Des pirates informatiques liés à l’Iran ciblent le centre de recherche nucléaire polonais lors d’une attaque interceptée avant l’impact – un test direct des défenses des infrastructures critiques du NIS2. Le FBI ouvre une enquête formelle sur les jeux Steam chargés de logiciels malveillants qui ont volé de la cryptomonnaie. Google révèle 17 millions de dollars de primes aux bugs en 2025, alors que la loi européenne sur la cyber-résilience remodèle la divulgation des vulnérabilités. Et 80 millions de dollars sont investis dans deux startups de sécurité d’agents IA en une seule semaine.
Le Centre national polonais de recherche nucléaire (NCBJ), qui exploite le seul réacteur nucléaire du pays (MARIA), a détecté et bloqué une cyberattaque sur son infrastructure informatique. Les autorités polonaises ont trouvé des indicateurs pointant vers l'Iran, même si les enquêteurs préviennent qu'il pourrait s'agir de fausses alertes. Le réacteur MARIA continue de fonctionner en toute sécurité.
Impact de la réglementation : NIS2 - Directive CER - Sûreté nucléaire - Cyberdiplomatie de l'UE
Le Centre national polonais de recherche nucléaire (NCBJ) a confirmé cette semaine que des pirates informatiques avaient ciblé son infrastructure informatique dans le cadre de ce qui semble être une attaque parrainée par l'État. Les systèmes de sécurité de l'institut ont détecté l'intrusion très tôt et les équipes internes ont bloqué l'attaque avant que les systèmes ne soient compromis. Le réacteur MARIA - le seul réacteur nucléaire de Pologne utilisé pour la recherche scientifique et la production d'isotopes médicaux - a continué à fonctionner à pleine puissance pendant toute la durée du projet.
Reuters a rapporté que les enquêteurs polonais ont trouvé des indicateurs suggérant que l'Iran pourrait être à l'origine de l'attaque, bien que les responsables soient prudents quant à l'attribution étant donné la possibilité de faux drapeaux. Le moment est remarquable : le ministre polonais de la Défense a récemment déclaré que la Pologne ne participait pas au conflit actuel au Moyen-Orient, mais que les infrastructures critiques du pays étaient devenues une cible.
Ce n'est pas la première attaque contre les infrastructures de la Pologne. En janvier, le groupe menaçant russe APT44 (Sandworm) a attaqué le réseau électrique polonais, touchant une trentaine de sites de ressources énergétiques distribuées. Un rapport de l’ICCT de février a placé la Pologne parmi les principales cibles des cyber-acteurs russes, avec 31 incidents confirmés entre mi-2025 et début 2026.
Le BSI allemand a classé les installations nucléaires sous KRITIS depuis sa création, et NIS2 l'étend aux instituts de recherche possédant des matières nucléaires. Le NCSC suisse et le CERT national autrichien devraient émettre des avis aux installations de recherche nucléaire. Le modèle d’attaque de la Pologne – ciblant les instituts de recherche plutôt que les centrales électriques – suggère que les acteurs menaçants ciblent des cibles plus vulnérables dans le secteur nucléaire. Les installations de recherche nucléaire du DACH devraient vérifier leurs capacités de détection d’incidents par rapport aux modèles de menace parrainés par l’État.
Impact de la réglementation : Loi de l'UE sur les services numériques - Protection des consommateurs - Responsabilité de la plateforme
La division de Seattle du FBI a officiellement demandé aux joueurs de se manifester s'ils avaient installé l'un des huit jeux Steam malveillants qui contenait des logiciels malveillants entre mai 2024 et janvier 2026. Les titres concernés - BlockBlasters, Chemia, Dashverse/DashFPS, Lampy, Lunara, PirateFi et Tokenova - ont été utilisés pour voler des crypto-monnaies et détourner des comptes d'utilisateurs.
L'enquête a été déclenchée en partie par une affaire très médiatisée : lors d'un livestream caritatif, le streamer de jeux vidéo Raivo Plavnieks a perdu 32 000 $ en crypto-monnaie après avoir téléchargé BlockBlasters, un jeu Steam vérifié qui semblait initialement propre avant l'ajout d'un logiciel malveillant après le téléchargement.
Le questionnaire du FBI se concentre spécifiquement sur le vol de cryptomonnaie, les comptes compromis et les fonds volés, et demande des captures d'écran des communications avec les promoteurs de jeux, ce qui indique que les enquêteurs montent des dossiers contre le réseau de distribution.
Steam possède d’énormes bases d’utilisateurs en Allemagne, en Autriche et en Suisse. Les agences allemandes de protection des consommateurs (Verbraucherzentralen) devraient surveiller cette enquête pour les utilisateurs DACH concernés. La BNetzA, en tant qu'autorité allemande chargée de l'application des DSA, devra peut-être évaluer si la modération du contenu de Valve répond aux normes DSA.
Impact de la réglementation : Loi européenne sur la cyber-résilience - Divulgation coordonnée des vulnérabilités - NIS2
Google a révélé avoir payé plus 17 millions de dollars de récompenses de bug bounty en 2025, avec plus de 3,7 millions de dollars destinés aux chercheurs sur les vulnérabilités de Chrome et plus de 3,5 millions de dollars pour les défauts de sécurité du cloud. Ces chiffres soulignent l'ampleur de l'écosystème de vulnérabilité - et surviennent alors que la loi européenne sur la cyber-résilience (CRA) est sur le point de changer fondamentalement la façon dont les organisations gèrent la divulgation des vulnérabilités.
La CRA, entrée en vigueur fin 2024 et dont les exigences seront progressivement appliquées jusqu'en 2027, exige que les fabricants de produits comportant des éléments numériques établissent des politiques coordonnées de divulgation des vulnérabilités, signalent les vulnérabilités activement exploitées à l'ENISA dans les 24 heures et fournissent des mises à jour de sécurité pour la durée de vie prévue du produit.
Les chiffres du bug bounty de Google sont un contexte important : ils démontrent qu'un programme de divulgation de vulnérabilités mature dans une seule entreprise génère des milliers de rapports valides chaque année. L'ARC exigera des programmes similaires de la part de tous les fabricants de logiciels vendant dans l'UE, y compris les petites et moyennes entreprises.
Le BSI allemand prépare activement des directives de mise en œuvre de l'ARC. Les éditeurs de logiciels basés en Suisse qui vendent sur le marché de l'UE devront s'y conformer même si la Suisse n'est pas membre de l'UE. Les startups autrichiennes et allemandes devraient commencer à établir des politiques de divulgation des vulnérabilités dès maintenant, avant que les exigences complètes de l'ARC n'entrent en vigueur en 2027.
Impact de la réglementation : Loi de l'UE sur l'IA - Systèmes d'IA NIS2 - Résilience opérationnelle DORA
Deux startups de sécurité IA sont sorties furtivement cette semaine avec 40 millions de dollars chacun, apportant 80 millions de dollars de financement combiné au marché naissant de la sécurité des agents d’IA. Une sécurité audacieuse utilise l'IA pour transformer les appareils en agents de protection actifs qui comprennent le comportement des utilisateurs, tout en Sécurité Onyx construit un plan de contrôle pour aider les organisations à superviser et gouverner les agents d’IA autonomes.
Le timing n’est pas une coïncidence. Les exigences de la loi européenne sur l’IA concernant les systèmes d’IA à haut risque génèrent une demande urgente d’outils capables de surveiller, contrôler et auditer les agents d’IA dans les environnements d’entreprise.
L'accent mis par Onyx Security sur un plan de contrôle pour les agents d'IA autonomes comble directement une lacune identifiée par la loi européenne sur l'IA : les organisations déployant des systèmes d'IA à haut risque doivent maintenir des capacités de surveillance humaine et mettre en œuvre des systèmes de gestion des risques.
Le solide secteur financier de la région DACH (banques suisses, assurances allemandes, fintech autrichiennes) sera parmi les premiers à être confronté aux exigences combinées de l'AI Act et du DORA en matière de gouvernance des agents d'IA. L'analyse de sécurité basée sur l'IA de KENSAI démontre déjà le type de surveillance autonome des agents IA qu'exigent les régulateurs.
Des exigences en matière d’infrastructure critique NIS2 à la gouvernance des agents de la loi européenne sur l’IA, le paysage réglementaire se resserre. KENSAI vous aide à identifier les vulnérabilités avant les régulateurs.
Lancer une analyse de sécurité gratuite →Le KENSAI Intelligence Desk publie quotidiennement des synthèses réglementaires couvrant les développements de NIS2, DORA, GDPR, EU AI Act et CRA. La conformité n’est pas facultative : c’est une infrastructure.
🛡️ Votre site Internet est-il sécurisé ?
Découvrez les vulnérabilités avant les attaquants.
Scannez votre site Web gratuitement →