Revue tech du 7 novembre 2026 : rançongiciel ISAE-Supméca, accès distants Pharmagest, arnaque WhatsApp et fuite de données Transcontinents

Au 7 novembre 2026, le fil porte sur une cyberattaque par rançongiciel confirmée par l'école d'ingénieurs ISAE-Supméca, sur une alerte encore non confirmée visant des accès à distance associés au logiciel de pharmacie Pharmagest, et sur des arnaques WhatsApp qui citent une vraie réservation d'hôtel ou de voyage. L'agence Transcontinents confirme, de son côté, un vol de données de réservation. Ce qui suit s'appuie sur les textes ouverts pour cette revue. Quand seul un relais avance un chiffre, la phrase le dit.

Cyberattaque ISAE-Supméca : un rançongiciel sur toute l'informatique de l'école

French Breaches écrit le 6 novembre que l'école d'ingénieurs ISAE-Supméca confirme une attaque par rançongiciel sur l'ensemble de son infrastructure, qu'un groupe la revendique, et que l'école a saisi l'ANSSI, alerté la CNIL et déposé plainte. La source est le communiqué de l'école, sur une page datée du 5 novembre 2026. ISAE-Supméca s'y présente comme l'Institut supérieur de mécanique de Paris, 3 rue Fernand Hainaut, 93407 Saint-Ouen.

Le texte dit : « Le 31 octobre, ISAE-Supméca a été victime d'une attaque par rançongiciel (ransomware) qui a touché l'ensemble de l'infrastructure informatique de l'établissement. » French Breaches rappelle qu'un rançongiciel vise en général à bloquer l'accès aux systèmes, ou à rendre des fichiers illisibles, pour exiger une rançon. L'école emploie le mot. Elle ne dit pas si des fichiers ont été rendus illisibles, et elle ne publie aucun montant.

Dès la détection, les dispositifs de réponse ont été activés. L'école écrit que les procédures de signalement ont été faites, que les tutelles ont été prévenues, et qu'« une enquête va être ouverte par les autorités compétentes ». La phrase est au futur. Les tutelles ne sont pas nommées.

L'école a saisi l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information. Le communiqué dit que cette saisine sert à identifier les failles qui ont permis l'attaque et à définir la réponse technique. Une cellule de crise a été activée dès l'incident. Elle réunit la direction de l'école, la direction générale des services, la direction des systèmes d'information et les responsables des principaux services supports. Elle suit les préconisations de l'ANSSI.

« Cette cyberattaque a été revendiquée par un groupe de ransomware. » L'école ne donne pas le nom de ce groupe. « Une plainte a été déposée dès le lundi 2 novembre » et « une déclaration a également été réalisée auprès de la CNIL ». La CNIL est l'autorité française qui surveille l'usage des données personnelles. Le communiqué s'arrête à cette déclaration. Il ne dit pas que des dossiers d'étudiants, d'enseignants ou de personnels ont été copiés ou publiés.

La fiche French Breaches, publiée le 6 novembre, reprend le communiqué. Son en-tête affiche pourtant « Fuite confirmée par l'organisation » et une date d'incident au 6 novembre 2026. Le corps de la même fiche écrit autre chose : l'attaque date du 31 octobre, et l'école ne confirme pas qu'une extraction de données a eu lieu. Le corps est celui qui est suivi ici. L'en-tête ne l'est pas.

Messagerie et cours : ce que l'école dit avoir rétabli

Le communiqué écrit que le service de messagerie et le site internet « ont pu être rétablis le jeudi 5 octobre ». La page qui porte cette phrase est datée du 5 novembre 2026. Le 5 octobre 2026 tombe un lundi, pas un jeudi. Le 5 novembre 2026 tombe un jeudi. La fiche French Breaches parle d'un rétablissement au 5 novembre, sans citer les mots « 5 octobre ». La revue garde la phrase imprimée par l'école, avec cette contradiction de date. Ce que le texte établit sans ambiguïté, c'est que l'école présente la messagerie et le site comme de nouveau joignables, et que certains services peuvent encore connaître des perturbations temporaires.

Les enseignements « sont maintenus et ont été adaptés suivant la situation ». L'école dit mettre en œuvre la continuité des activités essentielles, et rétablir progressivement les outils, « en veillant à garantir la sécurité des systèmes ». Elle remercie usagers et partenaires, et écrit qu'elle communiquera de nouvelles informations dès que possible.

Pour un étudiant, un parent, un candidat ou un partenaire, le changement concret est celui-ci. Un cours peut avoir changé de forme, et un service en ligne peut encore répondre mal, y compris si le site s'ouvre. Un message qui demande de payer pour « débloquer » un compte, un relevé de notes ou un dossier ne figure pas dans le communiqué. Le numéro imprimé sur la page de l'école est le 01 49 45 29 00. L'adresse du site est celle déjà connue, isae-supmeca.fr. Un lien reçu dans un message inattendu ne les remplace pas.

Pharmagest : des accès distants en pharmacie, et un risque pour les données patients

French Breaches écrit le 6 novembre qu'un chercheur alerte sur une faille présumée chez Pharmagest : des accès à distance, dont le mot de passe serait le nom de l'ordinateur, pourraient permettre d'atteindre des données de patients. Le conditionnel est dans le message. L'article, publié le même jour à 12 h 10 et mis à jour à 12 h 16, précise la source : un chercheur en cybersécurité a contacté le site. Il n'est pas nommé.

Pharmagest est peu connu hors des pharmacies. Sur la page de ses communiqués, la société se présente comme une société du groupe Equasens, qui accompagne les pharmacies avec le logiciel de gestion id. L'article de French Breaches parle, lui, d'« installations informatiques associées à Pharmagest » et de « systèmes associés ». Il ne nomme pas le logiciel id. Les deux phrases ne disent donc pas la même chose : l'une décrit l'éditeur, l'autre un signalement sur certains accès à distance.

L'outil en cause, dans le signalement, s'appelle VNC. C'est un logiciel de prise en main à distance : il affiche l'écran d'un ordinateur et permet de le commander, comme si l'on était devant le clavier. En pharmacie, ce genre d'accès sert en général à la maintenance, aux mises à jour ou au dépannage. Le chercheur affirme que certains de ces accès seraient joignables depuis Internet, et que le mot de passe serait le nom de l'ordinateur lui-même. Le nom d'une machine est une étiquette technique. Ce n'est pas un secret choisi pour rester caché. French Breaches écrit que, si cette configuration était confirmée, elle faciliterait des accès non autorisés. Le site écrit aussi qu'il n'a pas pu confirmer, de son côté, l'étendue de cette faiblesse, ni établir qu'elle a permis d'ouvrir des dossiers médicaux.

Le chercheur dit avoir signalé la situation à l'ANSSI. French Breaches écrit ne pas disposer d'une confirmation indépendante que l'agence a bien reçu cette alerte, ni savoir si une vérification a été ouverte.

La page presse d'Equasens, ouverte pour cette revue, aligne des communiqués de nominations, de résultats et d'acquisitions. Le plus récent titre financier visible est le chiffre d'affaires du troisième trimestre, daté du 29 octobre 2026. Aucun titre de cette liste ne porte sur un accès distant, un mot de passe ou des données de patients. Cela décrit la page lue. La liste affichée peut ne pas reprendre chaque page du site.

Les captures : 53 résultats, et un dossier de 175 Go

Pour appuyer le signalement, le chercheur a transmis des captures d'écran. L'une vient de Shodan, un moteur qui recense des machines joignables sur Internet. French Breaches écrit qu'elle affiche 53 résultats. Le site cite Paris (34), Lyon (5), Marseille (3), Neuilly-Plaisance (2) et Carros (1). L'addition de ces villes donne 45. L'article ne dit pas que la liste est exhaustive, et il écrit que ces chiffres ne démontrent pas que 53 pharmacies sont vulnérables. Il ajoute qu'on ne peut pas affirmer que tous les équipements recensés appartiennent à Pharmagest, ni qu'ils ouvrent sur des données médicales. La capture, selon le site, ne précise pas à elle seule les critères de recherche.

Une autre capture montre les propriétés d'un dossier Windows : 766 938 fichiers, 689 455 dossiers, 175 Go de données, 176 Go occupés sur le disque. Le nom Pharmagest apparaît dans l'emplacement, dont une partie a été masquée. French Breaches écrit que l'image ne dit pas ce que contiennent ces fichiers : programme, sauvegarde, documents techniques, ou autre chose. Le site demande de ne pas présenter ces 175 Go comme un volume volé ou publié. Aucune conclusion sur des dossiers médicaux ne se tire de cette seule image.

Le chercheur rapproche aussi ce signalement de divulgations de données médicales déjà vues sur Internet. French Breaches qualifie ce rapprochement d'hypothèse. « Aucun élément transmis ne permet actuellement d'établir un lien direct » entre les systèmes signalés et une fuite identifiée. Le site l'écrit en toutes lettres : les éléments communiqués ne permettent pas d'affirmer que Pharmagest a été victime d'une cyberattaque, ni qu'une compromission généralisée a eu lieu, ni que des données de patients ont été récupérées par ce moyen.

Pour quelqu'un qui va en pharmacie, le point utile est l'absence de liste de patients. Cette alerte ne dit pas que votre ordonnance, votre numéro de sécurité sociale ou votre historique de médicaments a été copié. Un appel ou un message qui cite un médicament, une officine ou un remboursement, et qui demande un paiement, un code ou un numéro de carte, ne se traite pas dans le fil du message. Le numéro à composer est celui déjà noté de la pharmacie, ou celui de l'officine où vous allez, pas celui du message. Inutile de savoir si l'officine utilise Pharmagest pour appliquer ce réflexe : l'alerte ne fournit pas de liste d'officines.

Pour le pharmacien qui lit cette revue, la question à poser au prestataire qui assure la maintenance est simple : un accès à distance est-il joignable depuis Internet, et son mot de passe est-il le nom de l'ordinateur. French Breaches n'a pas établi que la réponse est oui. La question, elle, est celle que le signalement pose.

Arnaque WhatsApp : des logiciels de réservation piratés, et la fuite de données Transcontinents

French Breaches écrit le 6 novembre que plusieurs logiciels de réservation ont été piratés, que des données de voyageurs ont été exposées, et que cela facilite des arnaques WhatsApp avec de fausses demandes de paiement. L'article, le même jour à 19 h 23, décrit le message type. Il arrive sur WhatsApp. Il semble venir de l'hôtel. Le nom est le bon. Les dates aussi. Parfois le montant y figure. Le texte parle d'un problème de paiement et d'une annulation si l'on ne clique pas tout de suite.

Le même article passe en revue plusieurs prestataires. Deux pages d'une organisation professionnelle, et le site d'une agence, ont été ouverts pour cette revue. Le reste de l'énumération n'est pas redétaillé ici.

Medialog et Mister Booking : ce que le GHR a publié

French Breaches présente le GHR comme le Groupement des hôtelleries et restaurations de France. Le 20 octobre 2026, le GHR écrit qu'à la suite d'un incident de sécurité concernant Medialog, des tentatives d'hameçonnage utilisant de véritables informations de réservation ont été rapportées. L'hameçonnage, ici, est un message qui imite l'hôtel pour faire payer ou pour faire communiquer des informations. Le GHR dit que ces messages peuvent inciter les clients à effectuer un paiement ou à transmettre des informations personnelles. Il cite, parmi les canaux à surveiller, le SMS, WhatsApp et le courriel.

La page ne donne pas le nombre d'hôtels, ne liste pas les catégories de données, et ne date pas l'intrusion. Le GHR écrit s'être rapproché de Medialog, qui lui a indiqué avoir ouvert un service dédié à cette situation, et qui invite les professionnels à contacter ses équipes. La consigne que le GHR donne à ses adhérents, et qui vaut aussi pour un client, est de ne pas se fier à une demande de paiement au seul motif qu'elle reprend des informations exactes sur une réservation, et de vérifier par un canal déjà connu, indépendant du message.

Le 23 octobre 2026, le GHR publie une seconde alerte, sur Mister Booking. L'incident a été détecté le 19 octobre 2026. Selon les informations communiquées par l'éditeur, un tiers a obtenu un accès illégitime à un serveur de l'application et a pu extraire « une partie significative des données enregistrées ». Les données susceptibles d'être concernées, d'après ce qui a été transmis au GHR, comprennent l'identité et les coordonnées des clients et de leurs accompagnants, les informations de réservation, et les documents joints aux dossiers. Le GHR écrit : « Il semblerait qu'aucune donnée complète de carte bancaire ne serait concernée. » La phrase est doublement prudente. Elle ne dit pas que rien d'autre n'a fuité. Le nombre de voyageurs n'est pas donné.

Le GHR explique le risque pour les clients : avec ces renseignements, un fraudeur peut écrire en connaissant déjà le séjour, en se faisant passer pour l'hôtel, et demander un paiement ou une modification de coordonnées bancaires. La vérification qu'il recommande passe par un canal habituel, indépendant du message reçu.

Fuite de données Transcontinents : l'agence confirme, à La Réunion

French Breaches écrit le 6 novembre que Transcontinents, agence de voyages à La Réunion, confirme un vol de données de clients, et que des escrocs s'en servent pour de faux WhatsApp. La page de l'agence a été lue. L'alerte, mise à jour le 30 octobre 2026, dit que des clients reçoivent des messages WhatsApp frauduleux qui se font passer pour leur hôtel. Ces messages citent le nom de l'hôtel, les dates du séjour et la référence de réservation. Ils demandent de confirmer la réservation dans un délai très court, en cliquant sur un lien.

L'agence écrit : « Transcontinents ne vous demandera jamais de confirmer une réservation ou de payer via un lien envoyé par WhatsApp ou par SMS. » Même un message au nom de l'hôtel, s'il demande un paiement ou une confirmation en urgence, se vérifie d'abord auprès de l'agence.

Sur la même page, Transcontinents décrit ce que son enquête a établi. Des données de réservation ont été extraites de son outil de réservation par un accès non autorisé, les 20 et 21 octobre 2026. Il s'agit de noms, de coordonnées (e-mail, téléphone) et d'informations de réservation (hôtel, vols, dates). « Aucune donnée bancaire n'est concernée : notre outil n'en conserve pas. » L'accès a été bloqué, la sécurité de l'outil renforcée. L'agence a informé la CNIL et porté plainte. Les clients concernés sont informés individuellement par e-mail. Le nombre de personnes n'est pas publié.

La page tient ensemble les faux messages et l'extraction. Elle ne fournit pas une démonstration technique qui relierait chaque WhatsApp au fichier extrait. La référence de réservation est nommée dans la description des messages. Elle ne l'est pas dans la liste des données extraites, qui parle d'hôtel, de vols et de dates. Le message X, lui, présente les escrocs comme exploitant ces informations. C'est la formulation du compte.

French Breaches, dans l'article du 6 novembre au soir, reprend cette alerte et ajoute qu'aucun lien technique n'a été démontré entre l'attaque visant Transcontinents et les incidents des autres prestataires. Ce sont des affaires distinctes. Le geste face au message, lui, est le même.

Pour quelqu'un qui a une réservation, le changement concret est celui-ci. Un WhatsApp qui connaît l'hôtel, les dates, et même une référence, peut être frauduleux. On ne clique pas sur le lien. On n'y saisit pas de carte. On appelle l'hôtel ou l'agence au numéro de la confirmation d'origine, ou au numéro du site déjà connu, jamais au numéro qui vient d'écrire. Pour Transcontinents, la page donne le 0262 94 28 00, « ou le numéro habituel » de l'agence. Si des coordonnées bancaires ont déjà été saisies ou si un paiement est parti, l'agence demande d'appeler la banque pour faire opposition, de déposer plainte avec des captures du message, et d'écrire à resa@transcontinents.com. Les questions sur les données personnelles vont à direction@transcontinents.com.

Le reste du fil du 6 au 7 novembre s'adresse à des personnes qui fabriquent des sites ou des logiciels : préparation automatique de dépôts, traitement de documents, descriptions de vidéos, programmes pour fondateurs. Ces messages ne changent pas l'usage d'une messagerie d'école, d'une ordonnance ou d'une réservation. Ils ne sont pas détaillés ici.