5 short insights this week: A record $409M privacy fine, and not a hacker in sight · A 9.8 zero-day in PeopleSoft, no login required · npm is finally turning off the feature that kept getting you hacked…
Au sommaire
- 01Une amende vie privée record de 409 M$, et pas un hacker en vue
- 02Une zero-day 9,8 dans PeopleSoft, aucune connexion requise
- 03npm coupe enfin la fonction qui n'arrêtait pas de vous faire hacker
- 04Premiers chiffres DORA : 90 % des incidents majeurs n'étaient pas cyber
- 0510,9 millions de dossiers sortis d'une armoire non verrouillée
Recevez le prochain GRC Brief dans votre boîte mail.
S'abonner à The GRC BriefUne amende vie privée record de 409 M$, et pas un hacker en vue
Le régulateur sud-coréen de la vie privée a infligé à Coupang, le plus grand détaillant en ligne du pays, une amende de 624,7 milliards de won (environ 409 millions de dollars). C'est la plus grosse sanction de protection des données de l'histoire du pays, près de cinq fois le précédent record. La fuite a exposé environ 34 millions de clients plus 4,3 millions de non-membres, soit environ deux tiers de la population. La cause n'était pas un hacking sophistiqué. Un compte d'ancien sous-traitant, jamais désactivé, a été utilisé pour exfiltrer la base.
Source: The Record · reporting also by BleepingComputer
Mon analyse
Relisez la cause. Pas un État-nation. Pas un exploit malin. Un type qui est parti, et dont la clé n'a été révoquée par personne. C'est de la gestion des droits 101. C'est l'élément le plus banal d'un programme de sécurité, et c'est ce qui a coûté à Coupang la plus grosse amende vie privée de l'histoire du pays.
C'est ce que les budgets sécurité continuent de rater. Vous pouvez dépenser des millions en détection et perdre quand même une révision d'accès trimestrielle. Le retour sur investissement réel pour la plupart des organisations n'est pas un autre EDR. C'est le processus de revue d'accès qui marche vraiment.
Et regardez ce qui a transformé une mauvaise brèche en amende record : encore les basiques. Manquer la fenêtre de notification, sous-déclarer le périmètre, ne pas avoir de réponse claire à "comment cet accès était-il toujours actif". Le régulateur n'inflige pas une amende pour le hack. Il l'inflige pour la mauvaise gouvernance.
Une zero-day 9,8 dans PeopleSoft, aucune connexion requise
Une faille critique dans PeopleSoft d'Oracle (CVE-2026-35273), notée 9,8 sur 10, permet à un attaquant de prendre le contrôle du serveur avec rien d'autre qu'un accès réseau. Pas de login, pas d'interaction utilisateur. Mandiant de Google indique qu'un groupe qu'il suit sous le nom UNC6240 l'exploitait entre le 27 mai et le 9 juin. Oracle n'a pas publié son avis avant le 10 juin, ce qui veut dire que c'était une zero-day vivante tout ce temps. Si vous faites tourner PeopleSoft, vérifiez votre exposition aujourd'hui.
Source: The Hacker News · attribution by Google Mandiant
Mon analyse
PeopleSoft fait tourner la RH et la paie pour une énorme part des grandes organisations. Ça veut dire qu'il est assis sur une mine d'or d'identité personnelle, et il est souvent oublié dans les inventaires d'attaque parce qu'il est "juste" interne. Sauf que celui-là est exposé à internet bien plus souvent que les gens ne croient.
La partie inconfortable, c'est la chronologie. Les attaquants étaient dedans depuis le 27 mai. Le patch a atterri le 10 juin. Pour les équipes qui patchent en deux semaines après l'avis, ça veut dire trois semaines de pré-exploitation aveugle. C'est l'écart que votre programme de gestion des vulnérabilités devrait être conçu pour fermer, et la plupart ne le sont pas.
Allez vérifier si vos endpoints d'administration PeopleSoft sont exposés. Aujourd'hui, pas au prochain sprint.
npm coupe enfin la fonction qui n'arrêtait pas de vous faire hacker
GitHub a annoncé que npm version 12, prévue en juillet, cessera d'exécuter les scripts d'installation des dépendances par défaut. Pendant des années, un seul "npm install" pouvait exécuter du code depuis n'importe quel package n'importe où dans votre arbre de dépendances, à l'instant où vous le tiriez, sur des laptops de développeurs et des runners CI bourrés d'identifiants. C'est l'angle d'attaque derrière une longue série d'attaques de chaîne d'approvisionnement. À partir de v12, ces scripts (avec d'autres patterns de webhook risqués) sont désactivés sauf override explicite.
Source: The Hacker News · GitHub announcement, 9 Jun 2026
Mon analyse
C'est sincèrement une bonne nouvelle, et c'est aussi une échéance. Bonne, parce que les scripts d'installation automatiques sont un des sentiers d'attaque les plus stupides de la décennie. Échéance, parce que "breaking changes" signifie exactement ça. Si votre pipeline CI dépend silencieusement du script d'installation d'un package pour pré-construire quelque chose, ça va casser en juillet.
Profitez des prochaines semaines pour faire un sweep. Repérez les paquets qui utilisent les hooks d'install (postinstall, preinstall) dans vos dépendances directes. Demandez-vous si vous en avez besoin, ou si c'était juste pratique. La plupart, c'était juste pratique.
Et c'est une question de gouvernance, pas seulement de dev. Qui dans votre organisation décide quels scripts tiers exécuter sur vos runners. Si la réponse est "personne", vous avez un trou de gouvernance, pas un trou technique.
Premiers chiffres DORA : 90 % des incidents majeurs n'étaient pas cyber
Les autorités européennes de surveillance ont publié le premier rapport d'incidents DORA, l'image la plus claire à ce jour de ce qui casse vraiment dans la finance européenne. Les entités financières ont signalé 3 383 incidents TIC majeurs en 2025, soit environ 282 par mois. La trouvaille principale : seulement 10 % étaient liés à la cybersécurité. Le reste était des défaillances système, des pannes technologiques et des événements externes. Presque un tiers remontait à des problèmes de fournisseurs tiers.
Source: European Banking Authority · ESAs first DORA incident report, 3 Jun 2026
Mon analyse
Restez avec ce 10 %. Malgré tous les titres ransomware, neuf incidents majeurs sur dix dans la finance européenne en 2025 n'étaient pas un attaquant. C'était une mise à jour qui a mal tourné, un fournisseur qui est tombé, un système qui s'est essoufflé. Si toute votre carte de risque est centrée sur les attaquants, vous regardez 10 % de l'image.
C'est le plaidoyer pour la résilience opérationnelle en une seule statistique. Si tout votre programme de résilience est un plan de réponse aux incidents cyber, vous n'êtes pas prêt pour la chose la plus probable qui va vous arriver. Vous êtes prêt pour la chose qui fait les manchettes.
Le chiffre qui devrait vous inquiéter plus que les 10 % : presque un tiers des incidents venait de tiers. C'est exactement ce que NIS 2 et DORA disent tous deux sur le risque tiers. Ce ne sont pas des cases à cocher contractuelles. C'est là d'où les vraies coupures viennent.
10,9 millions de dossiers sortis d'une armoire non verrouillée
Kyushu Electric, l'une des plus grandes utilités régionales japonaises, a divulgué qu'un disque dur externe contenant des données sur jusqu'à 10,9 millions de clients a disparu de sa salle serveur. L'histoire est douloureusement banale : à court de stockage, le personnel IT a copié les données sur un disque externe le 27 avril et l'a verrouillé dans une armoire sécurisée. Le 26 mai, ils sont revenus pour trouver l'armoire déverrouillée et le disque parti.
Source: BleepingComputer · 11 Jun 2026
Mon analyse
Deux items dans ce brief maintenant, et pas un hacker derrière l'une ou l'autre des plus grosses pertes de données. Coupang a perdu 34 millions d'enregistrements à cause d'un compte oublié. Kyushu a perdu 10,9 millions à cause d'une armoire non verrouillée. La sécurité physique et la gestion des actifs ne sont pas "l'autre département" pour les équipes GRC. Ce sont les contrôles fondamentaux qui apparaissent dans chaque catastrophe.
Remarquez ce qui manque dans la divulgation : aucune mention de chiffrement. Un disque contenant 10,9 millions de dossiers clients qui n'était pas chiffré en 2026 raconte sa propre histoire sur la maturité du programme. Et c'est exactement le genre de contrôle de base qu'ISO 27001 Annexe A 8.24 (cryptographie) attend par défaut pour les stockages amovibles.