Vol record de 6,3 milliards de dollars chez Binance, fisc belge à l'arrêt, données de 525 000 personnes exposées à l'Université de Copenhague, secrets dérobés sur GitHub, et 1 462 arrestations dans 21 pays dont le Bénin lors de l'opération Serengeti III d'INTERPOL : l'essentiel de la semaine et les leçons à retenir.
Chaque semaine, le Club RSSI Bénin sélectionne les incidents de cybersécurité qui comptent pour les responsables de la sécurité des systèmes d'information, avec la leçon à en tirer dans notre contexte. Les informations reflètent ce qui est connu au 30 octobre 2026 ; certaines enquêtes sont encore en cours.
À la une : le Bénin parmi les pays de l'opération Serengeti III. INTERPOL a annoncé le 27 octobre le bilan de cette opération menée du 29 juin au 31 août 2026 dans 21 pays africains, dont le Bénin, la Côte d'Ivoire, le Ghana, le Nigeria et le Sénégal. Elle a abouti à 1 462 arrestations et à la récupération de plus de 105 millions de dollars, pour des pertes estimées à plus de 385 millions de dollars. Les réseaux visés pratiquaient la fraude au président, les rançongiciels, l'hameçonnage, les escroqueries à l'investissement en ligne et le blanchiment. Près de 66 000 victimes ont été identifiées. La leçon : la coopération entre États fonctionne, et chaque signalement d'incident aux autorités nourrit ces enquêtes. Le signalement n'est pas un aveu de faiblesse, c'est une contribution à la sécurité de tous.
Binance, le plus gros vol de l'histoire des cryptomonnaies (29 octobre). Environ 6,3 milliards de dollars ont été dérobés après la compromission de l'ordinateur portable d'un ingénieur, qui a donné accès aux clés de signature des portefeuilles de la plateforme. Les experts de TRM Labs attribuent l'attaque au groupe nord-coréen TraderTraitor. Environ 3 milliards de dollars ont été gelés. La leçon : les postes des personnes qui détiennent des droits sensibles sont la première cible. Notre article complet sur cette attaque est disponible dans les actualités du site.
Le fisc belge à l'arrêt (28 octobre). Une cyberattaque a contraint le SPF Finances à couper en urgence ses services en ligne MyMinfin et Tax-on-web, à quelques jours de la date limite des déclarations, qui a été reportée. Aucun vol de données n'est établi à ce stade. La leçon : un service public numérique doit disposer d'un plan de continuité, y compris pour reporter des échéances légales et informer les usagers.
Université de Copenhague, 525 000 personnes exposées (23 au 26 octobre). Les attaquants sont entrés par un environnement de test et ont accédé à des noms, numéros d'identité nationaux et coordonnées. Les codes PIN des badges de 20 000 étudiants et membres du personnel ont aussi été compromis, ce qui a obligé à restreindre l'accès à certains bâtiments. La leçon : les environnements de test contiennent souvent de vraies données et sont moins protégés que la production. Ils doivent être isolés et alimentés avec des données fictives ou anonymisées.
Sony Network Communications, 2,6 millions de clients (révélé le 27 octobre). Une intrusion dans la base clients des fournisseurs d'accès So-net et plala a exposé 2,58 millions de dossiers, dont plus de 54 000 adresses électroniques avec leurs mots de passe. La leçon : les mots de passe stockés doivent toujours être protégés par un hachage robuste, et les clients prévenus rapidement pour qu'ils les changent.
GMO Internet Group, la double extorsion d'un hébergeur (26 octobre). Un rançongiciel a été installé sur des serveurs de clients de cet hébergeur japonais, avec une demande de rançon de 50 millions de dollars. L'entreprise a refusé de payer et des données clients ont été publiées. La leçon : lorsqu'un hébergeur est touché, ce sont ses clients qui paient. Les contrats avec les prestataires doivent prévoir les obligations de sécurité et de notification.
Les secrets des développeurs dans le viseur (campagne « Gheist », publiée le 25 octobre). Des jetons GitHub volés ont permis de créer, dans plus de 850 comptes, des automatisations malveillantes qui extraient les mots de passe et clés d'accès stockés dans les dépôts, y compris dans des dépôts privés d'entreprises. L'éditeur d'outils de développement Warp a, de son côté, signalé une fuite chez un prestataire. La leçon : les jetons d'accès doivent avoir une durée de vie courte et des droits limités, et aucun secret ne doit être stocké en clair dans le code.
Revendications à confirmer. Le groupe Emperador affirme avoir volé 3,9 Go de données au brasseur AB InBev (25 octobre), et le groupe Everest environ 590 Go à PwC via une plateforme de formation externe (22 octobre). Aucune des deux entreprises n'a confirmé ces volumes. La leçon : face à une revendication, il faut vérifier avant de communiquer, mais se préparer comme si elle était vraie.
À corriger cette semaine. La CISA américaine a ajouté le 28 octobre deux vulnérabilités activement exploitées à son catalogue de référence (KEV), à consulter et à appliquer en priorité. Les utilisateurs de Tailscale, outil d'accès à distance très répandu, doivent passer à la version 1.104.4, qui corrige des failles d'élévation de privilèges.
Ailleurs en Afrique. La Côte d'Ivoire a organisé les 28 et 29 octobre son premier exercice national de crise cyber, CYBER.EX, piloté par l'ANSSI avec environ 800 participants des secteurs de l'énergie, des télécommunications et de la finance. Au Kenya, l'autorité nationale a recensé 2,7 milliards d'événements de cybermenace au troisième trimestre 2026. Ces initiatives rappellent l'intérêt d'exercices de crise réguliers, auxquels le club souhaite contribuer au Bénin.
Vous avez connaissance d'un incident qui touche le Bénin ou la sous-région ? Signalez-le au club en toute confidentialité depuis la page « Signaler un incident ».
Sources : INTERPOL et TechAfrica News, TRM Labs, Al Jazeera, Presse-citron, Help Net Security, Unosecur, Kaseya, Rescana, CISA, Ouestaf, Techweez (23 au 30 octobre 2026).