Revue tech du 5 novembre 2026 : cyberattaque Crédit Mutuel Arkéa (Fortuneo), fuite de données DEKRA, ChatGPT Images

Au 5 novembre 2026, le fil du jour porte sur une cyberattaque confirmée au Crédit Mutuel Arkéa, une fuite de données chez un organisateur du code de la route, un vol de fichiers revendiqué chez Holcim, et plusieurs annonces autour de l'IA : des images animées dans ChatGPT, un système qui propose des corrections de failles, des rachats, et le poids d'Anthropic auprès des entreprises. Ce qui suit s'appuie sur les textes ouverts pour cette revue. Quand seul un relais avance un chiffre, la phrase le dit.

Cyberattaque au Crédit Mutuel Arkéa (Fortuneo)

Le 4 novembre 2026, le Crédit Mutuel Arkéa annonce avoir été victime d'une attaque ayant permis « la réalisation d'opérations frauduleuses ». La banque écrit que l'incident est clos et maîtrisé. Les opérations reprenaient progressivement dans la matinée, après des vérifications. Elle affirme que cet incident n'entraîne aucune conséquence sur les avoirs des clients de ses fédérations et de ses filiales. Le seul effet décrit pour eux est une exécution différée de certaines opérations de virement. Les montants touchés étaient encore en cours d'évaluation. La banque écrit qu'ils ne remettent pas en cause sa solidité.

French Breaches formule le même jour le chiffre au conditionnel : 118 millions d'euros auraient été détournés. La banque confirme les opérations frauduleuses. Le montant exact, écrit le compte, reste à confirmer.

Dans une page de précisions publiée après le communiqué de 13 h, la banque répond directement à la question des 118 millions d'euros, soit 133 millions de dollars. Elle ne confirme pas ce chiffre. Elle écrit qu'elle peut « simplement valider l'ordre de grandeur ». Une partie des fonds concernés a pu être bloquée, et d'autres actions visent à les récupérer. Il est trop tôt, dit-elle, pour un montant définitif.

La même page décrit le circuit. Les attaquants ont utilisé le compte propre du Crédit Mutuel Arkéa, c'est-à-dire un compte de la banque elle-même, pour envoyer des transactions vers d'autres établissements. Ces établissements ont ensuite, potentiellement, permis de convertir cet argent en cryptomonnaie. La banque écrit que les comptes des clients de ses fédérations et de ses filiales n'ont pas servi de passage.

Fortuneo, piratage et porte d'entrée

La presse avait situé l'entrée de l'attaque chez Fortuneo, la banque en ligne du groupe. Frandroid le raconte, puis met à jour son article : Arkéa dément cette piste. La page de précisions est nette. « Aucune "entrée" ne s'est faite par Fortuneo. » Les attaquants sont passés par la plateforme d'un prestataire, dont le nom n'est pas donné, et ont atteint le Crédit Mutuel Arkéa directement. La banque écarte aussi une erreur humaine interne. Elle parle d'une attaque venue de l'extérieur, désormais circonscrite, et dit travailler avec les autorités judiciaires et policières. Frandroid précise que le Crédit Mutuel Arkéa est distinct du Crédit Mutuel Alliance Fédérale. Un compte ouvert dans l'autre groupe n'est pas celui dont parle ce communiqué.

Pour les clients du réseau ou de Fortuneo, la banque répète qu'il n'y a aucune conséquence sur les avoirs. Certaines opérations de virement ont été exécutées plus tard. La quasi-totalité des opérations avait repris son cours dans la matinée, après des contrôles supplémentaires.

Arnaque et hameçonnage : ce que la banque demande

Le communiqué prévient que des tentatives d'hameçonnage sont possibles. L'hameçonnage, souvent appelé phishing, est un message qui imite la banque pour faire donner un code. Arkéa demande de ne jamais communiquer ses informations personnelles et bancaires : identifiant, mot de passe, numéro de carte, code de validation reçu par SMS. En cas de doute, le conseil écrit est de joindre directement son conseiller, pour vérifier le message reçu. La page de précisions ajoute que cet avertissement est préventif. Dans ce genre d'attaque, les faux messages se multiplient souvent. La banque ne dit pas, dans ces textes, que des données de clients ont été copiées.

Pour quelqu'un qui est client, le geste concret est donc celui du communiqué. Un virement peut avoir tardé. Un SMS ou un appel qui demande un code, un mot de passe ou un numéro de carte ne doit pas recevoir de réponse, même s'il cite la banque. Le numéro à utiliser est celui déjà connu, pas celui du message.

Fuite de données DEKRA : candidats au code de la route

Fuites Infos, le 4 novembre à 20 h 30, écrit que les personnes inscrites à l'examen du code de la route ou du code bateau sur le-code-dekra.fr sont concernées par une fuite de données. Le service, exploité par DEKRA Services France, les a informées qu'un incident a touché, le 20 octobre 2026, les systèmes d'un sous-traitant. Ce sous-traitant n'est pas nommé. French Breaches présente la même confirmation le 4 novembre, et renvoie vers sa fiche.

Le courrier, tel que le rapportent ces deux sites, cite le nom, le prénom et la date de naissance, l'adresse électronique d'inscription, le numéro de téléphone, les numéros NEPH et OEDIPP, les résultats d'examen, et le mot de passe de connexion. L'entreprise dit ce mot de passe chiffré, c'est-à-dire transformé pour ne pas être lisible tel quel, sans décrire le procédé. Elle indique l'avoir réinitialisé : à la prochaine connexion, il faut en choisir un nouveau. Elle demande aussi de le changer partout où le même mot de passe a servi. Le courrier, selon Fuites Infos, ne parle ni d'adresse postale, ni de pièce d'identité, ni de paiement. Le nombre de personnes et la période des inscriptions ne sont pas donnés. La CNIL, l'autorité française qui surveille l'usage des données personnelles, a été prévenue, et une plainte a été déposée. Aucune date n'accompagne ces deux démarches. Aucune mise en vente des fichiers n'est rattachée à l'incident dans les textes lus.

Le numéro NEPH est le numéro d'enregistrement préfectoral harmonisé. La Poste, qui fait passer le même type d'examen, le décrit comme une suite de 12 chiffres, attribuée quand la préfecture enregistre le souhait de passer le permis. La page DEKRA le présente comme obligatoire pour s'inscrire à l'examen du code. L'OEDIPP, toujours selon La Poste, est le numéro de dossier officiel donné par le ministère de la Mer. Il compte 8 chiffres et sert à identifier le candidat au moment de l'examen bateau. Ce sont des numéros de dossier d'examen, pas des mots de passe. Ils permettent toutefois de rédiger un message très précis, qui a l'air de venir d'un centre d'examen ou d'une administration.

L'entreprise met elle-même en garde contre l'hameçonnage et les escroqueries. Fuites Infos en tire le geste utile : ne pas ouvrir de session depuis un lien reçu, passer par le site officiel, ne pas donner un code reçu par SMS, un mot de passe ou des coordonnées bancaires à quelqu'un qui appelle. Le site public cybermalveillance.gouv.fr est celui que Fuites Infos indique pour se faire aider.

Pour quelqu'un qui a réservé un code chez DEKRA, le changement immédiat est le mot de passe du compte d'examen, puis celui de tout autre service où le même secret aurait été réutilisé. Un message qui connaît le nom, la date de naissance ou le résultat de l'examen n'est pas, à lui seul, une preuve qu'il vient de DEKRA.

Vol de données Holcim après une cyberattaque

ICTjournal, le 4 novembre à 15 h 40, écrit que Holcim, groupe de matériaux de construction basé à Zoug, en Suisse, a été victime d'une cyberattaque. Le gang Emperador affirme avoir dérobé 360 Go de données et menace de les publier. ICTjournal attribue ces éléments au magazine Inside IT. Holcim, interrogé par ce média, confirme avoir détecté un « accès non autorisé et limité » à ses données, ainsi qu'un vol d'informations. L'entreprise ne dit pas quels fichiers ont été pris. Elle ne confirme pas le volume de 360 Go.

Selon Holcim, l'attaque n'a touché ni les systèmes qui pilotent les usines, ni les sites de production, ni les réseaux qui organisent les livraisons. Les activités et les livraisons aux clients se poursuivent sans restriction. Les équipes de sécurité ont contenu l'incident et ouvert une enquête. ICTjournal ajoute, toujours d'après Inside IT, que les auteurs d'Emperador seraient actifs depuis août seulement et auraient déjà mené environ 80 attaques. Le même article précise qu'aucune information publique ne permet de dire si une rançon a été demandée. French Breaches résume l'affaire le 4 novembre : Holcim confirme l'intrusion et le vol, les usines continuent, et les 360 Go restent une revendication.

Pour quelqu'un qui achète du ciment ou des matériaux Holcim, les textes lus ne décrivent pas de retard de livraison. Pour un salarié ou un client dont le nom pourrait figurer dans les fichiers, la nature de ces fichiers n'est pas publiée. Le risque concret, si des données personnelles s'y trouvent, serait le même que dans les autres fuites : un message ou un appel qui cite un détail exact pour se faire passer pour l'entreprise. Rien, dans les pages ouvertes, ne donne la liste des personnes concernées.

ChatGPT Images 2.6 : l'IA fait des GIF

Le 4 novembre, OpenAI met Images 2.6 dans ChatGPT, dans Codex, son outil pour écrire du logiciel, et dans l'interface que les développeurs utilisent pour brancher le service sur leurs propres applications. Le billet dit que l'on peut animer une image sous forme de GIF, ces courtes animations en boucle que l'on partage sur les réseaux. Le message d'OpenAI annonce des GIF et des images de référence. Le billet ne reprend pas ces derniers mots. Il décrit des retouches qui gardent un personnage, un produit ou des détails de marque d'une version à l'autre, et il écrit qu'un simple croquis peut devenir un personnage animé.

The Verge précise l'usage dans la conversation : un GIF peut partir d'une consigne écrite ou d'une photo téléversée. On peut ensuite changer la vitesse de lecture et retoucher les images une par une. Avant cette mise à jour, ChatGPT ne produisait pas un GIF en une seule étape, écrit le site. Un exemple montré par l'entreprise répond à la demande « can you make a gif of a cat dancing? », un chat qui danse.

OpenAI écrit que Images 2.6 génère les images 50 % plus vite qu'auparavant. Le modèle est disponible dans le monde entier, le jour de l'annonce, dans ChatGPT et Codex, pour tous les niveaux d'abonnement, sur ordinateur, téléphone et navigateur. L'entreprise compte 4 milliards d'images créées par semaine dans ChatGPT, Codex et l'interface de programmation, soit en moyenne plus d'un demi-milliard par jour.

Deux noms, Flare et Sunburst, concernent les développeurs, pas le bouton que l'on voit dans la conversation. OpenAI Developers écrit que ces deux modèles d'image produisent un résultat 50 % plus vite, et que Sunburst, en qualité moyenne ou haute, garde mieux les détails d'une retouche à la suivante. Le billet ajoute que Flare, en qualité basse, peut produire une image en six secondes.

Pour quelqu'un qui utilise ChatGPT, le changement visible est celui-ci : une demande peut maintenant donner une petite animation, à partir d'un texte ou d'une photo, et une retouche a plus de chances de garder le même sujet. Le choix entre Flare et Sunburst est un réglage pour les équipes qui fabriquent un produit, pas une case dans l'application grand public.

IA et failles : OpenAI dit avoir proposé 948 corrections

Le même 4 novembre, OpenAI décrit un prototype qui enchaîne la recherche de failles, la preuve qu'elles peuvent servir, et la rédaction d'une correction. Dans un passage réalisé à la mi-octobre avec un modèle de cybersécurité pas encore proposé au public, ce système a validé et produit des correctifs pour 948 failles d'élévation de privilèges locales dans le noyau Linux. Le message d'OpenAI reprend ce chiffre et un coût d'environ 1,2 million de dollars.

Le noyau est le cœur du système : la couche qui fait le lien avec le matériel. OpenAI rappelle qu'il est sous les téléphones Android, les serveurs des nuages informatiques et d'autres machines utilisées par des milliards de personnes. Une élévation de privilèges locale est un cas précis. Quelqu'un qui a déjà un compte limité sur la machine, ou un programme qui tourne avec ce compte, peut s'en servir pour en prendre le contrôle complet. Ce n'est pas, dans cette description, une intrusion lancée depuis internet contre un ordinateur éteint. Les essais ont eu lieu sur des machines de test, isolées, avec une version ordinaire d'un Linux pour ordinateur de bureau, pas sur un système volontairement affaibli.

Le détail du billet donne le tri. Le système a retenu 2 308 pistes, en a reproduit 1 724, et a obtenu 948 démonstrations capables de donner ce contrôle complet, plus 291 démonstrations de fuite d'information. Plus loin, le texte compte 1 169 essais d'exploitation réussis, puis un regroupement des variantes qui aboutit à 948 failles distinctes et à 948 correctifs distincts. Le coût total de ce passage est de 1 213 430 dollars de crédits d'interface, soit 1 279 dollars par démonstration de prise de contrôle. Des chercheurs humains relisent l'ensemble avant de le transmettre aux personnes qui maintiennent Linux. Les correctifs sont des propositions. Le billet dit que l'envoi a commencé par les failles jugées critiques, avec des partenaires. Il ne dit pas que ces 948 corrections sont déjà installées sur les appareils du public.

OpenAI en tire une conséquence pratique, pour les mois qui viennent : un compte limité sur un système qui n'a pas reçu ses dernières mises à jour doit être considéré, face à un attaquant bien outillé, comme un accès complet. Pour quelqu'un qui ne gère pas un serveur, cela ne décrit pas une attaque en cours sur son téléphone. Cela dit que les mises à jour du système restent le geste qui ferme ces passages, et qu'un programme automatique peut désormais en trouver beaucoup dans un logiciel aussi grand que le noyau.

CrowdStrike rachète Fiddler et Dreadnode

Le 3 novembre, CrowdStrike, entreprise dont les outils protègent les ordinateurs et les serveurs des sociétés, annonce deux rachats. Fiddler surveille ce que font les agents d'IA dans une entreprise. Un agent, ici, n'est pas un conseiller au téléphone : c'est un programme qui enchaîne des tâches tout seul, par exemple lire des dossiers et agir dans les logiciels de la société. Fiddler doit permettre de voir ce que l'agent a fait, et pourquoi, y compris quand il n'a pas été piraté mais qu'il a pris une mauvaise décision. CrowdStrike le vendra sous le nom Falcon Observe.

Dreadnode teste ces programmes avant qu'ils soient mis en service. Le communiqué cite notamment les jailbreaks et l'injection de prompt. Un jailbreak est une suite de messages qui pousse l'IA à ignorer les règles qu'on lui a données. L'injection de prompt est une consigne cachée dans un texte que l'IA lit, un mail ou une page, pour lui faire suivre l'ordre de l'attaquant. Les résultats de ces tests doivent alimenter Falcon Guardian, l'outil déjà annoncé par CrowdStrike pour surveiller les agents pendant qu'ils tournent.

Les deux communiqués disent que le prix sera payé surtout en argent, avec une part en actions, et que les opérations devraient être conclues au quatrième trimestre de l'exercice 2027 de CrowdStrike. Ils ne publient pas de montant. TechCrunch, le 3 novembre, attribue au Wall Street Journal environ 400 millions de dollars pour Fiddler et environ 95 millions pour Dreadnode. Silicon Wire résume le total à près de 500 millions de dollars, en citant TechCrunch.

Pour quelqu'un qui discute avec ChatGPT ou Claude sur son téléphone, ces rachats ne changent pas l'application. Ils concernent les entreprises qui laissent des programmes agir dans leurs outils. Le signal est que la surveillance de ces programmes devient un produit, au même titre que l'antivirus des ordinateurs de bureau.

Anthropic : le poids de Claude auprès des entreprises

Anthropic est la société qui développe Claude, un assistant du même genre que ChatGPT. Dans le prospectus déposé auprès de la SEC, le régulateur des marchés américains, elle compte ses clients selon ce qu'ils ont dépensé sur les douze mois précédant la date du décompte. Ce n'est pas le prix affiché d'un abonnement annuel.

Au 30 septembre 2026, le prospectus compte plus de 11 900 clients à 100 000 dollars ou plus sur ces douze mois, contre plus de 950 au 30 septembre 2025. Plus de 1 900 clients atteignent 1 million de dollars ou plus. Environ 250 atteignent 10 millions ou plus. Les clients au-dessus de 100 000 dollars ont représenté 26,1 milliards de dollars, soit 74 % du chiffre d'affaires de cette période de douze mois. Les 26 % restants viennent d'environ 40 millions de clients restés sous les 100 000 dollars. Le prospectus précise qu'Anthropic ne range pas ses clients dans une case « entreprise ». Il utilise le seuil de 100 000 dollars parce qu'une telle dépense correspond en général à une organisation, pas à une personne seule.

Silicon Carne, le 4 novembre, reprend ces ordres de grandeur : plus de 11 900 clients à plus de 100 000 dollars, environ 950 un an plus tôt, 250 au-dessus de 10 millions. Le message dit « par an » et parle, pour le bas de l'échelle, de particuliers et de petites structures. Le prospectus, lui, dit « plus de 950 », un cumul sur douze mois, et des clients en dessous de 100 000 dollars, sans les décrire tous comme des particuliers.

Le même document écrit que plus de la moitié des entreprises du Fortune 500, le classement des plus grandes sociétés américaines, figuraient parmi les clients à 100 000 dollars ou plus au 30 septembre 2026. Il ajoute que, pour ces clients du Fortune 500, le revenu tiré par Anthropic représentait en moyenne moins de 0,1 % de leurs dépenses totales au troisième trimestre 2026.

Pour quelqu'un qui utilise Claude à titre personnel, ces lignes disent d'où vient l'activité. L'essentiel de l'argent, dans le prospectus, vient d'organisations qui dépensent beaucoup, pas de la masse des comptes en dessous de 100 000 dollars. Cela ne change pas le prix affiché dans l'application. Cela explique pourquoi l'outil se retrouve dans les logiciels du travail, et pourquoi les annonces du secteur parlent autant des entreprises que des conversations du soir.

Rachats d'outils d'IA : Factory, Meta et OpenAI

Le 4 novembre, Ben Tossell aligne trois opérations : HumanLayer vers Factory, Conductor vers Meta, Pierre vers OpenAI. Les annonces des entreprises confirment la liste. Aucune ne publie de prix.

Factory écrit que HumanLayer la rejoint. Les deux font des outils pour des équipes qui font écrire du logiciel par des agents. Pendant une période de transition, la plateforme HumanLayer reste en ligne. Les utilisateurs peuvent exporter leurs données, passer sur Factory, ou héberger eux-mêmes la version ouverte. Un logiciel libre est un programme dont le code peut être repris et installé de son côté.

Axios écrit que Meta a racheté Conductor, un outil qui permet à des développeurs de faire travailler plusieurs agents de code en parallèle. Les conditions financières ne sont pas données. TechCrunch écrit que Meta a confirmé l'opération sans autre commentaire, et que le service en ligne de Conductor s'arrête le 20 novembre, après quoi l'effacement des données de ce service commence. Cette date est attribuée au fondateur.

OpenAI annonce qu'elle va racheter Pierre, dont certains outils servent déjà à parcourir et à relire le code dans Codex. La conclusion dépend des conditions habituelles, dont l'accord des autorités. Jusque-là, les deux sociétés restent séparées. Les projets déjà publiés en logiciel libre le restent, et les clients de Code Storage, le service de Pierre pour conserver du code, peuvent continuer à s'en servir après la conclusion, le temps que ses fonctions entrent dans Codex.

Pour quelqu'un qui ne fait pas écrire de logiciel par une IA, ces trois opérations ne changent pas une application du quotidien. Elles montrent que les grands groupes rachètent, le même jour, les petits outils qui organisent le travail de plusieurs agents à la fois.

Le reste du fil du 4 au 5 novembre s'adresse à des personnes qui fabriquent des sites ou des logiciels : réglages d'un assistant de code, mise à disposition de modèles, méthodes de référencement. Ces messages ne changent pas l'usage d'un téléphone, d'un compte bancaire ou d'une inscription au code. Ils ne sont pas détaillés ici.