Analyse Novatis

Cyberattaques de l’automne 2026 : le vrai, le faux et comment protéger son entreprise

Supermarchés, banque du sang, banque : ce qui s’est vraiment passé cet automne, ce qui est exagéré, et un plan de 72 heures pour protéger votre entreprise.

Novatis6 novembre 2026 8 min de lecture

En quelques semaines, des supermarchés, une banque et la banque du sang française ont été visés par des cyberattaques, sur fond de guerre au Moyen-Orient. Sur les réseaux sociaux, les messages alarmistes vont plus vite que les faits. Voici ce qui est établi, ce qui est exagéré, et ce qu’une entreprise tunisienne peut faire dès cette semaine, sans céder à la panique.

Ce qui s’est réellement passé

Les supermarchés. Dans la nuit du 11 au 12 octobre 2026, les installations de froid de centaines de supermarchés français ont été piratées. Intermarché, Coopérative U, E.Leclerc et Netto ont confirmé l’attaque. Des consignes de température ont été poussées jusqu’à 50 °C et des denrées ont dû être jetées. Une seconde vague a visé, dans la nuit du 1er au 2 novembre, plusieurs dizaines de magasins en Belgique, au Luxembourg, en Suède, en Estonie et dans d’autres pays européens. En Belgique, le parquet fédéral a ouvert une enquête.
La banque du sang. Le lundi 2 novembre, trois sites de stockage de plasma de l’Établissement français du sang ont été visés à travers un fournisseur de leurs équipements frigorifiques. Les alarmes ont détecté l’anomalie et le personnel est intervenu : selon l’EFS, aucun produit sanguin n’a été perdu et les collectes continuent.
La banque. Le 4 novembre, le Crédit Mutuel Arkéa a annoncé une attaque passée par la plateforme d’un de ses prestataires. Les attaquants ont utilisé le compte propre de la banque pour faire des virements. La presse avance environ 118 millions d’euros ; la banque ne confirme pas de montant définitif et indique que les avoirs de ses clients ne sont pas touchés.
En Tunisie. Après l’alerte de l’ANCS du 21 octobre sur la faille PHP2Shell, plusieurs organismes publics, dont la Steg et l’ATCT, ont suspendu leur site par précaution. Aucune attaque n’a été confirmée sur ces sites.

Ces incidents surviennent pendant la guerre ouverte le 28 février 2026 entre les États-Unis, Israël et l’Iran, qui s’accompagne d’opérations informatiques des deux côtés. Mais aucune des attaques ci-dessus n’a été revendiquée, ni attribuée officiellement à l’Iran ou à qui que ce soit.

Le vrai, l’exagéré et le faux

Ce qu’on lit	Ce qu’il en est
« Des banques piratées partout en Europe »	Exagéré. Une banque française a confirmé une attaque, le Crédit Mutuel Arkéa. Nous n’avons trouvé l’annonce d’aucune autre banque européenne victime d’une attaque comparable.
« Les clients de la banque ont perdu leur argent »	Faux, selon la banque. Les fonds détournés venaient de son propre compte ; les avoirs des clients ne sont pas touchés. Le seul effet pour eux a été un retard sur certains virements.
« Les stocks de sang sont détruits »	Faux. Les alarmes ont fonctionné et aucun produit n’a été perdu, selon l’EFS.
« Plus de 750 supermarchés touchés »	Non vérifié. Ce chiffre ne vient que d’une source. Les médias de référence parlent de centaines de magasins en France en octobre, puis de plusieurs dizaines en Europe début novembre.
« C’est une seule et même attaque, menée par l’Iran »	Non établi. Aucune revendication, aucune attribution officielle. Les enquêtes sont en cours.
« Le gouvernement français demande de préparer un sac de survie »	Vrai, mais pas nouveau. Le guide « Tous responsables », publié le 20 novembre 2025, recommande un kit d’urgence pour 72 heures d’autonomie. Il vise toutes les crises, des catastrophes naturelles aux conflits, et il est régulièrement rappelé.
« Ces pirates sont des génies »	Exagéré. Pour l’attaque des supermarchés, le directeur de l’ANSSI parle de « défauts de sécurisation élémentaires » : des équipements exposés directement sur Internet, sans cloisonnement, protégés par des mots de passe faibles.

Le point commun : des portes laissées ouvertes

Ces attaques n’ont pas forcé des coffres-forts. Elles sont passées par ce que personne ne surveillait : l’accès d’un prestataire, une interface de commande oubliée sur Internet, du matériel ancien qui ne reçoit plus de mises à jour. Le fabricant des équipements de froid visés a d’ailleurs indiqué que la plupart de ceux touchés en France étaient anciens et ne recevaient plus de mises à jour de sécurité.

Nous l’avons vécu chez un client. Il y a quelques années, son site a été piraté. En remontant la piste, nous n’avons trouvé aucune faille dans le site ni dans le serveur : l’origine était le poste d’un employé, qui installait des logiciels « crackés ». Le pirate a trouvé sur cet ordinateur les accès au site et s’en est servi. Les versions piratées de logiciels sont un moyen courant de diffuser des programmes espions qui récupèrent les mots de passe enregistrés.

La leçon tient en une phrase : pirater une entreprise est souvent moins complexe qu’on ne le croit. Il suffit parfois d’une personne qui ne prend pas la sécurité au sérieux.

Quatre scénarios réalistes pour une entreprise tunisienne

Le serveur sans sauvegarde. Un rançongiciel chiffre les fichiers, la base clients, la comptabilité. S’il n’existe aucune copie hors du serveur, ou si personne n’a jamais essayé de la restaurer, il n’y a pas de retour possible.
Le site jamais mis à jour. Une faille comme PHP2Shell est publiée, des robots balaient Internet à la recherche des serveurs vulnérables, et un site oublié devient une porte d’entrée vers le serveur et ses données.
L’accès qui traîne. Un ancien prestataire qui a gardé son mot de passe, un ex-employé dont le compte n’a pas été fermé, un mot de passe partagé sur une messagerie, un compte administrateur sans double authentification. Les attaques contre l’EFS et le Crédit Mutuel Arkéa sont toutes deux passées par un prestataire.
L’intelligence artificielle sans règles. Un salarié colle un fichier clients dans un assistant en ligne pour « gagner du temps ». Ou il reçoit un appel vidéo de son directeur qui lui demande un virement urgent. En 2024, un employé du groupe Arup à Hong Kong a ainsi versé l’équivalent de 25 millions de dollars à des escrocs qui, en visioconférence, avaient imité par IA le visage et la voix de plusieurs collègues, dont le directeur financier. En mai 2026, l’ANCS a alerté sur la hausse des arnaques assistées par l’IA visant les utilisateurs tunisiens des réseaux sociaux.

L’IA : un vrai levier, à condition de la cadrer

Nous accompagnons des entreprises qui gagnent un temps réel avec l’IA : réponses aux clients, synthèse de documents, prospection, saisie. Le problème n’est pas l’outil, c’est son usage sans règles. Quatre décisions suffisent à éviter l’essentiel des risques :

dresser la liste des outils autorisés, et de ceux qui ne le sont pas ;
écrire ce qui ne doit jamais y être copié : données de clients, contrats, accès, informations financières ;
faire relire par une personne ce que l’IA produit avant de l’envoyer ou de le publier ;
ne jamais exécuter un virement, un changement de coordonnées bancaires ou un envoi d’accès sur la seule foi d’un appel, d’un message ou d’une vidéo : rappeler la personne sur un numéro déjà connu.

C’est l’objet de notre audit IA pour les entreprises : repérer les usages utiles, les données exposées et les règles à poser avant d’aller plus loin.

Le plan d’urgence en 72 heures pour votre entreprise

Les autorités recommandent aux familles de prévoir 72 heures d’autonomie en cas de crise. La même logique vaut pour une entreprise : trois jours suffisent pour fermer les portes les plus exposées.

Jour 1 : les sauvegardes et les mises à jour

Vérifier qu’une copie des données existe hors du serveur, et qu’au moins une est hors ligne, à l’abri d’un rançongiciel.
Restaurer réellement un fichier ou une copie du site : une sauvegarde jamais testée n’est qu’une hypothèse.
Appliquer les mises à jour en attente : CMS, extensions, thème, version de PHP. Lister ce qui n’est plus maintenu, comme une boutique PrestaShop 1.7 ou un équipement connecté ancien.

Jour 2 : les accès

Faire l’inventaire des comptes : hébergement, nom de domaine, CMS, messagerie, banque en ligne, réseaux sociaux, outils des prestataires.
Fermer ceux des anciens employés et des anciens prestataires, et changer les mots de passe qui ont circulé.
Activer la double authentification partout où elle existe, en priorité sur la messagerie et la banque.
Sur les postes de travail : aucun logiciel piraté, un antivirus et un système à jour, et aucun mot de passe d’administration enregistré dans un navigateur partagé.

Jour 3 : les procédures

Imposer une double validation pour tout virement et tout changement de coordonnées bancaires.
Écrire les règles d’usage de l’IA, même sur une page.
Préparer une fiche de crise sur papier : qui appeler (hébergeur, banque, agence, l’ANCS), qui décide quoi, et comment continuer à travailler si le site, la messagerie ou le logiciel de gestion sont arrêtés.

Et à la maison ?

La préparation des familles relève des autorités. En France, le guide « Tous responsables » détaille le kit d’urgence de 72 heures. En Tunisie, suivez les consignes officielles des autorités et de la Protection civile. Et ne relayez que des informations sourcées : les messages alarmistes sont aussi le terrain favori des arnaques.

Notre accompagnement

Depuis 2009, Novatis crée, héberge et maintient des sites et des applications pour des entreprises tunisiennes. Nous pouvons passer votre situation en revue : sauvegardes et restauration, mises à jour, comptes et accès, postes exposés, usages de l’IA. Vous recevez un état des lieux clair, les corrections prioritaires et leur coût.

Pour que les mises à jour et les sauvegardes ne dépendent plus de la mémoire de chacun, nos packs de maintenance les prennent en charge, à partir d’environ 54 TND HT par mois sur deux ans, et notre hébergement web est supervisé par notre équipe technique. Pour en parler, écrivez-nous ou appelez le +216 70 284 284.

Pour aller plus loin : la faille PHP2Shell et la mise à jour de PHP, et pourquoi le site d’une PME tunisienne attire les attaques.

Sources

Passer de l’analyse au projet

Agence PrestaShop Tunisie

Reliez les enseignements de cet article à un périmètre, des responsabilités et des décisions adaptées à votre contexte.

Découvrir ce service