Le 19 octobre 2026, la société de sécurité NorForge a publié l'analyse d'une campagne de piratage d'un genre nouveau : des agents d'intelligence artificielle, lancés par un seul opérateur, ont tenté de s'introduire dans plus de 1 200 sites marchands et ont réussi dans plus de 100 entreprises, selon Reuters. Le coût estimé : environ 50 dollars par intrusion réussie.
Il n'y a pas lieu de s'affoler, mais il y a une leçon d'ingénierie à en tirer. Les portes utilisées n'ont rien de magique : ce sont des composants anciens, des interfaces d'administration oubliées, des secrets qui traînent. Ce qui change, c'est le prix de l'attaque. Et quand une attaque coûte 50 dollars, une petite boutique devient une cible rentable.
Ce qui s'est passé
Selon Reuters, NorForge a repéré à partir du 2 octobre environ une vingtaine de tableaux de bord de Cairn laissés ouverts sur Internet. Cairn est un logiciel libre qui coordonne plusieurs agents IA pour résoudre un problème étape par étape ; son auteur affirme qu'il n'a pas été conçu pour attaquer. Ces tableaux de bord exposés ont permis au chercheur Snorre Fagerland d'observer les attaquants au travail.
| Élément | Ce que disent les sources | Source |
|---|
| Début de la campagne principale | 25 septembre 2026 | Reuters |
| Sites tentés | Plus de 1 200 (plus de 1 100 « projets d'attaque » pour le groupe le plus actif) | Reuters, NorForge |
| Entreprises compromises | Plus de 100 | Reuters |
| Taux de réussite | Environ 10 % | NorForge |
| Durée moyenne d'une intrusion réussie | Un peu moins de 23 heures, sans intervention humaine | NorForge, Reuters |
| Coût | Environ 5 dollars par tentative, environ 5 000 dollars au total, soit environ 50 dollars par intrusion réussie | NorForge, Reuters |
| Cibles | Boutiques en ligne aux États-Unis, au Canada, au Japon et en Australie, vérifiées au préalable (on peut y passer commande) | NorForge |
| Objectif | Un accès durable aux systèmes de la boutique et du paiement, via un petit fichier caché déposé sur le serveur | NorForge |
Deux réserves importantes. D'abord, NorForge n'a pas eu accès aux factures des attaquants : ses chiffres de coût sont une estimation, dont il dit lui-même qu'elle « pourrait se tromper d'une marge nette ». L'ordre de grandeur, en revanche, ne fait pas de doute pour lui : c'est « relativement bon marché ». Ensuite, Reuters n'a pas pu établir quelles données ont été dérobées, ni même s'il y en a eu.
Ce qui change vraiment : le prix, pas les failles
Une intrusion manuelle demande des heures de travail à une personne compétente. C'est pour cela qu'un pirate visait plutôt les grandes cibles : le temps investi devait rapporter. Ici, l'opérateur a rédigé ses consignes en moins de 100 caractères chinois, selon Reuters, puis laissé les agents enquêter, chercher une faiblesse et l'exploiter seuls. Snorre Fagerland, qui pensait encore que ces agents avaient besoin d'un humain pour les guider, juge désormais cette idée dépassée.
Pour un dirigeant, la conséquence est simple : l'argument « mon site est trop petit pour intéresser quelqu'un » ne tient plus. Ce que l'IA fait baisser, c'est le coût de l'essai. Elle n'invente pas de nouvelles portes : elle essaie les anciennes, partout, sans se lasser. Nous avions décrit en septembre des IA capables de trouver seules des failles ; la campagne d'octobre en montre la version offensive, constatée sur le terrain.
Par où les agents sont entrés
Les exemples documentés par NorForge et Reuters sont instructifs, parce qu'ils sont banals :
- Des composants anciens. Sur un site de pièces détachées, l'intrusion vérifiée par NorForge a exploité une chaîne de composants d'un cadre logiciel PHP ancien (Zend Framework), combinée à un stockage de sessions accessible en écriture. Rien d'exotique : du code qui n'avait pas été mis à jour.
- Une porte annexe. Dans un cas rapporté par Reuters, les agents n'ont trouvé aucune faille dans l'application principale d'une grande entreprise. Ils ont alors cherché l'infrastructure voisine, trouvé un panneau d'administration exposé avec une faiblesse subtile, et fini par y exécuter des commandes. D'autres victimes citées évoquent un site de support produit isolé, ou un site géré par un prestataire.
- Les priorités affichées des attaquants. Leurs consignes listent les formulaires de connexion mal protégés, les adresses techniques accessibles sans authentification, l'envoi de fichiers et le contournement de l'authentification. C'est la liste classique des contrôles de sécurité d'un site.
- Des secrets qui traînent. Les tableaux de bord exposés contenaient des centaines de mots de passe et de clés, dont 11 % étaient encore valides selon NorForge, certains récoltés ailleurs par les attaquants.
Le point commun : ce sont des sujets de maintenance, pas de haute technologie. Nous les avions détaillés dans notre article sur les failles banales d'un site vitrine, et le cas récent du cœur de WordPress montrait déjà pourquoi la mise à jour automatique ne suffit pas.
La vérification à faire sur votre site
| Point de contrôle | Question à poser à votre prestataire | Pourquoi maintenant |
|---|
| Versions | Quels composants (CMS, extensions, cadre logiciel, PHP) tournent sur le site, et quand ont-ils été mis à jour ? | Les agents essaient systématiquement les failles connues des versions anciennes |
| Portes annexes | Quelles adresses du site (administration, préproduction, ancien site, outils) sont accessibles depuis Internet ? | Une porte oubliée suffit quand le site principal est solide |
| Administration | L'accès d'administration est-il protégé par une double authentification, voire limité à certaines adresses ? | Les formulaires de connexion sont la première cible listée |
| Secrets | Où sont stockés les mots de passe et clés d'accès (paiement, messagerie, hébergement) ? Les anciens ont-ils été changés ? | 11 % des secrets récoltés étaient encore valides |
| Surveillance | Qui serait prévenu si un fichier inconnu apparaissait sur le serveur ? | Le but des attaquants est de rester discrets et durables |
Si votre site est une boutique, ajoutez une question sur le paiement : qui vérifie que la page de paiement est bien celle que vous croyez ? Sur ce point, une boutique qui vend est une boutique surveillée.
Ce qu'il ne faut pas conclure
- Les boutiques réunionnaises n'étaient pas visées par cette campagne, qui ciblait l'Amérique du Nord, le Japon et l'Australie. Mais rien dans la méthode ne dépend du pays.
- L'IA ne rend pas un site bien entretenu vulnérable. Environ neuf tentatives sur dix n'ont pas atteint leur but. Les intrusions documentées passent par des défauts connus.
- Il ne s'agit pas de renoncer aux outils d'IA : ce sont les mêmes techniques qui servent à auditer un site plus vite et plus souvent.
Ce que fait Axiom
Nous construisons des sites en code propre, avec peu de dépendances et des accès d'administration fermés par défaut, et nous suivons les mises à jour des composants que nous livrons. Pour un site existant, notre audit gratuit est un bon point de départ pour faire le tour des points de contrôle ci-dessus. Pour une refonte ou une reprise, voyez notre agence web à La Réunion, nos sites vitrines sur mesure et notre offre e-commerce, ou contactez-nous directement.
Sources : NorForge, « Inside Cairn » (Snorre Fagerland, 19 octobre 2026) ; Reuters, Raphael Satter (19 octobre 2026) ; The Next Web (19 octobre 2026).
