et bloqué l'intrusion le 6 novembre ; selon l'enquête, l'attaquant avait accès au système depuis la mi-octobre environ. Sont potentiellement concernés les numéros d'adhérent, noms, e-mails, adresses, téléphones, dates de naissance et genre des clients, des données de clients professionnels et des informations de commandes en ligne ; Nitori exclut les mots de passe et les cartes bancaires. Le chiffre est une estimation maximale et le nombre de clients réellement touchés n'est pas encore déterminé ; l'entreprise vérifie aussi si un rançongiciel est en cause (BleepingComputer).

5. Vanderbilt University : tout éteindre

Le lundi 9 novembre 2026, Vanderbilt University a annoncé une cyberattaque pouvant toucher des appareils et systèmes du campus. L'université a demandé à tous d'éteindre leurs appareils, de se déconnecter du Wi-Fi et de signaler les fenêtres d'alerte, modifications de fichiers ou demandes de mot de passe. L'attaque est apparue après que le groupe BYOD a inscrit l'université sur son site, avec des affirmations de vol de données. Il n'est pas précisé si le Vanderbilt University Medical Center est touché. BYOD, actif depuis fin septembre selon l'expert Allan Liska, est le même groupe qui a revendiqué l'attaque contre l'University of New Mexico (The Record).

Autres événements à signaler

Microsoft 365 (technologie) : à partir du 12 novembre, une panne paralyse pendant près de 24 heures Outlook, Exchange Online et d'autres services dans plusieurs régions ; Microsoft évoque un processus serveur surchargé et déclare qu'aucun signe d'activité malveillante n'a été relevé. Morningstar DBRS estime de façon préliminaire les pertes assurées mondiales entre 300 et 500 millions de dollars (Actuarial Post).
Quantum Systems (défense) : le fabricant allemand de drones confirme une attaque de fin octobre ; selon Der Spiegel et le Financial Times, une mise à jour malveillante du logiciel de planification de mission a été diffusée depuis le serveur du fabricant, et l'armée allemande a cloué les drones au sol par précaution.
TSMC (semi-conducteurs) : le 12 novembre, le fondeur signale que des données personnelles de salariés et anciens salariés, correspondant à celles d'un fournisseur cloud, sont apparues en ligne ; aucune preuve de compromission de ses propres systèmes.
Baker Tilly (services professionnels) : le cabinet d'audit informe ses clients d'une violation chez un prestataire non nommé, avec des numéros de sécurité sociale ; 10 456 personnes rien qu'au Texas.

Impact assurantiel

Le tableau commun est la périphérie : fournisseurs de données, systèmes hérités, serveurs d'échange de fichiers et services cloud partagés. Pour chaque événement, l'impact possible sur les polices peut se lire ainsi.

Expedia Group. Garanties potentiellement activées : gestion de l'incident, notification, responsabilité au titre de la protection des données, extorsion. Potentiel de cumul : élevé, car la même plateforme de données servait plusieurs entreprises. Point contractuel : un sinistre né chez un fournisseur et la possibilité de recours, avec des affirmations non vérifiées du groupe criminel.
Maersk. Garanties potentiellement activées : gestion de l'incident, notification, extorsion. Potentiel de cumul : faible. Point contractuel : les systèmes des sociétés acquises et leur inclusion dans la définition du système informatique de l'assuré.
Tunnel de base du Brenner. Garanties potentiellement activées : gestion de l'incident, extorsion, responsabilité envers les tiers pour les dossiers d'appels d'offres et techniques. Potentiel de cumul : faible. Point contractuel : la confidentialité de données techniques d'une infrastructure stratégique et les exclusions pour opérations étatiques, si un lien apparaissait.
Nitori. Garanties potentiellement activées : notification, responsabilité au titre de la protection des données, sanctions lorsqu'elles sont assurables. Potentiel de cumul : faible. Point contractuel : les sous-limites de notification face à un nombre de personnes encore indéterminé.
Vanderbilt University. Garanties potentiellement activées : restauration, pertes d'exploitation, extorsion, notification. Potentiel de cumul : moyen, le même groupe visant plusieurs universités. Point contractuel : l'arrêt décidé par l'assuré pour contenir l'attaque.

Le fournisseur de données est un point de cumul. Expedia, TSMC et Baker Tilly voient leurs données touchées chez des tiers. Le questionnaire doit demander où se trouvent les données, pas seulement à qui elles appartiennent.

Les acquisitions apportent des risques cachés. Maersk découvre une intrusion dans un système hérité. En souscription, comptent les systèmes des sociétés acquises et le délai prévu pour les intégrer ou les arrêter.

Une panne n'est pas une attaque, mais pèse autant. La panne de Microsoft 365 ne vient pas d'une attaque et, dans de nombreuses polices, pourrait ne pas déclencher la garantie. Les conditions sur les défaillances de système et sur les fournisseurs montrent qui paie réellement.

Ce qu'il faut apporter aux renouvellements

Quels fournisseurs de plateformes de données et d'analyse détiennent des copies des données clients de l'assuré, et avec quelles clés d'accès ?
Les clés et identifiants accordés aux fournisseurs sont-ils renouvelés et révoqués quand la relation change ou prend fin ?
Quels systèmes des sociétés acquises restent actifs et reliés au réseau ou aux données du groupe ?
Les serveurs servant aux échanges de fichiers avec l'extérieur sont-ils recensés, protégés et surveillés ?
La police couvre-t-elle l'interruption causée par une panne non malveillante d'un fournisseur cloud, et avec quelle franchise de temps ?
L'assuré a-t-il une procédure pour éteindre les appareils de façon ordonnée puis redémarrer, et l'a-t-il testée ?
Comment sont traitées les extorsions portant sur des données volées sans chiffrement des systèmes ?

Côté portefeuille, il est utile de recenser les assurés qui utilisent les mêmes plateformes de données dans le cloud et le même fournisseur de messagerie et de collaboration, et de simuler un scénario où un seul fournisseur touche de nombreux assurés par un vol de données ou une panne.