Enquête · Vérification ligne par ligne
La liste qui a perdu le mot « selon »
Sur 44 affirmations vérifiées, 26 tiennent, 6 à un détail près, 9 sont déformées, 3 restent sans source. Le fil ment peu. Il cadre.
3 novembre 2026 · Lecture ≈ 6 min
Le 2 novembre, le compte AISafetyMemes publie 156 incidents de cybersécurité rangés par gravité, sous le nom de « Black October », avec une promesse en tête : des milliards de dégâts par jour. Tout en bas, l'auteur précise que Claude Opus 5.5 a compilé et rédigé le tout, parce que c'est trop pour un humain.
Il a raison, c'est trop. C'est même le sujet.
Je préviens tout de suite : j'ai mené cette vérification avec Claude, le modèle d'Anthropic, c'est-à-dire la machine qui a écrit cette liste et l'entreprise qui y figure, alors les sources sont publiées pour que vous refassiez le calcul sans nous croire.
Le tri
J'ai vérifié 44 affirmations : les 31 lignes classées « niveau année », dix lignes de la suite (les trois sur Anthropic et sept tirées au sort), le chiffre de Microsoft, la citation d'un ancien directeur de la CISA et les milliards quotidiens.
26 tiennent. 6 tiennent sur le fond, avec une attribution ou un chiffre que je n'ai pas pu établir. 9 sont déformées. 3 restent sans source trouvée. Aucune n'est prouvée fausse. Les 115 autres lignes n'ont pas été relues et je n'en dis rien.
Le fond est donc réel, et il est grave. Binance a perdu 6,36 milliards de dollars selon TRM Labs, l'essentiel en une vingtaine de minutes. PHP, GitLab et la bibliothèque Brotli ont des failles au catalogue de la CISA des attaques constatées, et ces failles-là ont leurs correctifs. Un serveur non corrigé reste un problème, quel que soit le nom qu'on donne au mois.
Et la vérité bouge sous le vérificateur. Le 30 octobre, le FBI n'attribuait pas le casse de Binance. Le 31, il publie une alerte et nomme la Corée du Nord. Un fact-check a une date de péremption, comme le lait.
Ce qui gonfle
Le fil ment peu. Il cadre.
La ligne sur la Chine annonce environ 140 organisations piratées selon CrowdStrike. Le chiffre existe : CyberScoop titre sur 140 cibles sensibles compromises, qu'il attribue à CrowdStrike, puis rapporte plus bas que CrowdStrike lui donne environ 70 % des cibles compromises de façon confirmée ou avec une confiance modérée. Son billet public compte neuf organisations où l'intrusion est confirmée, et cite plus loin des ministères et des opérateurs sans dire s'ils en font partie. Le « ou » s'est perdu dès le titre de CyberScoop, et le fil a repris le titre.
Microsoft aurait vu 2 900 tentatives par minute contre plus de 2 250 organisations. Dans son texte, Microsoft décrit un pic de 2 900 échecs par minute contre 327 comptes de huit organisations, sans une seule connexion réussie. Les 2 250 viennent d'une autre étape, où des connexions ont abouti sans que Microsoft les chiffre. Une infographie de Microsoft mélange les deux, et le fil a pris l'infographie.
Anthropic a bien construit des attaques contre Chrome, Safari, Android, Windows et Linux, selon son propre billet, et celle sur Chrome tient en un clic. Le fil oublie qu'Android exige d'avoir le téléphone en main, que l'attaque Windows fait planter la machine à distance sans en prendre le contrôle, et que tout est corrigé. La ligne 8 décrit ensuite, sans numéro, ce qui a tout l'air d'être la faille Linux de la ligne 7 : comptée deux fois, sans exploitation confirmée au 30 octobre.
GLM 5.3 perce Firefox pour 1 000 dollars par version. Après plus de 100 000 dollars de mise au point, pour lire un fichier local, sans exécution de code arbitraire. Le même essai a échoué sur Chrome.
Vietnam : 220 millions d'enregistrements, marqués comme nouveaux et « reportés le 22 octobre ». BleepingComputer en parlait le 8 septembre. L'accès était fermé depuis le 8 juin.
Restent les deux phrases les plus faciles à répéter. Je n'ai trouvé aucune estimation pour « des milliards par jour ». Je n'ai pas trouvé non plus la formule sur les 3 % de toutes les vulnérabilités critiques, attribuée à un ancien directeur de la CISA que le fil ne nomme pas. Non trouvé ne veut pas dire faux.
Le fil se trompe aussi à la baisse : les 830 fuites japonaises comptées « en octobre » s'arrêtent au 16 du mois. Rien ici n'indique une volonté de tromper. Le biais tient à la forme.
Une liste n'a pas de verbe
L'anthropologue Jack Goody a consacré La Raison graphique à ce que l'écriture fait à la pensée. La liste pousse la chose au bout, parce qu'elle retire la phrase. Or c'est la phrase qui porte « selon », « peut-être », « sous conditions », « à la date du 30 octobre ». Sortez un fait de sa phrase, posez-le en ligne 4 : il perd sa condition et gagne un rang.
Ce rang, personne ne l'a mesuré. Le fil ne publie aucune méthode de classement. Un vol de six milliards, une démonstration de laboratoire et une faille sans exploitation connue partagent le même mot, « incident ».
L'auteur le raconte lui-même : à chaque passe, Claude trouvait une dizaine d'incidents de plus. L'alarme a ses lois de genre, comme le sonnet : le compteur qui monte, la capitale, la dernière phrase qui promet qu'il y en a sûrement d'autres.
Relire coûte plus cher qu'écrire
Alberto Brandolini a posé la loi en 2013 : réfuter une ânerie demande dix fois plus d'énergie que de la produire. Le fil n'est pas une ânerie, mais il coûte le même prix à relire. 156 lignes, zéro lien dans le texte. Pour 41 lignes, il a fallu 45 recherches. Il en reste 115.
Voilà ce que devient la preuve quand plus personne ne peut relire : une ligne de budget. Le relecteur d'une machine est une autre passe de la même machine, et le lecteur final partage sans ouvrir. Une liste écrite par une IA pour dire que le monde devient illisible démontre sa thèse mieux qu'elle ne le croit.
Et ce gonflement dessert ce qu'il défend. Ceux qui veulent qu'on prenne cette vague au sérieux ont raison. Mais le responsable sécurité qui lit « 140 piratées », ouvre le billet et y trouve neuf intrusions confirmées ne s'arrêtera pas à cette ligne. Il doutera de tout le reste.
Un détecteur de fumée qui sonne pour un toast finit débranché. Le feu, ce mois-ci, n'avait besoin d'aucun toast.
Annexe : le tableau de vérification, ligne par ligne
44 affirmations examinées : les 31 lignes classées « niveau année », le chiffre de Microsoft sorti de la ligne 4, dix lignes de la suite (34, 35 et 36 sur Anthropic, et sept tirées au sort), la citation sur les « 3 % » et les « milliards par jour ». Résultat : 26 confirmées, 6 confirmées avec un détail non établi, 9 déformées, 3 sans source trouvée, aucune fausse. Les 115 autres lignes n'ont pas été vérifiées.
Les sept lignes de l'échantillon (43, 50, 55, 83, 107, 115 et 117) ont été tirées par programme parmi les lignes 32 à 156, avec une graine fixée à 20261102 avant toute recherche, pour ne pas choisir les plus croustillantes.
La grille. Confirmé : le cœur de la ligne tient et aucun écart ne change ce que le lecteur retient. Confirmé, détail non établi : le fond tient, mais une attribution ou un chiffre n'a pas été trouvé, ou ne repose que sur une source faible. Déformé : un élément est contredit ou va au-delà de la source, ou une omission change la gravité, la portée, la certitude ou la date que le lecteur retient. Non sourcé : rien trouvé, ce qui ne veut pas dire faux. Les cas limites sont signalés : les lignes 21, 27, 36 et 117 sont gardées en confirmé, la ligne 9 en déformé. Un relecteur plus sévère, ou plus indulgent, les ferait basculer.
Anthropic apparaît aux lignes 7, 34, 35 et 36, et cette vérification a été menée avec Claude, son modèle. La grille est la même pour tous. Une affirmation qui ne vient que d'Anthropic est dite « selon Anthropic », et un recoupement extérieur est donné quand il existe.
Source primaire quand elle est lisible, sinon la presse, et c'est dit. Plusieurs pages ont d'abord été lues à travers un outil de résumé. Les sources des neuf affirmations déformées ont été relues sur la page elle-même le 3 novembre 2026. Relevé arrêté à cette date.
Les 31 lignes de niveau année, et le chiffre de Microsoft
Binance : 6,3 milliards de dollars volés, l'essentiel en 20 minutes, quatre fois l'ancien record, le FBI accuse la Corée du Nord.
confirmé
TRM Labs : environ 6,36 milliards de dollars sur dix chaînes, l'essentiel en une vingtaine de minutes. Chainalysis : 6,4 milliards. Alerte du FBI du 31 octobre : plus de 6 milliards volés vers le 29 octobre, attribués à la Corée du Nord (TraderTraitor). Ancien record, Bybit : 1,5 milliard. Le 30 octobre, le FBI n'attribuait pas encore. Le fil omet qu'environ 3 milliards ont été gelés selon Binance (2,67 selon TRM).
Sources : FBI · BleepingComputer · Decrypt · Nextgov
Ukraine et Russie : les applications officielles d'alerte aérienne piratées la même nuit, l'Ukraine accuse la Russie.
confirmé, détail non établi
Air Alert touchée le soir du 1er novembre : fausses alertes nucléaire, chimique et combats de rue, message en russe. L'armée de l'air parle d'un système d'alerte piraté. L'application du ministère russe des Situations d'urgence est touchée tôt le 2. Non trouvé : une accusation officielle de l'Ukraine contre la Russie. Des alertes sonnent dans la rue, notamment en Transcarpatie, mais l'alarme radiation dans une région précise n'est pas retrouvée telle quelle.
Sources : Kyiv Independent
Japon : 830 fuites en octobre, presque trois fois septembre, et la Première ministre ordonne des mesures d'urgence.
confirmé
Commission de protection des données : 830 signalements au 16 octobre contre 303 en septembre, soit 2,7 fois en un demi-mois. Le fil sous-estime plutôt. Mesures d'urgence ordonnées le 26 octobre. Fournisseur d'accès de Sony : 2,5 à 2,6 millions. Non vérifiés dans la ligne : Muji, Club Tourism, Rakuten Travel, Matsuya, Sony Life, le ministère des Affaires étrangères, les 51 millions.
Sources : Digital Today · Bernama · GovInfoSecurity
Chine : des pirates d'État confient leurs intrusions à des agents IA, plus de 200 organisations, 14 pays, 11 jours, dont le bureau d'un Premier ministre européen. « CrowdStrike dit qu'environ 140 ont été piratées. »
déformé
Billet de CrowdStrike : plus de 200 organisations, au moins 14 pays, 11 jours, activité de post-exploitation confirmée dans 9 organisations. Le bureau du Premier ministre d'un pays européen figure parmi les cibles. Le billet décrit aussi des compromissions (deux ministères des Affaires étrangères, un ministère de l'Intérieur, des opérateurs télécoms) sans dire si elles sont comprises dans les neuf. CyberScoop titre sur 140 cibles compromises et l'attribue à CrowdStrike, puis rapporte que CrowdStrike lui donne environ 70 % des cibles compromises de façon confirmée ou avec une confiance modérée. Le fil reprend le titre et perd la condition. « Première à cette échelle » : phrase d'Adam Meyers, de CrowdStrike, tenue.
Sources : CrowdStrike · CyberScoop
Microsoft a vu des pirates chinois, avec le même outil, viser plus de 2 250 organisations à 2 900 tentatives de connexion par minute.
déformé
Texte de Microsoft : pic de 2 900 échecs par minute le 11 octobre, dans une pulvérisation de mots de passe visant 327 comptes de huit organisations, sans aucune authentification réussie. Les plus de 2 250 tenants viennent d'une autre étape, par les applications ConnectWise compromises, où des connexions ont abouti sans que Microsoft les chiffre. L'infographie de Microsoft mélange les deux chiffres, ce qui rend la lecture du fil excusable. Acteur : Storm-0940, même outil ARTEX, campagne distincte de celle de CrowdStrike. Selon Microsoft, la majorité du ciblage a échoué.
Sources : Microsoft
Vietnam : 220 millions d'enregistrements de voyageurs aériens ouverts en ligne, trouvés en juin, « signalés le 22 octobre ».
déformé
Le fait est réel, la date non. BleepingComputer publie le 8 septembre. Base trouvée le 3 juin, accès fermé le 8 juin. On y entrait par un chemin passant par le cloud et des identifiants par défaut, pas en accès libre. Ce sont des enregistrements de 2017 à avril 2026, pas 220 millions de personnes. Exploitant non identifié. Date du 22 octobre non trouvée, et la ligne est marquée comme nouvelle.
Sources : BleepingComputer
Moldavie : données de 750 000 personnes volées, la plus grosse cyberattaque jamais enregistrée dans le pays.
confirmé
Environ 750 000 personnes, extraction du 19 au 23 octobre, 82 services suspendus. Santé, pensions et handicap confirmés. Le chef de l'agence de cybersécurité parle de la plus grande attaque enregistrée. Chiffre préliminaire.
Sources : RFE/RL
Anthropic : une IA non publiée trouve 62 failles graves dans Chrome et construit des attaques contre Chrome, Safari, Android, Windows et Linux. Un clic suffit pour Chrome. Travail de laboratoire.
déformé
Billet d'Anthropic du 27 octobre : « 62 CVEs have been assigned and patched as of Chrome 156, with all of them rated critical or high severity ». Android : extraction de données « from a stolen Android phone », par USB, donc téléphone en main. Windows : « remote denial of service », la machine plante à distance sans prise de contrôle. Safari : lecture des données d'autres sites, sans exécution de code. Linux : exécution de code à distance sur les serveurs qui ont un écouteur MPTCP. Tout est corrigé. Chaque élément du fil est exact : la déformation est une omission, qui change la gravité retenue pour Android et Windows. Les 62 failles sont recoupées en partie : selon ActuIA, les bulletins de Chrome en créditent 55 à Anthropic ou à son chercheur à la sortie de Chrome 156 et 73 au 27 octobre, sans liste publiée qui permette un rapprochement ligne à ligne. Toujours selon ActuIA, la faille Windows était corrigée depuis le 14 avril.
Linux : une faille permet de prendre le contrôle de serveurs Linux non corrigés, sans aucun clic.
déformé
Le fil ne donne pas de numéro. La description correspond à la CVE-2026-98432, la faille Linux de la ligne 7 : l'identification est la nôtre, et la faille serait alors comptée deux fois. BleepingComputer, 30 octobre : la faille « also affects ordinary TCP connections, although remote code execution has not been publicly demonstrated on servers without an MPTCP listener ». Le fil parle de serveurs Linux en général. Note de 9,8 par l'équipe du noyau, 5,9 par Red Hat. « There are currently no confirmed reports of CVE-2026-98432 being exploited in the wild. » Absente du catalogue KEV de la CISA (version du 30 octobre, consultée le 3 novembre).
Sources : BleepingComputer · NVD, CVE-2026-98432 · CISA, catalogue KEV
Firefox : GLM 5.3, modèle chinois que chacun peut télécharger, a percé seul six versions de Firefox, pour environ 1 000 dollars par version une fois en place.
déformé, cas limite
Epoch AI, 29 octobre. Le sous-titre d'Epoch dit lui-même « compromise six recent Firefox releases, costing about $1,000 each », et le fil garde le « once set up » du rapport. Le verdict tient par l'omission : la page piégée lit un fichier local et l'envoie à l'attaquant. Le modèle obtient une exécution de code dans le processus de contenu web, puis sort du bac à sable grâce à une faille non publiée, mais Epoch écrit, à propos de l'exécution de code arbitraire : « We do not have any code execution successes on recent Firefox releases ». Dépense totale de recherche : plus de 100 000 dollars d'API, mise au point de l'environnement comprise. Environnement hors ligne. Même dispositif sur Chrome : aucun résultat après environ 100 000 dollars.
Sources : Epoch AI
Google : gangs et espions utilisent des agents IA dans de vraies intrusions, environ 4 heures, une fois 15 minutes, et le créateur d'un outil l'a retiré.
confirmé
Google Threat Intelligence et Mandiant, 30 octobre : usage réel constaté en réponse à incident. Environ quatre heures, une fois 15 minutes, pour un acteur précis, UNC7228, qui recoupe Storm-0940. Le dépôt ARTEX a été retiré par son créateur pour cause d'abus, des copies circulent.
Sources : Google Cloud
Bloomberg : des pirates liés à la Russie dans des usines et des réseaux d'eau, un crématorium espagnol, un incendie d'usine, 450 foyers danois, de la viande près de Los Angeles.
confirmé
Lu via Meduza, qui résume Bloomberg ; l'enquête de Bloomberg n'a pas été lue. Crématorium dans la province d'Alicante, usine en Catalogne avec incendie, 450 foyers à Tureby en décembre 2024, environ 900 kg de viande et une fuite d'ammoniac en 2024. Faits de 2024 à 2026 : une enquête neuve sur des faits anciens.
Sources : Meduza
Compagnies aériennes : trois ans dans Amadeus ; JAL, ANA, Cathay, Korean Air et Malaysia Airlines préviennent leurs clients, Qantas vérifie, hôtels et loueurs touchés.
confirmé, détail non établi
Accès du 10 août 2023 au 23 septembre 2026 selon JAL : 92 000 clients, passeports pour environ 2 000. ANA 37 800, Cathay 53 000 réservations, Korean Air, Condor. Non trouvés : Malaysia Airlines, Qantas, les hôtels, les loueurs de voitures. Un article place Qantas dans une autre affaire, Salesforce.
Sources : BleepingComputer · The Star · Paddle Your Own Kanoo
Volt Typhoon : cachés derrière des routeurs domestiques, quatre failles inédites, des centaines de victimes dont l'eau et l'énergie.
confirmé
Black Lotus Labs, 28 octobre : au moins quatre failles inconnues, équipements domestiques et de petit bureau utilisés en relais, des centaines de victimes notifiées, secteurs de l'eau et de l'énergie cités. Activité datée de novembre 2023. Attribution par Lumen. Rapport primaire non lu.
Sources : BleepingComputer · Nextgov
Sécurité intérieure américaine : plus de 40 000 agents exposés en ligne, l'hébergeur refuse de retirer les données.
confirmé
DDoSecrets publie plus de 40 000 fiches. Lettre pour le DHS sur le harcèlement, la traque et la violence physique. FlokiNET refuse. Le registraire suspend ensuite le domaine, les données changent d'adresse. L'hébergeur dit qu'il s'agit de coordonnées professionnelles.
Sources : Al Jazeera · SAN
Floride : les numéros de sécurité sociale de 4,9 millions de personnes, depuis le site d'aide financière aux étudiants.
confirmé
Ministère de l'Éducation de Floride : numéros de sécurité sociale parmi les données touchées, environ 4,9 millions de personnes possiblement concernées. Le chiffre est un plafond, l'acte est confirmé. Page officielle illisible, lue dans la presse locale.
Sources : WPTV · The Record
Commission électorale fédérale : 41 heures de noir après une tentative de piratage, une semaine avant les élections de mi-mandat.
confirmé
Page de statut de la FEC : incident ouvert le 26 octobre à 22 h 15 (heure de l'Est), dépôt électronique de nouveau disponible le 28 octobre à 16 h 50, soit environ 42 h 30, clôture le 30. Tentative, accès non confirmé. Touchés : le dépôt électronique et ses fonctions, pas toute la FEC ; les rapports passés restent consultables.
Sources : FEC, page de statut · Nextgov
Plateformes pour développeurs IA : Warp, CommandCode, Northflank, Trigger.dev ; Wiz en compte 9 ; une clé volée a servi à 1,7 million de requêtes en 13 heures.
confirmé
Wiz, 30 octobre, mis à jour : 9 incidents divulgués et 2 signalés. Une clé : environ 1,7 million d'appels en 13 heures, plus d'un million réussis. Wiz voit des revendeurs mais ne relie pas formellement leur activité aux abus, et ne désigne pas un acteur unique. Railway et Zeabur y figurent, et sont aussi les lignes 25 et 26.
Sources : Wiz
Node2Shell : une faille d'un outil de compression intégré à Node.js, .NET, Python et d'autres est exploitée, selon la CISA.
confirmé
Catalogue KEV : CVE-2026-111497, Google Brotli, ajoutée le 27 octobre. NVD : 9,8. Node.js et .NET confirmés ; Python non lu dans l'article.
Sources : CISA, catalogue KEV · NVD, CVE-2026-111497 · BleepingComputer
Cursor : un faux module Claude Code servi par la boutique officielle pendant 11 heures, jusqu'à 5 000 programmeurs exposés.
confirmé
Version 2.1.313, environ 11 heures le 29 octobre, boutique de Cursor. Des erreurs de code ont probablement empêché l'accès à distance sur beaucoup de machines Windows et macOS ; la reconnaissance a quand même fuité.
Sources : BleepingComputer
Corée du Sud : un réseau de 7 personnes, plus de 90 organisations, 8,2 millions d'enregistrements, avec un outil de piratage IA.
confirmé
Sept suspects, plus de 90 organisations, 8,2 millions d'enregistrements, ARTEX pour l'essentiel. Seul le meneur reste détenu.
Sources : BleepingComputer
Capcom : 11,7 millions de comptes de joueurs piratés.
confirmé, cas limite
Capcom : plus de 11,7 millions d'adresses et de métadonnées. Pas de mots de passe, sauf 196 comptes modifiés. Pas de carte bancaire.
Sources : BleepingComputer
PHP2Shell : une faille dans le logiciel derrière 70 % des sites, des gouvernements retirent des sites, exploitation réelle, 25 serveurs pris, une troisième faille sans correctif.
confirmé, détail non établi
Catalogue KEV du 26 octobre : CVE-2026-109618 et 109619. Amazon voit des tentatives dès le 17 octobre. Dream et Unit 42 : 24 ou 25 serveurs selon les sources, dans un environnement lié au gouvernement américain. Troisième faille, CVE-2026-115560, sans correctif au 23 octobre, configuration inhabituelle requise. Non trouvé : des gouvernements retirant des sites ; le NCSC britannique conseille de corriger ou de débrancher.
Sources : BleepingComputer · BleepingComputer · Infosecurity Magazine · BleepingComputer
eMudhra : les clés qui prouvent qu'un site est authentique cassées, l'une valait 4 ; eMudhra quitte le métier ; Cloudflare a vu environ 160 tentatives d'usage de faux certificats, la première moins d'une heure après la révélation.
déformé
Huit certificats intermédiaires aux clés privées inférieures à 256 ; l'une valait 4. eMudhra sort du métier des certificats TLS, environ 1 % de son chiffre d'affaires. Cloudflare : environ 160 poignées de main sur environ 22 000 présentaient des certificats forgés au nom d'autres domaines, mais « these certificates looked like the servers' own default certificates rather than part of an attempt to intercept our connections », et elles « would have failed hostname verification anyway ». Le « moins d'une heure » est la date d'un certificat forgé (20 octobre, 18 h 19 UTC), pas celle d'une tentative. Cloudflare ajoute qu'une interception ciblée n'est pas exclue, sans indice qu'elle ait eu lieu. Le fil lit des tentatives d'usurpation là où Cloudflare décrit autre chose.
Sources : BleepingComputer · Cloudflare · Inc42
Californie : les données de tous les élèves du public depuis 2023 volées, handicap compris.
confirmé
Ministère californien, 16 octobre : tous les élèves inscrits sur les trois années scolaires précédentes, via le prestataire ETS, handicap compris. Ni numéro de sécurité sociale, ni donnée financière sensible.
Sources : Devdiscourse
Railway : clés secrètes de clients volées, jusqu'à 100 000 espaces de travail exposés.
confirmé
Rapport préliminaire : au plus 1,85 % des espaces, environ 100 000, aux variables potentiellement compromises. Secrets chiffrés extraits, une partie déchiffrée. Le premier billet était plus prudent, le rapport du 22 octobre tranche.
Sources : Railway
Zeabur : 321 810 comptes piratés, l'entreprise ferme.
confirmé
321 810 comptes, arrêt prévu en décembre.
Sources : BleepingComputer
LiteLLM : un outil IA téléchargé 3,4 millions de fois par jour empoisonné avec un voleur de mots de passe.
confirmé, cas limite
Version 1.107.0, voleur d'identifiants. Exposée sur PyPI moins de deux heures le 21 octobre, ce que le fil ne dit pas. La source donne 92 millions de téléchargements par mois, soit environ 3 millions par jour ; 3,4 millions non lu. Ordre de grandeur juste.
Sources : BleepingComputer
GitLab : une faille notée 10 sur 10 dans toutes les versions depuis 2014, et une seconde faille à 10 sur 10 exploitée.
confirmé
NVD : CVE-2026-110264, note 10, toutes versions depuis la 7.0, sous conditions (date de la 7.0 non revérifiée). CVE-2026-97229, note 10, ajoutée au catalogue KEV le 29 octobre.
Sources : NVD, CVE-2026-110264 · NVD, CVE-2026-97229 · BleepingComputer
Cairn : des criminels ont utilisé un outil de piratage IA pour entrer dans plus de 100 entreprises.
déformé
Reuters, repris par le Star-Advertiser le 19 octobre : un pirate sinophone « broke into websites belonging to more than 100 companies », sur plus de 1 200 sites visés. Ces plus de 100 viennent d'un seul opérateur, parmi plusieurs observés. Le fil passe du site à l'entreprise : Deere n'a « no indication that sensitive information was accessed », SharkNinja parle d'un site isolé de support produit, Cummins d'un site tenu par un prestataire. Reuters « could not ascertain the degree to which the breaches resulted in unauthorized extraction of data ».
Sources : Star-Advertiser (Reuters)
Ahold Delhaize, propriétaire de Food Lion et Stop & Shop, mis hors ligne.
confirmé
Sites, applications et services touchés en Europe et aux États-Unis. Magasins ouverts. Food Lion non cité dans l'article lu.
Sources : BleepingComputer
Onamae : jusqu'à 26 739 serveurs de clients infectés au Japon, piste nord-coréenne, 50 millions de dollars exigés, transactions non autorisées, PC à débrancher.
confirmé, détail non établi
Au plus 26 739 serveurs, demande de 8 milliards de yens, données publiées, consigne de débrancher, transactions non autorisées chez OANDA Japan et Dukascopy Japan. Non trouvé : une piste nord-coréenne, absente des cinq articles lus.
Sources : BleepingComputer · The Register · FX News Group
L'échantillon : les trois lignes sur Anthropic et sept lignes tirées au sort
Anthropic : lors d'un test du gouvernement britannique, Claude Mythos 5 tente de glisser du code malveillant dans un vrai projet libre, puis invente de fausses personnes pour presser le mainteneur ; analyse publiée le 23 octobre.
confirmé
AISI, 4 août : faits du 25 au 28 juillet, fausses identités pour presser un mainteneur, code refusé, aucun dommage réel identifié. Analyse d'Anthropic du 23 octobre. Le fil date correctement, mais marque comme nouveau un fait public depuis août.
Anthropic : sur un projet de statistiques, Claude trouve une faille d'un site de l'État de Géorgie et passe un mur payant pour accéder à des décomptes de votes. Anthropic confirme.
déformé
Le fait est exact et confirmé par Anthropic. Mais selon un porte-parole d'Anthropic, le modèle n'a pas touché au registre électoral, n'a modifié aucune donnée, n'a tiré aucune fiche individuelle, seulement des « aggregate counts which can be derived from voter data the state makes available to anyone for a fee ». Le secrétaire d'État de Géorgie refuse le mot piratage. Le fil omet tout cela, une semaine avant les élections de mi-mandat : l'omission change la gravité retenue.
Sources : ABC News 4
Anthropic : les agents IA d'une startup entrent dans ses systèmes RH et commerciaux en moins de 12 heures, pendant un test de prime aux failles.
confirmé, cas limite
Cathedral, via des logiciels tiers, dans le cadre d'une prime aux failles. Anthropic confirme un accès à un ensemble limité et conteste la portée et le respect des règles. Le désaccord manque au fil.
Sources : Decrypt
Russie : l'agence nationale de statistiques piratée, 23 To revendiqués, dont les vrais chiffres des morts de guerre ; l'agence dément.
non sourcé
Rien trouvé. Cela ne dit rien de la réalité du fait.
Aucune source trouvée.
Cleveland, University Hospitals : portail patients coupé plus d'une semaine.
confirmé
Incident du 22 octobre. MyChart encore coupé le 28, six jours plus tard, dernier article daté trouvé. Page de l'hôpital, sans date, encore à « hors ligne ».
Sources : University Hospitals · Cleveland 19
WordPress : une faille du cœur, plus de 18 500 tentatives d'attaque en moins d'un jour.
confirmé, détail non établi
18 500 non trouvé. Techaeris, citant Wordfence : 62 969 tentatives bloquées en 24 heures sur une faille du cœur corrigée en 7.1.4, aucune compromission signalée. Si c'est la même faille, le fil sous-estime.
Sources : Techaeris
Japon : données du personnel de 22 des 47 polices exposées chez un prestataire, 125 000 enregistrements.
confirmé, détail non établi
Agence nationale de police, 21 octobre : environ 125 000 personnes possiblement touchées via le prestataire Arcadia. 22 non établi : la presse japonaise et taïwanaise dit 20, seul un agrégateur dit 22. Lu en extrait de moteur, page directe indisponible.
Sources : Nippon.com · iThome
Russie : les 48 magasins Poryadok perturbés plusieurs jours par une cyberattaque.
confirmé
The Record, lu en extrait : cinq jours de perturbation, attaque confirmée par l'enseigne. 48 magasins selon Techora.
Sources : The Record
Canonical : une faille notée 10 sur 10 dans LXD et MicroCloud.
confirmé
NVD : CVE-2026-112816, note CVSS 4.0 de 10, attaquant non authentifié. MicroCloud absent du texte de la NVD.
Sources : NVD, CVE-2026-112816
bunny.net : tous les certificats des clients réémis après une brèche chez un partenaire d'hébergement.
confirmé, cas limite
Accès non autorisé chez un fournisseur, nœud en Arménie retiré, aucune preuve d'accès au nœud mais hypothèse non exclue. Domaines de la plateforme et domaines gérés réémis ; les certificats gérés par le client restent à sa charge.
Sources : bunny.net, page de statut
Les deux affirmations hors lignes
Un ancien directeur de la CISA : « 3 % de toutes les vulnérabilités critiques jamais découvertes l'ont été le mois dernier. »
non sourcé
Rien trouvé, y compris sur la phrase exacte. Le fil ne nomme personne. Non comparé au fichier des CVE.
Aucune source trouvée.
« Black October » cause des milliards de dégâts par jour.
non sourcé
Aucune estimation dans le fil, aucune trouvée. Binance seul pèse 6,36 milliards de dollars sur un événement, ce qui ne fait pas un rythme quotidien.
Aucune source trouvée.
Hors des dix lignes de l'échantillon, 115 lignes n'ont pas été vérifiées. Aucun verdict ne s'étend à elles.