Ouverture · Vulnérabilités

Microsoft a corrigé un nombre à quatre chiffres ce mois-ci, et personne ne s'accorde sur lequel

Le décompte n'est pas l'enjeu ; l'enjeu, c'est la faille Outlook que des attaquants exploitaient déjà, et qui a été inscrite au KEV mardi.

confiance 0.90

BleepingComputer parle de 1 235 failles. SecurityWeek, de 1 094. Le SANS Internet Storm Center en compte 1 260, dont 68 critiques et 167 failles Chromium qui vous parviennent par Edge. CyberScoop en a dénombré 1 093, Krebs on Security presque 1 100 dont 63 critiques. Ces chiffres rendent compte du même mardi. Nous ne débattons pas du risque, mais d'arithmétique, et personne ne tranchera, car lorsque ce sera fait, un autre mardi sera arrivé.

Ce qui n'est pas contesté : CVE-2026-124194, une faille d'Outlook liée à l'absence d'interaction de l'utilisateur, qui permet à un attaquant non autorisé d'usurper une identité par le réseau, CVSS 6.5. Microsoft indique avoir connaissance de son exploitation active, et la CISA l'a ajoutée au catalogue des vulnérabilités exploitées connues (KEV) le 10 novembre. D'après l'analyse de Dark Reading, des failles critiques touchent aussi Exchange, SharePoint, Windows Search et LDAP. Adobe a publié le même jour 110 correctifs répartis sur neuf produits, Adobe Connect à lui seul portant 24 CVE, dont 18 critiques et six au CVSS 10.0. La journée de novembre de SAP a apporté quatre failles de gravité maximale dans NetWeaver et Web Dispatcher, parmi 35 correctifs et 42 avis selon la source.

On n'installe pas un chiffre. On installe KB5132061 ou KB5131087 sous Windows 11, KB5131096 sous Windows 10 en support étendu, et l'on commence par celui d'Outlook, seul élément de la liste doté d'un utilisateur confirmé. Tout le reste est une file d'attente. Un seul a un client.

Pourquoi c'est importantParmi le millier de failles de ce mois, une est déjà exploitée et arrive par courriel ; organisez le déploiement autour d'elle, pas autour du total.

Preuves

Today’s revelation

La taille d'une publication de correctifs mesure à quel point l'éditeur est devenu bon pour trouver des bogues. Elle ne mesure absolument rien de ce qui se passera jeudi.

— Sturgeon's Revelations · Probably Fine Daily No. 45

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§2

À la une

Le reste des dernières 24 heures, preuves à l'appui.

Vulnérabilités

Six entrées au KEV, dont deux concernent l'outil qui lit votre courrier avant vous

Barracuda a par ailleurs averti que des attaquants avaient commencé à exploiter deux failles récemment corrigées d'ESG pour exécuter des commandes avec les privilèges root. La veille, la CISA avait signalé un contournement de l'authentification multifacteur de SonicWall SonicOS, avec des informations faisant état d'une possible exploitation, et Google avait publié des mises à jour d'urgence pour la huitième faille zero-day de Chrome de l'année.

Pourquoi c'est importantQuatre des six touchent des équipements de périmètre que personne ne redémarre en plein jour ; les dates limites sont la seule partie que lira votre auditeur.

confiance 0.90

Preuves

Vulnérabilités

Trois failles exploitées en ce moment même, sans badge KEV pour l'officialiser

Vates avertit qu'une faille critique de contournement d'authentification dans Xen Orchestra, suivie sous la référence VSA-2026-062 et sans CVE à ce jour, est exploitée dans la nature : l'analyse des cookies REST transforme authenticationToken=j:%7B%7D en objet vide, l'authentification REST l'accepte, et l'on obtient les droits d'administrateur et une prise de contrôle au niveau root des hôtes XCP-ng. Le contournement d'authentification OpenSSH « SSHole », CVE-2026-123158, sert à exécuter des commandes, voler des identifiants et s'installer durablement, la première vague étant attribuée à des botnets et à des mineurs de cryptomonnaies. Enfin, Huntress a documenté une intrusion d'octobre enchaînant deux failles d'AhsayCBS, CVE-2026-105133 et CVE-2026-105134, pour déposer des webshells dissimulés dans des images PNG, un mineur et un implant Python capable d'échapper aux bacs à sable, avec une requête d'identifiants observée contre un serveur Veeam apparenté.

Pourquoi c'est importantL'exploitation se produit sur les couches de gestion d'hyperviseurs et de sauvegarde, là où réside votre plan de reprise.

confiance 0.85

Preuves

Vulnérabilités

N-able met hors ligne son N-central hébergé et demande aux clients sur site d'éteindre le leur

Après qu'un chercheur a divulgué publiquement plus de 30 prétendues failles zero-day dans N-central, dont certaines décrites comme permettant une prise de contrôle complète du système, N-able a mis hors ligne ses environnements hébergés et exhorté les clients en local à arrêter leurs serveurs. Le même week-end, le projet LNbits a demandé à tous les exploitants de son logiciel de portefeuille Bitcoin Lightning d'éteindre leurs serveurs le temps de préparer des correctifs, invoquant une vague d'attaques. Deux sources rapportent l'affaire N-able, et le chiffre de « plus de 30 » est une affirmation du chercheur, non un décompte de l'éditeur : retenez-le avec prudence tout en agissant sans attendre.

Pourquoi c'est importantN-central est un outil pour prestataires de services managés : une instance compromise donne un trousseau, non une clé, et l'éteindre coûte moins cher que d'avoir à s'en expliquer plus tard.

confiance 0.70

Preuves

Rançongiciels

Quarante-sept publications d'Inc Ransom en une journée : un scraper qui se réveille, pas un gang qui redouble d'efforts

Le 10 novembre, les traqueurs de sites de fuite se sont affolés : Inc Ransom 47 entrées contre une médiane d'une les autres jours, Interlock 20 contre une médiane nulle, Vortex 17, N0n 17, Booba Project 13, Inc publiant environ soixante pages de victimes en une seule minute. Le décompte de tempo de Ninja Signal pour la semaine fait état de 306 revendications émanant de 49 des 275 groupes suivis, N0n affichant 97 revendications contre 27,56 attendues d'après son propre rythme antérieur et Interlock 11 contre 1,25 ; le bilan hebdomadaire de Hackmanac recense 448 attaques dans 64 pays, INC Ransom étant le plus actif avec 34, les États-Unis les plus touchés avec 21,9 % et 98 attaques. Les listes de victimes sont bien réelles et comprennent des districts scolaires, des cliniques et plusieurs prestataires informatiques managés dont les listes de clients sont nommées dans les publications : triez-les donc une à une. Par ailleurs, NBC News rapporte que certains grands cabinets américains refusent des missions de réponse à incident urgentes face à l'essor des attaques assistées par IA, Sophos indiquant que d'autres cabinets de DFIR lui ont demandé un renfort ; l'évaluation d'un intervenant sur l'accès initial dans tout cela était qu'il n'avait « certainement rien de sophistiqué ».

Pourquoi c'est importantConsidérez le volume de publications comme un horodatage d'ingestion et les noms des victimes comme du travail ; si vous n'avez pas de contrat de réponse à incident, c'est la semaine où le marché a épuisé ses intervenants disponibles.

confiance 0.75

Preuves

Acteurs de la menace

Les propres identifiants AWS de Qubole ont ouvert la porte à plus d'une douzaine de clients

Entre le 14 et le 26 octobre, un attaquant a utilisé des identifiants IAM appartenant au compte AWS 805246085872 de Qubole pour endosser les rôles d'intégration que les clients avaient accordés à la plateforme, puis a volé secrets stockés, clés, variables d'environnement, identifiants et données, selon Wiz. SecurityWeek évoque plus d'une douzaine d'organisations touchées. Ni exploit, ni logiciel malveillant, ni silhouette encapuchonnée : un rôle censé être endossé, endossé.

Pourquoi c'est importantRecensez tous les rôles inter-comptes de votre parc dotés d'un principal externe, vérifiez l'identifiant externe et les clés de condition, et cherchez les appels AssumeRole que vous ne pouvez pas nommer.

confiance 0.85

Preuves

IA et sécurité

Les clés de modèles volées sont désormais un poste de dépense : 740 000 $ d'inférence payés pour autrui

Railway affirme que des attaquants ont exploité des failles de son infrastructure, volé des secrets d'authentification de clients et généré environ 740 000 $ d'usage frauduleux d'IA, exposant potentiellement les identifiants de jusqu'à 100 000 espaces de travail, OpenRouter refusant tout remboursement. Fireworks AI a confirmé une brèche plus large touchant des informations de compte et de facturation, des secrets, des jeux de données, des modèles inachevés et des conversations Notion AI pour un nombre limité de comptes, après la compromission d'un fournisseur cloud tiers. NEAR AI a vu une faille d'exécution de code à distance dans SGLang exploitée sur un serveur d'inférence, avec des données dérobées à 18 agents d'IA et à environ 100 comptes d'utilisateurs, et des requêtes en mode confidentiel potentiellement visibles de l'attaquant. Et les fichiers de configuration de Claude Code ont discrètement versé des milliers de secrets dans des dépôts GitHub publics, la même histoire racontée par un autre outil.

Pourquoi c'est importantLes clés d'API de modèles sont désormais des jetons au porteur assortis d'une relation de facturation ; faites-les tourner, limitez leur portée, déclenchez des alertes sur les dépenses, et cessez de les stocker à côté de la configuration de votre agent.

confiance 0.85

Preuves

Acteurs de la menace

La France désigne une unité des IRGC pour les attaques d'octobre contre la réfrigération

La France a attribué à des pirates iraniens soutenus par l'État les cyberattaques d'octobre qui ont perturbé les systèmes de réfrigération de plus de 700 supermarchés et autres points de vente, provoquant des pertes alimentaires et au moins 15 incendies, en identifiant les auteurs comme appartenant à Shahid Kaveh, une unité cyber des IRGC déjà liée à des attaques contre des automates industriels de services d'eau américains. Le parquet de Paris a ouvert une procédure contre un commandant et deux adjoints ; Téhéran dément. Des agences américaines ont par ailleurs averti que des acteurs de la menace ciblent activement, à l'échelle mondiale, les systèmes de réfrigération industrielle et de surveillance de la chaîne du froid, en exploitant des vulnérabilités ou des faiblesses de systèmes non corrigés, avec pour risques déclarés l'interruption de service, les risques d'incendie et les pertes de stocks.

Pourquoi c'est importantLes contrôleurs de réfrigération et de chaîne du froid exposés sur Internet constituent désormais un ensemble de cibles nommé, avec un adversaire nommé ; trouvez les vôtres avant votre assureur.

confiance 0.80

Preuves

Insolite

Deux marques automobiles, un admin:admin, toutes les portières

Deux chercheurs en sécurité ont découvert que les systèmes de connexion derrière les applications mobiles de deux marques automobiles pouvaient être entièrement pris en main, donnant accès au compte de n'importe quel client et, pour les propriétaires d'une voiture connectée, la possibilité de déverrouiller les portières et de démarrer le moteur. La porte d'entrée était un serveur doté du mot de passe par défaut admin:admin. Les deux applications authentifiaient leurs clients par le même système.

Pourquoi c'est importantSi votre produit peut déplacer une tonne de métal, le service d'authentification qui le commande mérite mieux que la configuration d'usine.

confiance 0.80

Preuves

1Security newsDefault 'admin:admin' Server Password Helps Researc…

§3

Masqué

La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.

L'essentiel de la corroboration apparente d'aujourd'hui relève de la syndication, et l'essentiel de la poussée de rançongiciels du jour est un scraper qui rattrape son retard.

Exception 01
Les pics des sites de fuite sont des téléversements par lots, non un changement de tempo
Inc Ransom a publié 47 éléments le 2026-11-10 contre une médiane d'un les autres jours, Interlock 20 contre zéro, Vortex 17, N0n 17 et Booba Project 13, Inc publiant une soixantaine de victimes en une minute, Interlock une dizaine en huit minutes et trois entrées de Vortex en une minute partageant une même échéance au 2026-11-12. Cela correspond bien mieux à un rattrapage de scraper, à une migration de site ou à un téléversement automatisé qu'à un brusque changement du rythme des intrusions. Les victimes méritent néanmoins un tri individuel.
confiance 0.70Speculative
Wrong if
Des divulgations de victimes ou des rapports d'incident datant ces intrusions de la semaine écoulée, ou les mêmes acteurs maintenant un rythme élevé pendant plusieurs jours encore.
Watch
Si Inc Ransom, Interlock et Vortex maintiennent le rythme pendant 72 heures, et si l'échéance du 12 novembre de Vortex donne lieu à la publication de données.
Preuves
Exception 02
ransomware.live est la source précoce, tout le reste en aval n'est qu'un écho
Pour Vortex, Interlock, Play, N0n, SilentRansomGroup, Booba Project, Dark Project, Climax et Aoqin, ransomware.live a publié en premier, et ransomlook, Atlas ou Telegram ont suivi avec un délai de 1,6 à 17,6 heures. Les décomptes « multi-sources » pour ces acteurs sont la même revendication qui voyage, non une confirmation indépendante.
confiance 0.75
Wrong if
Sur une période plus longue, ransomlook ou Atlas devancent les autres dans une proportion comparable de cas.
Watch
Le décalage observé sur les acteurs nouvellement nommés au cours de la semaine à venir.
Preuves
1. 1RansomLookaoqin leaks leaked Irwin Automotive Group
2. 2ransomware.liveBooba Project claimed Acclaim Health (Healthcare ·…
Exception 03
Les décomptes du Patch Tuesday divergent et le lien avec le KEV est déduit, non énoncé
CVE-2026-124194 est la seule entité présente à la fois dans le KEV de la CISA, cyber-news, Mastodon et le signal KEV, et correspond probablement à la faille zero-day d'Outlook exploitée du Patch Tuesday, mais aucune source ne relie explicitement les deux. Les totaux publiés divergent : 1 094, 1 235, 1 260 et environ 1 093 à 1 100, et les décomptes de failles critiques de SAP diffèrent aussi. Servez-vous des notes de version des éditeurs, non des titres de presse, pour votre registre des changements.
confiance 0.60
Wrong if
L'avis de Microsoft montre que CVE-2026-124194 est une faille différente de la faille zero-day d'Outlook exploitée.
Watch
Le texte même de l'avis de Microsoft et les dates limites du KEV.
Preuves
Exception 04
Les flux de vulnérabilités s'arrêtent à 00 h 43, et c'est presque certainement notre tuyauterie
NVD, le KEV de la CISA et le signal KEV s'arrêtent tous après 2026-11-10T00:43, avec la totalité des 100 éléments NVD dans la période initiale et six éléments pour chacune des sources KEV. Cela ressemble à une seule ingestion par lots plutôt qu'à trois sources devenues silencieuses, mais cela signifie que la couverture des CVE exploitées pour les 10 et 11 novembre dans cette fenêtre est incomplète.
confiance 0.60Speculative
Wrong if
Des éléments NVD ou KEV portant des horodatages ultérieurs apparaissent dans la prochaine fenêtre.
Watch
Si les sources de vulnérabilités reprennent à la prochaine ingestion.
Preuves
1. 1NVDCVE-2026-103303: The Turisbook Booking System WordP…
2. 2CISA KEVCVE-2026-124194 Microsoft Office: Microsoft Office…

Nothing to seeAucune grappe temporelle n'a été établie au-delà des pics des sites de fuite. Rien ne relie entre eux les éléments concernant l'Iran, la Russie, la Chine et la RPDC, ni à l'activité des rançongiciels. La grappe japonaise (Nitori, JCCI, Toyota) et la revendication de brèche chez Binance sont minces et peuvent relever de la coïncidence ou de l'usurpation d'identité. Les vagues massives de CVE visant OpenEMR, Craft CMS et SunRédacteur sont des artefacts de publication par lots sans preuve d'exploitation, et le volume de ThreatFox est habituel.

Deep read: 700 articles consultés

§4

Prévisions

Analyses datées et réfutables. Nous notons notre propre copie, publiquement.

Today’s calls

DueSun 15 Nov96h
Au moins une des trois victimes de Vortex dont l'échéance est fixée au 12 novembre (PYRAMID HEALTHCARE, ALEXION, CRESA) apparaît comme publiée ou divulguée sur ransomware.live ou ransomlook.
Wrong ifAucun statut de publication ou de fuite pour aucune des trois sur l'un ou l'autre traqueur au 15 novembre.
Preuves
f-2026-11-11-1
Confidence0.55
DueWed 18 Nov7d
Inc Ransom publie moins de 20 nouvelles revendications par jour sur les sites de fuite, quel que soit le jour entre le 12 et le 18 novembre, confirmant que les 47 relevaient d'un rattrapage et non d'un tempo.
Wrong ifTout jour de cette période avec 20 nouvelles revendications d'Inc Ransom ou plus sur ransomlook ou ransomware.live.
Preuves
f-2026-11-11-2
Confidence0.70
DueSat 21 Nov10d
La CISA ajoute la faille OpenSSH SSHole, CVE-2026-123158, au catalogue KEV.
Wrong ifCVE-2026-123158 est absente du KEV au 21 novembre.
Preuves
f-2026-11-11-3
Confidence0.35

Scorecard

1 partly · 2 wrong

wrong
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
The 2026-11-11 tempo report shows N0n surging at 97 claims in 7 days; Booba Project posted 6 new claims on 2026-11-10, well above 17 threshold. The tempo report covers 306 claims total and Booba Project atlas signals show escalating activity, not cooling below 17.
Preuves
wrong
No corroborated, publicly available exploit tool for the three WordPress CVEs teased by @Ransomwareg (including CVE-2026-63030 and CVE-2026-60137) is confirmed by a reputable source.
Called Thu 5 Nov · due Thu 12 Nov
A Telegram post from @NeuraSCTB advertises an auto-exploit tool listing CVE-2026-63030 and CVE-2026-60137 (the teased WordPress CVEs) as working exploits for sale, constituting a publicly advertised working tool, though not from a named reputable vendor. However the falsifier requires a named vendor or researcher confirmation — the feed shows only a Telegram seller post, not reputable source confirmation. Keeping as open would be more precise, but due date is 2026-11-12 and no reputable source confirmed it.
Preuves
1. 1TelegramWTS AUTO EXPLOIT TOOL FITUR : - AUTO UP SHELL - TRY…
partly
N-able either restores hosted N-central or publishes an advisory naming at least one of the 30-plus disclosed flaws by 20 November 2026.
Called Tue 10 Nov · due Fri 20 Nov
N-able took hosted N-central offline (confirmed in feed), satisfying the 'restores hosted N-central' part partially — actually it went offline not restored. No advisory naming the 30+ flaws yet. The action taken is taking offline, not restoring or publishing named-flaw advisory. Due 2026-11-20.
Preuves

Glossaire des termes que vous êtes censé connaître

Intégration de confiance (n.): Un rôle inter-comptes que vous avez approuvé une fois, à la hâte, pour une plateforme de données, désormais détenu par une entreprise dont vous lirez le rapport d'incident comme une information, au passé, vous concernant.

§5

Depuis notre périmètre

Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.

Notre propre capteur de périphérie a profilé 114 sources hostiles en 24 heures — 70 robots d'exploration, 39 scanners, trois attaquants par force brute et deux opérateurs ciblés — qui ont envoyé à elles toutes 7 087 requêtes, dont 61 ont dépassé la reconnaissance pour des tentatives d'exploitation, depuis 9 697 adresses de 100 pays, dont 2 934 vues ici pour la première fois aujourd'hui. Dix-sept groupes partageaient une empreinte comportementale, dont douze adresses fonctionnant sous l'ADN 18e39c4b41fb ; l'une d'elles, 34.53.218.24, a demandé /.aws/credentials, /.aws/config, /.env et, fait notable, /.env.anthropic : les clés d'API de modèles figurent désormais sur la liste de courses, aux côtés des clés cloud. La hâte est réelle : 195.178.110.242 a tiré 161 requêtes en environ 0,7 seconde pour /src/.env, /laravel/.env, /.env.bak et /.env.staging, et 195.178.110.211 en a totalisé 513 à 315 par minute. Le plus haut niveau d'hostilité du classement, 7,0 sur 10, revient à un scanner IPv6 dont la chaîne a atteint l'exploitation, et deux adresses arrosaient encore /hnap1 sous la forme de CVE-2015-2051, ce qui en dit long sur ce que l'Internet pense de vos notes de correctifs. Les journaux bruts n'ont jamais quitté le serveur ; seules ces conclusions l'ont fait.

114sources hostiles profilées

7 087requêtes émises

61ayant atteint l'exploitation

17grappes à ADN partagé

8,2/10hostilité maximale

9 697adresses à notre périphérie

2 934vues pour la première fois aujourd'hui

100pays

La liste WTF

WTF #1
À la recherche de vos clés d'IA
34.53.218.24, un scanner (hostilité 5,4/10), a envoyé 122 requêtes à l'un de nos sites, à la recherche de /.aws/credentials, /.env.anthropic, /.aws/config, /.env.
Pourquoi c'est étrangeEst allé droit aux identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
attribution: inconnuTue 10 Nov, 06:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN 18e39c4b41fb
```
WTF #2
Le visiteur le plus déterminé
2a02:c207:2298:6410::1, un scanner (hostilité 7,0/10), a envoyé 21 requêtes à raison de 18 par minute à l'un de nos sites, à la recherche de /.env.backup, /.aws/credentials, /.docker/config.json, /.env.
Pourquoi c'est étrangeHostilité la plus élevée du classement ; sa chaîne d'attaque a atteint l'exploitation.
attribution: inconnuTue 10 Nov, 06:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation → exploitation · ADN 3268dda94501
```
WTF #3
Une tentative de CVE-2015-2051 contre nous
2 adresses ont envoyé 2 requêtes conformes à l'exploitation de CVE-2015-2051 (/hnap1), dont 113.138.242.19, 171.14.129.134.
Pourquoi c'est étrangeUn exploit connu et nommé encore arrosé sur Internet ; notre périphérie l'a vu aujourd'hui, quoi que disent les notes de correctifs sur l'année.
attribution: inconnu
Detail
```
famille de sondes : dlink-hnap
```
WTF #4
Même ADN, adresses différentes
195.178.110.211, un scanner (hostilité 5,9/10), a envoyé 513 requêtes à raison de 315 par minute à l'un de nos sites, à la recherche de /.env, /vendor/.env, /lib/.env, /lab/.env.
Pourquoi c'est étrange12 adresses IP partagent une même empreinte comportementale (ADN 18e39c4b41fb) : un seul outil ou un seul opérateur qui fait tourner ses adresses : 195.178.110.211, 2400:6180:100:d0:0:1:c071:6001, 2400:6180:100:d0:0:1:c072:1001, 34.53.218.24, 207.175.165.55 et d'autres.
attribution: inconnuTue 10 Nov, 06:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN 18e39c4b41fb
```
WTF #5
La liste de courses la plus étrange
20.92.243.53, un scanner (hostilité 6,7/10), a envoyé 156 requêtes à raison de 156 par minute à l'un de nos sites, à la recherche de /spip.php, /about.php, /1.php, /atomlib.php.
Pourquoi c'est étrangeA réclamé des fichiers que presque personne d'autre ne demande : /spip.php, /about.php, /1.php, /atomlib.php, /wp-trackback.php.
attribution: inconnuWed 11 Nov, 02:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN dfef4501b216
```
WTF #6
Très pressé
195.178.110.242, un scanner (hostilité 5,1/10), a envoyé 161 requêtes à l'un de nos sites, à la recherche de /src/.env, /laravel/.env, /.env.bak, /.env.staging.
Pourquoi c'est étrangeA tiré 161 requêtes en environ 0,7 seconde.
attribution: inconnuWed 11 Nov, 02:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

306claims, 7 days

49of 275 groups active

N0n97 this week · surging

thegentlemen25 this week

Climax Inc17 this week · new

SurgingN0n — 97 claims in 7 days against 27.6 expected from its own prior rate (p < 0.001)
Surginginterlock — 11 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 9 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 10 claims in 7 days against 3.1 expected from its own prior rate (p = 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.014)
SurgingBYOD — 7 claims in 7 days against 2.5 expected from its own prior rate (p = 0.014)

Gone quiet: global (60 days), embargo (63 days), kazu (65 days), DYSPHOR1A (66 days).

Sector pressure, 30 days

UpEducation — 1.3× its own prior share (47 claims, 35 expected)
DownAgriculture and Food Production — 0.6× its own prior share (21 claims, 38 expected)
DownManufacturing — 0.9× its own prior share (150 claims, 174 expected)

30% of claims carry no sector label.

Brand churn

Of the 237 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 6 — newest: Climax Inc (2026-11-10, 17 claims), Vortex (2026-11-10, 14 claims), Destello (2026-11-05, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.4× every other brand's share); N0n put 29% of its claims on Transportation (6.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–20:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Reportages terrain

Outils en accès libre. Sans inscription ni démarche commerciale.

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§8

Colophon

Comment cette édition a été fabriquée, sans détour.

L'édition 45 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 15 flux publics de menaces au cours des 24 heures précédant 05 h 05 (heure du Royaume-Uni), soit 700 éléments, a été lu intégralement : statistiques calculées par le code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions suivantes. « From our edge » désigne des données d'attaque en direct provenant de nos propres serveurs. Coût de cette édition : 1,30 $. Elle est rédigée par une machine, dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a éditée à la main, ce qui est soit le but, soit le problème.

700items read

24hour window

$1.30cost of this edition

05:05 UTCgenerated

Sources de ce matin

Security news104ok
NVD100ok
ThreatFox100ok
RansomLook88ok
Signal Atlas87ok
Telegram63ok
infosec.exchange46ok
ransomware.live43ok
RSS26ok
atlas16ok
AlienVault OTX7ok
signal:ioc-family7ok
signal:kev6ok
CISA KEV6ok
Ransomware tempo · Ninja Signal graph1ok

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Six entrées au KEV, dont deux concernent l'outil qui lit votre courrier avant vous

Trois failles exploitées en ce moment même, sans badge KEV pour l'officialiser

N-able met hors ligne son N-central hébergé et demande aux clients sur site d'éteindre le leur

Quarante-sept publications d'Inc Ransom en une journée : un scraper qui se réveille, pas un gang qui redouble d'efforts

Les propres identifiants AWS de Qubole ont ouvert la porte à plus d'une douzaine de clients

Les clés de modèles volées sont désormais un poste de dépense : 740 000 $ d'inférence payés pour autrui

La France désigne une unité des IRGC pour les attaques d'octobre contre la réfrigération

Deux marques automobiles, un admin:admin, toutes les portières

Les pics des sites de fuite sont des téléversements par lots, non un changement de tempo

ransomware.live est la source précoce, tout le reste en aval n'est qu'un écho

Les décomptes du Patch Tuesday divergent et le lien avec le KEV est déduit, non énoncé

Les flux de vulnérabilités s'arrêtent à 00 h 43, et c'est presque certainement notre tuyauterie

Today’s calls

Scorecard

Glossaire des termes que vous êtes censé connaître

La liste WTF

À la recherche de vos clés d'IA

Le visiteur le plus déterminé

Une tentative de CVE-2015-2051 contre nous

Même ADN, adresses différentes

La liste de courses la plus étrange

Très pressé

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Sources de ce matin