Black October : protégez vos comptes alors que l'IA accélère les cyberattaques

Tout au long d'octobre 2026, une série de défaillances de sécurité majeures — vite surnommée Black October — a montré à quoi ressemblent les cyberattaques quand les attaquants braquent l'intelligence artificielle sur le problème. Des chercheurs ont utilisé l'IA pour trouver une faille critique vieille de plusieurs décennies dans PHP (le code derrière une grande partie des sites web du monde) ; une version piégée d'un outil d'IA populaire (LiteLLM) a volé des identifiants de développeurs ; des clés faibles chez une autorité de certification (eMudhra) ont fragilisé le cadenas censé prouver qu'un site est authentique ; et une faille de gravité maximale a frappé GitLab. Des responsables de la sécurité ont alerté sur un « tsunami de vulnérabilités » à venir, et un fournisseur a indiqué que les tentatives d'exploitation étaient passées de milliers à des millions en quelques heures après la divulgation.

La leçon dérangeante des experts : l'IA trouve et arme désormais les failles plus vite que le monde ne peut les corriger. Vous ne pouvez pas réparer la tuyauterie d'Internet. Mais presque toutes les attaques qui atteignent le grand public finissent de la même façon — quelqu'un se connecte à votre compte. Cette partie-là, vous pouvez la contrôler, et ce guide vous montre comment.

Pourquoi cela vous concerne même sans site web

Pas besoin de gérer un serveur pour en subir les conséquences. Quand les attaquants pénètrent les services que vous utilisez, le butin, ce sont les identifiants — e-mails, mots de passe, jetons de session, clés d'API. Ils sont injectés dans des outils automatisés qui les testent partout, lancent de l'hameçonnage convaincant à grande échelle, et détournent des comptes pour atteindre votre argent, vos contacts et vos actifs numériques. Les défenses ci-dessous supposent un attaquant rapide, automatisé et patient — car c'est désormais le cas.

À faire en premier : passez à une connexion résistante à l'hameçonnage

La plus grande amélioration possible est de faire passer vos comptes les plus importants aux passkeys (clés d'accès) ou à une clé de sécurité physique. Les deux reposent sur une norme appelée FIDO2 liée au vrai site web : une fausse page de connexion — aussi parfaite soit-elle — ne peut tout simplement rien capturer d'utile. C'est la seule protection qui tient face à l'hameçonnage fabriqué par IA.

• Les passkeys sont intégrées aux téléphones, ordinateurs et navigateurs récents, et remplacent entièrement le mot de passe pour un nombre croissant de services. Activez-les partout où elles sont proposées.
• Les clés physiques (comme une YubiKey) sont de petits appareils que vous touchez ou branchez. C'est la référence absolue pour les comptes de grande valeur. Achetez-en deux — une principale et une de secours —, enregistrez les deux sur chaque compte critique pour ne jamais être bloqué si vous en perdez une, et protégez chacune par un code PIN.

Consultez notre annuaire d'outils de double authentification et de passkeys pour choisir. Commencez par le compte qui peut réinitialiser tous les autres : votre e-mail.

Verrouillez les clés de votre royaume, dans l'ordre

Traitez vos comptes en commençant par le pire scénario :

1. E-mail principal — qui le contrôle peut réinitialiser presque tout le reste. Donnez-lui une phrase de passe unique et la méthode de connexion la plus forte disponible.
2. Banque et applications de paiement.
3. Crypto, courtage et autres comptes d'actifs.
4. Votre gestionnaire de mots de passe, puis tout le reste progressivement.

Utilisez un gestionnaire de mots de passe pour que chaque compte ait un mot de passe long et unique que vous n'avez jamais à retenir. Si un service ne propose que des codes par SMS, c'est mieux que rien — mais préférez une application d'authentification ou une clé, car les SMS peuvent être détournés par des attaques par échange de SIM. Pour le pas-à-pas complet, voir la validation en deux étapes et les mots de passe solides.

Changez ce qui est peut-être déjà exposé

Des événements comme Black October déversent des identifiants sur le marché criminel, où ils alimentent le bourrage d'identifiants — des tentatives automatisées de réutiliser votre mot de passe fuité sur des centaines de sites. Prenez les devants :

• Vérifiez votre adresse sur haveibeenpwned.com pour voir quelles fuites vous concernent.
• Changez le mot de passe partout où vous l'avez réutilisé, en commençant par l'e-mail et la finance.
• Remplacez tout mot de passe utilisé à plus d'un endroit.
• Dans chaque compte important, passez en revue les sessions actives et les applications connectées, et déconnectez ou supprimez tout ce que vous ne reconnaissez pas.
• Conservez vos codes de secours en lieu sûr et à part, pour qu'ajouter une clé ou perdre un téléphone ne vous bloque jamais.

Protégez vos actifs en ligne

Si vous détenez des cryptomonnaies ou d'autres actifs numériques, traitez-les comme un niveau distinct, à plus haut risque :

• Placez vos avoirs de long terme sur un portefeuille matériel (stockage à froid) ; ne gardez sur les plateformes que votre argent courant.
• Protégez les comptes de plateforme avec une clé physique, et activez les listes d'adresses de retrait autorisées et les délais de retrait lorsque c'est proposé.
• Utilisez une adresse e-mail dédiée aux comptes financiers et crypto, que vous ne publiez jamais.
• Ne saisissez jamais votre phrase de récupération en ligne — aucun service légitime ni « agent du support » ne vous la demandera.

Si vous gérez un site web ou écrivez du code

Black October était, au fond, une histoire de développeurs. Si vous maintenez une infrastructure :

• Corrigez maintenant : mettez à jour PHP, Node.js, GitLab et les autres logiciels de base vers les versions corrigées, et abonnez-vous aux bulletins de sécurité.
• Renouvelez les secrets : considérez comme compromis les clés d'API, jetons et identifiants exposés — régénérez-les, et reconstruisez tout environnement ayant pu récupérer un paquet piégé.
• Durcissez votre chaîne d'approvisionnement : figez les versions de dépendances, vérifiez signatures et sommes de contrôle, et méfiez-vous des toutes nouvelles versions de paquets critiques.
• Imposez une connexion résistante à l'hameçonnage sur vos comptes de gestion de code, de cloud et de registres de paquets — c'est par là que les attaquants de LiteLLM sont entrés.

Vous ne pouvez pas corriger le monde — mais vous pouvez devenir une cible difficile

Les experts ont raison : la période à venir sera agitée, et aucun individu ne peut réparer les fondations d'Internet. Mais les attaques qui vident réellement les comptes dépendent toujours d'une connexion faible. Un week-end passé à ajouter des passkeys ou des clés physiques, à nettoyer les mots de passe réutilisés et à abandonner les codes SMS vous met hors de portée des attaques automatisées et pilotées par l'IA qui marqueront les mois à venir. Faites-le maintenant, pendant que c'est calme — et envoyez cette page à quelqu'un que vous détesteriez voir piraté.