Fournisseur de caisse : votre nouvelle surface d’attaque

Le poste de caisse n’est plus tout à fait chez vous. Le logiciel qui encaisse vos clients est développé, mis à jour et en partie hébergé chez un éditeur, relié à votre réseau par des chemins que vous ne contrôlez pas, connecté à un traitement de paiement qui traverse son infrastructure. Deux épisodes documentés, Toast inscrit sur la liste de fuite de Clop en août 2026, Fullsteam et ses avis de violation de décembre 2025, le montrent sans drame nécessaire : le risque entre aujourd’hui chez l’hôtelier par son fournisseur de point de vente (POS, système de caisse).

Toast et la vague Clop : une intrusion confirmée par l’éditeur

Le 12 août 2026, le groupe Clop a inscrit toasttab.com sur son site de fuite, parmi une quarantaine d’entreprises nommées à la mi-août. La campagne exploitait une faille critique (CVE-2026-12569) des logiciels de gestion du cycle de vie produit PTC Windchill et FlexPLM, activement exploitée et ajoutée en juin au catalogue CISA des vulnérabilités connues exploitées. Le lien entre un logiciel de conception industrielle et une plateforme de caisse n’est pas évident : il illustre justement le sujet.

Les allégations d’un leak site ne sont pas des preuves. Toast, elle, a confirmé. « Toast identified unauthorized access to a limited number of files; to date, the files identified contain nonsensitive internal documents. We isolated the affected systems the same day we detected the activity, and the situation has been contained », a déclaré sa porte-parole Allie Rosenberg, précisant qu’aucune donnée client n’a été touchée. Toast est l’une des rares entreprises nommées dans cette vague à avoir commenté vite, notent ISMG et BleepingComputer.

Pour un hôtel dont un restaurant fonctionne sous Toast, cette confirmation vaut rappel. La surface d’attaque, c’est l’entreprise du fournisseur au complet, pas seulement le module que vous louez. Un outil resté exposé dans un coin de son système d’information suffit à faire la une avec le nom de votre caisse.

La continuité, autre volet du contrat

L’intrusion n’est pas le seul risque, et la page de statut publique de Toast en documente un autre : quatorze incidents publiés entre le 13 août et le 27 octobre 2026. Dont, le 3 octobre, une coupure affectant l’application Toast POS et le back-office Toastweb ; le 7 octobre, un incident « Catering Payment Failures » ; et, du 4 au 5 octobre, deux incidents de dépôts. Aucun de ces épisodes ne met en cause des données ; chacun concerne la capacité à encaisser et à être payé.

Un contrat de POS se négocie donc aussi en disponibilité et en historique. La page de statut est cet historique, tenu par l’éditeur lui-même : s’y abonner est le premier geste de diligence.

Fullsteam : du code de skimming dans les modules d’un éditeur

Le 15 décembre 2025, Fullsteam Software Holdings LLC, opérant sous le nom Event Rental Systems, a déposé des avis de violation auprès d’attorneys general américains, dont la Californie. Le texte est précis : du code non autorisé a été « inserted into certain modules of some customer websites », conçu pour collecter les données de carte bancaire pendant la transaction. Les noms, coordonnées, numéros de carte, cryptogrammes (CVV) et dates d’expiration ont été récupérés entre octobre 2024 et octobre 2025, indique l’avis, qui écarte en revanche les numéros de sécurité sociale et les comptes bancaires. Le code a été retiré, un cabinet d’expertise forensique mandaté, les forces de l’ordre et les réseaux de cartes informés.

La nuance compte. L’avis couvre Event Rental Systems, une marque de logiciel de location événementielle du groupe. Rien n’y indique que la plateforme Silverware POS elle-même ait été compromise. Mais Fullsteam est bien la maison mère de Silverware POS et d’Arryved, deux caisses de l’hospitalité, et Silverware revendique des relations établies avec de grandes chaînes hôtelières. Pour un hôtel équipé en Silverware, un avis déposé au nom de la maison mère le concerne directement : c’est l’histoire de sécurité du groupe tout entier, celle qu’aucun argumentaire commercial ne résume spontanément. Le nombre exact de personnes touchées n’est pas précisé dans les avis publics.

Pourquoi cela vous regarde

Le fournisseur de POS tient trois choses que vous ne contrôlez pas : le code qu’il déploie sur vos terminaux, les chemins réseau entre vos caisses et le processeur de paiement, et un pipeline de mise à jour par lequel une intrusion peut descendre jusqu’au ticket de caisse. Oracle Simphony, présente dans beaucoup d’hôtels, l’a illustré autrement dans la fiche publiée le 2 novembre sur ce site : six vulnérabilités exploitables sans authentification touchant les versions 19.8 à 19.10.1, dont une avec proof of concept public, et une question de base que peu d’établissements savent résoudre : quel build exact tourne dans quels terminaux, à jour ou non.

Cinq questions écrites à envoyer à chaque fournisseur de POS

1. Quelle version (build) exacte du logiciel tourne chez nous, quel est son statut de correctif, selon quel calendrier d’upgrade ? « Vous êtes à jour » sans numéro de build n’est pas une réponse.
2. Quel est votre historique de brèches, y compris celles de votre maison mère et de vos marques sœurs ? L’avis Fullsteam porte sur une marque d’un groupe qui en aligne des dizaines.
3. Vos interfaces d’administration et les services HTTP du POS sont-ils joignables depuis le Wi-Fi clients, un VLAN congrès ou Internet ? Demandez la preuve des règles de pare-feu, pas l’intention.
4. À quelle page de statut nos équipes doivent-elles s’abonner, et quelle est votre politique de publication des incidents ?
5. Sous quel délai contractuel nous notifierez-vous un événement de sécurité touchant nos données ou le service, et pouvez-vous fournir votre dernière attestation de conformité PCI DSS (Payment Card Industry Data Security Standard) ?

Cinq réponses écrites en diront plus long sur votre exposition réelle que n’importe quelle plaquette certifiée. La prochaine fiche de ce site, à paraître très prochainement, portera sur l’hygiène du réseau interne lui-même.