Rapport de terrain quotidien sur ce qui est Probably Fine
No. 24·Mercredi 21 Octobre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas tout à fait rassurant
Ouverture · Vulnérabilités
Le MFA n'a pas échoué sur PAN-OS. On ne l'a jamais sollicité
Palo Alto indique que des acteurs de rançongiciels exploitent toujours CVE-2026-0257, un contournement d'authentification corrigé en mai, pour établir des connexions VPN non autorisées et déjouer l'authentification multifacteur ; Qilin et INC sont nommés.
confiance0.85
L'authentification multifacteur n'est pas un mur. C'est une question posée poliment à une porte, et CVE-2026-0257 consiste à entrer par une partie du bâtiment où personne ne pose de questions. Palo Alto Networks a fait savoir qu'elle continue d'observer l'exploitation de cette faille — CVSS 7.8, un contournement d'authentification dans PAN-OS et Prisma Access — par des acteurs de rançongiciels qui établissent des connexions VPN non autorisées. Le relais du rapport sur Mastodon le dit sans détour : Qilin et INC, contournant le MFA, contre un bogue corrigé en mai. Cinq mois ne sont pas un délai de grâce. C'est une fenêtre dotée d'un rideau.
Dans la même fenêtre, Qilin a connu la journée la plus bruyante de tous les acteurs dans les flux : une rafale de dix-neuf éléments le 19 octobre, contre une médiane de un les autres jours, avec des revendications visant Belcorp, CREDIN, Salauno, Grupo Cronica, Dental Team FL, Johnson & Pace, SkyWorld Air Cargo, WalkingTree Technologies, GardaWorld et Toyota Canarias, suivies de miroirs de sites de fuite. INC a revendiqué Seetelhotels.de et centralrogers.com sur les mêmes jours. Personne n'a démontré que ces victimes avaient été atteintes via la faille de Palo Alto, et nous ne ferons pas semblant du contraire — mais l'éditeur affirme que le vecteur est actif, et les acteurs nommés dans l'avis sont ceux qui remplissent les sites de fuite.
Le travail du jour est donc ingrat et précis : confirmer, par la chaîne de version et non de mémoire, que votre parc PAN-OS et Prisma Access a bien reçu le correctif de mai, puis examiner les journaux d'authentification VPN à la recherche de sessions arrivées sans que personne n'ait jamais été sollicité. La seconde moitié est celle que l'on saute, car la première produit une coche verte. Un équipement corrigé vous renseigne sur l'avenir. Les journaux vous renseignent sur les cinq mois que vous avez déjà vécus.
Pourquoi c'est importantSi c'est là votre périmètre exposé, la mesure compensatoire que vous citez au conseil d'administration — le MFA sur le VPN — est précisément ce que l'exploit supprime.
Une racine de confiance n'est pas un fait mathématique. C'est le récit de la pire matinée vécue par quelqu'un lors d'une cérémonie de clés, conservé dans votre magasin de confiance pendant dix ans.
— Sturgeon's Revelations · Probably Fine Daily No. 24
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Huit clés d'AC étaient assez faibles pour être retrouvées, et quatre programmes racine ont discrètement cessé de leur faire confiance
L'autorité de certification eMudhra a révoqué huit certificats intermédiaires compromis après que des chercheurs ont constaté que les clés privées étaient si faibles que n'importe qui pouvait les retrouver presque instantanément et forger des certificats de confiance pour des sites légitimes. Go a publié les versions 1.27.3 et 1.26.10 le 20 octobre, son vérificateur rejetant désormais toute chaîne passant par ces huit clés intermédiaires, et Mozilla, le Chrome Root Program de Google et Apple ont suivi. La manière dont ces clés sont devenues si faibles n'est établie dans aucun des comptes rendus du jour. Un message sur le sujet indique, en substance, que les autorités de certification ont encore prouvé qu'on ne peut leur confier quoi que ce soit, et personne n'a contredit dans les réponses.
Pourquoi c'est importantTout ce qui épingle, vérifie ou compile avec Go nécessite la nouvelle chaîne d'outils ; tout le reste hérite du correctif via un fournisseur et ne vous dira pas qu'il a eu lieu.
La CISA a ajouté six entrées au KEV, dont quatre concernent votre serveur multimédia
La CISA a ajouté CVE-2026-96652, 96654, 96655 et 96656 dans Plex Media Server le 20 octobre — deux SSRF, une faille de schéma d'URI encodé et une écriture arbitraire de fichier, expressément décrites comme enchaînables — ainsi que CVE-2026-110936 dans Siemens Software Center et CVE-2026-106931, une injection de commandes du système d'exploitation dans EG Secure Solutions SiteGuard Server Edition qui exécute des commandes en tant que root ou SYSTEM. L'exploitation de la chaîne Plex a débuté un jour après la publication d'une preuve de concept le 16 octobre, déployant un mineur XMRig et une porte dérobée Linux de type reverse proxy, alors qu'un correctif était paru dans la version 1.43.3.10861 le 3 août. Une divergence de description mérite d'être signalée : le KEV présente certaines parties de la chaîne comme exigeant un administrateur ou un utilisateur authentifié, tandis que l'analyse publique qui circule sur Mastodon qualifie le résultat final d'exécution de code à distance non authentifiée. La faille Siemens est utilisée dans des leurres ClickFix, associant une copie authentique et signée de Software Center à des DLL malveillantes.
Pourquoi c'est importantDeux mois et demi entre le correctif et l'entrée au KEV signifient que la population exposée est constituée de machines domestiques et de petites entreprises dont personne ne tient l'inventaire.
Sept canaux de mise à jour de confiance en une semaine : moins une coïncidence qu'un modèle économique
Un identifiant d'API Microsoft 365 appartenant à ConnectWise Cloud Backup, anciennement SkyKick, a été compromis et utilisé pour s'authentifier dans des locataires M365 de clients ; ConnectWise a suspendu le service, réinitialisé des comptes et remplacé les identifiants d'application, et affirme que l'impact sur les clients n'est pas encore confirmé. Dans les mêmes jours, un attaquant a utilisé le compte GitHub détourné d'un contributeur pour remplacer les archives de téléchargement de cinq versions existantes de la CLI OVHcloud par une version volant des secrets ; les téléchargements de Rank Math PRO entre 20:02 UTC le 15 octobre et 07:12 UTC le 16 octobre embarquaient une porte dérobée à auto-restauration ; des clés de connexion UpdraftCentral volées ont servi à installer des portes dérobées sur des sites WordPress ; l'infrastructure de mise à jour d'AOMEI a diffusé un téléchargeur ShinyRoad aux utilisateurs d'un logiciel qui, selon l'éditeur, compte plus de 100 millions d'utilisateurs ; et Zeabur ferme après qu'un intrus a utilisé des identifiants internes en clair pour s'emparer de 3,2 millions d'enregistrements de variables d'environnement et des données de 321 810 comptes. OpenCode complète le tableau : un intrus a atteint un système hérité dans la nuit du 16 octobre et a peut-être exposé les clés d'API OpenAI, Anthropic et Google enregistrées par les utilisateurs.
Pourquoi c'est importantVotre liste d'autorisation est une liste de personnes dont les identifiants font désormais partie de votre surface d'attaque ; inventoriez les fournisseurs détenant des jetons dans votre locataire, et renouvelez ceux qui en détiennent.
226 revendications en sept jours, et le groupe qui croît le plus vite publie des schémas réseau plutôt que des demandes de rançon
Le décompte hebdomadaire fait état de 226 revendications sur sites de fuite émanant de 38 des 130 groupes suivis, N0n bondissant à 51 revendications contre 20.74 attendues d'après son propre rythme antérieur, iah6477 à 8 contre 1.0, et Helix à 7 contre 0.81. Les annonces de N0n ne ressemblent pas à celles d'une équipe de chiffrement classique : fichiers de configuration réseau et d'équipements d'un site de diffusion audiovisuelle, secrets d'accès d'infrastructures de paiement et topologie cloud, identifiants d'administrateur d'hébergement ERP et d'accès à distance, et une série de substituts anonymisés — Company #92 à #98 — couvrant la Corée du Sud, la Suisse, Trinité-et-Tobago, la Tunisie et l'Éthiopie. Par ailleurs, Booba Project a publié sept victimes en une journée, dont 295 GB attribués à la Research Foundation of The City University of New York, Redact a listé Baker Donelson à 355 GB sur 102,390 fichiers, et le FBI, avec des agences britanniques et allemandes, a qualifié SafePay de l'un des groupes les plus actifs, avec plus de 600 victimes depuis 2024, s'introduisant par devinette de mots de passe, exploitation de vulnérabilités et hameçonnage.
Pourquoi c'est importantUn groupe qui met en avant identifiants et topologie plutôt que chiffrement vend de l'accès et du levier, ce qui signifie que votre fenêtre de détection se situe avant que quoi que ce soit ne casse, non après.
Une plateforme de test d'intrusion par IA a été lancée sur 1 200 sites web et s'est simplement mise au travail
Au moins trois acteurs malveillants ont détourné la plateforme d'IA Cairn pour obtenir un accès persistant et commettre des vols financiers, l'un d'eux, un opérateur sinophone, dirigeant des agents autonomes vers plus de 1 200 sites web d'entreprises et touchant plus de 100 organisations, dont John Deere, SharkNinja et Cummins ; un chercheur a pu observer l'opération parce que les opérateurs avaient laissé leurs panneaux de contrôle exposés sur Internet. Au cours des deux mêmes jours, le NIST, la CISA et la NSA ont publié dix pratiques volontaires pour se préparer aux incidents impliquant des agents d'IA dévoyés, les détecter, y répondre et les signaler, et Microsoft a déclaré que les entreprises devraient traiter les agents comme des initiés, en accordant l'accès tâche par tâche et en le resserrant à mesure que le score de risque de l'agent augmente. MITRE ATT&CK v20 est aussi paru dans la fenêtre, cataloguant l'abus d'IA, le contournement du MFA et les attaques contre les services d'eau, avec 15 nouvelles stratégies de détection et 38 analyses.
Pourquoi c'est importantL'agent de l'attaquant est déjà en production ; le vôtre est en phase pilote, avec un comité de pilotage.
PHP publie des correctifs d'urgence aujourd'hui parce que les détails ont fuité avant
L'équipe de sécurité de PHP a averti les administrateurs le 20 octobre de se préparer à des mises à jour d'urgence le lendemain — soit aujourd'hui — pour deux vulnérabilités critiques, après que des informations sur ces failles auraient fuité avant la divulgation prévue ; un message diffusé dans la nuit les nomme CVE-2026-109618 et CVE-2026-109619. Parallèlement, un exploit de preuve de concept public est paru pour CVE-2026-106173, une traversée de chemin critique dans Fortinet FortiSIEM, notée CVSS 9.4 et permettant l'exécution de code à distance sans authentification ; Drupal a mis en garde contre un risque d'exploitation rapide d'une RCE critique dans son noyau ; F5 a publié des correctifs hors cycle pour trois failles critiques de NGINX ; et un contournement d'authentification critique dans BeyondTrust Remote Support, CVE-2026-102764, serait exploité dans la nature.
Pourquoi c'est importantLe calendrier de divulgation est désormais un paramètre de planification pour l'attaquant ; si les détails fuitent avant le correctif, vous voilà dans une course à l'exploitation à laquelle vous ne vous étiez pas inscrit.
Les gens que vous appelez lors d'une extorsion étaient peut-être en termes familiers avec les extorqueurs
KrebsOnSecurity rapporte que des enquêteurs fédéraux américains qui poursuivent ShinyHunters, le groupe qui a récemment dérobé des données hautement sensibles au FBI, ont identifié des dirigeants de deux sociétés distinctes de négociation de rançongiciels qui entretenaient des relations inhabituellement étroites avec le groupe d'extorsion, l'un d'eux étant soupçonné d'exploiter un site d'extorsion. Il s'agit pour l'instant d'une information à source unique et les sociétés ne sont pas nommées. Elle survient dans une semaine où Ahold Delhaize a confirmé que des actions malveillantes avaient mis hors ligne les systèmes de la plupart de ses enseignes américaines et européennes, sans qu'aucun groupe ne revendique l'attaque.
Pourquoi c'est importantLa vérification préalable de votre panel de réponse aux incidents est désormais un contrôle, non une formalité d'achat — demandez qui emploie le négociateur et avec qui il a travaillé.
Les pages d'aide de WhatsApp ordonnaient à son propre chatbot de ne pas mentionner l'autorité de régulation
Les pages d'aide de WhatsApp contenaient des instructions cachées pour son chatbot d'assistance lui interdisant de recommander une autorité de protection des données ou un régulateur aux utilisateurs qui ne pouvaient plus supprimer leur compte — une position que contredit sa propre politique de confidentialité européenne, puisque celle-ci indique aux utilisateurs qu'ils peuvent porter plainte. Ailleurs dans le classeur des improbables de la semaine : un ancien employé d'OpenAI accusé d'avoir dissimulé un enregistreur secret dans une salle de conférence prévoyait, selon le parquet, de se rendre en Arabie saoudite, et sa famille a quitté le pays le lendemain de son arrestation. Et dans les données des sites de fuite, l'annonce de Global Secret Group pour Seminole Schools associe un domaine de Floride au site web d'un district scolaire de l'Oklahoma, ce qui donne une idée du soin apporté aux fiches de victimes que nous citons tous.
Pourquoi c'est importantLe texte d'un prompt dans une page d'aide est désormais une politique, et personne en gouvernance ne le relit.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Sous les flux : une même observation amont en six déguisements, et une divulgation de programme racine qui a devancé l'actualité.
Exception 01
Go a bloqué les clés des heures avant que eMudhra ne soit nommée
Le changement de liste de blocage de Go est intervenu le 20 octobre, environ trois à cinq heures avant que les médias n'attribuent les huit clés à eMudhra, le flux d'actualités cyber devançant le RSS de 7,6 heures sur l'entité, puis Mozilla, Google et Apple ont suivi. Cette séquence ressemble à une divulgation discrète et coordonnée entre opérateurs de programmes racine plutôt qu'à une découverte indépendante. La cause profonde de la faiblesse des clés demeure inconnue.
confiance0.70
Wrong if
Preuve que la version de Go n'avait aucun lien avec eMudhra, ou que les clés n'étaient pas faibles.
Watch
Rapports post-incident d'eMudhra, suivi de bogues de Mozilla, et toute preuve réelle de mauvaise émission.
Les décomptes inter-sources pour les acteurs de rançongiciels reposent le plus souvent sur une seule source, répétée
Ransomware.live précède ransomlook sur presque toutes les entités communes, de 1 à 23,2 heures, et Atlas a émis un bloc d'articles « thegentlemen » à un unique horodatage de 17:18 le 19 octobre, que signal:atlas a ensuite répété 29,7 heures plus tard. L'étendue des sources est donc un mauvais indicateur de corroboration ici, et le poids apparent de six sources derrière Qilin doit être relativisé en conséquence.
confiance0.70
Wrong if
Confirmations indépendantes de victimes arrivant dans ransomlook avant ransomware.live.
Watch
Si le prochain recalcul d'Atlas se regroupe de nouveau à 17:xx.
N0n compte 34 éléments sur trois sources, avec au moins onze victimes publiées en environ 24 heures, puis la fuite des substituts numérotés Company #95 à #98 ensemble, avec des annonces qui mettent en avant configurations réseau, topologie et secrets d'accès plutôt que le chiffrement. Ce schéma correspond à une automatisation par lots et à un modèle de courtier d'accès ou d'extorsion de données plutôt qu'à une opération de rançongiciel classique. Une partie du volume apparent recoupe une grappe d'agrégateur de 38 éléments dans l'heure de 17:00 UTC le 19 octobre.
confiance0.50Speculative
Wrong if
Des victimes confirmant un chiffrement ou une perturbation opérationnelle, ou des entrées numérotées résolues en victimes nommées à cadence ordinaire.
Watch
Si les substituts sont désanonymisés et si la production reste au-dessus du rythme hebdomadaire attendu de 20.74.
La grappe de chaîne d'approvisionnement partage une forme, pas encore une campagne
ConnectWise, OVHcloud, Rank Math PRO, UpdraftCentral, AOMEI et Zeabur ont tous été touchés au cours des mêmes quelques jours, et le schéma commun est le vol d'identifiants, de clés et de secrets dans des outils de développement et d'administration plutôt qu'une exploitation unique. Qu'il s'agisse d'une seule campagne n'est pas démontré ; ConnectWise est apparu dans OTX 3,3 heures avant la couverture médiatique, ce qui correspond à une divulgation fondée d'abord sur les indicateurs.
confiance0.50Speculative
Wrong if
Des causes profondes distinctes et sans lien, sans infrastructure ni outillage partagés dans les indicateurs des incidents.
Watch
Confirmation par ConnectWise d'un impact sur les clients, et tout IOC commun entre les incidents OVHcloud, Rank Math et Updraft.
Nothing to seeLes pics d'indicateurs Mozi et Mirai à 04:06 correspondent à un flux qui expire, sans signification d'acteur. Les articles « crise composée » d'Atlas pour Taïwan, la Russie, la Colombie et le Vanuatu n'ont aucun élément à l'appui dans la fenêtre. Les rapports Swallowtail et APT28 décrivent presque certainement la même activité d'espionnage russe nommée par deux éditeurs, et non une seconde campagne. La revendication de 250 GB visant l'AfD sur Mastodon n'est pas vérifiée et reste écartée tant que personne ne montre ses preuves. Et les silences après 05:48 le 20 octobre dans atlas, KEV et Qilin relèvent de la cadence de collecte, non du calme.
Deep read: 391 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueFri 23 Oct72h
PHP publie des correctifs pour les deux failles critiques signalées le 20 octobre (rapportées sous les identifiants CVE-2026-109618 et CVE-2026-109619) d'ici la fin du 23 octobre.
Wrong ifAucune version de PHP corrigeant ces failles avant 23:59 UTC le 23 octobre.
N0n publie au moins dix autres victimes sur les sites de fuite, via ransomware.live ou ransomlook, d'ici le 28 octobre, dont au moins un substitut numéroté résolu en une organisation nommée.
Wrong ifMoins de dix nouvelles annonces de N0n, ou aucun substitut numéroté désanonymisé, d'ici le 28 octobre.
Glossaire des termes que vous êtes censé connaître
AC intermédiaire(n.)
Une autorité de certification qui n'est pas la racine, ce qui explique qu'elle soit une note de bas de page dans votre magasin de confiance, une ligne dans les notes de version d'urgence de quelqu'un, et une chose dont vous ignoriez dépendre jusqu'au jour où on vous a dit d'arrêter.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périmètre, pendant ce temps, a poursuivi son imitation d'une station balnéaire très ennuyeuse. Au cours des dernières 24 heures, la sonde Adversary DNA a profilé 13 sources hostiles — 8 scanners, 4 robots d'exploration et 1 force brute — qui ont envoyé à elles toutes 1,834 requêtes ; deux sont passées de la reconnaissance à des tentatives d'exploitation, et une empreinte comportementale (DNA dfef4501b216) couvrait deux adresses différentes, 178.211.139.240 et 20.207.202.183, soit un même outil ou un même opérateur qui change de manteau. La meilleure note, 20.194.17.163 avec 6.1 sur 10, a émis 50 requêtes à raison de 26 par minute, réclamant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php — notez le I majuscule là où devrait figurer le l — et /bdroot.php. Une autre, 94.26.106.162, a demandé /.env, /.env.local, /.env.staging et /.env.development 82 fois en environ 1,7 seconde, ce qui relève soit d'un problème de réglage, soit d'un enthousiasme sincère. Et deux adresses ont envoyé des requêtes calquées sur CVE-2015-2051 vers /hnap1, car quelque part un routeur D-Link écoute encore et l'espoir fait vivre. Sur 6,862 adresses vues à notre périmètre dans 89 pays, 3,024 étaient nouvelles aujourd'hui. Les journaux bruts n'ont jamais quitté la machine.
13sources hostiles profilées
1,834requêtes émanant d'elles
2ont atteint l'exploitation
1grappes à ADN partagé
6.7/10hostilité maximale
6,862adresses à notre périmètre
3,024vues pour la première fois aujourd'hui
89pays
La liste WTF
WTF #1
Le visiteur le plus obstiné
20.194.17.163, un scanner (hostilité 6.1/10), a envoyé 50 requêtes à raison de 26 par minute vers l'un de nos sites, sondant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint la phase d'armement.
attribution: inconnuWed 21 Oct, 01:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA bccc30d19899
WTF #2
Même ADN, adresses différentes
20.207.202.183, un scanner (hostilité 6.7/10), a envoyé 16 requêtes vers l'un de nos sites, sondant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /403.php, /aaa.php.
Pourquoi c'est étrange2 IP partagent une même empreinte comportementale (DNA dfef4501b216) : un même outil ou un même opérateur qui change d'adresses : 178.211.139.240, 20.207.202.183.
attribution: inconnuWed 21 Oct, 01:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA dfef4501b216
WTF #3
CVE-2015-2051 essayée sur nous
2 adresses ont envoyé 2 requêtes calquées sur l'exploitation de CVE-2015-2051 (/hnap1), dont 103.213.112.213, 223.123.43.62.
Pourquoi c'est étrangeUn exploit connu et nommé, toujours pulvérisé sur Internet ; notre périmètre l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : dlink-hnap
WTF #4
La liste de courses la plus étrange
74.225.146.100, un scanner (hostilité 5.9/10), a envoyé 50 requêtes vers l'un de nos sites, sondant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php, /c.php.
attribution: inconnuWed 21 Oct, 01:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA c67915f564de
WTF #5
Très pressé
94.26.106.162, un scanner (hostilité 4.9/10), a envoyé 82 requêtes vers l'un de nos sites, sondant /.env.development, /.env, /.env.staging, /.env.local.
Pourquoi c'est étrangeA émis 82 requêtes en environ 1,7 seconde.
attribution: inconnuWed 21 Oct, 01:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA ce6ecdfacbe3
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
226claims, 7 days
38of 130 groups active
N0n51 this week · surging
thegentlemen37 this week · surging
qilin29 this week
SurgingN0n — 51 claims in 7 days against 20.7 expected from its own prior rate (p < 0.001)
Surgingiah6477 — 8 claims in 7 days against 1.0 expected from its own prior rate (p < 0.001)
SurgingHelix — 7 claims in 7 days against 0.8 expected from its own prior rate (p < 0.001)
SurgingRedact — 3 claims in 7 days against 0.3 expected from its own prior rate (p = 0.004)
Surgingthegentlemen — 37 claims in 7 days against 25.3 expected from its own prior rate (p = 0.017)
SurgingBooba Project — 6 claims in 7 days against 2.1 expected from its own prior rate (p = 0.022)
UpTransportation — 2.3× its own prior share (72 claims, 31 expected)
UpEducation — 1.9× its own prior share (47 claims, 25 expected)
UpHealthcare — 1.5× its own prior share (115 claims, 76 expected)
DownRetail & E-Commerce — 0.7× its own prior share (44 claims, 60 expected)
22% of claims carry no sector label.
Brand churn
Of the 79 leak-site brands first seen since 2026-06-01, 79% were still claiming 30 days after their first post and 79% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 53 old enough to judge posted on one day and never again; 40% made at least half their claims in their first week. New brands this month: 10 — newest: Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims), 0x00 (2026-10-15, 1 claim).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 24 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 12 flux publics de menaces dans les 24 heures précédant 05:05 heure du Royaume-Uni (391 éléments) a été lu intégralement : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été retirés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « Depuis notre périmètre » désigne des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 0,72 $. Elle est rédigée par une machine dans la voix de ScottG, auteur de Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.
391items read
24hour window
$0.72cost of this edition
04:05 UTCgenerated
Sources de ce matin
Security news82ok
infosec.exchange72ok
RansomLook56ok
ransomware.live55ok
Signal Atlas39ok
atlas33ok
RSS22ok
AlienVault OTX13ok
signal:kev6ok
CISA KEV6ok
signal:ioc-family6ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 391|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.72|STATUS: PAS TOUT À FAIT RASSURANT
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK