Rapport de terrain quotidien sur ce qui est Probably Fine
No. 47·Vendredi 13 Novembre 2026·Publié à 06:00 UK·Indicateur Fine 4/5: Pas du tout bien
Ouverture · Exploité dès maintenant
Vos deux plateformes de gestion à distance ont connu un jeudi difficile, et le correctif n'était pas un alibi
N-central de N-able a été exploité quelques heures après la publication d'une preuve de concept — dix-neuf des vingt et un serveurs compromis disposaient de la dernière mise à jour de sécurité — tandis qu'une boîte à outils de type ver, baptisée SCKit, s'est propagée via ScreenConnect en nuage jusqu'à 288 hôtes dans 48 organisations.
confiance0.86
Commençons par le chiffre, car il résume toute l'affaire : les chercheurs font état d'au moins 21 serveurs N-central compromis, dont 19 exécutaient la dernière mise à jour de sécurité de l'éditeur, les attaquants y déposant des mineurs de cryptomonnaie pour leur peine. L'exploit, baptisé 4EverAble2Shell, a été utilisé en conditions réelles quelques heures après la publication de la preuve de concept. N-able a mis la plateforme hors ligne après la divulgation de 33 failles, publié un correctif d'urgence, corrigé les failles non authentifiées, puis dû réagir à nouveau à une nouvelle analyse publique affirmant l'existence d'une exécution de code à distance en root et d'un accès Windows SYSTEM sur la version 2026.4.1 HF2, ce qui, selon l'entreprise, suppose une configuration non définie par défaut.
Dans la même fenêtre, et probablement sans aucun lien, des opérateurs ont transformé des panneaux ScreenConnect hébergés dans le cloud en mécanisme de diffusion : une boîte à outils nommée SCKit a déployé des clients contrôlés par les attaquants sur 288 hôtes dans 48 organisations, conçue pour se propager de l'appareil d'un client, en remontant la session de support, jusqu'à la machine du technicien, puis vers d'autres réseaux gérés. ConnectWise affirme que l'accès provient de l'abus d'une extension tierce indépendante qui contournait l'authentification ; les chercheurs de Blackpoint indiquent que le point d'entrée était une faille critique déjà corrigée, et non une nouvelle. Deux éditeurs, deux causes profondes, un même ensemble de clients en aval.
Le plus troublant n'est pas dans les bogues, mais dans leur forme : nous avons passé quinze ans à concentrer les pouvoirs d'administration dans une poignée de consoles parce que c'est efficace, et l'efficacité est une propriété qui se transmet sans friction à la personne qui se connecte ensuite. Une plateforme de gestion des terminaux est un passe-partout taillé pour celui qui entretient les ascenseurs, et cette semaine, deux d'entre eux sont tombés entre d'autres mains. Corrigé ne veut pas dire sain.
Pourquoi c'est importantSi vous exploitez ou achetez un outil de supervision et de gestion à distance (RMM), la tâche du jour consiste à chasser les traces sur les serveurs déjà corrigés — mineurs, clients ScreenConnect malveillants, nouvelles sessions de technicien — et non à vérifier le numéro de version.
Corriger n'est pas expulser. C'est une lettre envoyée à un locataire qui possède déjà une clé, un canapé et un mineur de cryptomonnaie.
— Sturgeon's Revelations · Probably Fine Daily No. 47
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
SignDrop : une fonction de sécurité de Windows détournée en voie d'accès SYSTEM, sans CVE ni correctif
Un code d'exploitation public publié cette semaine, attribué au chercheur Abdelhamid Naceri, abuse de la fonction d'authentification des journaux du pilote Common Log File System — ajoutée l'an dernier pour rendre les attaques plus difficiles — afin de donner à un utilisateur local les privilèges SYSTEM. Il n'existe ni CVE ni correctif, et Microsoft n'a pas encore confirmé la faille. Elle est apparue le jour même où Microsoft a confirmé que les mises à jour de sécurité de novembre 2026 échouent à s'installer sur les systèmes Windows 11 dotés de la mise à jour préliminaire d'octobre, et que les mises à jour publiées depuis le Patch Tuesday d'octobre causent des problèmes de performance et de stabilité sur SQL Server. Aucun lien de causalité entre les trois ; la fenêtre d'exposition, elle, est de toute façon cumulative.
Pourquoi c'est importantL'élévation locale de privilèges est le moyen par lequel une session piégée par hameçonnage devient un problème de domaine, et une partie de votre parc ne peut actuellement plus recevoir les mises à jour mensuelles.
The Gentlemen a vidé son dossier de brouillons ; les données de cadence indiquent que N0n est celui qui accélère réellement
Mercredi, The Gentlemen a publié sur son site de fuites environ vingt-cinq victimes en huit minutes à peine — une société informatique japonaise, une agence éducative nord-macédonienne, une municipalité de district péruvienne, une ville canadienne, des entreprises pharmaceutiques et d'ingénierie sur quatre continents — ce qui relève d'une décision de publication plutôt que de vingt-cinq mercredis de travail. Le chiffre, plus terne et plus révélateur, vient du comptage de cadence : 360 revendications sur sites de fuites en sept jours par 47 des 277 groupes suivis, N0n en totalisant 90 contre 28,56 attendues d'après son propre rythme antérieur, et incransom 54 contre 7,32, les deux à p < 0,001. Parmi les ajouts d'INC figure une revendication visant raymondjames.com, et Darkfeed affirme qu'une société énergétique finlandaise a été attaquée, sans vérification. Par ailleurs, Luna Moth est de retour auprès de cabinets d'avocats qui avaient refusé de payer la première fois, cette fois à la recherche de jetons d'accès Microsoft.
Pourquoi c'est importantLes décomptes de pics mesurent le calendrier de publication d'un groupe ; les statistiques de hausse indiquent qui travaille réellement davantage, et cette semaine, ce sont N0n et INC.
4 837 comptes GitHub volés, 61 764 dépôts sondés, et votre CI qui livre discrètement ses secrets
La campagne wfx-loot a utilisé 4 837 comptes GitHub compromis pour sonder 61 764 dépôts, ouvrir des demandes de fusion (pull requests) et pousser une charge malveillante de vol de secrets, exécutée dans plus de 1 800 d'entre eux, afin de récolter des identifiants cloud depuis l'intégration continue. Elle survient au cours d'une semaine où Apify a renouvelé ses secrets internes et révoqué des connexions OAuth tierces après un accès non autorisé, et où Cyber Security Cloud, au Japon, a divulgué un accès non autorisé à son environnement de développement GitHub, imputé à l'identifiant exposé d'un seul employé, confirmé le 5 novembre. Les trois affaires ne sont pas liées ; la cible est identique.
Pourquoi c'est importantRenouvelez les jetons de CI et les clés cloud accessibles depuis les exécuteurs de build, et traitez une pull request émanant d'un compte connu comme du code non fiable, car cette semaine, c'en était.
L'IA figure désormais des deux côtés de la facture : accès aux modèles détournés, déplacement latéral rédigé par IA et 186 faux domaines d'IA
Le Google Threat Intelligence Group décrit le LLMjacking — des attaquants détournant l'accès d'entreprises à de grands modèles de langage et monétisant la puissance de calcul d'autrui — tandis qu'une étude de cas distincte montre un attaquant dont les commandes saisies à la main avaient échoué contre un distributeur américain, revenu le lendemain avec des scripts générés par IA et réussissant un déplacement latéral en quelques minutes. Parallèlement, 186 domaines imitant des outils d'IA, nommés TypoPrompt, diffusent des leurres ClickFix et des extensions de détournement de navigateur ; des tentatives d'exploitation visent le contournement d'authentification trivial de GPUStack, CVE-2026-102895, dans toutes les versions antérieures à 2.2.0 ; des transcriptions de conversations clients de Notion ont été exposées par la compromission de Fireworks AI, touchant moins de 1 % des espaces de travail ; et United Airlines a décidé d'empêcher ses clients d'utiliser des agents d'IA sur leurs comptes, invoquant le partage d'identifiants et les achats involontaires. Notre propre périmètre a vu un scanner réclamer /.env.anthropic.
Pourquoi c'est importantLes clés d'API de modèles sont désormais des identifiants dotés d'une adresse de facturation : inventoriez-les, limitez leur portée, surveillez-les comme des clés cloud.
Une faille critique dans mod_http2, douze dans NetScaler, deux dans Quay, une dans Windchill, et plus de 180 dans vos navigateurs
Apache a corrigé CVE-2026-119618, une situation de concurrence dans mod_http2 qu'un attaquant non authentifié peut exploiter pour exécuter du code à distance sur les serveurs où HTTP/2 est activé — découverte, dans une phrase qui vieillira de façon intéressante, par Anthropic et Google. Citrix a corrigé 12 failles dans NetScaler ADC, Gateway et Console, dont un contournement d'authentification noté 9,4 et un déni de service distinct noté 9,5 ; Red Hat Quay présente deux failles critiques, notées 9,8 et 9,9, permettant à un attaquant de lire et d'écraser des images de conteneurs privées dans tous les dépôts, sans aucun compte, tant que l'accès anonyme — activé par défaut — est actif. S'y ajoutent PTC Windchill et FlexPLM, CVE-2026-126325 avec un score CVSS v4 de 9,2 ; un plantage MongoDB avant authentification, CVE-2026-118383, qui ne survient que lorsqu'un secondaire en retard est promu lors d'un basculement ; et plus de 180 correctifs entre Chrome 157 et Firefox 160.
Pourquoi c'est importantHTTP/2 exposé sur Internet, NetScaler et tout registre Quay à accès anonyme sont le chantier de ce week-end ; le reste peut attendre la fenêtre de changement que vous n'obtiendrez pas.
GSocket : la persistance qui survit à votre correctif
Plusieurs acteurs de la menace implantent GSocket, un outil d'accès à distance légitime et open source, sur des serveurs Linux compromis, précisément pour que l'accès survive à la correction de la faille qui leur a ouvert la porte. Le même jour, une campagne active abuse de T-SQL sur des instances Microsoft SQL Server exposées sur Internet pour livrer des charges malveillantes, un orchestrateur de cryptominage Linux écrit en Rust, nommé SANSAR, dissimule délibérément son utilisation du GPU, et un cadre de commande et contrôle résidant dans le navigateur, nommé Falcon, s'exécute entièrement en JavaScript. Le schéma est le même pour les quatre : des mécanismes légitimes, aucun binaire évident, rien dont le rapport de correctifs puisse se féliciter.
Pourquoi c'est importantAprès avoir remédié à un hôte Linux exploité, recherchez les outils de relais sortants et les processus inexpliqués, faute de quoi vous aurez réparé la porte d'une maison occupée.
Europol saisit des centaines de serveurs de Gootloader, CastleRAT et StealC — StealC pour la deuxième fois cette année
Europol et des partenaires de neuf pays ont saisi des centaines de serveurs et de domaines liés aux opérations Gootloader, CastleRAT et StealC, les enquêteurs allemands indiquant que le réseau StealC reconstitué remontait au fournisseur d'hébergement « bulletproof » Virtualine, saisi par le FBI en octobre, avec l'aide de la police de Francfort et de l'unité néerlandaise de lutte contre la cybercriminalité de haut niveau (National High Tech Crime Unit). Par ailleurs, le DoJ et le FBI ont annoncé la saisie de 1,2 milliard de dollars de cryptomonnaies volées à Binance et le démantèlement de l'outillage « FaceStealer », le FBI attribuant un autre vol de 400 millions de dollars à de l'ingénierie sociale liée à la Corée du Nord. Deux démantèlements du même infovoleur en un an, c'est le modèle économique décrit à voix haute.
Pourquoi c'est importantAttendez-vous à un renouvellement de l'infrastructure de commande et contrôle des infovoleurs au cours des quinze prochains jours ; actualisez vos listes de blocage plutôt que de vous fier à celles du mois dernier.
Internet s'arrête mardi, la fuite du FBI est livrée avec des clés AWS d'exemple, et une chaîne Telegram vous conseille de cesser d'utiliser Telegram
Des chaînes ukrainiennes proches des milieux militaires et des médias régionaux russes ont passé jeudi à démentir une rumeur selon laquelle des pirates mettront à zéro les comptes bancaires du monde entier le 17 novembre et couperont Internet pendant trois mois, rumeur remontant à un compte anonyme basé au Brésil et suivi par 2 000 abonnés ; le ministère des Situations d'urgence du Kazakhstan a officiellement confirmé que personne n'avait demandé à quiconque de faire des provisions. Ailleurs, une chaîne a publié de prétendus dossiers du FBI sur les permis d'armes à feu dont les identifiants AWS, AKIAEXAMPLE123456 et wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY, sont l'exemple de la documentation, mot pour mot. Et une chaîne Telegram a publié une alerte urgente recommandant d'éviter Telegram jusqu'à la correction d'une faille d'exécution de code à distance sur le bureau et Android, juste au-dessus d'une publicité pour un casino en cryptomonnaie sans KYC.
Pourquoi c'est importantLa moitié de la couche Telegram de votre flux de renseignement est du marketing, et ses pics sont tout aussi convaincants que les vrais.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Sous les flux : une vraie journée d'actualité, deux campagnes RMM indépendantes qui se croisent, et un pic de site de fuites qui relève surtout d'un calendrier de publication.
Exception 01
Des plateformes RMM touchées sur deux fronts à la fois, probablement de façon indépendante
L'exploitation de N-central après une preuve de concept publique — y compris sur des serveurs à jour, avec déploiement de mineurs — et le ver SCKit abusant de ScreenConnect en nuage sont apparus dans la même fenêtre sur les actualités cyber, les flux RSS, OTX et Telegram, OTX devançant le cycle d'actualité d'environ trois heures. Les éditeurs avancent des causes profondes contradictoires : ConnectWise désigne un contournement d'authentification par une extension tierce, Blackpoint une faille déjà corrigée, N-able une configuration non définie par défaut. L'exposition commune concerne les clients des MSP en aval ; la co-occurrence est le signal, non un lien démontré.
confiance0.70
Wrong if
Des analyses forensiques montrant que l'accès de SCKit provient d'un vol d'identifiants sans rapport avec ScreenConnect, ou une exploitation de N-central limitée à la voie non définie par défaut, sans qu'aucun hôte corrigé ne soit compromis.
Watch
Attribution d'un CVE et avis consolidé de N-able dans les 24 à 72 prochaines heures ; nouveaux décomptes de victimes de SCKit au-delà de 48 organisations.
Le pic de The Gentlemen est une publication par lots, amplifiée par l'agrégateur
Le pic de 82 éléments le 12 novembre, contre une médiane de zéro les autres jours, correspond à environ 25 publications sur site de fuites en huit minutes environ, puis à des signaux dupliqués en aval, avec environ huit heures de retard sur ransomware.live. Le volume surestime l'activité, et l'étiquetage par pays et par secteur de ces enregistrements est suffisamment incohérent pour que les corrélations qui en sont tirées soient écartées. L'information réelle est un vaste ensemble de victimes, diversifié et en partie gouvernemental, publié d'un seul coup.
confiance0.75
Wrong if
Des horodatages bruts du site de fuites montrant des victimes réparties sur de nombreuses heures, ou des victimes dont on démontre qu'elles avaient été publiées plus tôt ailleurs.
Watch
Savoir si le groupe répète une publication par lots, et si les victimes nommées se confirment.
La couche Telegram connaît des pics de spam, non de renseignement
Plusieurs des pics de cinq éléments d'hier proviennent de chaînes qui vendent des accès, sollicitent des « investisseurs » ou recyclent une rumeur d'apocalypse démentie, notamment un prétendu jeu de données du FBI contenant des identifiants AWS factices. Les statistiques de pics calculées sur ces chaînes mesurent une cadence marketing, non l'activité d'un adversaire.
confiance0.65
Wrong if
Une confirmation indépendante des données du FBI, ou des flux réputés reprenant l'une de ces affirmations.
Watch
Savoir si les affirmations de l'une de ces chaînes apparaissent cette semaine dans des rapports d'éditeurs ou des forces de l'ordre.
Nothing to seeLe « silence » du NVD après 00 h 21 le 12 novembre relève du calendrier d'ingestion, non d'une véritable pause, et la centaine d'éléments du NVD dans la fenêtre portent tous la date du 10 novembre. Les lots de CVE de Zoho, Hitachi, Siemens et WordPress relèvent du calendrier de publication coordonné des éditeurs, non d'un comportement coordonné d'attaquants. Les signaux par pays de la « crise composée » d'Atlas — Japon, Indonésie, Philippines, Taïwan, Panama et d'autres — sont des agrégats à faible niveau de confiance, sans acteur nommé derrière eux. Avec une seule journée de données, nul ne peut honnêtement revendiquer une tendance.
Deep read: 548 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueFri 20 Nov7d
N-able publie un avis consolidé ou un identifiant CVE couvrant 4EverAble2Shell et les problèmes de N-central postérieurs au correctif d'urgence d'ici le 20 novembre 2026.
Wrong ifAucun avis N-able ni CVE nommant ces problèmes n'apparaît dans les flux à la fin du 20 novembre.
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no item in today's feed ties the Ivanti CVE-2026-111357 chain to a named actor or ransomware group.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
Due date 2026-11-12 passed with no IHG statement or regulatory filing acknowledging the BYOD intrusion claim in any feed item.
right
At least one ransomware or extortion leak-site claim published between now and 19 November will name an MSP or its downstream customers in connection with ScreenConnect or N-central access.
Called Thu 12 Nov · due Thu 19 Nov
SCKit malware campaign explicitly targeted MSPs via ScreenConnect, with leak-site and news items naming MSP victims and the ScreenConnect platform.
Glossaire des termes que vous êtes censé connaître
Configuration non définie par défaut(n.)
La configuration dans laquelle la vulnérabilité existe et qui, par une coïncidence qu'aucun éditeur n'a encore su expliquer, est celle que fait tourner votre parc depuis la dernière migration.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périmètre, de son côté, a connu une journée ordinaire, et c'est ce qui est effrayant : le capteur local a profilé 64 sources hostiles — 35 robots d'exploration, 27 scanners, 2 opérateurs ciblés — qui ont envoyé 3 200 requêtes au total, dont 29 sont allées au-delà de la reconnaissance jusqu'à de véritables tentatives d'exploitation, parmi 5 965 adresses issues de 101 pays, dont 1 782 vues pour la première fois aujourd'hui. Un scanner à l'adresse 34.53.218.24 (hostilité 5,4/10, 123 requêtes) a parcouru /.env, /.aws/.env et /.docker/.env, puis réclamé /.env.anthropic, ce qui montre où figurent désormais les clés de modèles sur la liste de courses. Un autre, 34.77.241.117, a lancé 296 requêtes sur deux de nos sites en environ 2,2 secondes, cinq adresses partageaient une même empreinte comportementale (ADN ce6ecdfacbe3, menée par 35.195.85.59 avec 150 requêtes), et 206.189.217.192 a envoyé trois requêtes calquées sur CVE-2017-9841 contre /vendor/phpunit/, un bogue vieux de neuf ans que personne n'a dit à Internet de cesser d'essayer. Les journaux bruts n'ont jamais quitté le serveur. Seules les conclusions l'ont fait.
64sources hostiles profilées
3 200requêtes émises
29ont atteint l'exploitation
12grappes à ADN partagé
7,3/10hostilité maximale
5 965adresses sur notre périmètre
1 782vues pour la première fois aujourd'hui
101pays
La liste WTF
WTF #1
À la recherche de vos clés d'IA
34.53.218.24, un scanner (hostilité 5,4/10), a envoyé 123 requêtes à l'un de nos sites, sondant /.docker/laravel/app/.env, /.env, /.aws/.env, /.docker/.env.
Pourquoi c'est étrangeS'est directement rué sur les identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
23.99.228.58, un scanner (hostilité 6,7/10), a envoyé 84 requêtes à l'un de nos sites, sondant /wp-admin/css/colors/blue/qww.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /radio.php.
Pourquoi c'est étrangeHostilité la plus élevée du classement ; sa chaîne d'attaque a atteint la militarisation.
1 adresse a envoyé 3 requêtes calquées sur l'exploitation de CVE-2017-9841 (/vendor/phpunit/phpunit/…), dont 206.189.217.192.
Pourquoi c'est étrangeUn exploit connu et nommé continue d'être pulvérisé sur Internet ; notre périmètre l'a vu aujourd'hui, quoi qu'en disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : phpunit-rce
WTF #4
Même ADN, adresses différentes
35.195.85.59, un scanner (hostilité 4,7/10), a envoyé 150 requêtes à l'un de nos sites, sondant /.env, /.env.production.backup, /project/.env, /workspace/.env.
Pourquoi c'est étrange5 adresses IP partagent une même empreinte comportementale (ADN ce6ecdfacbe3) : un seul outil ou un seul opérateur changeant d'adresse : 35.195.85.59, 34.62.82.207, 34.53.147.106, 45.148.10.21, 34.62.9.55.
20.217.29.214, un scanner (hostilité 6,7/10), a envoyé 28 requêtes à l'un de nos sites, sondant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /jn.php, /awp.php.
Pourquoi c'est étrangeA réclamé des fichiers que presque personne d'autre ne demande : /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /jn.php, /awp.php, /er.php.
UpEducation — 1.5× its own prior share (54 claims, 37 expected)
DownAgriculture and Food Production — 0.5× its own prior share (21 claims, 40 expected)
DownProfessional Services — 0.8× its own prior share (134 claims, 161 expected)
29% of claims carry no sector label.
Brand churn
Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 10 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 36% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 09:00–17:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 47 a été conçue par une machine et vérifiée par du code. Chaque élément publié par 12 flux publics de menaces au cours des 24 heures précédant 05 h 05 (heure du Royaume-Uni) (548 éléments) a été lu intégralement : statistiques calculées par le code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les références ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions suivantes. « Depuis notre périmètre » désigne des données d'attaque réelles issues de nos propres serveurs. Coût de cette édition : 1,02 $. Elle est rédigée par une machine, avec la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.
548items read
24hour window
$1.02cost of this edition
05:05 UTCgenerated
Sources de ce matin
Signal Atlas118ok
NVD100ok
ThreatFox100ok
Telegram64ok
Security news48ok
infosec.exchange38ok
ransomware.live35ok
atlas18ok
RSS12ok
AlienVault OTX11ok
signal:ioc-family3ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 548|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.02|STATUS: PAS DU TOUT BIEN
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK