Ce qui change, et à quelle date

Microsoft retire les SMS et les appels vocaux qu’il fournit pour vérifier votre identité dans Entra ID, le système de comptes de Microsoft 365. Le changement touche la double authentification et la réinitialisation du mot de passe en libre-service. Pour Microsoft, le SMS et l’appel vocal ne comptent plus parmi les méthodes sûres.

Le calendrier tient en trois dates :

• 1er septembre 2026 : les clés d’accès (passkeys) deviennent la méthode par défaut, et les utilisateurs du SMS sont invités à en créer une à la connexion.
• 1er février 2027 : fin des SMS et appels fournis par Microsoft pour tous les utilisateurs, sauf les administrateurs généraux et les comptes externes.
• 1er juillet 2027 : même fin pour les administrateurs généraux et les comptes externes.

Microsoft ne prévoit aucune dérogation à ces échéances.

Après l’échéance, un écran bloque la connexion

Après le 1er février 2027, un utilisateur qui n’a que le SMS comme seconde méthode verra un écran lui demander de créer une clé d’accès. Impossible de passer cette étape. Tant que la clé n’existe pas, la personne ne peut plus se connecter normalement.

Prenez la vendeuse d’un magasin ou le secrétaire d’un club, un lundi matin, sans personne pour l’aider. Sa messagerie et ses fichiers partagés restent inaccessibles. Réglez la question maintenant, au calme, plutôt que le jour où l’écran apparaît.

Jusqu’au 1er février, l’invitation de Microsoft peut être reportée. Par défaut, l’utilisateur peut la repousser sans limite. Chaque report rapproche l’échéance.

Trois méthodes remplacent le SMS

Microsoft recommande les clés d’accès. Au lieu de recopier un code, vous validez la connexion sur votre appareil, avec votre empreinte, votre visage ou un code PIN. Trois options existent :

• L’application gratuite Microsoft Authenticator, qui enregistre une clé d’accès sur votre smartphone.
• Windows Hello, sur un PC Windows équipé d’un lecteur d’empreinte ou d’une caméra compatible.
• Une clé de sécurité FIDO2, un petit objet USB adapté aux postes partagés et aux employés sans smartphone professionnel.

Les clés d’accès enregistrées dans le trousseau iCloud ou le gestionnaire de mots de passe de Google fonctionnent aussi.

Autre solution : les codes temporaires affichés dans Authenticator restent acceptés après le 1er février 2027. Un utilisateur qui s’en sert déjà ne verra pas l’écran bloquant. Microsoft précise toutefois que ces codes ne protègent pas contre l’hameçonnage, contrairement aux clés d’accès.

Le rôle de l’administrateur de votre compte Microsoft 365

Dans une petite structure, l’administrateur peut être le gérant lui-même ou son prestataire informatique. Trois tâches l’attendent :

• Repérer les comptes qui utilisent encore le SMS, avec le script « entra-sms-voice-usage-analyzer » publié par Microsoft sur GitHub.
• Lancer une campagne d’inscription dans le centre d’administration Entra, rubrique Méthodes d’authentification, pour guider ces comptes vers une clé d’accès.
• Retirer le SMS des méthodes autorisées pour ces comptes, une fois la nouvelle méthode testée.

Garder le SMS reste possible, en passant par un opérateur téléphonique tiers configuré dans le Microsoft Security Store. Ce service est payant, et son tarif dépend du fournisseur et du pays. Le passage aux clés d’accès se fait sans frais supplémentaires.

Source : Microsoft Learn, « Passkeys by default and retirement of Microsoft-provided SMS and voice authentication », mis à jour le 23 septembre 2026

Le prix barré doit être le plus bas des 30 derniers jours.

Les règles parlent de « prix de référence ». C’est le prix le plus bas que vous avez pratiqué pendant les 30 jours qui précèdent la réduction. Votre pourcentage se calcule à partir de ce prix, et ce prix doit apparaître clairement à côté du nouveau.

Un exemple. Un pull est affiché 49 euros pendant tout le mois d’octobre. Le 10 novembre, vous le passez à 59 euros. Pour le Black Friday, vous le vendez 39 euros. Le prix à barrer est 49 euros, pas 59. La réduction réelle est donc de 20 %, et non de 34 %.

Augmenter un prix juste avant une promotion ne sert donc à rien. Le prix plus bas reste dans la fenêtre de 30 jours.

Certaines offres échappent à la règle des 30 jours.

Le SPF Economie cite deux types de promotions non concernées par le prix de référence :

• les offres du type « 1+1 gratuit »
• les offres conditionnelles, comme « le 2e article à moitié prix »

Une exception ne vous dispense pas d’être clair. Si vous comparez votre prix à un autre, indiquez toujours l’élément de comparaison. Votre client doit voir tout de suite à quel prix vous vous comparez.

Le prix conseillé ne se barre jamais.

Beaucoup de commerçants affichent le prix conseillé par le fabricant à côté du leur. C’est permis, à trois conditions :

• Le prix conseillé doit être réaliste.
• Il doit être présenté clairement comme un prix conseillé.
• Il ne doit pas être présenté comme une réduction.

Le point qui piège le plus souvent : barrer le prix conseillé est interdit. Seul le prix de référence peut être barré. Sur vos étiquettes comme sur votre site, vérifiez donc quel chiffre porte le trait.

Les contrôles visent les magasins comme les webshops.

Depuis 2021, l’Inspection économique a enregistré 2 671 signalements de promotions trompeuses. Elle a constaté des infractions dans 1 229 entreprises. Résultat : 635 avertissements, 540 procès-verbaux, 121 procédures d’amende administrative et 47 dossiers transmis au parquet.

En 2025, l’Inspection a mené 343 enquêtes sur les réductions et les promotions. 282 concernaient des magasins physiques, 61 des boutiques en ligne.

Fin 2025, un contrôle européen a visé les webshops pendant la période du Black Friday. En Belgique, 23 boutiques en ligne ont été examinées. Des infractions ont été relevées chez 16 d’entre elles. Les problèmes les plus fréquents : un prix de référence trop élevé, des comptes à rebours fictifs et des prix barrés jamais pratiqués.

Un client peut vous signaler, et la sanction suit.

Vos clients peuvent aussi vous signaler. Le SPF Economie les invite à envoyer une capture d’écran ou une photo du prix sur le site ConsumerConnect.

En cas d’infraction, l’Inspection commence par une mise en demeure. Elle dresse ensuite un avertissement ou un procès-verbal, selon la gravité. Un procès-verbal peut déboucher sur un règlement à l’amiable, une amende administrative ou des poursuites devant le tribunal correctionnel.

Source : SPF Economie, « Réductions pour le Black Friday ? Restez vigilant et signalez les arnaques ! », 20 novembre 2025

Ce qui s’est passé dans la nuit du 2 novembre

Delhaize a confirmé un incident informatique dans une quarantaine de magasins, surtout des Proxy Delhaize et des Shop & Go. Carrefour Belgique compte 15 magasins touchés, Spar cinq et Intermarché entre 10 et 15. Une boucherie de la région d’Anvers a aussi vu ses alarmes sonner à 3 heures.

Le mode opératoire est simple. Les pirates ont modifié les réglages des installations et ont mis les évaporateurs en mode dégivrage. Le froid s’arrête, la température monte, la chaîne du froid est rompue. C’est la même méthode que lors de l’attaque qui a visé des supermarchés français à la mi-octobre.

Le parquet fédéral a ouvert une enquête. Des incidents semblables ont été signalés le même jour en Suède, en Irlande, en Estonie, aux Pays-Bas et au Luxembourg. Le Centre pour la Cybersécurité Belgique craint d’autres incidents, notamment à cause de l’usage ciblé de l’intelligence artificielle.

Pourquoi un petit commerce est aussi concerné

Les contrôleurs de froid modernes se pilotent à distance. Votre frigoriste s’y connecte pour suivre les températures, recevoir les alarmes et corriger un réglage sans se déplacer. Mais si l’écran de gestion est accessible depuis Internet, un pirate peut le trouver lui aussi.

Le CERT-FR, l’équipe d’alerte de l’agence française de cybersécurité, a publié une alerte le 12 octobre. Elle cite les contrôleurs Danfoss des séries AK-SM et AK-SC, ainsi que les superviseurs Copeland XWEB et Dixell XWEB. Elle rappelle qu’exposer une interface de gestion sur Internet va à l’encontre des bonnes pratiques.

La taille du magasin ne change rien. Une supérette, une boucherie ou une cuisine de restaurant dont le boîtier est exposé court le même risque qu’une grande surface. La même vérification vaut pour tout appareil qu’un prestataire gère à distance chez vous : caméras, alarme ou chauffage.

Ce que votre frigoriste doit vous confirmer

Appelez votre installateur cette semaine et demandez-lui une réponse écrite. Les points ci-dessous reprennent les recommandations du CERT-FR.

• Il vous donne la marque et le modèle du contrôleur qui pilote vos frigos.
• Le boîtier n’est pas joignable par une adresse IP publique, donc depuis n’importe où sur Internet.
• L’accès à distance passe par un VPN sécurisé ou un réseau protégé.
• Le logiciel interne du boîtier est à jour.
• Les mots de passe d’origine ont été changés.
• Sur un équipement Danfoss, le niveau de sécurité est réglé en mode « Strict ».

Un filtrage des adresses du frigoriste sur votre pare-feu peut dépanner dans l’urgence. Le CERT-FR précise que ce n’est pas une solution durable. Avant de couper la remontée des données vers votre prestataire, vérifiez aussi les conditions de votre contrat d’assurance.

Si la température monte sans raison

D’abord, protégez la marchandise et prévenez votre frigoriste. La boucherie anversoise a pu intervenir à temps parce que ses alarmes ont sonné en pleine nuit. Vérifiez que les alertes de votre installation arrivent bien sur un téléphone joignable la nuit.

Demandez ensuite à votre installateur de contrôler toute la configuration, en particulier les plages de dégivrage. Si le boîtier a été piraté, le CERT-FR conseille de le retirer d’Internet, de le redémarrer ou de le remettre aux réglages d’usine, puis de rétablir l’accès uniquement par VPN.

Une remise à zéro seule ne suffit pas. Le CERT-FR prévient qu’un appareil qui ne reçoit plus de correctifs de sécurité et reste exposé sera très probablement attaqué à nouveau. Dans ce cas, prévoyez son remplacement avec votre frigoriste.

Source : L’Avenir (Belga), « Les paramètres ont été modifiés à distance » : des dizaines de supermarchés belges ciblés par un piratage des frigos et congélateurs, 2 novembre 2026

Ce que Microsoft change fin décembre

Le mécanisme visé s’appelle SMTP AUTH en « authentification de base ». L’appareil transmet un nom d’utilisateur et un mot de passe pour déposer ses e-mails sur les serveurs de Microsoft. Microsoft juge cette méthode dépassée : les identifiants circulent en clair et restent exposés au vol, à l’hameçonnage et aux attaques par force brute.

Voici le calendrier mis à jour par Microsoft le 27 janvier 2026 :

• Jusqu’à fin décembre 2026, rien ne change.
• Fin décembre 2026, l’authentification de base est désactivée par défaut dans les environnements Microsoft 365 existants. Un administrateur peut encore la réactiver.
• Les environnements créés après décembre 2026 ne la proposent plus.
• Microsoft annoncera la date de suppression définitive au second semestre 2027.

Les appareils qui risquent de ne plus rien envoyer

Tout ce qui envoie un e-mail sans passer par Outlook mérite un contrôle. Dans une PME, un commerce ou un club, on retrouve le plus souvent :

• le copieur multifonction qui envoie les scans par e-mail
• le scanner de la comptabilité
• le logiciel de facturation qui expédie les factures depuis votre adresse
• la caméra, l’alarme ou le serveur de sauvegarde qui envoie des alertes
• le formulaire de contact du site web relié à votre boîte Microsoft 365

Le symptôme reste discret. L’appareil affiche une erreur d’envoi, ou rien du tout, et le message n’arrive jamais. Une alerte de sauvegarde perdue peut ainsi passer inaperçue pendant des semaines.

Comment savoir si vous êtes concerné

Ouvrez la page de configuration de votre copieur. Elle s’affiche en général quand vous tapez son adresse IP dans un navigateur. Cherchez la rubrique e-mail ou SMTP. Le serveur smtp.office365.com, le port 587 et un couple identifiant et mot de passe signalent un envoi par SMTP AUTH.

Votre prestataire informatique peut aussi consulter le rapport « SMTP AUTH Clients Submission » dans le centre d’administration Exchange. Pour chaque compte, il indique si l’envoi passe par l’authentification de base ou par OAuth, la méthode moderne. Ce rapport couvre les 90 derniers jours.

Notez au passage la marque et le modèle exact de chaque appareil. Vous en aurez besoin pour choisir la solution.

Trois solutions selon votre appareil

Première option : passer à OAuth. C’est la voie recommandée par Microsoft. Certains copieurs la proposent, parfois après une mise à jour du micrologiciel. Le site du fabricant vous le dira pour votre modèle. Si l’appareil n’accepte que le port 465, il ne fonctionnera pas avec Microsoft 365, qui ne le prend pas en charge.

Deuxième option : un connecteur de relais SMTP. L’appareil envoie ses messages au serveur de messagerie de votre domaine, sur le port 25. Microsoft le reconnaît grâce à votre adresse IP publique fixe ou à un certificat. Pas besoin de licence de boîte mail, et les envois vers l’extérieur restent possibles. Il faut toutefois une adresse IP fixe réservée à votre entreprise.

Troisième option : l’envoi direct, appelé Direct Send. Ni mot de passe, ni licence. Les messages n’atteignent que les destinataires de votre propre organisation Microsoft 365, ce qui suffit pour un copieur qui envoie les scans à vos collègues. Microsoft le réserve aux administrateurs expérimentés, car il exige un réglage soigné des enregistrements SPF, DKIM et DMARC.

Réactiver l’ancien mode ne sert qu’à dépanner

Après fin décembre, un administrateur pourra rétablir l’authentification de base si un appareil bloque votre activité. Ce répit est temporaire : Microsoft fixera la date de suppression définitive au second semestre 2027. Profitez de ce délai pour migrer vos appareils un par un.

Autre point à connaître : l’authentification de base est incompatible avec les « paramètres de sécurité par défaut » de Microsoft Entra ID, qui activent notamment la double authentification. Garder un vieux réglage sur le copieur peut donc vous empêcher de mieux protéger tous vos comptes.

Source : Microsoft 365, centre de messages, MC786329 : retrait de l’authentification de base pour SMTP AUTH dans Exchange Online (mis à jour le 27 janvier 2026)

Ce que prévoit le projet de loi

L’employeur devra disposer d’un système qui mesure de façon objective et fiable la durée de travail quotidienne et hebdomadaire de chaque travailleur. Le texte vise à aligner le droit belge sur la jurisprudence de la Cour de justice de l’Union européenne.

Le calendrier annoncé :

• Entrée en vigueur prévue le 1er janvier 2027.
• Période de transition pour les employeurs qui ne sont pas encore équipés.
• Mise en conformité au plus tard le 1er avril 2027.

Le Conseil national du travail a rendu son avis sans position unanime. Les exceptions et les sanctions restent à confirmer. L’avant-projet cite déjà des catégories qui pourraient être exclues : le personnel de direction, les représentants de commerce et les travailleurs itinérants.

Aucune pointeuse ne sera imposée

Le ministre de l’Emploi, David Clarinval, l’a annoncé : la pointeuse ne sera pas obligatoire. L’enregistrement ne doit même pas être électronique. Vous choisissez la méthode, à condition qu’elle reste fiable.

Les moyens cités :

• une pointeuse classique
• un système numérique
• une application sur smartphone
• un enregistrement a posteriori

Un système simplifié est prévu pour les horaires connus d’avance. Si vous communiquez à l’avance un horaire fixe ou variable, noter les seules dérogations pourrait suffire. Un horaire théorique sans trace des écarts, lui, ne suffira pas.

Vos documents actuels peuvent déjà servir

Vous tenez peut-être une partie de ces données sans le savoir. L’exposé des motifs cite les feuilles de prestations de certains secteurs, le suivi obligatoire des horaires variables et le document de dérogation des travailleurs à temps partiel. Les méthodes déjà conformes pourront continuer à être utilisées.

Faites l’inventaire avant d’acheter un outil. Listez vos travailleurs, leur type d’horaire et la manière dont leurs heures sont notées aujourd’hui. Repérez ceux dont personne ne suit les prestations : l’étudiant en salle le week-end, le flexi-job au bar, l’entraîneur payé à l’heure.

Prévoyez aussi les corrections. Un serveur qui reste une heure de plus pour fermer doit pouvoir le signaler. Vous devez pouvoir le vérifier.

Des relevés d’heures sont des données personnelles

Les heures enregistrées tombent sous le RGPD. Définissez qui y a accès, à quoi elles servent et comment vous les protégez. Compter les heures ne vous autorise pas à surveiller chaque déplacement de votre personnel.

Informez votre équipe avant le démarrage. Expliquez ce qui sera enregistré, comment corriger une erreur et à quoi serviront les données. Selon la même enquête, 49,4 % des employeurs ont désigné une personne pour préparer le changement. Les autres n’ont encore confié le dossier à personne ou l’ignorent.

Des relevés fiables vous protègent aussi. En cas de contestation sur des heures supplémentaires, ce sont eux qui compteront.

Source : AKTus, Chambres de commerce de Wallonie, « Enregistrement du temps de travail en 2027 : choisir le bon outil et préparer son organisation », 29 octobre 2026

Trois jours sans MyMinfin, sans vol de données

Le mercredi 28 octobre, le SPF Finances a annoncé une attaque contre ses services numériques. Par précaution, l’administration a coupé plusieurs plateformes, dont MyMinfin, la porte d’entrée des contribuables. Tax-on-web, accessible via MyMinfin, et Biztax, l’outil de déclaration à l’impôt des sociétés, étaient aussi hors ligne.

Les trois services sont revenus le samedi 31 octobre au soir. Selon le SPF Finances, aucune donnée n’a été dérobée. Les attaquants n’ont pris le contrôle d’aucune application. La coupure servait à contenir l’incident.

Vous avez jusqu’au 16 novembre pour certaines déclarations

Certaines déclarations à l’impôt des personnes physiques devaient être rentrées pour le 31 octobre. Elles portent sur l’exercice d’imposition 2026, donc sur vos revenus de 2025. Ce délai visait les déclarations qui comprennent des revenus particuliers, comme des revenus d’indépendant ou des revenus professionnels perçus à l’étranger.

Le SPF Finances a reporté cette échéance. Ces déclarations peuvent désormais être déposées jusqu’au 16 novembre, que vous les remplissiez vous-même ou que votre comptable s’en charge.

Trois gestes à faire cette semaine :

• Appelez votre comptable pour savoir si votre dossier est concerné.
• Déposez votre déclaration avant le 16 novembre, sans attendre le dernier jour.
• Enregistrez l’accusé de réception de Tax-on-web dans vos documents.

Les escrocs utilisent déjà le nom du SPF Finances

Le 30 septembre, le SPF Finances avait mis en garde contre des campagnes de phishing qui imitent ses services. Fin octobre, des habitants de la région de Verviers ont reçu de faux e-mails de remboursement d’impôt. Le dernier modèle promet 690,90 € et demande de cliquer sur un lien pour confirmer vos coordonnées et votre numéro de compte.

Le piège est soigné. L’expéditeur affiche une vraie adresse du SPF Finances, usurpée par les fraudeurs. À Eynatten, un homme a suivi les instructions et encodé ses données sur une fausse page itsme. Il a ensuite constaté plusieurs retraits sur son compte bancaire.

Une cyberattaque médiatisée offre un nouveau prétexte aux fraudeurs. Méfiez-vous des messages qui parlent de « rétablissement de votre compte MyMinfin » ou de « régularisation fiscale » après l’incident.

Cinq réflexes pour ne pas tomber dans le piège

Safeonweb, le service du Centre pour la Cybersécurité Belgique, donne des règles simples. Partagez-les avec la personne qui gère vos factures ou votre accueil.

• Tapez vous-même l’adresse de MyMinfin ou de My eBox dans votre navigateur.
• Ne cliquez sur aucun lien et ne scannez aucun code QR reçu par e-mail.
• Survolez un lien avec la souris, ou gardez le doigt dessus sur smartphone, pour voir sa vraie adresse.
• Transférez tout message suspect à suspect@safeonweb.be.
• Après un clic douteux, appelez Card Stop au 078 170 170 et prévenez votre banque.

Une administration ne vous demande pas de confirmer votre numéro de compte via un lien dans un e-mail. Si de l’argent a disparu, portez plainte à la police, en ligne sur my.police.be ou au commissariat, puis signalez la fraude à Safeonweb.

Source : La Libre Belgique (Belga), « Les sites du SPF Finances de retour après la cyberattaque », 31 octobre 2026

Le piège tient en un code de six chiffres.

Le message vient du compte piraté d’un proche. C’est ce qui le rend crédible. Les prénoms cités changent : Sophie, Eliska. Le scénario reste le même.

La fausse page de concours vous demande votre numéro de téléphone. WhatsApp vous envoie alors un code par SMS, et la page vous invite à le recopier. Ce code sert en réalité à installer votre compte sur le téléphone de l’escroc. Une variante affiche un QR code à scanner. Le résultat est identique : un appareil inconnu se connecte à votre compte.

Paris Match Belgique a signalé le 21 octobre une version en néerlandais du même message. L’arnaque circule donc dans les deux langues.

Un compte volé sert à piéger vos contacts.

Une fois dans votre compte, l’escroc lit vos conversations. Il utilise ensuite votre répertoire pour envoyer le même faux vote à tous vos contacts. Il peut aussi leur réclamer de l’argent en se faisant passer pour vous.

Pour une entreprise ou un club, les dégâts s’étendent vite :

• Vos clients reçoivent un lien piégé envoyé sous votre nom.
• Les parents du groupe d’une équipe reçoivent une demande d’argent urgente.
• Un fournisseur reçoit un message frauduleux qui semble venir de vous.

Deux réglages rendent votre compte plus difficile à voler.

Activez la vérification en deux étapes. Ouvrez WhatsApp, puis Paramètres, Compte, Vérification en deux étapes. Choisissez un code PIN que personne d’autre ne connaît. Même si quelqu’un obtient votre code SMS, il lui faudra aussi ce PIN.

Contrôlez ensuite les appareils connectés. Allez dans Paramètres, Appareils connectés. Sur Android, ce menu se trouve sous les trois points en haut à droite. Touchez chaque ordinateur ou navigateur que vous ne reconnaissez pas, puis Déconnexion.

Prenez une règle simple dans votre équipe : un code WhatsApp ne se recopie jamais sur une page web. Aucun concours sérieux ne le demande.

Un message douteux se vérifie par un autre canal.

Un proche vous demande de voter, de cliquer ou de payer : appelez-le. Un appel rapide permet de démasquer un compte piraté. N’utilisez pas WhatsApp pour cette vérification, puisque l’escroc y répond à sa place.

Ne scannez aucun QR code affiché sur un site que vous ne connaissez pas. Pour un vote ou un concours, ouvrez vous-même le site de l’organisateur.

Si votre compte est déjà piraté, agissez dans l’heure.

Voici l’ordre à suivre :

• Rouvrez WhatsApp et saisissez votre numéro. Un nouveau code arrive par SMS. Le saisir déconnecte l’escroc.
• Si l’escroc a créé son propre PIN, WhatsApp peut imposer un délai de 7 jours avant de vous laisser revenir sans ce PIN.
• Prévenez vos contacts par SMS, par téléphone ou par e-mail. Demandez-leur d’ignorer vos messages WhatsApp récents.
• Portez plainte à la police, surtout si l’escroc a réclamé de l’argent en votre nom.
• Changez les mots de passe que vous utilisez aussi ailleurs.

Source : L’Avenir, « Faux concours de vote sur WhatsApp : attention à l’arnaque vicieuse qui pirate votre compte en un clic », 27 octobre 2026

Les signalements de 2026 dépassent déjà ceux de toute l’année 2025.

Entre le 1er janvier et le 28 septembre 2026, le CCB a reçu 588 signalements d’incidents cyber venant d’entreprises belges. Sur l’ensemble de 2025, il en avait reçu 556. Le seuil de l’an dernier est donc franchi trois mois avant la fin de l’année.

La compromission de systèmes est le type d’incident le plus signalé. Les signalements de ce type ont triplé par rapport au deuxième trimestre.

Plusieurs cas récents concernent la Belgique. Chez l’IFAPME, le réseau wallon de formation, les données de 700 000 citoyens ont été volées puis proposées sur le dark web. Des attaques contre les chaînes Albert Heijn et Delhaize ont perturbé leurs services en ligne et laissé des rayons vides dans certains magasins.

Deux raisons expliquent cette hausse.

La première vient des logiciels. Une faille dans un programme très répandu, ou un problème chez un fournisseur, permet de toucher plusieurs organisations en même temps. Votre entreprise peut donc être atteinte sans avoir été visée personnellement.

La seconde vient de l’intelligence artificielle. Elle aide les pirates à trouver les failles plus vite. Elle les aide aussi à rédiger des messages frauduleux plus crédibles. Un faux mail de fournisseur sans faute d’orthographe, avec votre nom et le bon logo, devient facile à produire. La qualité d’un message ne prouve plus qu’il est authentique.

Les mesures de base que le CCB demande d’appliquer.

Le CCB demande aux organisations de renforcer leur sécurité de base sans attendre. Ses recommandations :

• Désignez des personnes précises chargées de mettre en place les mesures de sécurité.
• Activez l’authentification à plusieurs facteurs, en commençant par les comptes administrateurs et les accès à distance.
• Limitez au strict nécessaire les systèmes accessibles depuis Internet.
• Corrigez d’abord les failles qui sont activement exploitées.
• Formez votre personnel à repérer les mails suspects et à vérifier toute demande de paiement inhabituelle.
• Protégez vos sauvegardes essentielles pour restaurer vos données vite après un incident.

Dans une petite structure, ces mesures se traduisent simplement. Le gérant ou le trésorier du club devient le responsable désigné. Une demande de changement de numéro de compte se confirme par un appel, au numéro que vous connaissez déjà, jamais à celui indiqué dans le mail. Une copie de vos sauvegardes reste débranchée du réseau.

Au moindre doute, coupez la connexion.

Le CCB conseille de déconnecter rapidement d’Internet les systèmes touchés dès le premier signe d’activité suspecte. Un PC qui ouvre des fenêtres inconnues, des fichiers renommés ou un mot de passe refusé sans raison sont des signaux à prendre au sérieux.

Débranchez le câble réseau ou coupez le Wi-Fi de l’appareil concerné. Notez ce que vous avez vu et à quelle heure. Prévenez ensuite votre prestataire informatique.

Des outils gratuits pour évaluer votre niveau de sécurité.

Le CCB met plusieurs ressources gratuites à votre disposition :

• Safeonweb at Work propose une autoévaluation en ligne de votre niveau de sécurité.
• Le cadre CyberFundamentals aide à choisir les mesures adaptées à votre organisation et soutient la mise en conformité NIS2.
• L’inscription auprès du CCB vous permet de recevoir des alertes directes sur les menaces qui visent votre réseau.

Le CCB annonce aussi que son Frontier AI Hub publiera avant la fin de 2026 des recommandations sur les risques et les opportunités de l’IA.

Source : ITdaily, « CCB sounds the alarm: cyber incidents at Belgian companies already exceed 2025 totals », 16 octobre 2026

Ce qui s’arrête depuis le 13 octobre

Microsoft l’annonce sur sa page d’assistance : aucune prolongation et aucune mise à jour de sécurité étendue ne seront proposées. Concrètement, plusieurs services disparaissent.

• Les correctifs de sécurité, y compris pour les failles trouvées plus tard
• Les corrections de bugs et les mises à jour du logiciel
• L’assistance technique par téléphone et par chat
• La plupart des pages d’aide en ligne, qui vont être retirées

Vos applications continuent de fonctionner. Microsoft précise toutefois que leur usage vous expose à des risques de sécurité graves.

Les versions et les usages concernés

La fin de support touche Office 2021 dans ses éditions vendues en magasin, comme Office Famille et Étudiant 2021 ou Office Famille et Petite Entreprise 2021. Elle vise aussi Office LTSC 2021, la version achetée par lots par les entreprises. Word, Excel, Outlook, PowerPoint, Access, Publisher et Visio sont dans le même cas.

Autre point à surveiller : la connexion aux services en ligne de Microsoft. Selon le site spécialisé IT-Connect, Exchange Online, SharePoint et OneDrive acceptent encore Office 2021, mais Microsoft ne garantit plus leur bon fonctionnement. Des lenteurs ou des erreurs peuvent apparaître au fil des mois, sans recours possible.

Office 2021 n’a eu que cinq ans de support. Office 2019 en avait reçu sept, Office 2016 dix.

Vérifiez votre version en trente secondes

Ouvrez Word ou Excel. Cliquez sur Fichier, puis sur Compte. La rubrique « Informations sur le produit » affiche le nom exact de votre Office.

Trois cas se présentent :

• Vous lisez « Microsoft 365 » : votre abonnement reçoit les mises à jour.
• Vous lisez « Office 2021 » ou « Office LTSC 2021 » : ce poste n’est plus protégé.
• Vous lisez « Office LTSC 2024 » : vous êtes couvert jusqu’au 9 octobre 2029.

Faites le tour de chaque ordinateur. Le PC de la caisse, celui du bureau et le portable du trésorier n’ont pas forcément la même version.

Trois solutions selon votre organisation

Pour une structure de moins de 300 utilisateurs, IT-Connect cite trois abonnements Microsoft : Microsoft 365 Apps for business, Business Standard et Business Premium. C’est la piste logique si vos postes sont connectés à Internet et que vous utilisez déjà Outlook ou OneDrive au quotidien. Comparez les formules avant de souscrire : toutes n’incluent pas les mêmes services.

Un poste qui doit rester hors ligne, par exemple un PC dédié à une machine ou à un atelier, peut passer à Office LTSC 2024. Cette version en licence unique est soutenue jusqu’au 9 octobre 2029.

Troisième voie : une suite libre et gratuite, comme LibreOffice. IT-Connect cite les logiciels libres parmi les options. Ce choix convient pour des tableaux et des courriers simples. Avant de basculer, ouvrez vos fichiers Excel qui contiennent des macros et vérifiez qu’ils calculent toujours juste.

Source : Microsoft, « End of support for Office 2021 »

Ce qui a changé le 13 octobre 2026

Windows 11 reçoit une grande mise à jour par an, au second semestre. Chaque version est suivie 24 mois en éditions Famille et Professionnel, et 36 mois en éditions Entreprise et Éducation. Passé ce délai, Windows continue de fonctionner, mais sans correctifs de sécurité.

La version 24H2, sortie le 1er octobre 2024, a atteint cette limite. La mise à jour d’octobre 2026 est la dernière qu’elle recevra en Famille et Professionnel. Les éditions Entreprise et Éducation restent couvertes jusqu’au 12 octobre 2027.

Microsoft publie ses correctifs le deuxième mardi de chaque mois. Vos PC restés en 24H2 n’en recevront plus aucun.

Vérifiez la version de chaque PC en une minute

Sur chaque ordinateur, appuyez sur les touches Windows et R, tapez winver puis validez. Une fenêtre affiche la version, par exemple « Version 24H2 », suivie du numéro de build. Le chemin Paramètres, Système, Informations système indique aussi l’édition : Famille, Professionnel ou Entreprise.

Notez le résultat dans un tableau simple :

• nom du PC
• utilisateur
• édition de Windows
• version
• date du contrôle

Un PC acheté début 2026 peut afficher la version 26H1. Microsoft la réserve aux appareils neufs sortis à cette période. Elle reste suivie jusqu’au 14 mars 2028 en Famille et Professionnel.

Passez à la version 26H2 depuis Windows Update

Microsoft recommande la version 26H2, disponible depuis le 29 septembre 2026. Elle sera suivie jusqu’au 10 octobre 2028 en Famille et Professionnel. Depuis la 24H2, le passage se fait d’un bloc, sans étape intermédiaire par la 25H2.

Voici la marche à suivre :

• Ouvrez Paramètres, puis Windows Update.
• Installez toutes les mises à jour en attente et redémarrez.
• Activez l’option « Recevoir les dernières mises à jour dès qu’elles sont disponibles ».
• Cliquez sur « Rechercher des mises à jour », puis sur « Télécharger et installer » quand la version 26H2 apparaît.

L’installation ne demande qu’un seul redémarrage. Lancez-la en fin de journée, jamais pendant le service. Microsoft diffuse la 26H2 par vagues. Si elle n’apparaît pas encore, réessayez quelques jours plus tard, ou installez la 25H2 si Windows vous la propose. Celle-ci reste couverte jusqu’au 12 octobre 2027.

Notez les prochaines échéances dès maintenant

Le calendrier de Microsoft est public et régulier. Inscrivez ces dates dans votre agenda :

• 10 novembre 2026 : fin des mises à jour de la version 23H2 en Entreprise et Éducation.
• 12 octobre 2027 : fin de la 25H2 en Famille et Professionnel, et de la 24H2 en Entreprise et Éducation.
• 10 octobre 2028 : fin de la 26H2 en Famille et Professionnel.

Prévoyez un contrôle de tous vos PC chaque année en octobre, après la sortie de la nouvelle version. Un ordinateur refuse la mise à niveau ou affiche une erreur : confiez-le à votre prestataire informatique avant la date limite.

Source : Microsoft Learn, Windows 11 release information