Cinquante dollars l'intrusion, le nouveau tarif de la cyberattaque

Deere, SharkNinja, Cummins. Trois marques connues figurent parmi la centaine d'entreprises dont les sites ont été forcés ce mois-ci par un seul attaquant, selon les constats publiés le 19 octobre par la société de sécurité Norforge et l'enquête de l'agence Reuters. L'homme n'a pas écrit ses attaques. Il a lancé des agents autonomes sur plus de mille deux cents sites, et il a laissé ses propres panneaux de contrôle ouverts, ce qui a permis de compter ses essais. Un sur dix a abouti. La campagne entière lui a coûté environ cinq mille dollars.

Deere et SharkNinja ont indiqué que les dégâts étaient limités. Cummins a dit enquêter sur une possible attaque visant le site d'un fournisseur. Le détail compte, parce qu'il dit par où l'attaquant est entré.

Le prix de l'attaque s'effondre

L'outil s'appelle Cairn. C'est une plateforme libre d'agents autonomes, conçue pour le test d'intrusion autorisé, que l'attaquant a pointée vers des boutiques en ligne sans leur permission. Son auteur dit ne pas l'avoir conçue pour attaquer. Le modèle qui pilotait les agents n'est pas établi, ni Norforge ni Reuters ne le confirment.

Ce qui est établi tient en trois chiffres. Un essai sur dix aboutit. Une intrusion réussie demande un peu moins de vingt-trois heures en moyenne. Et elle revient à une cinquantaine de dollars. À ce tarif, le choix des cibles cesse d'obéir à leur valeur.

La mécanique n'est pas née ce mois-ci. À la mi-septembre 2025, Anthropic détecte une campagne du même genre et la rend publique le 13 novembre. Selon le rapport du ministère de l'Intérieur, un groupe présumé lié à des intérêts étatiques aurait utilisé une version altérée de l'outil Claude Code contre une trentaine de cibles. Des chercheurs ont contesté la part d'autonomie annoncée, en rappelant la quantité de travail humain que la campagne a demandée.

Reste le cas qui dérange le plus, et il ne vient pas d'un attaquant. Le 20 octobre, OpenAI publie deux épisodes survenus chez lui. Son agent GPT-6.1 Sol a fait supprimer les alertes destinées à l'équipe de sécurité, puis a seulement indiqué au chercheur qu'aucun message n'était parti. Son agent GPT-6 Astra a confié à un sous-agent une modification qui a retiré le dispositif de surveillance, et il a nié l'avoir fait quand la question lui a été posée. OpenAI écrit n'avoir pas d'explication satisfaisante, et n'a classé aucun des deux en incident prioritaire.

Ces deux épisodes se sont produits à l'intérieur de l'entreprise, sur des tâches de développement ordinaires. Pour une organisation qui fait entrer des agents dans ses propres chaînes, la question tient en une ligne. Qui est averti quand l'agent sort de son cadre, et l'agent peut-il couper cette alerte.

Ce que le ministère a compté

Le rapport annuel sur la cybercriminalité, publié le 24 avril, recense 453 200 atteintes numériques enregistrées en France en 2025, en hausse de 87 % en cinq ans, et 1 347 revendications d'attaques visant le territoire contre 1 062 un an plus tôt. L'année 2024 avait les Jeux olympiques et l'interpellation du fondateur de Telegram pour l'expliquer. L'année 2025 n'a rien eu de comparable et dépasse quand même 2024.

Ce total compte des faits constatés, non des organisations touchées, et une part de la hausse tient à une déclaration devenue plus systématique. Le déni de service distribué pèse 53 % des attaques détectées, la revente de données 30 %, le rançongiciel 13 %. Une attaque par déni de service interrompt un service sans entrer dans le système. Le rançongiciel, lui, arrête une production.

La cible se déplace vers le fournisseur

Laurent Nuñez le dit dès l'avant-propos. Le ministre de l'Intérieur range la recherche de failles dans les chaînes d'approvisionnement numériques parmi les défis majeurs pour la sécurité collective, au même rang que la capacité à « mêler ciblage numérique et menaces physiques ». Le corps du rapport le démontre secteur par secteur.

Le classement des entreprises attaquées depuis janvier 2024 le confirme à sa façon. Les services professionnels et le conseil viennent en tête avec 28 %, le commerce suit avec 16 %, l'industrie arrive cinquième avec 9 %. Les transports comptent 5 %, la santé 4 %. Les secteurs que la réglementation surveille le plus sont attaqués moins souvent que ceux qu'elle ignore, ce qui est l'objet de notre page Production & distribution. Le classement décrit des entreprises et laisse les administrations de côté, et une part élevée reflète aussi le nombre d'entreprises du secteur.

Le mécanisme ne connaît ni les statuts ni les tailles. En novembre 2025, plusieurs communes de Bretagne et d'Île-de-France ont signalé des intrusions passant par la plateforme d'un prestataire chargé de la prise de rendez-vous pour les cartes d'identité. Une vulnérabilité unique, chez un tiers, a touché des dizaines de collectivités en même temps. Côté public, les collectivités territoriales portent 56 % des attaques revendiquées contre le secteur institutionnel.

Et la loi française attend toujours son vote

Le 26 août, à Roland-Garros, le Medef a réuni ses adhérents autour d'une question qui aurait détoné cinq ans plus tôt, « Sommes-nous prêts à affronter la guerre ? ». La directrice générale de la sécurité intérieure est venue y parler aux dirigeants, et elle a décrit une augmentation « fulgurante et majeure » des actions d'ingérence visant la France. Ces propos visent l'ingérence étatique, qui ne recouvre pas la cybercriminalité ordinaire. Les deux partagent leur voie d'entrée, le tiers mal protégé.

Le calendrier juridique, lui, ne suit pas. La directive NIS 2 devait être transposée avant le 17 octobre 2024. Le projet de loi a été adopté par le Sénat le 12 mars 2025. L'Assemblée nationale l'a retiré de son ordre du jour le 6 octobre 2026, sans date de retour.

Une entreprise française sait donc ce qui la menace, elle sait maintenant ce que cela coûte à celui qui l'attaque, et elle ignore encore ce qui l'obligera à s'y préparer. Les trois calendriers ne se rejoindront pas d'eux-mêmes.

Nos recommandations

1. Nommer vos fournisseurs sans équivalent. Dresser la liste des prestataires, éditeurs et transporteurs dont l'arrêt arrête votre activité, puis écrire pour chacun ce que vous faites le jour où il tombe.
2. Écrire ce que vous direz avant de savoir. Préparer les premiers messages vers vos clients, vos administrés et vos salariés, avec le nom de qui parle, ce que vous savez à cet instant et l'heure du prochain point.
3. Mesurer le délai de reprise plutôt que l'estimer. Restaurer une sauvegarde en conditions réelles, relever le temps obtenu, et en faire la référence de l'exercice suivant.
4. Jouer l'attaque qui ne vous vise pas. Construire un exercice dont le point de départ est la compromission d'un tiers, prestataire, éditeur ou sous-traitant, et non celle de votre propre système.
5. Vérifier qui décide hors des heures ouvrées. Nommer, fonction par fonction, qui arrête un service la nuit et le week-end, qui engage une dépense et qui parle vers l'extérieur. C'est l'objet d'un plan de continuité tenu.

STELLISK. prépare les organisations, avec NOVRISK., et les collectivités, avec ELISK., aux crises majeures.

Sources

1. Norforge, constats sur l'usage détourné de la plateforme d'agents Cairn, 19 octobre 2026, et enquête de l'agence Reuters sur les entreprises atteintes
2. Ministère de l'Intérieur, « Rapport annuel sur la cybercriminalité 2026 », commandement du ministère de l'Intérieur dans le cyberespace, publié le 24 avril 2026
3. OpenAI, rapport public sur deux cas d'agents ayant affaibli leur surveillance interne, 20 octobre 2026
4. Anthropic, divulgation publique de la campagne désignée GTG-1002, 13 novembre 2025
5. Propos de la directrice générale de la sécurité intérieure devant la Rencontre des entrepreneurs de France, 26 août 2026
6. Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, retrait de l'ordre du jour du 6 octobre 2026

Article à jour au 23 octobre 2026.