Rapport de terrain quotidien sur ce qui est Probably Fine
No. 46·Jeudi 12 Novembre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas particulièrement bien
Ouverture · Vulnérabilités
Les deux extrémités du câble d'assistance à distance ont été compromises le même jour
ConnectWise a désactivé cinq extensions ScreenConnect après que des clients malveillants ont atteint 288 terminaux dans 48 organisations, et en l'espace d'environ une journée, N-able a mis hors ligne N-central hébergé à la suite de la divulgation publique de plus de 30 failles zero-day.
confiance0.88
Voici le tableau. ConnectWise enquête sur une campagne active dans laquelle des environnements ScreenConnect compromis ont servi à pousser des clients d'accès à distance malveillants vers les appareils de clients, livrant ce que Huntress appelle SCKit ; le décompte s'établit pour l'instant à au moins 288 terminaux dans 48 organisations, et ConnectWise a désactivé cinq extensions tierces dans les environnements de ses partenaires, tout en affirmant que rien ne prouve que sa propre infrastructure ait été compromise. Par ailleurs, à un jour près, N-able a mis hors ligne des environnements N-central hébergés et déployé des correctifs d'urgence après qu'un chercheur a publié des zero-days durant le week-end — plus de trente, trente-trois selon le décompte de Dark Reading, permettant l'exécution de code à distance, le vol d'identifiants et la création de comptes administrateurs.
Les mécanismes ne sont pas les mêmes. D'un côté, l'abus d'un modèle d'extensions qui fonctionnait exactement comme prévu ; de l'autre, un amas de vulnérabilités qui, elles, n'auraient pas dû exister. Je ne vous dirai donc pas qu'il s'agit d'une vague coordonnée, car je ne peux pas le voir d'ici. Ce que je peux vous dire, c'est que ces deux produits existent pour la même raison : quelqu'un, quelque part, doit pouvoir atteindre un millier de machines qu'il n'a jamais touchées physiquement, et c'est une capacité, non une catégorie de produit. La capacité est la cible. Elle l'a toujours été.
Il existe une version de cet incident où personne n'est fautif : un logiciel pris en charge, un outillage légitime, une relation fournisseur contractuelle, assurée, avec un logo sur le site web. Cette version est la plus embarrassante sur le plan ontologique, car elle signifie qu'aucun moment de négligence ne peut être désigné dans la chronologie. Vous avez acheté la faculté d'exécuter des commandes sur tout. Quelqu'un d'autre l'exerce à présent.
Pourquoi c'est importantSi vous avez un MSP, votre rayon d'impact aujourd'hui est son historique de sessions : recherchez les clients et extensions ScreenConnect inattendus, et considérez tout serveur N-central exposé à Internet durant le week-end comme compromis jusqu'à preuve du contraire.
La gestion à distance est une porte que l'on installe soi-même, dans son propre mur, avant d'en confier la clé à une chaîne d'approvisionnement dont on n'a jamais lu la politique de recrutement.
— Sturgeon's Revelations · Probably Fine Daily No. 46
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
La CISA ajoute Cisco BroadWorks et un transcodeur Openwave au KEV, tous deux déjà corrigés
La CISA a ajouté mardi deux failles au catalogue des vulnérabilités connues et exploitées (KEV) : CVE-2026-20320 dans Cisco BroadWorks, une restriction inappropriée des références d'entités externes XML avec un score CVSS de 7,5, et CVE-2026-111793 dans Openwave Messaging Webtop Media Transcoder, toutes deux exploitées pour divulguer des informations sensibles, dont des données de configuration. Des correctifs existent pour les deux. En parallèle, la faille Outlook CVE-2026-124194 est répertoriée par la CISA comme exploitée, ajoutée le 10 novembre, CVSS 6,5, accessible par le réseau, sans authentification, et disposée à livrer des condensats d'authentification NTLMv2 à une destination contrôlée par l'attaquant si quelqu'un ouvre le fichier.
Pourquoi c'est importantTrois failles exploitées pour lesquelles des correctifs éditeurs existent : BroadWorks et le transcodeur Openwave sont cette plomberie télécoms sans éclat dont personne n'est responsable, et Outlook est la propriété de tout le monde, ce qui est pire.
Le Patch Tuesday comptait 1 235, ou 1 259, ou 1 260, ou 1 093 failles, selon qui a compté
La publication de novembre de Microsoft a été rapportée à 1 235 failles par BleepingComputer, 1 259 par The Hacker News, 1 260 par le SANS Internet Storm Center et 1 093, ou « près de 1 100 », par SecurityWeek, Cyberscoop et Krebs ; le nombre de failles critiques s'établit à 68 selon le SANS et à 63 selon Krebs, et le SANS relève que 167 du total sont des problèmes Chromium dans Edge. SAP a publié des correctifs pour 35 vulnérabilités selon BleepingComputer et 42 avis dont neuf critiques selon SecurityWeek, tous s'accordant sur les quatre failles CVSS 10,0 de NetWeaver et de Web Dispatcher. Adobe en a ensuite corrigé 110 dans neuf produits, Fortinet près de 100 après avoir intégré des modèles d'IA de pointe à ses tests de sécurité produit, et Zoom a livré un correctif pour CVE-2026-108186, CVSS 9,6, élévation de privilèges non authentifiée par le réseau. Les écarts tiennent aux méthodes de comptage, non à un complot.
Pourquoi c'est importantLe chiffre sur la diapositive n'est pas un indicateur de risque ; les quatre failles SAP CVSS 10,0 et le bogue Outlook exploité en sont, et ils pèsent le même poids ce mois-ci que le mois dernier.
Un outil de test d'intrusion agentique a lu un web.config et s'est mis à faire ses courses dans AWS
ARTEX, un cadre de pénétration natif IA, a été observé en octobre attaquant des environnements AWS à la recherche de données financières ; son fork AntiFox est désormais auto-hébergé sur Alibaba Cloud et utilisé contre des services web et AWS, Arctic Wolf signalant des web shells IIS, l'abus d'identifiants AWS valides et des requêtes Secrets Manager abouties. Une intrusion décrite est presque fastidieusement procédurale : frapper un serveur IIS, analyser web.config, prélever les identifiants AWS qui s'y trouvent, appeler 18 services en 30 minutes, essuyer AccessDenied sur presque tous et obtenir GetSecretValue sur un secret de production. Dark Reading dénombre 45 outils de test d'intrusion similaires encore capables d'attaques par identifiants et de compromissions du cloud à vitesse machine. Il n'y a ici aucun CVE et rien à corriger.
Pourquoi c'est importantLe mur de refus n'est pas une attaque repoussée, c'est une énumération gratuite et rapide de votre périmètre de permissions ; un IAM à moindre privilège et des alertes sur les rafales d'AccessDenied sont donc la parade, non la boîte de réception.
Quatre fournisseurs d'IA et de cloud ont perdu les secrets d'autrui dans la même fenêtre
Un acteur malveillant a utilisé des identifiants IAM du compte AWS de Qubole pour endosser des rôles d'intégration dans des environnements clients entre le 14 et le 26 octobre, touchant plus d'une douzaine d'organisations et dérobant fichiers, secrets, clés et variables d'environnement. Fireworks AI a élargi son incident d'octobre aux données de compte et de facturation, aux secrets, aux jeux de données et aux modèles inachevés d'un nombre limité de comptes, ce qui explique que Notion ait divulgué l'exposition de transcriptions de conversations d'IA dans moins de 1 % de ses espaces de travail. Railway affirme que des secrets d'authentification clients volés ont généré environ 740 000 $ d'usage frauduleux d'IA, avec jusqu'à 100 000 espaces de travail potentiellement touchés, et dit prendre en charge les frais lorsqu'un fournisseur refuse de rembourser ; OpenRouter a refusé. NEAR AI, de son côté, a perdu l'exécution de code sur un serveur d'inférence à cause d'une faille RCE de SGLang, touchant les données de 18 agents et d'environ 100 comptes utilisateurs.
Pourquoi c'est importantVos clés d'API de modèles ont désormais le rayon d'impact d'identifiants racine du cloud, sans aucune de leur discipline de rotation, parce que personne n'a conçu de cycle de vie des clés pour un objet qui était un hackathon il y a six mois.
N0n publie à trois fois son propre rythme, et deux équipes ont vidé leur dossier de brouillons
Le relevé de cadence de Ninja Signal pour aujourd'hui compte 291 revendications sur sites de fuite en sept jours, émanant de 49 des 277 groupes suivis, avec N0n à 94 revendications contre 28,0 attendues d'après son propre rythme antérieur, et interlock à 12 contre 1,25, les deux avec p inférieur à 0,001. Au-delà, deux éditeurs en rafales ont dominé la fenêtre : the gentlemen ont publié environ deux douzaines de victimes, dont Esri South Africa, United Pharmacy et la National Investments Company du Koweït, et Curious Worm a publié une tranche de domaines américains de la santé et des services professionnels que ransomware.live a relayée environ 2,1 à 2,2 heures avant ransomlook. Par ailleurs, Krebs évalue Qilin à au moins 365 organisations victimes revendiquées au cours des trois derniers mois.
Pourquoi c'est importantLe volume des sites de fuite est une cadence de publication, non une cadence d'attaque ; le signal sur lequel agir est de savoir quel groupe est réellement en forte hausse, et aujourd'hui ce sont N0n et interlock.
Ceux que vous appelleriez à ce sujet ne répondent pas, et Maersk fait face à un serveur hérité
NBC News rapporte que certaines grandes sociétés américaines de cybersécurité refusent de nouveaux clients en quête d'aide d'urgence, Sophos disant que d'autres sociétés de DFIR lui ont demandé un renfort de capacité lorsque leurs équipes étaient saturées ; des praticiens sur le terrain décrivent des conditions épouvantables et disent que, sans plan ni contrat de retainer, l'aide est improbable. Selon un intervenant, une bonne part de l'activité est assistée par l'IA mais l'accès initial n'a rien de sophistiqué — c'est le linge sale de tout le monde qui sort d'un coup, et la sécurité par l'obscurité qui meurt. Dans ce contexte, Maersk a confirmé qu'un acteur malveillant a atteint un système hérité local, reçu lors d'une acquisition antérieure, et en a extrait des données, WhiteArmor exigeant 5 millions de dollars.
Pourquoi c'est importantLes contrats de retainer sont désormais un contrôle de sécurité, non une commodité d'achat : le signal du marché est que la capacité de renfort est limitée et qu'on ne l'achète pas à 2 h du matin le jour même.
Exploitée dans la nature sans CVE : un cookie qui ne s'analyse en rien prend le contrôle de Xen Orchestra
Vates VMS avertit qu'un contournement d'authentification critique dans Xen Orchestra, suivi sous VSA-2026-062 et sans identifiant CVE pour l'instant, est activement exploité : l'analyse des cookies REST transforme authenticationToken=j:%7B%7D en objet vide, l'authentification REST l'accepte, et l'attaquant obtient les droits d'administrateur et la prise de contrôle au niveau root des hôtes XCP-ng. Barracuda indique que des attaquants ont commencé à exploiter deux failles récemment corrigées d'Email Security Gateway pour exécuter des commandes en tant que root. Google a publié des mises à jour d'urgence pour le huitième zero-day Chrome exploité dans des attaques cette année.
Pourquoi c'est importantDeux de ces trois failles se situent devant votre virtualisation et votre messagerie, soit l'essentiel de ce que veut une équipe de rançongiciel avant le petit-déjeuner.
35 578 applications conçues avec Grok ouvertes à tous, et une porte dérobée qui tient dans dix neurones
Claroc affirme avoir trouvé 37 571 applications conçues avec Grok en ligne, dont 35 578 n'exigeaient aucune authentification, certaines divulguant des données confidentielles et des mots de passe, et 24 d'entre elles ont été conçues par des employés de X et de SpaceXSI. Par ailleurs, une commande de Claude Code a enregistré à grande échelle des fichiers contenant des identifiants dans des dépôts Git publics. Et des chercheurs de Microsoft ont montré qu'on peut doter un modèle d'IA d'une porte dérobée cachée en modifiant moins de dix de ses neurones rarement utilisés, sans réentraînement, de sorte qu'un déclencheur choisi amène le modèle à émettre la commande d'un attaquant, qu'un agent exécuterait ensuite avec ses propres permissions.
Pourquoi c'est importantDeux de ces cas sont des secrets dans le mauvais répertoire, ce que nous savons corriger ; le troisième est une chaîne d'approvisionnement dont l'artefact n'a aucun diff lisible.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
L'essentiel du volume du jour tient à deux sites de fuite qui vident une file d'attente ; la structure qui mérite d'être lue, ce sont deux plateformes RMM et un tas d'identifiants d'IA volés arrivant dans la même fenêtre.
Exception 01
Deux plateformes RMM, un jour, deux mécanismes différents
ConnectWise a désactivé cinq extensions ScreenConnect après que des clients malveillants ont atteint 288 terminaux dans 48 organisations, et N-able a mis hors ligne N-central hébergé à cause de plus de 30 zero-days publiés, à environ un jour d'intervalle. Les deux sont des outils reposant sur la confiance envers les MSP, il pourrait donc s'agir d'une même vague contre les MSP ; il peut tout aussi bien s'agir d'une coïncidence, car l'abus d'extensions et la divulgation de vulnérabilités ne sont pas la même chose.
confiance0.40Speculative
Wrong if
Huntress ou ConnectWise attribuent l'abus de ScreenConnect à des acteurs sans rapport avec la divulgation N-central, ou les failles N-central s'avèrent relever d'une recherche coordonnée plutôt que d'une attaque.
Watch
Suivi des clients de MSP touchés et de toute revendication de rançongiciel citant un accès via un MSP dans les un à trois prochains jours.
L'outillage offensif agentique a quitté le laboratoire
ARTEX et son fork AntiFox apparaissent dans quatre types de sources dans cette fenêtre, OTX devançant d'environ dix heures la couverture médiatique d'ARTEX, et l'activité observée est systématiquement du vol d'identifiants cloud plutôt qu'une démonstration.
confiance0.55
Wrong if
Les conclusions d'Arctic Wolf reposent en fait sur un incident unique, sans diffusion plus large de l'outil.
Watch
De nouveaux forks d'AntiFox, davantage de balayages issus d'Alibaba Cloud et d'autres signalements d'abus d'AWS Secrets Manager.
Les rafales des sites de fuite sont un artefact de collecte, non une vague d'attaques
the gentlemen ont publié environ 25 victimes en deux heures environ et Curious Worm environ 10 en sept minutes, ransomware.live devançant ransomlook d'un écart quasi constant de 2,1 à 2,2 heures sur neuf domaines de Curious Worm. Cette régularité est un intervalle d'interrogation, non le tempo des attaquants.
confiance0.60
Wrong if
Les horaires de publication sur les sites de fuite eux-mêmes montrent une cadence différente de celle que suggère le décalage des traqueurs.
Watch
Si les victimes en attente des gentlemen sont vérifiées, et si Curious Worm répète un lot.
Une saturation des capacités DFIR sans incident nommé derrière
Des sociétés qui refusent des missions d'urgence, Sophos qui absorbe le surplus et des intervenants qui jugent l'accès initial peu sophistiqué laissent ensemble entrevoir une forte activité non signalée. Trois éléments l'étayent et aucun incident n'est nommé ; il faut donc le tenir pour fragile.
confiance0.25Speculative
Wrong if
D'autres éditeurs de DFIR signalent une capacité normale, ou les propos remontent à un problème d'effectifs d'une seule société.
Watch
De grandes divulgations ou des formulaires 8-K de la SEC dans la semaine à venir.
Nothing to seeLes articles sur la crise composée d'Atlas, les rafales de mots-clics et les grandes grappes horaires relèvent du volume de publications sur les réseaux sociaux et du lot de Curious Worm, non d'une activité coordonnée d'attaquants. Les dépôts d'Unknown Loader, de Mozi et de Remcos sur ThreatFox sont du volume courant. Les revendications de fuites sur le darknet (2,7 milliards de numéros de sécurité sociale américains, les éléments Toyota et Japon) sont non vérifiées et faiblement corrélées, et le déluge de plugins WordPress dans la NVD est réel mais réparti sur des dizaines de produits sans lien.
Deep read: 763 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueThu 19 Nov7d
Au moins une revendication de site de fuite d'un rançongiciel ou d'une extorsion, publiée d'ici le 19 novembre, nommera un MSP ou ses clients en aval en lien avec un accès ScreenConnect ou N-central.
Wrong ifAucune publication de site de fuite ni aucun avis éditeur dans cette fenêtre ne relie une victime nommée à l'une ou l'autre plateforme.
Le contournement d'authentification de Xen Orchestra, actuellement suivi uniquement sous VSA-2026-062, recevra un identifiant CVE, apparaîtra dans le KEV de la CISA, ou les deux, d'ici le 24 novembre.
Wrong ifAu 24 novembre, la faille n'a toujours ni identifiant CVE ni entrée au KEV.
N0n publiera au moins 20 revendications supplémentaires sur ransomware.live d'ici le 19 novembre, prolongeant la poussée signalée dans le relevé de cadence d'aujourd'hui.
Wrong ifMoins de 20 nouvelles revendications de N0n apparaissent sur ransomware.live dans cette fenêtre.
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
No item in today's feed names a threat actor behind CVE-2026-111357 Ivanti chain; Ivanti/CISA advisory items mention other CVEs only.
partly
At least one of Everstake's two scheduled releases (582.69 Gb due 10 November, 473.05 Gb due 12 November) appears on the leak sites, with the victim named, by 13 November 2026.
Called Tue 3 Nov · due Fri 13 Nov
Everstake actor on ransomware.live posted a new claim (ki*****o.com, redacted) on 2026-11-11, but neither the 582.69 Gb nor 473.05 Gb Everstake releases appear as named/published victims; the new entry is still redacted.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
No IHG statement or regulatory filing acknowledging the BYOD intrusion claim appears in today's feed by the 12 November deadline.
wrong
No independent confirmation of the Whitearmor claim against the named shipping line will appear in these feeds; it stays an unverified leak-site listing.
Called Sun 8 Nov · due Fri 13 Nov
Maersk publicly confirmed the breach attributed to WhiteArmor ransomware, with a company statement reported in mainstream outlets.
Glossaire des termes que vous êtes censé connaître
Agentique(n.)
Autorisé à commettre les mêmes erreurs qu'un junior fatigué, à la vitesse d'horloge d'un centre de données, sans aucun doute de soi et avec un jeu valide de vos identifiants. Voir aussi : 18 appels d'API en 30 minutes, dont 17 refusés, que l'éditeur décrit comme du confinement et que l'attaquant décrit comme une carte.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périmètre, dernières 24 heures : 56 sources hostiles profilées — 30 scanners, 21 robots d'indexation, 3 opérateurs ciblés, 2 attaquants par force brute — ayant envoyé 4 287 requêtes au total, dont 16 sont allées au-delà de la reconnaissance jusqu'à de véritables tentatives d'exploitation, depuis 6 434 adresses de 106 pays dont 1 857 vues pour la première fois aujourd'hui. Sept groupes d'adresses partageaient une empreinte comportementale, façon polie de dire qu'un seul outil portait plusieurs chapeaux. L'hostilité maximale était de 7,7 sur 10, attribuée conjointement à 85.204.70.100 et 129.221.248.33, qui réclamaient toutes deux à notre chemin de connexion des fichiers WordPress que nous n'avons pas et atteignaient l'accès aux identifiants dans la chaîne d'attaque ce faisant. Une adresse a envoyé trois requêtes calquées sur CVE-2017-9841 vers le chemin phpunit, qui continue d'être pulvérisé sur Internet avec l'optimisme patient d'un homme nourrissant un parcmètre en plein champ. Les journaux bruts n'ont jamais quitté le serveur ; seules ces conclusions l'ont fait.
56sources hostiles profilées
4 287requêtes de leur part
16ont atteint l'exploitation
7grappes à ADN partagé
7,7/10hostilité maximale
6 434adresses à notre périmètre
1 857vues pour la première fois aujourd'hui
106pays
La liste WTF
WTF #1
À la recherche de vos clés d'IA
34.78.49.147, un scanner (hostilité 5,4/10), a envoyé 123 requêtes à l'un de nos sites, sondant /.env.anthropic, /.env, /.env-sample, /.docker/laravel/app/.env.
Pourquoi c'est étrangeIl est allé droit aux identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
85.204.70.100, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'accès aux identifiants.
1 adresse a envoyé 3 requêtes calquées sur l'exploitation de CVE-2017-9841 (/vendor/phpunit/phpunit/…), dont 2400:6180:10:200::f6a8:4000.
Pourquoi c'est étrangeUn exploit connu et nommé, encore pulvérisé sur Internet ; notre périmètre l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : phpunit-rce
WTF #4
Même ADN, adresses différentes
207.175.85.46, un scanner (hostilité 5,1/10), a envoyé 132 requêtes à l'un de nos sites, sondant /.env, /.aws/.env, /.docker/laravel/app/.env, /.docker/.env.
Pourquoi c'est étrange11 IP partagent une même empreinte comportementale (ADN 18e39c4b41fb) : un seul outil ou un seul opérateur faisant tourner ses adresses : 34.62.31.226, 34.78.49.147, 34.22.159.76, 34.22.204.254, 207.175.237.228 et d'autres.
129.221.248.33, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeA réclamé des fichiers que presque personne d'autre ne demande : /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
84.17.60.251, un scanner (hostilité 6,1/10), a envoyé 20 requêtes à l'un de nos sites, sondant //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeA tiré 20 requêtes en environ 1,4 seconde.
UpEducation — 1.4× its own prior share (49 claims, 34 expected)
DownAgriculture and Food Production — 0.5× its own prior share (20 claims, 38 expected)
DownProfessional Services — 0.8× its own prior share (126 claims, 151 expected)
29% of claims carry no sector label.
Brand churn
Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 9 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–20:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 46 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 13 flux publics de menaces durant les 24 heures précédant 05 h 05, heure du Royaume-Uni (763 éléments), a été lu en entier : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions suivantes. « From our edge » désigne des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 1,26 $. Elle est rédigée par une machine, dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a éditée à la main, ce qui est soit le but, soit le problème.
763items read
24hour window
$1.26cost of this edition
05:05 UTCgenerated
Sources de ce matin
ThreatFox175ok
Telegram126ok
Security news115ok
NVD100ok
infosec.exchange80ok
Signal Atlas51ok
RansomLook35ok
RSS25ok
ransomware.live24ok
AlienVault OTX15ok
atlas14ok
signal:ioc-family2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 763|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.26|STATUS: PAS PARTICULIÈREMENT BIEN
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK