Veille du 20 octobre 2026

OpenAI : l'ingénieur accusé d'avoir posé un micro reste en détention

Le 19 octobre, un juge fédéral de San Francisco a refusé de libérer Abdulrahman Alfozan, ressortissant saoudien et ancien ingénieur d'OpenAI, arrêté par le FBI le 9 octobre. Il est poursuivi pour avoir tenté d'intercepter des communications orales avec un dispositif caché dans une salle de conférence de la direction ; il encourt cinq ans de prison. Le juge a écarté une caution d'un million de dollars proposée par le consulat saoudien de Los Angeles.

Selon les pièces de l'accusation, il échangeait régulièrement sur WhatsApp avec un membre non identifié de la famille royale saoudienne, qui cherchait à le recruter pour un projet d'IA (dernier échange connu le 5 octobre). Après son arrestation, sa femme et son fils ont quitté les États-Unis sur un vol payé, selon l'accusation, par un militaire saoudien ; la défense parle d'un beau-frère fonctionnaire.

Ni espionnage ni action pour le compte d'un État étranger ne sont retenus à ce stade. OpenAI dit n'avoir constaté aucun vol de poids de modèles, de code ou de données clients. La défense conteste l'intention de fuite et rappelle qu'OpenAI l'encourageait à travailler avec l'Arabie saoudite.

Serbie : Pegasus confirmé sur le téléphone du recteur de l'université de Belgrade

Le Citizen Lab (université de Toronto), avec la SHARE Foundation, établit avec un « haut niveau de confiance » que le téléphone de Vladan Đokić, recteur de l'université de Belgrade et soutien du mouvement étudiant, a été infecté en 2026 par Pegasus (NSO Group), par une attaque sans clic. Un ancien procureur adjoint de l'organe anticorruption, qui enquêtait sur le projet immobilier avorté de « Trump Tower » à Belgrade, a reçu des alertes d'Apple en août ; son infection n'est pas confirmée.

Au moins 16 membres de la société civile serbe sont désormais publiquement connus comme ciblés ou infectés par des logiciels espions. Les législatives anticipées ont lieu le 25 octobre ; M. Đokić était souvent cité comme possible tête de la liste étudiante.

Ukraine : Washington dément avoir restreint le renseignement, Kyiv signale des frappes sans alerte

Les 19 et 20 octobre, le secrétaire d'État Marco Rubio a nié toute restriction du renseignement transmis à l'Ukraine, notamment les alertes sur les missiles balistiques russes : selon lui, aucun changement n'a été ordonné. Il attribue les attaques survenues sans avertissement préalable, les 13 et 18 octobre, à des difficultés techniques, selon une évaluation américaine préliminaire. Il s'est entretenu 45 minutes avec Volodymyr Zelensky le 20 octobre.

Volodymyr Zelensky avait affirmé que le partage avait été interrompu puis rétabli, et réclame la levée de restrictions sur le renseignement et les livraisons d'armes. L'édition du matin du 19 octobre rapportait ce rétablissement.

Versions contradictoires : l'explication technique avancée par Washington n'est pas vérifiée de façon indépendante.

APT28 : intrusions dans la chaîne de défense de deux pays de l'OTAN

L'équipe Threat Hunter de Symantec (Broadcom) attribue au groupe russe APT28, lié au renseignement militaire (GRU), une campagne visant un chantier naval, un fabricant de moteurs d'avions militaires et une agence de police dans deux pays membres de l'OTAN, qu'elle ne nomme pas. L'intrusion dans le chantier naval date de fin juillet 2026, avec une activité manuelle des opérateurs.

Les attaquants ont utilisé la porte dérobée HOOKEDGE (livrée par des documents Word piégés), un chargeur réflectif inédit, un tunnel SSH persistant et un script de capture d'échanges NTLM pour voler des identifiants.

Agents IA : un pirate vise plus de 1 200 sites pour environ 5 000 dollars

Le chercheur Snorre Fagerland (NorForge) a repéré, à partir d'environ le 2 octobre, un opérateur sinophone qui confiait ses intrusions à des agents IA via Cairn, un outil libre conçu pour les tests d'intrusion autorisés. Plus de 1 200 sites ont été visés, aux États-Unis, au Japon et en Australie ; des sites appartenant à plus de 100 entreprises ont été atteints, pour un taux de réussite d'environ 10 %.

Coût estimé : environ 5 000 dollars de calcul, soit une cinquantaine de dollars par intrusion réussie, obtenue en moins de 23 heures en moyenne. Deere dit avoir corrigé sans signe d'accès à des données sensibles ; SharkNinja parle d'un site de support isolé, menace contenue ; Cummins enquête sur le site d'un fournisseur.

Modèles d'IA utilisés par le pirate : non confirmés

Le nom d'un processus évoque Claude Code associé à DeepSeek, mais ni l'un ni l'autre n'est confirmé par NorForge. À ne pas présenter comme établi.

Serbie : analyse en cours sur le téléphone de l'ex-procureur anticorruption

Les alertes d'Apple reçues en août sont un indicateur sérieux de ciblage, mais l'infection n'est pas démontrée. Résultats à suivre avant le scrutin du 25 octobre.