Comment les Cyberattaques Se Produisent Vraiment : Les Méthodes Derrière les Violations comme Celle de H&M

Le 12 octobre 2026, le groupe H&M a déclaré qu'il enquêtait sur des allégations en ligne d'un incident de cybersécurité impliquant "une portée limitée de données du groupe H&M", selon une déclaration de l'entreprise rapportée par Retail Gazette. Le détaillant a déclaré qu'il n'avait trouvé aucune indication que son environnement de données avait été compromis et n'avait pas notifié le Bureau du commissaire à l'information du Royaume-Uni, selon Beinsure.

Les allégations ont fait surface quelques jours après que la chaîne de mode ASOS ait confirmé une violation le 6 octobre, au cours de laquelle les attaquants ont obtenu les identifiants de connexion d'un employé en se faisant passer pour un contact de confiance, puis ont utilisé ces identifiants pour accéder aux noms de clients et détails de contact stockés sur des plates-formes tierces, selon le rapport de Beinsure. Retail Gazette a noté que les rapports ont lié les allégations de H&M au même groupe de cybercriminels, ShinyHunters, bien qu'aucune confirmation indépendante ne lie les deux incidents ensemble.

Qui est ShinyHunters ?

ShinyHunters est un groupe de pirates informatiques motivé financièrement qui est actif depuis 2020 et est lié aux violations chez plus de 400 organisations, selon le fournisseur de cybersécurité DoControl. Le groupe suit un modèle d'extorsion "payer ou divulguer" : il exige une rançon et menace de publier les données volées sur des forums du dark web si la cible ne paie pas, a rapporté DoControl. Les cibles antérieures nommées par DoControl incluent Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways et Jaguar Land Rover.

Les méthodes derrière la plupart des violations

L'analyse de DoControl décrit cinq techniques utilisées par le groupe : abuser des jetons OAuth volés pour usurper l'identité des utilisateurs et contourner l'authentification multifacteur ; exploiter les configurations mal configurées sur les plates-formes cloud telles que Salesforce Experience Cloud ou Google Workspace ; compromettre les fournisseurs de logiciels de confiance pour atteindre leurs clients en aval en une seule fois ; recruter des employés sur les canaux Telegram en échange d'un paiement pour l'accès aux systèmes internes ; et utiliser des appels vocaux générés par l'IA qui usurpent l'identité du personnel informatique pour tromper le personnel afin d'approuver les applications contrôlées par les attaquants.

Ces techniques reflètent des données plus larges de l'industrie. Le Rapport d'enquête sur les violations de données 2026 de Verizon, cité par Help Net Security, a constaté que l'exploitation des vulnérabilités logicielles a dépassé les identifiants volés comme le moyen le plus courant pour les attaquants de pénétrer un réseau — la première fois que cela s'est produit dans les 19 ans d'histoire du rapport. Le même rapport a constaté que seuls 26% des vulnérabilités sur la liste « exploitées connues » de l'Agence américaine de cybersécurité et de sécurité des infrastructures avaient été entièrement corrigées par les organisations sondées, contre 38% un an plus tôt, et que le délai médian de correction d'une faille était passé à 43 jours.

Où le facteur humain s'inscrit

Toutes les violations ne reposent pas sur une faille logicielle. Le résumé du rapport Verizon par Help Net Security a constaté que les violations impliquant un élément humain — comme être trompé par un message de phishing ou un appel téléphonique — restaient courantes. Le rapport a également constaté que les phisheurs avaient généralement plus de succès pour atteindre les victimes par les appels vocaux et les messages texte que par courrier électronique, sans donner de chiffre de comparaison exact, et a noté que le « vishing » par téléphone a été de plus en plus utilisé dans les schémas de rançongiciel et d'extorsion.

L'implication de tiers et de la chaîne d'approvisionnement dans les violations a augmenté de 60% d'une année sur l'autre, selon le même rapport, désormais présente dans près de la moitié de tous les incidents — un modèle qui correspond à la façon dont l'attaquant d'ASOS a accédé aux données des clients via une plate-forme tierce plutôt que les systèmes principaux d'ASOS, selon le compte de Beinsure de l'incident.

Ce qui reste non confirmé dans l'affaire H&M

Selon la déclaration de H&M rapportée par Retail Gazette, l'entreprise n'avait pas confirmé qu'aucun système avait été violé, et n'avait pas lié les allégations de façon définitive à ShinyHunters ou à l'incident d'ASOS. H&M a déclaré que son enquête était en cours et qu'il ne pouvait pas partager plus de détails à ce stade, selon le rapport de Beinsure de la déclaration de l'entreprise.