← Retour au blog

Briefing Sécurité, 22 avril 2026 : exploitation Cisco SD-WAN, fuite France Titres et vol NFC par NGate

Le tableau de menace de ce matin est sale d’une manière trop familière. L’infrastructure de bord reste attaquée, les données d’identité publiques restent une cible rentable, et les flux de paiement mobile sont transformés en rails de vol.

---

---

1. La CISA affirme qu’une nouvelle faille Cisco Catalyst SD-WAN est activement exploitée

BleepingComputer rapporte que la CISA a ajouté CVE-2026-20133, affectant Cisco Catalyst SD-WAN Manager, au catalogue KEV sur la base de preuves d’exploitation active. Cisco décrivait la faille comme un problème de divulgation d’informations lié à des restrictions d’accès au système de fichiers insuffisantes. Le vrai message opérationnel est plus simple : les plans de gestion exposés restent des portes d’entrée de grande valeur.

• Si vous exploitez Cisco SD-WAN, le patching ne peut pas rester dans la pile “on verra plus tard”.
• Vérifiez l’exposition des interfaces d’administration et appliquez aussi les recommandations de chasse et de durcissement de la CISA.
• Traitez l’activité SD-WAN récente, les changements de configuration et les accès API étranges comme des signaux d’incident.

---

2. France Titres confirme une violation touchant des données de comptes citoyens

France Titres, l’agence française derrière des workflows clés d’identité et d’enregistrement, a confirmé une violation après qu’un acteur malveillant a affirmé vendre des données. Selon les informations citées par BleepingComputer, les données potentiellement exposées incluent identifiants de connexion, noms, e-mails, dates de naissance, identifiants de compte, et pour certaines personnes adresses, téléphones et lieux de naissance. C’est exactement le type de lot de données qui nourrit le phishing, l’usurpation et l’abus de récupération de compte.

• Les portails gouvernementaux ne sont pas seulement des histoires de vie privée, ce sont des histoires d’opérations d’identité.
• Toute organisation qui dépend de workflows documentaires ou citoyens doit anticiper des campagnes de phishing et d’ingénierie sociale en second temps.
• Les équipes sécurité doivent prévenir les utilisateurs que les contacts “officiels” après une fuite publique peuvent devenir la phase suivante de l’attaque.

---

3. NGate revient, caché dans une application de paiement NFC trojanisée

La recherche d’ESET reprise par BleepingComputer décrit une nouvelle variante Android de NGate utilisant une version malveillante de HandyPay pour voler les données de carte NFC et les codes PIN, avec une campagne concentrée sur le Brésil. Le point important n’est pas seulement la famille de malware. C’est l’économie de l’attaque : un workflow applicatif légitime peut être détourné à faible coût et avec moins de bruit pour capturer des données servant ensuite à des paiements non autorisés ou à des retraits NFC frauduleux.

• Traitez les APK sideloadés et les fausses pages Play comme un canal actif de fraude financière, pas comme un sujet secondaire.
• La sensibilisation mobile doit dire explicitement de ne jamais définir une application inconnue comme application de paiement par défaut.
• Les banques et équipes mobiles d’entreprise doivent surveiller les activations NFC inhabituelles, les changements d’application de paiement et les leurres ciblant le Brésil.

---

Ce que les équipes sécurité doivent faire aujourd’hui

1. Vérifiez si des instances Cisco Catalyst SD-WAN Manager sont exposées, non corrigées ou sans les dernières consignes de chasse.
2. Briefez les équipes support, identité et fraude sur les campagnes de phishing probables après la fuite France Titres.
3. Diffusez des consignes mobiles sur l’abus NFC, les APK sideloadés et les demandes de changement d’application de paiement par défaut.
4. Présentez ces trois histoires sous le même angle : les workflows de confiance, qu’ils soient admin, identité ou paiement, restent le chemin le plus propre vers l’impact.

---

---

Bottom line: En bref : le fil rouge du jour n’est pas une magie malveillante exotique. Les attaquants abusent de workflows que les défenseurs continuent de traiter comme normaux, fiables et peu dramatiques. C’est cette hypothèse qui fait mal.