Faille SonicWall sur des VPN d'entreprise : 70 banques touchées, que s'est-il passé ?

Une seule faille dans le SSL-VPN de SonicWall a déclenché l’une des fuites de données les plus larges du secteur financier en 2026. Des attaquants s’en sont servis pour pénétrer le réseau de Marquis Software Solutions, un prestataire qui sert des banques communautaires et des coopératives de crédit, et les répercussions touchent désormais plus de 70 établissements. Si vous êtes client d’une petite coopérative de crédit locale, ça vaut cinq minutes de votre attention.

Ce qui s’est passé

Marquis Software Solutions fournit des technologies à des banques communautaires et des coopératives de crédit à travers les États-Unis. Les attaquants sont entrés dans son réseau via une faille des pare-feux SonicWall qui permet de contourner l’authentification à deux facteurs lors de la connexion au SSL-VPN. Une fois à l’intérieur, l’intrusion a été attribuée au groupe de rançongiciel Akira, que les chercheurs en sécurité relient à une faille de contrôle d’accès dans SonicOS, le système d’exploitation des pare-feux SonicWall.

Ce point d’entrée unique s’est propagé en cascade. Comme Marquis sert des dizaines de banques et coopératives en tant que prestataire partagé, une seule faille chez le fournisseur est devenue une faille chez chaque établissement dont les données transitaient par ses systèmes. Les notifications de fuite déposées dans l’Iowa listent au moins 70 établissements financiers touchés. Les deux plus importants nommés jusqu’ici sont Gesa Credit Union, avec 152 000 personnes concernées, et iQ Credit Union, avec 111 000. En ajoutant le reste de la liste, ce sont des données personnelles et financières appartenant à des centaines de milliers de consommateurs qui sont potentiellement exposées.

American Banker et TechRadar ont tous deux détaillé l’ampleur de l’incident au fil des notifications.

L’angle SonicWall et Akira

Ce qui rend ce cas intéressant, au-delà de sa taille, c’est à quel point l’échec technique était banal. Akira n’a pas eu besoin d’une chaîne d’exploits zero-day ni de mois d’outillage sur mesure. Il lui fallait juste un boîtier SSL-VPN avec une faiblesse de contrôle d’accès connue, permettant de contourner le MFA, puis des identifiants classiques pour se déplacer dans le réseau ensuite.

C’est le même schéma qui revient sans cesse dans les rapports de piratage d’entreprise : un boîtier SSL-VPN, du type que Cisco, SonicWall et Fortinet vendent aux entreprises pour l’accès distant de leurs employés, exposé sur internet avec un correctif qui n’avait pas encore été appliqué. Notre article sur pourquoi les SSL-VPN d’entreprise se font si souvent pirater explique pourquoi cette catégorie de matériel est une cible aussi constante : exposée par conception, assez complexe pour avoir des bugs, et perturbante à mettre hors ligne pour la patcher.

Les données du secteur confirment la vitesse à laquelle ce vecteur a grimpé. Les équipements de bordure et les VPN sont passés d’environ 3 % à 22 % des fuites liées à l’exploitation de failles en un an seulement, une multiplication par sept. Les VPN d’entreprise historiques ont été le point d’entrée dans la grande majorité des intrusions de rançongiciel vérifiées en 2025, en forte hausse par rapport à quelques années plus tôt. Les boîtiers SSL-VPN SonicWall, Cisco et Fortinet restent, de loin, l’un des principaux vecteurs d’attaque par rançongiciel à l’entrée de 2026.

Akira s’est bâti une réputation en chassant précisément ce genre de cible facile. Le groupe n’a pas besoin de viser une banque directement quand un prestataire logiciel partagé offre le même gain avec moins de résistance. Un boîtier compromis, une implémentation MFA faible, et le groupe se retrouve à l’intérieur d’un réseau qui touche in fine des dizaines de milliers de clients en aval. Cette efficacité explique pourquoi les équipements de bordure sont devenus le point d’entrée préféré face au phishing ou au credential stuffing, plus coûteux en effort par victime.

Ce qui a rendu la faille SonicOS si utile pour Akira, c’est qu’elle a sapé exactement le contrôle censé arrêter ce genre d’intrusion. Le MFA existe précisément pour qu’un mot de passe volé ou deviné ne suffise pas à entrer. Un bug de contrôle d’accès qui permet de contourner cette vérification transforme une passerelle VPN bien configurée en porte ouverte, sans que le boîtier ne montre le moindre signe évident de compromission. Une équipe de sécurité surveillant les échecs de connexion ou les tentatives par force brute n’aurait rien vu d’anormal, puisque la faille permettait aux attaquants de sauter cette étape plutôt que de forcer le passage.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

SSL-VPN d’entreprise contre VPN grand public

Il vaut la peine d’être précis sur ce qui a réellement cassé ici, parce que le mot “VPN” fait double emploi dans chaque titre sur cette histoire. Marquis a été piraté via un boîtier SSL-VPN d’entreprise, ce type de passerelle matérielle ou logicielle qui permet aux employés d’une entreprise de se connecter à distance à son réseau interne. C’est un produit fondamentalement différent d’un service VPN grand public comme NordVPN ou Proton VPN, qui achemine votre trafic de navigation personnel via un tunnel chiffré et n’ouvre aucune porte vers un quelconque réseau d’entreprise interne.

Rien dans cette fuite n’implique les apps VPN grand public, et aucun abonnement VPN personnel n’y est pour quoi que ce soit. Si vous envisagez un VPN grand public pour votre vie privée, les risques qui comptent sont les pratiques de logs, les audits indépendants et la conception de l’infrastructure, pas cette histoire.

Cela dit, la confusion se comprend, et il vaut la peine de se rappeler qu’un “VPN” ne vaut que ce que vaut son maillon le plus faible. Les SSL-VPN d’entreprise échouent à cause de logiciels non patchés et d’un MFA mal appliqué, les mêmes problèmes d’hygiène de base qui minent la sécurité à toutes les échelles. Si vous gérez l’informatique d’une petite entreprise, c’est la leçon pratique à retenir ici : patchez SonicWall et les autres boîtiers SSL-VPN dès que les mises à jour sortent, et vérifiez que le MFA est réellement appliqué sur chaque chemin de connexion VPN, pas juste configuré puis oublié.

Pourquoi une faille chez un prestataire est devenue 70 failles

Cet incident illustre aussi clairement le risque lié aux prestataires tiers, une notion qui reste abstraite jusqu’à ce qu’on la voie se dérouler à cette échelle. La plupart des banques communautaires et coopératives de crédit sont trop petites pour gérer chaque brique technologique en interne. Elles s’appuient sur des prestataires partagés comme Marquis pour leurs logiciels de base, ce qui est efficace jusqu’au jour où ce prestataire se fait pirater. À ce moment-là, le rayon d’impact n’est plus un seul établissement, c’est chaque établissement que touche le prestataire.

Cette dynamique compte parce qu’elle signifie que la sécurité de votre compte bancaire dépend en partie de décisions prises par des entreprises dont vous n’avez jamais entendu parler, avec des boîtiers que vous ne verrez jamais. Vous pouvez choisir une banque à la solide réputation et vous retrouver quand même sur une liste de notification de fuite parce qu’un prestataire à trois degrés de vous avait un pare-feu non patché. C’est frustrant, mais c’est aussi assez courant pour que les régulateurs attendent désormais des établissements financiers qu’ils auditent la sécurité de leurs prestataires, pas seulement la leur.

Les banques communautaires et coopératives de crédit sont particulièrement exposées à ce schéma parce qu’elles dépendent davantage de prestataires partagés que les grandes banques nationales, qui peuvent se permettre de construire et sécuriser une plus grande part de leur propre infrastructure. Ce n’est pas un reproche envers les petits établissements, c’est juste une réalité économique, et c’est exactement pourquoi les listes de fuites comme celle-ci penchent vers les coopératives régionales plutôt que vers les plus grands noms de la banque. Si quelque chose est prévisible, c’est bien qu’on verra d’autres histoires de cette forme avant que le problème ne soit corrigé à l’échelle du secteur.

Que faire si vous êtes client d’un établissement touché

Si votre banque ou votre coopérative de crédit figure sur la liste de notification de fuite déposée dans l’Iowa, ou si vous avez reçu un courrier à ce sujet, prenez-le au sérieux même si vous n’avez rien fait de mal. Vos données ont été exposées à cause d’un boîtier non patché chez un prestataire, pas à cause de vous.

Quelques réflexes concrets : surveillez le courrier officiel de notification de fuite et lisez quelles catégories de données étaient concernées. Envisagez de poser un gel de crédit auprès des principales agences d’évaluation, c’est gratuit et ça bloque net la plupart des fraudes par ouverture de nouveau compte. Inscrivez-vous à la surveillance de crédit gratuite que propose l’établissement, la plupart des notifications de fuite l’incluent. Et restez vigilant face aux emails ou appels de phishing qui invoquent la fuite pour paraître légitimes, c’est une arnaque qui suit prévisiblement ce type d’incident.

Il vaut aussi la peine de surveiller vos relevés sur les prochains mois plutôt que sur les prochaines semaines seulement. Les fraudes liées à de grosses fuites de données ne se manifestent pas toujours immédiatement. Les attaquants s’assoient parfois sur les données volées un moment, testent des petits établissements ou attendent que l’actualité passe avant de les utiliser. Le gel de crédit vous protège dans tous les cas, puisqu’il bloque l’ouverture de nouveaux comptes à votre nom, quel que soit le moment où les données finissent par servir.

Rien de tout ça ne concerne votre propre configuration VPN. C’est une défaillance côté prestataire qui a fini par toucher votre banque. Si vous voulez par ailleurs renforcer votre propre vie privée, notre guide sur comment vérifier la politique no-log d’un VPN est une bonne lecture suivante, et si vous êtes du genre à vouloir une protection contre les coupures de connexion, notre explication du kill switch couvre aussi cette couche de protection.