Libre Expression

Étiquette : Databreach

  • IA et cyberattaque, quand le cybercrime change de visage

    IA et cyberattaque, quand le cybercrime change de visage

    La cybercriminalité connaît une transformation significative, ciblant désormais des infrastructures essentielles, qu’il s’agisse de systèmes bancaires au Brésil, de plateformes de jeux en ligne telles que PlayStation, ou de dispositifs d’alerte sismique au Pérou. Bien que l’intelligence artificielle (IA) n’ait pas initié les activités frauduleuses, elle en optimise la célérité, la crédibilité et la difficulté de détection. Les acteurs malveillants ont adapté leurs méthodes, délaissant les approches physiques pour privilégier des stratégies numériques axées sur l’exploitation des vulnérabilités, la manipulation de données et la tromperie.

    L’intégration de l’IA confère aux cyberattaques une rapidité, une fluidité et une envergure accrues, s’inscrivant dans une logique d’industrialisation du crime. Ce qui était initialement perçu comme relevant du domaine virtuel impacte désormais des entités réelles : institutions financières, États, citoyens et systèmes d’urgence. Le champ d’application de ces menaces semble limité uniquement par l’imagination des assaillants.

    Le crime organisé à l’ère industrielle numérique

    Historiquement adaptable, le crime organisé a évolué au-delà de ses schémas traditionnels, opérant désormais de manière plus discrète. Il oriente ses efforts vers les flux financiers, les failles systémiques et les comportements humains. Alors qu’auparavant, il ciblait principalement les agences bancaires physiques, les coffres-forts et les distributeurs automatiques, ses objectifs actuels incluent les identifiants numériques, les systèmes de paiement, les services clients, les données biométriques et les applications quotidiennes.

    CCTV, surveillance, IA

    Dans le domaine physique, le braquage d’une banque implique une exposition à la CCTV et aux forces de l’ordre, augmentant les risques d’arrestation. Inversement, dans le monde numérique, l’attaquant opère à distance, peut multiplier ses actions malveillantes, fragmenter les responsabilités et transférer des fonds en peu de temps.

    La Febraban révèle une baisse des attaques contre les agences bancaires et les DAB au Brésil, avec seulement vingt et une occurrences rapportées en 2025, contre plusieurs milliers une décennie auparavant. Toutefois, cette baisse ne signale pas une éradication, mais une mutation. Parallèlement, le système financier brésilien enregistre 12 millions de cas, dont l’attaque contre C&M qui a entraîné le détournement de 813 millions de réaux brésiliens, un montant cinq fois supérieur à celui du braquage de la Banque centrale de Fortaleza en 2005. (Crédits : Jakub Zerdzicki/Pexels)

    Dans ce contexte, l’IA ne constitue pas une solution miracle, mais un puissant accélérateur. Elle facilite la rédaction de messages frauduleux plus crédibles, permet l’imitation de tons professionnels, la personnalisation des tentatives d’hameçonnage et la réduction des erreurs manifestes. Les courriels d’hameçonnage mal formulés et truffés de fautes coexistent désormais avec des communications numériques bien plus sophistiquées. La nature fondamentale de la cybercriminalité, fondée sur la ruse, l’exploitation des failles et l’appât du gain, demeure inchangée, mais l’IA lui confère une efficacité renouvelée.

    Les infrastructures comme cibles privilégiées en Amérique latine

    La portée de la cybercriminalité s’étend au-delà du simple vol de cartes bancaires pour englober des infrastructures critiques, telles que les banques, les registres d’identité, les systèmes d’alerte et les plateformes numériques. Bien que la France soit fréquemment mentionnée dans les rapports d’incidents de fuites de données, l’application de l’IA dans la cybercriminalité est un phénomène global. Au Pérou, plusieurs incidents récents soulignent cette vulnérabilité, notamment concernant le système Sismate, dédié aux alertes sismiques d’urgence. Des messages erronés signalant des séismes majeurs et des tsunamis, ainsi que des allégations de fraude électorale, ont été rapportés suite à une attaque cybernétique.

    Bien que les autorités péruviennes n’aient pas intégralement confirmé la nature de ces événements comme cyberattaque, l’usurpation d’un système d’alerte public érode la confiance, ce qui peut déstabiliser l’autorité étatique et, potentiellement, être le signe d’une ingérence étrangère. Au Pérou, le Reniec signale avoir bloqué 46 millions de tentatives d’accès non autorisées en 2024. Un registre d’identité contient des données personnelles, parfois biométriques, indispensables à l’authentification des citoyens, à l’attribution de droits et à la sécurisation des procédures administratives. Des situations similaires sont observées en France avec l’ANTS. Lorsqu’une telle entité est compromise, la question n’est plus uniquement la protection d’un serveur, mais elle impacte directement l’individu dans ses dimensions administrative, sociale et financière.

    Pression sur les infrastructures publiques et privées

    Les signalements de compromission de comptes PlayStation Network (PSN) illustrent la vulnérabilité des plateformes numériques. Un compte PSN représente bien plus qu’un simple profil, intégrant une adresse électronique, un historique d’achats, des moyens de paiement, un portefeuille numérique, des abonnements, des consoles associées et des liens avec d’autres services. Les conditions d’utilisation de PlayStation exigent des utilisateurs la fourniture d’informations personnelles exactes, incluant le lieu de résidence et la date de naissance, ainsi que des données d’usage relatives à l’activité de jeu, aux interactions sociales, aux listes d’amis, aux messages et aux paramètres de confidentialité. Autrement dit, il concentre assez d’informations pour intéresser un cybercriminel. Pas pour voler un compte, mais pour usurper une identité, contourner un support client ou tenter d’autres fraudes par système de rebond. (Crédits : Marco Alhelm/Pexels)

    Pérou, sol, photo

    Ces comptes centralisent un volume significatif d’informations susceptibles d’intéresser les cybercriminels, non seulement pour le vol du compte lui-même, mais également pour l’usurpation d’identité, le contournement des systèmes de support client ou l’initiation de fraudes par rebond. Les attaquants exploitent fréquemment l’ingénierie sociale pour persuader les équipes de support client de restaurer l’accès à des comptes ne leur appartenant pas, réaffirmant ainsi le facteur humain comme point d’entrée critique. La vulnérabilité ne réside donc pas toujours dans les failles logicielles, mais peut émerger de la perte de confiance.

    Les contributions de l’IA : vitesse, crédibilité et confusion

    Il serait inexact d’attribuer l’intégralité des cyberattaques à l’IA. Des méthodes telles que les rançongiciels, l’hameçonnage, le harponnage, les exploits de zero-day, le vol d’identifiants, les vulnérabilités non corrigées, les faux comptes et l’ingénierie sociale préexistaient à la prolifération des IA génératives. Cependant, l’expansion de l’IA modifie profondément le paysage de la cybersécurité en augmentant la productivité et les ressources des acteurs malveillants. L’IA ne crée pas nécessairement de nouvelles méthodes, mais elle rend les techniques existantes plus rapides, plus crédibles et plus généralisables.

    IA, femme, code

    Son premier effet se manifeste dans le langage : les messages accompagnant les tentatives d’hameçonnage sont désormais plus raffinés, plus vraisemblables, et adaptés au contexte linguistique, culturel et professionnel de la cible. Un faux courriel bancaire peut ainsi être difficilement distinguable d’un original, et les tentatives sont plus subtiles. Le deuxième effet concerne l’industrialisation, permettant de générer des milliers de variantes, d’expérimenter diverses approches et de cibler différents profils avec une efficacité accrue. Le troisième effet est d’ordre psychologique : dans un environnement informationnel saturé, la distinction entre une alerte officielle authentique, une communication commerciale et une tentative de fraude devient de plus en plus ténue, générant une confusion préjudiciable.

    Principes fondamentaux de la cybersécurité

    Les organisations doivent prioriser la correction de leurs vulnérabilités, la surveillance rigoureuse des accès, la formation continue de leurs équipes, l’encadrement des usages internes de l’IA et la coopération avec les autorités compétentes. Les individus, quant à eux, doivent cultiver un esprit critique sans être paranoïaques, en vérifiant systématiquement l’expéditeur, en évitant de transmettre des codes sensibles, en ne cédant pas à l’urgence de cliquer et en activant l’authentification multifacteur (MFA).
    La France est directement exposée à cette pression numérique mondiale. Selon un rapport Check Point/Cyberint, elle aurait concentré 13 % des cyberattaques recensées en Europe en 2025, la plaçant en première position sur le continent. L’ANSSI confirme une menace élevée, ayant enregistré 2 209 signalements et 1 366 incidents l’année précédente, touchant particulièrement les secteurs de l’éducation, de la recherche, des ministères, des collectivités, de la santé et des télécommunications. (Crédits : Cottonbro Studio/Pexels)

    Dans ce contexte, la France, pays numérisé, puissance diplomatique, économie développée, et acteur engagé sur la scène internationale, se trouve être une cible de choix, confrontée aux réalités de la cyberguerre. Cette situation souligne que le cybercrime transcende la sphère virtuelle pour impacter l’économie, l’identité des citoyens, la confiance publique et la souveraineté nationale. L’IA n’a pas créé cette menace, mais elle lui a conféré une formulation plus élaborée, une exécution plus rapide et une apparence plus légitime. Contrairement aux méthodes de vol traditionnelles qui étaient souvent bruyantes, les cyberattaques modernes débutent fréquemment par un message numérique d’une parfaite crédibilité.

  • Les nouvelles lignes de faille du numérique (4/4)

    Les nouvelles lignes de faille du numérique (4/4)

    La multiplication des cyberattaques en Europe et au-delà de ses frontières ne peut plus être interprétée comme une simple succession d’incidents techniques. Dans un monde en proie aux conflits armés en Ukraine et au Moyen-Orient, ainsi qu’à des tensions économiques croissantes, ces attaques s’inscrivent dans des dynamiques de conflictualité. Corruption, intrusions numériques, brouillage de l’attribution et fragilité de la gouvernance dessinent un même paysage. Les pays où la démarcation entre sécurité intérieure, stratégie militaire et influence politique devient de plus en plus poreuse.

    Elle avance par corruption, par intrusion, par brouillage et par affaiblissement de la gouvernance. Entre l’alerte émise à Bruxelles sur l’expansion de la corruption, la tentative d’attaque contre un centre de recherche nucléaire polonais, l’incident au Parlement albanais et les débats américains sur la hiérarchie du commandement cybernétique, on observe un paysage commun : des États confrontés à des menaces multiples, tant externes qu’internes, évidentes et cachées.

    Corruption, cyberattaques et ingérences

    Le risque « cyber » n’est plus l’apanage des séries et films sur grands écrans. Il devient un langage contemporain de la puissance, de l’intimidation et de l’usure institutionnelle. Car, « la guerre de l’information au sein du cyberespace fait dorénavant partie intégrante de toute stratégie militaire ». Ce changement de paradigme nous offre quotidiennement la probité de vulnérabilité. Il ne s’agit plus seulement de protéger ou de colmater des failles, mais de comprendre comment un système d’information peut être fragilisé. Fragilisé à la fois par la corruption, par la pression criminelle, par l’intrusion numérique et par l’incertitude qui entoure l’origine réelle d’une attaque.

    Tandis que le conflit au Moyen-Orient fait rage, une cyberattaque contre le Centre national de recherche nucléaire polonais a été déjouée. Les indices pointent vers l’Iran, tout en laissant l’hypothèse d’un leurre (honey-pot) destiné à masquer l’origine réelle des auteurs. En Albanie, le Parlement confirme un accès non autorisé à ses systèmes d’information. Outre-Atlantique, le Cyber Command et la NSA prédisent ce mardi des ingérences probables lors des élections de mi-mandat. « Il est raisonnable de s’y attendre en fonction de ce que nous avons vu dans le passé », témoigne le général Joshua Rudd.

    Crime organisé et corruption

    Le procureur du Roi de Bruxelles, Julien Moinil, explique que la corruption « s’étend dans nos institutions ». Cela semble faire écho au vu des fouilles dans les prisons françaises. Cette parole occupe une place particulière dans un contexte où la Belgique obtient un score de 69/100 dans l’indice de perception de la corruption 2025 de Transparency International (la France est à 66, classée 27e sur 182 pays), et où elle se range 21e.
    Il ne s’agit plus de décrire une criminalité visible sur des points de deal, des trafics ou des réseaux clandestins. Il s’agit d’entendre que ces réseaux cherchent aussi à pénétrer les rouages de l’institution elle-même. « La corruption augmente très fort, notamment dans les prisons et dans les services de police », évoque Julien Moinil.
    Le fait n’est pas réservé au plat pays. « La corruption est devenue un véritable outil de l’ingénierie criminelle », analyse Patrice Brizé, commissaire général, chef de l’Office central de lutte contre la corruption et les infractions financières et fiscales. « Elle est notamment utilisée par les groupes criminels actifs en France pour faciliter les flux logistiques, échapper aux poursuites et aux recherches des services d’enquête et de l’autorité judiciaire, blanchir le produit des infractions et infiltrer les administrations. » (Crédits : Jan Schwebel/Pexels)

    « On est quand même dans un contexte de guerre hybride qui s’intensifie et qui doit nous amener à riposter et réagir », alertait en 2024 la députée Constance Le Grip. Selon le rapport, trois pays sont déjà particulièrement actifs en matière d’ingérence : la Russie (Storm-1516), la Chine (Spamouflage) et la Turquie. La Russie a, en 2024, publié 3,6 millions d’articles de propagande et on estime qu’elle consacre 1 milliard d’euros chaque année à la désinformation et à la guerre cognitive, selon NewsGuard. Car « la violence s’arme des inventions des arts et des sciences pour combattre la violence », constatait le général Carl von Clausewitz après les guerres napoléoniennes.

    Quand le cyber exploite des conflits

    Le conflit armé opposant la Russie et l’Ukraine a profondément modifié la perception de tout un chacun du cyberespace. Il montre que les opérations numériques ne sont plus seulement des actions préparatoires, mais s’inscrivent dans la conduite même du conflit. Des enquêtes documentent l’utilisation d’attaques dites informatiques pour collecter des renseignements, perturber ou accompagner des opérations. D’ailleurs certaines intrusions se corrèlent à des frappes physiques. Illustration parfaite de l’hybridation entre guerre conventionnelle et guerre numérique.

    En Europe, la cyberattaque ayant visé la messagerie Signal en Allemagne s’inscrit dans un contexte de tensions accrues avec la Russie.
    Au Moyen-Orient, des groupes liés à des intérêts étatiques ont intensifié leurs activités. Les cibles sont des infrastructures critiques, des réseaux industriels et des institutions publiques. Des analyses démontrent que des opérations au Moyen-Orient s’inscrivent dans des stratégies d’influence, de perturbation et de signal politiques, sans franchir le seuil d’un conflit ouvert.

    La gouvernance à l’épreuve du feu nourri

    En Pologne, une tentative de cyberattaque contre le Centre national de recherche nucléaire a été déjouée. Les premières analyses évoquent la piste iranienne. Mais il faut rester raisonnable, disent les politiques. Ainsi, les autorités prudentes indiquent que tout aurait pu être falsifié pour masquer l’origine réelle des attaquants, et semer le trouble.

    Cette incertitude n’est pas une faiblesse. Elle est l’une des caractéristiques du cyberespace. La non-attribution maintient une pression constante. Un sentiment de menace permanente, sans aucune formalité.

    Les institutions deviennent des cibles directes. En Albanie, un accès non autorisé aux systèmes du Parlement a entraîné la suppression de données sur plusieurs comptes d’employés. L’infrastructure est restée fonctionnelle, mais la continuité administrative est affectée. Désormais, il n’est plus nécessaire de détruire, il suffit de désorganiser, supprimer des données, perturber des circuits d’information, introduire de l’incertitude dans les processus internes. Des actions touchent la capacité d’un État à fonctionner. (Crédits : Alfo Medeiros/Pexels)

    En France, la répétition des fuites de données au sein d’organismes publics illustre un autre volet. Les informations compromises comportent : identités, coordonnées postales, données administratives, parfois médicales et financières… Pris isolément, ces incidents peuvent être contenus. Par contre, l’accumulation, en revanche, produit un effet stratégique : elle fragilise la confiance, expose les citoyens et interroge la capacité de l’État à protéger ses propres systèmes. La faille de l’ANTS, une IDOR (Insecure Direct Object Reference) est, malgré ce que l’on peut penser une vulnérabilité répandue, au même titre que les failles XSS ou les injections SQL.

    Le conflit russo-ukrainien au révélateur avec Strom-1516

    Depuis l’invasion de l’Ukraine par la Russie en 2022, le conflit russo-ukrainien n’est plus seulement un affrontement de chars, de drones et d’artillerie. Il est devenu un laboratoire stratégique où se lisent, presque en temps réel, les mutations de la guerre. L’opération Storm-1516, documentée par VIGINUM dans un rapport publié en mai 2025, promet une illustration saisissante. Ainsi, entre août 2023 et mars 2025, ce mode opératoire informationnel russe est associé à 77 opérations visant la France, l’Ukraine et des audiences occidentales. L’objectif prioritaire est simple : discréditer et affaiblir le soutien européen et nord-américain à l’Ukraine.

    C’est un panel de deepfakes, faux témoins, comptes poubelles jetables, médias-relais, blanchiment… qui dessine une mécanique d’influence. Cette propagande déjà illustrée lors de la Seconde Guerre mondiale accompagne l’action militaire comme une seconde ligne de front. Désormais, la désinformation s’opère dans l’espace numérique. Il n’est plus nécessaire, d’imprimer des tracts avant de les distribuer. Mais ce retour d’expérience, désormais suivi et documenté presque en continu, rejoint les constats du CDAC sur l’Ukraine. Car, après quatre années de conflits, gouvernements, entreprises de cybersécurité et chercheurs analysent l’expérience russo-ukrainienne pour repenser les futurs modèles d’assistance en cyberdéfense.

    Le conflit russo-ukrainien au révélateur

    Storm-1516 révèle ainsi une évidence stratégique : dans les conflits contemporains, la résilience d’un État ne dépend plus seulement de ses moyens techniques, mais aussi de la lucidité de ses décideurs, de la coordination de ses institutions et de sa capacité à défendre, dans le même mouvement, ses réseaux, ses récits et la confiance démocratique elle-même. Mais si la Russie produit des ingérences, qu’en est-il de la France ? Comme toute-puissance disposant d’intérêts stratégiques, la France exerce une influence au-delà de ses frontières.

    Mais toute influence n’est pas une ingérence !
    La diplomatie, la communication stratégique, la coopération ou la présence militaire peuvent relever d’une politique extérieure assumée. L’ingérence débute lorsque l’action devient dissimulée, manipulatoire, coercitive ou destinée à peser illégitimement sur la souveraineté d’un autre État, d’un peuple. C’est précisément ce seuil qui permet de distinguer une opération d’influence déclarée d’une campagne hostile comme Storm-1516, structurée autour de la tromperie, de faux récits et de l’amplification coordonnée. (Crédits : Darya Grey_Owl/Pexels)

    Bruxelles, Varsovie, Kiev, Berlin, Tirana, Moscou, Paris, Washington. Ces capitales ne racontent pas la même histoire, mais composent un même paysage. Celui où les institutions sont exposées à des pressions multiples. En interne, avec la corruption et les failles organisationnelles, jusqu’en externe, avec les cyberattaques et les tentatives d’ingérence. Il existe aussi de type informationnelle, avec le brouillage et l’incertitude. Le cyber n’est plus relégué à la marge de l’État. Il en touche désormais le cœur, affecte sa capacité à protéger, à décider, à rester lisible. Et devient un test de résilience, non seulement technique, mais institutionnelle. Dans cet environnement, la cybersécurité ne consiste plus uniquement à colmater des failles. Elle suppose de gouverner un système complexe, où les vulnérabilités sont à la fois techniques, humaines et politiques. La solidité d’un État ne se mesure plus seulement à ses capacités militaires ou économiques. Elle se mesure également à sa capacité de comprendre et de maîtriser les lignes de faille du numérique.

  • Les nouvelles lignes de faille du numérique (1/4)

    Les nouvelles lignes de faille du numérique (1/4)

    Des lunettes IA de Meta jusqu’aux recherches sur le Wi-Fi capable d’inférer des gestes et des présences, en passant par des babyphones exposés sur Internet… la surveillance est partout. La surveillance contemporaine ne ressemble plus aux clichés des affabulateurs et autre imaginatifs. Elle se glisse dans les objets désirables et désirés, dans les équipements domestiques (IoT) et ailleurs. Ce premier volet raconte la transformation silencieuse d’une captation devenue ordinaire, parfois invisible, toujours plus difficile à refuser.

    Depuis longtemps, la surveillance se caractérise par une caméra, un écran de contrôle, un État ou une entreprise, et un lieu bien défini. Cette représentation est souvent visible dans le septième art. Cependant, cette image commence à s’estomper. Les lunettes connectées se fondent désormais dans notre apparence quotidienne. Si l’utilisation correspond « à une activité strictement personnelle comparable à l’utilisation d’un smartphone », le RGPD ne s’applique pas. En effet, « le texte prévoit en lui-même une exception à ces usages domestiques », selon la CNIL, à condition de ne pas les publier en ligne, prévient Numérama. Certains babyphones (IoT) se révèlent accessibles. Des travaux récents sur le Wi-Fi sensing montrent qu’il devient possible de détecter une présence, un mouvement sans qu’une image soit visible. Il ne s’agit plus seulement de déterminer qui observe, mais plutôt d’identifier les éléments de scénographie, les lieux et les compagnons de visionnement.

    La surveillance s’installe dans la vie quotidienne.

    Ce changement ne s’explique pas simplement par l’évolution d’outils analogiques vers des capteurs plus performants. Il y a quelque chose de plus profond. Nous sommes maintenant entrés dans une ère où la surveillance, qui était auparavant clairement identifiable, s’est fondue dans notre quotidien, insidieusement et presque volontairement. Sans que nous en ayons conscience, elle se veut pratique, amusante ou rassurante. Il est donc important d’examiner de près cette transformation, ce renversement de perspective, plutôt que de s’émerveiller devant le spectacle du contrôle. Il s’agit de sa banalisation et de l’insouciance ambiante. Tout part d’un constat simple. Les lunettes intelligentes, qui étaient auparavant réservées aux geeks, s’éloignent désormais du secteur de la curiosité pour pénétrer dans la sphère du grand public.

    Selon l’Electronic Frontier Foundation, nous avons atteint un tournant. Ce mouvement pourrait s’accélérer avec l’arrivée d’autres géants de la technologie, ce qui signifie qu’un dispositif de suivi sur le visage n’est plus une invention étrange, mais un gadget presque ordinaire. Sauf pour les personnes réservées rencontrées par l’individu portant ces lunettes.

    Le véritable sujet n’est pas l’objet lui-même. C’est plutôt la chaîne qu’il ouvre. Par conséquent, l’article martèle que sur les lunettes s’appuient sur l’application mobile Meta AI. Compagnon requis pour la configuration, l’import et le partage des médias. Les contenus captés doivent y être importés pour être consultés ou diffusés, et certaines fonctions peuvent en outre activer un transfert vers le cloud Meta selon les réglages. Les fonctionnalités d’intelligence artificielle de Meta AI, telles que l’analyse de ce que l’utilisateur voit, nécessitent l’envoi d’une image au cloud de Meta pour traitement. En d’autres termes, enregistrer une vidéo revient à capturer, transférer, traiter et stocker des images, parfois même à les faire annoter. La promesse d’un usage fluide repose ainsi sur une circulation de données que l’utilisateur maîtrise mal et que les tiers filmés ignorent (presque) toujours.

    Des lunettes connectées qui normalisent la captation du réel

    Lorsque des contenus sont partagés avec Meta AI ou certains services cloud, la firme peut les utiliser pour améliorer ses systèmes d’IA, et certaines interactions peuvent faire l’objet d’une revue humaine. Ce point est loin d’être anecdotique : il rappelle qu’il y a une différence entre l’intention de l’utilisateur, qui est de documenter un moment ou un souvenir, et la destination réelle des contenus, qui peut être bien plus vaste. Ce n’est plus seulement une affaire de vie privée individuelle, mais une question de gouvernance de captation (crédit : Oziel Gómez/Pexels).

    Il est à noter que ces lunettes sont conçues pour ressembler à n’importe quelles lunettes. Car le voyant lumineux censé signaler l’enregistrement peut faire l’objet de contournements ou de neutralisations physiques, explique 404 Media. Cette discrétion change notre conception de l’espace public. Être aperçu dans la rue n’est pas la même chose qu’être enregistré, identifié, archivé, surtout à notre insu. Ainsi, les personnes croisées dans un café, dans un commerce ou lors d’un rassemblement/manifestation peuvent se retrouver posées sur papier glacé sans en avoir conscience. « La captation et l’enregistrement sans le consentement de la personne de paroles prononcées à titre privé ou confidentiel ou de son image dans un lieu privé, peuvent constituer une infraction pénale. » La surveillance ne procède plus seulement par interdiction ou par coercition. Elle avance en rendant l’enregistrement toujours plus simple, plus ludique.

    L’intimité fragilisée, par des IoT mal sécurisés

    Un chercheur français, Sammy Azdoufal, a mis au jour une faille majeure dans l’écosystème IoT de Meari Technology, un protocole de messagerie léger : un broker MQTT (Message Queuing Telemetry Transport). Celui-ci est sans protection et accessible depuis un navigateur. Il donne l’accès en temps réel aux flux vidéo de baby-phones et de caméras connectées… à travers le monde. Plus d’un million d’appareils sont potentiellement touchés, et il semblerait que trois cent soixante-dix-huit fabricants utilisent le même backend défaillant.

    Ce n’est pas tant la défaillance, que le système lui-même qui porte de l’intérêt. Car, l’architecture industrielle de sous-traitance est la même pour tous : la course à la réduction de coût. Cependant, c’est surtout la durée qui est stupéfiante. Les serveurs européens et américains seraient restés vulnérables pendant 1 041 jours, tandis que l’infrastructure chinoise était ouverte depuis 542 jours.

    La vulnérabilité n’est pas toujours le résultat d’une attaque sophistiquée. Elle peut aussi découler de la culture et de l’enseignement en matière de cybersécurité. Ce cas particulier met en évidence les conséquences d’une négligence chronique, presque devenue une habitude. Mais également dans l’utilisation des objets connectés, qui sont proposés aux familles comme des instruments de sécurité et de sérénité.

    Quand la chambre d’enfant devient une surface d’attaque

    Ce n’est pas le babyphone lui-même qui pose problème, mais la sécurité du domicile, où se sont multipliés les objets connectés, comme le téléphone intelligent ou l’ordiphone, qui communiquent constamment avec des bornes, ou les objets « modernes », qui émettent, reçoivent et transmettent des données. Ils peuvent le faire pour échanger des informations entre eux ou avec d’autres personnes, que celles-ci soient mal intentionnées ou non.
    Ce qui est alarmant, c’est l’importance qu’ils occupent dans les sphères domestique et publique. Dans ce contexte, le babyphone assure la sécurité du nouveau-né, permettant une surveillance constante, ce qui apaise les parents. C’est précisément ce qui rend ce type de faille si grave. Ici, la vulnérabilité ne touche pas un appareil abstrait, mais l’espace le plus intime du foyer : la chambre d’un enfant. (Crédit : PatrickLFC93/Pixabay)

    Avec des informations sur les habitudes de sommeil, parfois les routines et les mœurs d’une famille entière. La technologie, censée apporter de la sécurité, se transforme en une faille. Cet incident rabâche une vérité trop souvent reléguée au second plan. L’IoT a démocratisé l’ultraconnexion plus vite que la sécurité. Il s’achète aisément, se configure rapidement, tout en promettant une expérience fluide. Mais quand le chercheur explique que « c’est la deuxième fois que je m’intéresse au protocole MQTT, et la deuxième fois que l’entreprise derrière ne le sécurise pas. J’ai peur que ça soit un problème de fond. » Tout est remis en cause, à minima la confiance.

    Voir sans caméra, détecter sans image via le Wi-Fi sensing

    Le troisième chapitre exige une écriture plus soignée, car il peut facilement glisser vers le sensationnalisme ou le conspirationnisme. Il s’agit des travaux récents sur la reconnaissance d’activité humaine à partir des signaux Wi-Fi. Publiés dans Science Direct des articles décrivent comment l’analyse des informations d’état du canal (CSI) permet d’exploiter les variations du signal. Ce, pour détecter la présence, les gestes, activités, chutes, comptage de personnes ou suivi de mouvements, en s’appuyant sur l’infrastructure Wi-Fi existante.

    Les chercheurs soulignent leur intérêt pour les environnements domestiques, la détection de présence, la surveillance des chutes ou certaines applications de santé. Vu de loin, le Wi-Fi sensing apparaît comme une technologie plus douce, presque plus respectueuse de la vie privée que la CCTV.

    Mais c’est précisément là que commence la difficulté. Car l’absence d’image ne signifie pas l’absence de surveillance. Une technologie capable d’inférer une présence, une démarche, un geste, une activité ou une chute ne vous photographie pas, certes. Pour autant, elle produit des biais de connaissance. Couplée aux outils actuels, elle déduit, reconstitue et transforme un environnement radio banal en capteur comportemental.

    Le risque n’est pas l’image, mais l’inférence

    La question n’est plus, « y a-t-il une caméra ? », mais « qu’est-ce qu’un réseau peut savoir de mon corps, de mes gestes sans que je le voie ? »

    Il faut savoir raison garder. Publié le 26 octobre 2025 dans Signals, l’article « Why Partitioning Matters » souligne que, dans la reconnaissance d’actions humaines par Wi-Fi CSI, des stratégies de partitionnement inadéquates peuvent gonfler artificiellement les performances rapportées. La faute à des protocoles expérimentaux défaillants et de fuites de données. Le fait est là, mais elle n’invalide pas le CSI. Elle remet juste l’église au milieu du village. Le Wi-Fi sensing n’est ni un mirage, ni de la magie. C’est une technologie réelle, prometteuse, en devenir.

    Ce n’est pas une simple addition de faits, c’est une mutation du regard numérique. La captation ne s’annonce plus forcément. Elle se porte, s’installe, se diffuse dans les objets d’usage courant et jusque dans les infrastructures ambiantes. Elle devient moins spectaculaire, donc moins contestée. (Crédits : Helena Lopes/Pexels)

    Nous entrons ainsi dans un âge où la véritable question n’est plus celle de l’enregistrement visible, mais de l’inférence permanente. Ce que l’on filme, ce qu’on laisse transiter, ce que des signaux peuvent déduire de nous : tout cela compose une nouvelle sphère de la surveillance. Un mouvement feutré, confortable en apparence, mais politiquement redoutable, parce qu’elle avance moins par contrainte que par adoption tranquille. Et c’est peut-être ainsi qu’elle s’enracine le plus sûrement.

  • Au chevet du malade, assailli de cyberattaques

    Au chevet du malade, assailli de cyberattaques

    En février 2026, la France a, à travers le ministère de la Santé, confirmé l’une des fuites de données médicales les plus importantes de l’histoire contemporaine. Au final entre 11 et 15 millions de patients sont touchés. Un prestataire est au cœur de la tempête médiatique et informatique. L’éditeur concerné, Cegedim, stipile qu’il y a eu un accès non autorisé a des comptes professionnels de praticiens. Cet incident n’est pas une anomalie — il est le symptôme d’une mutation profonde du cybercrime, industrialisé, mondialisé et dopé à l’intelligence artificielle.

    L’entreprise explique avoir détecté l’incident en fin d’année 2025. Elle engage depuis des mesures correctives communique t-elle. Les renseignements exposés incluent notamment l’identité. Cet épisode constitue l’un des événements les plus importants qui ont touché le système de santé français ces dernières années. Il illustre surtout une tendance structurelle : la multiplication des attaques contre des bases de données contenant des informations sensibles.

    L’affaire Cegedim : une brèche dans la chaîne de confiance médicale

    Le ministère de la Santé français confirme la compromission des données administratives d’environ 15 millions de patients. Le vecteur d’attaque identifié : une intrusion dans les comptes professionnels de praticiens utilisant « Mon Logiciel Médical » de l’éditeur Cegedim, l’un des principaux fournisseurs de solutions numériques pour les cabinets médicaux en France.

    santé, médecine, hôpital

    Cette attaque n’est pas isolée. Elle s’inscrit dans une dynamique mondiale caractérisée par une augmentation rapide du nombre et de la sophistication des cyberattaques. Selon le média économique espagnol Merca2, on a compté 28 millions de cyberattaques en 2025 avec l’aide de l’intelligence artificielle. D’ailleurs le répit connu en début d’année 2025 a fondu comme neige au soleil. Mais certaines franchises minimisent leurs attaques sur le site de fuite comme Akira.

    Selon les déclarations de l’entreprise, l’accès frauduleux n’a pas visé ses infrastructures centrales directement, mais a exploité des comptes utilisateurs de médecins. Cegedim affirme avoir détecté l’incident fin 2025 et avoir engagé des mesures correctives. Les données exposées comprennent des éléments d’identité et de contact — noms, dates de naissance, coordonnées. Puis pour certaines des brides d’indications, relevant du secret médical, sont diffusées sur l’Internet. (Crédits : Alexa/Pixabay)

    L’incident illustre un vecteur de plus en plus prisé : la compromission par rebond via les prestataires (supply chain attack). Lorsqu’un fournisseur informatique desservant des milliers de cabinets subit une attaque, l’impact se propage en cascade à l’ensemble de ses clients. Elle est particulièrement difficile à anticiper pour des établissements de santé aux ressources en cybersécurité souvent limitées.

    Concernant la fuite elle-même, différentes informations circulent. Le fichier contenant les civilités pèse 411,2 Mo compressé, puis 4,7 Go décompressé. Il affiche au total 19 109 299 lignes au sein d’un document au format “.json”.
    Les informations ainsi distillées sont pour chacun et chacune : prénom, nom, civilité, genre, date de naissance, adresse, code postal, ville, département, courriel, numéros de téléphone (fixe et portable), statut du patient (assuré ou non), régime (général, agricole ou spéciaux), nom de l’assuré principal en cas d’enfant à charge, date de création du dossier médical, la dernière visite au cabinet…

    Sur l’ensemble des lignes, seules 19 109 298 sont uniques et représentent des informations sensibles et personnelles des patients. Il existe en outre 150 529 e-mails unique dans ce fichier. (Crédits : Todoran Bogdan/Pexels)

    Le logiciel MLM est utilisé par 3 800 médecins en France dont 1 500 concernés par cette attaque explique Cegedim dans son communiqué. Aujourd’hui, « on est pris entre le marteau et l’enclume », déplore la présidente de MG France. « On a un État qui veut absolument qu’on mette le plus de choses possibles en ligne sur des logiciels, sur des serveurs externes partagés avec d’autres professionnels, souligne Agnès Giannotti. Donc, c’est un vrai souci de confiance, de sécurité pour les patients et de pénalisation de notre exercice. »

    Une industrialisation rapide du cybercrime

    La cybercriminalité n’est plus une délinquance artisanale. Elle meut en une économie structurée, mondialisée et segmentée. La criminalité organisée révèle une mutation profonde, elle s’est industrialisée. Si le modèle dominant demeure le ransomware, ce dernier évolue vers de la « pure extorsion » où le chiffrement n’est plus indispensable — seule l’exfiltration de données suffit.

    ville, cyber, espace

    Ils opèrent en franchises, via des programmes de Ransomware-as-a-Service (RaaS). Les groupes recrutent sur des forums clandestins, partageant les bénéfices selon des pourcentages contractuels. Cette métamorphose émerge de nouveaux acteurs : initial access brokers, négociateurs professionnels, blanchisseurs de crypto.

    Parallèlement, le vecteur d’intrusion se déplace vers les maillons faibles de la chaîne. Les compromissions de fournisseurs de services informatiques ou d’éditeurs de logiciels permettent d’infecter des centaines d’entreprises. Dans un contexte d’externalisation massive vers le cloud et les environnements SaaS, la cible privilégiée n’est plus le serveur local, mais l’identité numérique : jetons d’authentification, clés API, comptes administrateurs mal protégés… Pour rentrer via la grande porte.

    Vecteur d’intrusion en mouvement

    Les infostealers — conçus pour aspirer mots de passe, cookies de session… — alimentent un marché secondaire. Dans un lieu où les accès volés sont revendus quasiment en temps réel. L’irruption de l’IA accentue le mouvement : phishing hyperpersonnalisé, deepfakes vocaux pour fraudes au président, automatisation de malwares polymorphes.

    Certaines interventions brouillent la frontière entre criminalité, géopolitique et stratégie d’influence, comme lors des élections. Des groupes opérant bénéficient parfois d’une tolérance implicite tant que leurs cibles restent étrangères. Les infrastructures critiques — énergie, santé, systèmes industriels — deviennent des objectifs, soit pour la rançon, l’influence ou pour la démonstration de puissance. (Crédits : Kehn Hermano/Pexels)

    L’attribution de la paternité des cyberattaques demeure complexe. Cela est du à la pluralité de juridictions, l’usage de cryptoactifs, des serveurs répartis sur plusieurs continents. La coopération internationale progressent, mais l’adaptation criminelle semble supérieure, jusqu’à preuve du contraire. Les groupes accroissent leur résilience face aux démantèlements. La cybercriminalité contemporaine n’est plus une succession d’attaques isolées. Car, elle évolue au sein d’un marché structuré, agile, dont la logique est celle du rendement, et dont la régulation peine encore à suivre le rythme, malgré les efforts et outils déployés.

    Une pluralité d’offre criminelle

    Des groupes développent et commercialisent des programmes à buts malveillants. Ce modèle réduit drastiquement les barrières techniques. Les opérateurs mènent désormais des attaques sophistiquées en louant l’infrastructure d’autrui. Le cybercrime se scinde et se spécialise. L’organisation Cl0p en illustre l’évolution. Apparue vers 2019 et associée par plusieurs chercheurs en cybersécurité au groupe criminel FIN11, cette organisation russophone s’est consacrée au vol de bases de données à grande échelle.

    Contrairement à d’autres collectifs reposant uniquement sur le chiffrement des systèmes, Cl0p privilégie une stratégie dite de data extorsion. L’objectif principal est d’exfiltrer des quantités colossales de renseignements confidentiels afin de maximiser le levier de pression.

    Ce collectif a exploité à grande échelle la vulnérabilité critique du logiciel MOVEit Transfer (CVE-2023-34362), compromettant des centaines d’organisations dans plus de 25 pays (administrations, universités, entreprises…). Ainsi, en 2023, LeMagIT explique que : « le groupe Cl0p vient d’ajouter plus de 290 segments d’archives compressées de données présentées comme dérobées à Cegedim lors de sa campagne de cyberattaques contre les instances MOVEit Transfer. Au total, ce sont donc plus de 1,5 To de données compressées qui sont mises à disposition. » La compagnie Cegedim se trouvait dans la même situation que d’autres organismes déjà épinglés au tableau de chasse.

    L’IA, accélérateur du cybercrime

    Le modèle économique repose sur une segmentation des rôles. Cela permet de mener simultanément plusieurs campagnes, tout en répartissant les risques et les profits.

    Les revenus proviennent en grande partie de rançons. Les montants exigés peuvent atteindre plusieurs millions de dollars dans les cas les plus médiatisés. Les données volées constituent également une ressource économique en elles-mêmes. Lorsqu’une victime refuse de payer, Cl0p — et d’autres — publie progressivement les archives exfiltrées sur son site de fuite. La pression s’exerce, et peut permettre leur réutilisation par d’autres acteurs.

    La génération de messages de phishing de plus en plus personnalisés, la reconnaissance robotisée des systèmes cibles, identification de vulnérabilités, sont le résultat de l’utilisation de l’IA et son automatisation. (Crédits : Pixabay/Pexels)

    feu, tricolore, signalisation

    Elle augmente considérablement le volume, la précision et la chute dans le piège tendu par les attaques. Concomitante à l’alerte de la société Cegedim, la CNIL rappelle régulièrement que les données de santé figurent parmi les informations les plus sensibles, car elles peuvent servir à des fins d’usurpation d’identité, de fraude ou de chantage. Elle martèle aussi de recourir à l’utilisation de la MFA.

    Les systèmes de santé sont des cibles prioritaires

    Pour les patients, comme tout un chacun, ces fuites restent abstraites jusqu’au moment où elles deviennent concrètes. Des appels frauduleux, tentatives d’escroquerie, ou l’utilisation de l’ingénierie sociale. Contrairement aux informations bancaires, qui peuvent être annulées ou remplacées, les données médicales accompagnent une personne tout au long de sa vie. Une fois exposées, elles ne peuvent plus être changées, au grand dam des personnes concernées.

    santé, échographie, enceinte

    Les établissements comme les prestataires de santé concentrent des caractéristiques qui en font des cibles particulièrement attractives. En premier lieu, la valeur des données. Elles permettent des usurpations d’identité, des fraudes à l’assurance et bien d’autres encore. Sur les marchés clandestins, un dossier médical se négocie à un prix bien supérieur à celui d’une simple carte bleue. « Les détails d’une carte de crédit se monnaient entre 10 et 120 dollars. Une American Express clonée avec code PIN : 25 $, une Visa ou une Mastercard 20 $ », explique Privacy Affairs.

    Réaction en chaîne

    Ensuite, la vulnérabilité structurelle des infrastructures. Les systèmes d’information hospitaliers et médicaux reposent souvent sur des architectures hétérogènes, parfois vieillissantes, dont la mise à jour s’avère complexifiée par des contraintes opérationnelles considérables. Un hôpital ne peut pas interrompre ses systèmes aussi facilement qu’une entreprise industrielle, ce qui crée des fenêtres de vulnérabilité persistantes.

    Enfin, la généralisation des prestataires informatiques mutualisés — comme Cegedim — crée des points de défaillance unique à fort impact. Comme ce fut le cas pour Partitio (ESN française — 2025), Majorel (prestataire informatique de France Travail — 2023), WEDA (éditeur de logiciel médical — 2025), Airbus (attaque via fournisseurs — 2019), Fondouest (PME française — 2024). Un seul incident chez un fournisseur peut exposer les données de dizaines de milliers de clients simultanément.

    Le Maroc a récemment mis en avant son approche lors d’un sommet organisé à Madrid. Cette approche est présentée comme un élément de crédibilité mondiale et de positionnement stratégique, commente NextDefense. (Crédits : Mart Production/Pexels)

    Les États cherchent à renforcer leurs capacités de détection, de prévention et de réponse aux incidents. Cette évolution reflète une transformation plus large des enjeux de sécurité. Le cyber est un domaine tactique, au même titre que les espaces terrestre, maritime, aérien et spatial.

    Un cadre juridique confronté à des défis structurels

    Le RGPD impose des obligations strictes. Mais cette conformité ne constitue pas un bouclier, juste une norme. La directive européenne NIS 2 (Network and Information Security) est entrée en vigueur en janvier 2023 et en cours de transposition dans les États membres, donc en France. « Alors que la menace cyber augmente et que les systèmes d’information restent pour partie vulnérables, la directive NIS 2 représente une opportunité unique : sa mise en application va permettre à des milliers d’entités de mieux se protéger. Elle va être l’occasion de mobiliser largement le tissu économique national et le secteur public. »

    Les cyberattaques soulèvent des défis juridiques importants. Car, l’identification des auteurs est souvent difficile — pas impossible au vue des nombreux succès d’Europol : Eastwood, Endgame, No More Ransom project et la chute de Kidflix (opération Stream)— en raison de l’utilisation d’infrastructures réparties sur plusieurs continents. La cybersécurité repose sur une logique de réduction des risques, étant donné que l’élimination absolue n’existe pas. Le tout numérique augmente la surface d’attaque, car les entreprises, administrations et infrastructures critiques dépendent totalement des systèmes d’information.

    Une cyberguerre mondiale

    La cybersécurité est un élément central des politiques de sécurité nationale. Elle influence les relations internationales, l’économie et la stabilité des institutions — ou est-ce le contraire. La capacité d’un État à protéger ses systèmes informatiques constitue désormais un facteur de souveraineté. Les cyberattaques continueront de représenter un défi dans les années à venir. Face à une hydre, ou une vendetta, que peut-on faire ?

    L’affaire Cegedim n’est pas un accident de parcours. Elle n’est pas symptomatique de la structure française, mais de celui du paysage mondial. Elle est la manifestation d’un risque systémique inhérent à la numérisation du secteur de la santé, comme l’ensemble des autres. La fréquence et la sophistication des attaques continueront d’augmenter, portées par l’automatisation et l’intelligence artificielle. Quand une contre-mesure est mise en place, les criminels semblent avoir déjà plusieurs coups d’avance.

    Comment comprendre que le courriel est le principal vecteur, alors qu’il constitue également le moyen par lequel nous recevons la confirmation de notre identification vérifiée ? (Crédits : Taha Samet Arslan/Pexels)

    justice, droit, tribunal

    La numérisation de la médecine devait simplifier la vie des patients et des soignants. Elle ampute le temps consacré aux soins des professionnels de la santé, envers les patients. Elle ouvre un nouveau front invisible. Dans cet univers, les dossiers médicaux circulent entre cabinets, hôpitaux, laboratoires et prestataires. Chaque maillon de cette chaîne peut muer en un point d’entrée potentiel. L’affaire Cegedim n’est donc pas uniquement un incident informatique. Elle révèle une mutation plus profonde : la santé est devenue une cible stratégique dans l’économie mondiale du cybercrime, avec une dimension géopolitique. Et derrière les bases de données, les serveurs compromis et les lignes de code, ce ne sont jamais seulement des systèmes qui sont attaqués.

    Ce sont des patients.

  • Comprendre la nouvelle grammaire des failles

    Comprendre la nouvelle grammaire des failles

    Il y a encore quelques années, le terme de cybersécurité se racontait en termes de pare-feu, de correctifs et de lignes de code. Aujourd’hui, ce terme envahit l’espace, déborde, dégouline. Les incidents s’infiltrent via nos e-mails, s’invitent dans les cabinets ministériels, survolent les bases militaires et s’installent, durablement, dans le débat public. Trois informations récentes, en apparence toutes distinctes. Pourtant, elles expriment une même réalité, une même histoire. C’est l’Histoire d’un monde où la faille n’est plus l’exception, mais une condition structurelle.

    Chaque jour, chaque heure, des opérateurs derrière un écran testent, envisagent et cherchent une faille dans les systèmes d’information. Leurs buts, hors mis l’exploit, c’est souvent l’argent, par revente de données, compilation de dictionnaires, ou rançon. Elles peuvent être aussi l’espionnage à des fins industrielles ou étatiques.

    Quand la faille ordinaire devient un incident pédagogique

    L’alerte adressée par courriel aux différents clients de ManoMano ressemble, à première lecture, à un cas d’école. Un sous-traitant, un compte compromis, une extraction illicite de données. Pas de mot de passe exposé, pas de modification des informations, une notification aux autorités compétentes, une ligne téléphonique dédiée : tout semble conforme à la mécanique bien huilée du RGPD. Et pourtant…

    Ce type d’incident est précisément celui qu’il faut savoir lire. Non pour s’en indigner, mais pour en comprendre la logique. La faille ne se situe pas dans une technologie défaillante, mais dans la chaîne de confiance. Un prestataire dispose d’accès. Un agent se fait compromettre. Et l’attaquant n’a plus besoin de forcer les murs : il entre par la grande porte. Pour l’utilisateur, l’essentiel n’est pas tant ce qui a été volé que ce qui peut en être fait. Prénom, nom, e-mail, numéro de téléphone, possibles échanges avec le service client… Ce sont autant d’éléments qui suffisent à nourrir des campagnes de phishing crédibles, de l’ingénierie sociale ciblée, voire des tentatives d’usurpation d’identité.

    La condamnation de Free à 42 millions d’euros annonce la couleur : personne n’est épargné. En janvier 2026, l’autorité française a infligé une amende de 5 millions d’euros à France Travail, pour ne pas avoir suffisamment protégé les données personnelles de dizaines de millions d’usagers après une cyberattaque majeure en 2024. (Crédits : Capture d’écran/ManoMano)

    L’intrusion avait exposé les informations de près de 37 millions de personnes en raison de mesures techniques et organisationnelles jugées insuffisantes, notamment des procédés d’authentification faibles et un manque de surveillance effective des accès. Dans le même temps, Codes Rousseau a prévenu ses utilisateurs d’un accès non autorisé à son application Easysystème, largement utilisée par les auto-écoles françaises. Les données concernées incluaient état civil (prénom, nom, sexe, date de naissance), coordonnées (adresse postale, adresse électronique, numéro de téléphone), photographie d’identité, numéro NEPH et informations relatives à l’obtention de l’ASR, et la signature.

    À mesure que les fuites se multiplient, ce ne sont plus seulement des bases d’informations abstraites qui sont exposées, mais des fragments d’existences. Des vies, mises en colonnes.
    Ces derniers mois, plusieurs révélations ont illustré cette banalisation de l’intrusion. Des données sur des parlementaires français circulent. Un fichier concernant la plateforme Osmose, qui était utilisée par des agents de l’État, affiche 3501 lignes. Des informations personnelles — prénom, nom, poste, entreprise, e-mail, téléphone fixe, mobile — touchant des personnels rattachés à des institutions aussi sensibles que le ministère des Armées, l’École de guerre, la Gendarmerie nationale, le ministère de l’Intérieur, la DINUM (direction interministérielle du Numérique) ou encore l’ANSSI.

    Intimités violées

    Mais l’atteinte ne s’arrête pas aux sphères du pouvoir. Elle descend, méthodiquement, dans la société. La fuite massive ayant touché France Travail a concerné des millions de citoyens. D’autres exfiltrations ont porté sur des données liées à des personnes recherchées par le ministère de l’Intérieur russe, dans un contexte deconflit russo-ukrainien. Dans le monde éducatif et sportif, les exemples s’accumulent également.
    Certains récemment touchés sont le golf, la chasse et le volley, mais, ces dernières semaines, les fédérations de football, de tennis ou de tir sportif ont été prises pour cibles. L’UNSS, en 2025, a été victime d’une fuite. (Crédits : Capture d’écran/BonjourLaFuite)

    Les données exfiltrées par un certain « Marak » proposaient les informations de 7 795 940 profils sur les six dernières années. Elles sont : prénom, nom, date de naissance, sexe, e-mail des parents et de l’élève, téléphone, classe, handicap, photo, historique, établissement, adresse licence, activités actuelles et plus de 900 000 photos des élèves. La fuite n’est plus seulement un incident technique. Elle devient une atteinte à l’intimité collective, un effritement progressif de la frontière entre sphère privée et espace numérique. Et dans cet écosystème, les données sont rarement détruites : elles sont agrégées, revendues, compilées, jusqu’à alimenter ces dictionnaires géants qui serviront, demain, à de nouvelles attaques.

    La faille stratégique ou la cible choisie

    Dans le registre de menaces étendues, la justice française a récemment mis en examen quatre individus suspectés d’espionnage pour le compte de la Chine, après leur interpellation en Gironde. Deux des prévenus sont placés en détention provisoire dans le cadre d’une information judiciaire ouverte pour « livraison d’informations à une puissance étrangère », un délit passible de quinze ans de prison. À un autre niveau, plus feutré, mais tout autant sensible, se joue une bataille d’image et de normes. Le Pall Mall Process, initiative diplomatique franco-britannique visant à encadrer l’usage des outils de surveillance numérique, ambitionne de poser les bases d’une gouvernance responsable.

    Faille, séisme, brèche

    L’intention est louable, mais le terrain est encore un véritable champ de mines. Car plus d’un an après son lancement et à la suite de sa deuxième conférence diplomatique à Paris, le Pall Mall Process fait face à un défi majeur : obtenir l’adhésion du marché des logiciels espions et du piratage commercial. Ce secteur, nommé CCCI (capacités commerciales de cyberintrusion), est en pleine expansion. Les participants alertent que, sans régulation efficace, cette croissance risque d’entraîner une multiplication des abus, ciblant notamment les journalistes, défenseurs des droits humains, dissidents politiques et responsables gouvernementaux étrangers, comme l’avait déjà signalé le renseignement britannique en 2023.

    « La révolution numérique a transformé le cyberespace en un théâtre d’affrontements où la frontière entre souveraineté et dépendance se joue désormais à une ligne de code. »

    Quand le ciel devient une surface d’attaque

    Le troisième signal vient du ciel britannique.
    En un an, les signalements de drones à proximité des bases militaires ont doublé. Certains sont probablement inoffensifs, d’autres mal identifiés, quelques-uns potentiellement hostiles. Leur point commun n’est pas leur origine, mais l’incertitude qu’ils produisent.

    Le drone n’est pas un simple objet volant. C’est un système numérique complet : pilotage à distance, liaisons radio, capteurs embarqués, parfois autonomie logicielle. Il évolue à la frontière du cyber et du physique. (Crédits : Vilkasss/Pixabay)

    Intercepter un drone ne consiste donc pas uniquement à le neutraliser mécaniquement. Il s’agit aussi de comprendre, perturber ou détourner ses communications, voire d’en prendre le contrôle. Cette hybridation des menaces est déjà à l’œuvre dans le conflit entre la Russie et l’Ukraine, entré dans sa cinquième année. Face à la multiplication de ces incidents, le gouvernement britannique envisage désormais d’élargir les pouvoirs de l’armée pour neutraliser directement ces engins. Une décision qui acte un basculement : la militarisation assumée de la gestion des menaces hybrides, y compris en temps de paix.

    Une lecture commune : la faille comme symptôme

    Fuite de données commerciale, encadrement du spyware, drones au-dessus des bases militaires : trois scènes, un même décor. Celui d’un monde hyperconnecté, où la sécurité ne se compartimente plus. Dans chaque cas, la faille naît d’un déséquilibre : entre sous-traitance et contrôle, entre innovation technologique et cadre éthique, entre liberté d’usage et impératif de protection.

    La cybersécurité n’est plus seulement une affaire d’experts techniques. Elle devient une question de culture collective, de choix politiques et de maturité. Elle oblige à penser en continuum. Soit du clic imprudent d’un client à la stratégie d’un État. Il est illusoire de promettre un monde sans failles. La technologie avance trop vite, et l’humain reste ce qu’il est : faillible, pressé, parfois négligent. Mais comprendre les mécanismes à l’œuvre, nommer les responsabilités et refuser les faux-semblants est déjà une forme de défense.

    Ainsi, comme souvent, les fuites de données terminent en une compilation de dictionnaires, pour de nouvelles attaques.

    (Crédits : Capture d’écran)

    La cybersécurité moderne ne se résume plus à colmater des brèches. Elle consiste à apprendre à lire les signaux faibles, à relier les incidents et à accepter que, désormais, le numérique est partout — donc vulnérable partout. Et c’est précisément pour cela qu’il mérite d’être expliqué, patiemment, au plus grand nombre. C’est tout l’enjeu de la souveraineté en terme de cybersécurité déployée par l’État Français pour 2026-2030.

  • Quand nos écouteurs deviennent une porte dérobée

    Quand nos écouteurs deviennent une porte dérobée

    Dans un monde saturé d’objets connectés, la facilité est synonyme de reine. Une récente innovation est Google Fast Pair. Elle est la promesse de simplifier au maximum l’appairage des appareils audio Bluetooth. Par une pression, vos écouteurs, casques ou enceintes s’associent directement à votre ordiphone ou système d’information, ce, en moins d’un clin d’œil. Mais derrière cette fluidité déconcertante se cache une faille d’une gravité inattendue : WhisperPair.

    En effet, des chercheurs en cybersécurité de l’université KU Leuven ont révélé une importante vulnérabilité du protocole Fast Pair. Ces membres du groupe « Computer Security and Industrial Cryptography », indiquent qu’elle peut permettre à des attaquants de prendre le contrôle d’appareils audio sans consentement. Mais qu’ils peuvent aussi écouter des conversations ou même suivre discrètement les déplacements des utilisateurs, à la manière d’un airtag. Cette série de failles est répertoriée comme CVE-2025-36911, relate BleepingComputer.

    Une vulnérabilité dans un standard de commodité

    La société s’oriente vers la simplification. Google, qui a anticipé les besoins, a conçu Fast Pair pour rendre les connexions Bluetooth plus sobres. Qui plus est pour Android et ChromeOS. À cet effet, dès qu’un nouvel accessoire passe à proximité, le système propose automatiquement de l’appairer. Idée lumineuse, car elle tend à éliminer le fastidieux processus de découverte et de jumelage. Mais cette mise en œuvre n’a pas respecté tous les garde-fous de sécurité prescrits par Google.

    Dans la logique, un appareil Bluetooth répond à une demande d’appairage, que s’il est explicitement en mode de configuration. Ce qui est la résultante d’une action de l’utilisateur. Mais, selon les chercheurs, ce contrôle n’a pas été correctement implémenté. Cela ouvre la porte à une exploitation silencieuse du protocole, expliquent-ils.

    Les attaques peuvent être réalisées avec un appareil doté d’une interface Bluetooth — ordinateur portable, smartphone ou même un Raspberry Pi —. Pour cela, il suffit que l’attaquant se trouve à proximité — dans une portée typique Bluetooth, jusqu’à 14 mètres —. Il peut donc déclencher une procédure d’appairage forcé avec un casque, des écouteurs ou une enceinte compatibles Fast Pair. Aucunement besoin d’action pour l’utilisateur ciblé.

    Des attaques rapides, silencieuses et sans contact

    Une fois la connexion établie, l’attaquant obtient un accès complet. Il peut injecter des sons, perturber la lecture… mieux encore, activer le microphone pour intercepter des ou vos conversations. Dans certains cas, ils peuvent suivre les mouvements de l’utilisateur via des réseaux de localisation, indiquent les chercheurs.

    Ce dernier tire parti du fonctionnement du réseau Find Hub/Find My Device. Il exploite des dispositifs Android à proximité pour signaler la position d’un appareil. Si un attaquant parvient à appairer l’accessoire à son propre compte Google, il peut observer sa localisation au fil du temps. Là où le bat blesse, est que parfois la victime n’est même pas consciente du suivi. Ou encore, elle confond les alertes avec un simple bogue.

    La faille CVE-2025-36911 touche de nombreux modèles, notamment. Les chercheurs de KU Leuven ont publié une base de données d’appareils testés. (Crédits : Nardo/Pexels)

    Les chercheurs ont testé 25 appareils provenant de 16 fournisseurs différents. Ils ont constaté que près de 68 % d’entre eux étaient vulnérables à cette attaque forcée — avant les mises à jour —, et que tous ceux exploitables permettaient d’accéder au microphone, ce qui démontre l’étendue du problème.

    Pourquoi une faille semble-t-elle si répandue ?

    Selon les chercheurs, l’origine réside dans une faiblesse de conception et de mise en œuvre du protocole Fast Pair. Alors que Google exige que les appareils n’acceptent pas de nouvelles connexions Bluetooth hors du mode d’appairage, cette règle n’a pas été strictement appliquée. Certains accessoires ont même obtenu la certification Fast Pair alors que cette exigence n’était pas correctement implémentée. L’équipe de recherche a souligné qu’il s’agit d’une erreur de logique dans le code d’appairage plutôt que d’un problème matériel. Cela implique un enjeu sociétal. Le compromis entre facilité d’utilisation (ergonomie) et sécurité informatique.

    Suite à la divulgation en août 2025, l’entreprise a reconnu publiquement la gravité de la situation. Ce qui classe WhisperPair comme une vulnérabilité critique. La firme collabore avec les fabricants pour publier des correctifs. Google a également martelé que certains de ses propres appareils audio avaient reçu des mises à jour. Google a donc offert le maximum de la prime dite Bug Bounty — soit 15 000 $ — à l’équipe à la base de cette découverte.

    Il subsiste un défi majeur. Si, contrairement aux mises à jour automatiques des ordiphones (smartphone), les correctifs pour écouteurs ou casques Bluetooth ne sont pas instantanés. Cela nécessite l’action de l’utilisateur. Ce qui peut laisser de nombreux appareils vulnérables pendant des mois ou années.

    Commodité contre sécurité

    Il est de rigueur de vérifier et d’installer le cas échéant — immédiatement — toute mise à jour du firmware disponible. Et comme à chaque instant, restez prudent dans les lieux publics, en particulier si vous utilisez des écouteurs compatibles Fast Pair. Les chercheurs expliquent que le désactiver sur un téléphone ne suffit pas, car la vulnérabilité se trouve dans les accessoires eux-mêmes.

    La faille WhisperPair illustre un dilemme récurrent de l’ère numérique : la quête de simplicité face à la sécurité et la vie privée. Un compromis est factuel. Mais quand des protocoles conçus pour faciliter la vie des utilisateurs deviennent des vecteurs d’attaque silencieux, cela pose question.

    À une époque où les appareils que nous portons — ou plaçons près de nous — peuvent capter des éléments intimes de nos vies, la nécessité d’une cybersécurité robuste n’est pas un luxe, mais une condition sine qua non de liberté numérique. Même si vous n’avez rien à cacher… (Crédits : Michael Burrows/Pexels)

    Casque, Bluetooth, cyber
  • Verisure fait face à une fuite de données

    Verisure fait face à une fuite de données

    Une filiale suédoise du géant de la sécurité connectée Verisure a été victime d’un accès non autorisé. L’incident a été révélé le vendredi 17 octobre 2025, par un communiqué. C’est également la date où Dairy Farmers of America confirme que la cyberattaque du mois de juin a causé la fuite de données personnelles. Outre manche, la facture est très salée pour Jaguar-Land Rover et l’industrie britannique, qui affiche la somme astronomique de 2,5 milliards d’euros. Ces trois événements font écho aux cyberattaques toujours aussi nombreuses et dévastatrices.

    Le ransomware Play est l’un des plus prolifiques depuis la « mise en sommeil » de LockBit. Il placarde, depuis sa première découverte 1052 victimes. Le groupe cible en particulier les États-Unis. Ils procéderaient, selon le CISA, par l’achat probable de véritables comptes ainsi que l’exploitation des données.

    Fuite de données en Suède pour Verisure

    Sur un communiqué officiel daté du 17 octobre, Verisure indique avoir détecté « un accès non autorisé d’un tiers » concernant des données liées à sa filiale suédoise Alert Alarm, stockées sur le système d’un prestataire externe de facturation. L’entreprise n’a pas fait plus de communication.

    Selon l’enquête diligentée par la société, les informations compromises contiennent des prénoms, noms, adresses postales, adresses e-mail ainsi que des numéros de sécurité sociale (personnummer) d’environ 35 000 clients actuels et anciens de Alert Alarm. La firme suédoise dessert moins de 6 000 clients actifs à l’heure actuelle.

    Verisure affirme qu’à ce stade « aucune preuve d’intrusion dans son propre réseau ou système » n’a été relevée.

    Dairy Farmers of America

    C’est au mois de juin que le ransomware Play revendique l’attaque contre l’entreprise DFA. Sur leur site de fuite, 74 fichiers compressés de 500 Mo et un de 345,5 Mo sont affichés. Soit plus de 45 Gb de données confidentielles.

    C’est à nouveau des fuites de renseignements de 4546 personnes qui se retrouvent sous les feux des projecteurs. Les informations volées sont les prénoms, les noms, les numéros de sécurité sociale, le permis de conduire ou les numéros d’identification délivrés par l’État, les dates de naissance, les numéros de compte bancaire et les numéros Medicare ou Medicaid.

    Dans la lettre adressée aux autorités compétentes, la société confirme la détection de l’intrusion non autorisée en date du 13 juin, commencée le 11 par une campagne d’ingénierie sociale. Cela touche l’ensemble des succursales de l’Iowa à l’Oregon, du Nouveau-Mexique, Columbia, Maryland, New York, Caroline du Nord et Rhode Island (Crédits : Mike N/Pexels)


    L’enquête aboutie le 15 septembre dernier. Il s’avère que deux jours avant la détection les cybercriminels étaient déjà au cœur de l’entreprise. Les risques à venir sont réels : les données exposées que sont les identifiants, les adresses, les numéros personnels, etc. peuvent être réutilisées pour du phishing ciblé, du vishing ou encore du vol d’identité. Alors, les victimes bénéficient de deux ans de services de protection de l’identité.

  • Cyberattaque contre Jaguar-Land Rover

    Cyberattaque contre Jaguar-Land Rover

    Le 28 août 2025, le constructeur automobile britannique, filiale du conglomérat indien Tata Motors, voit ses systèmes informatiques plongés dans le chaos. À Halewood, dans le nord-ouest de l’Angleterre, les employés reçoivent un ordre inhabituel : ne pas se présenter au travail. Les systèmes ERP SAP, les contrôleurs SCADA, les automates programmables robotiques, les outils CRM et même les portails de concessionnaires sont à l’arrêt. L’entreprise reconnaît rapidement une attaque à large spectre affectant ses environnements industriels et bureautiques.

    Les chaînes d’assemblage de Jaguar-Land Rover (JLR) ont été ralenties, puis stoppées à la suite d’un incident informatique majeur. Les premières investigations du Cyber Monitoring Centre (CMC) britannique et du National Cyber Security Centre (NCSC) révèlent une cyberattaque à effet domino. C’est l’une de ces offensives où la faille ne vient pas de l’intérieur, mais d’un prestataire, d’un fournisseur ou d’un maillon négligé de la chaîne numérique, ce pour quelques raisons que ce soit.

    Un séisme industriel et systémique

    D’après The Hindu Business Line, les serveurs compromis ont eu un effet domino. Cet effet s’est fait ressentir dans plusieurs usines à travers le monde. Ce qui provoque une suspension de la production. En Slovaquie, Eberspächer Gruppe GmbH & Co., fournisseur de systèmes d’échappement, a dû stopper l’activité de sa manufacture de Nitra. Le Britannique Autins Group, l’un des sous-traitants majeurs, a pour sa part informé ses actionnaires d’un « impact significatif » sur ses opérations locales. « JLR a été impacté par un cyberincident. Nous avons pris des mesures immédiates pour atténuer son impact en arrêtant de manière proactive nos systèmes. […] À ce stade, il n’y a aucune preuve que des données sur les clients ont été volées, mais nos activités de vente au détail et de production ont été gravement perturbées », a déclaré un porte-parole de JLR après l’incident du samedi 30 août 2025.

    « Le modèle de CMC estime que l’événement a causé un impact financier britannique de 1,9 milliard de £ et a affecté plus de 5 000 organisations britanniques. » Les bouleversements touchent tout autant les sites d’exploitation que les transporteurs, les prestataires logistiques ainsi que les concessions automobiles. Dans son rapport, le comité technique du CMC, présidé par Ciaran Martin (ancien directeur du NCSC), prévient que « cet incident répond aux critères de la catégorie 3 en raison d’une perte financière comprise entre 1 et 5 milliards de livres sterling pour les organisations concernées et d’un impact significatif sur plus de 2 700 entités britanniques. »

    Pour les experts du CMC, la dépendance des entreprises aux systèmes IT [Information technology] et OT [operationel technology] interconnectés constitue le véritable maillon faible. Les points de convergences entre l’IT [SQL, Cloud, CRM, ERP, RDP, HTTPS, Internet access] et l’OT [Machinery, Assembly Lines, RTUs, HMIs, SCADA, PLCs, Modbus] seraient le talon d’Achille. Les chaînes logistiques multi-niveaux, la sous-traitance massive et la concentration de données critiques dans des environnements cloud accentuent donc leurs expositions.

    ShinyHunters
    une signature familière

    Vingt-quatre heures après l’attaque, une organisation bien connue de la scène cyber, en réclame la paternité : ShinyHunters. Sur leur chaîne Telegram, « le groupe dit des Shiny Hunters [et en particulier Rey, qui a officié un temps sous la bannière de Hellcat] », explique LeMagIT.

    Derrière ce trouve un collectif ayant déjà revendiqué des attaques contre des détaillants britanniques et des entreprises comme Google, Air France-KLM, Allianz for Life, Cisco ou Pandora, via des intrusions dans leurs instances Salesforce. [Crédits : Bradley De Melo/Pexels]

    Le mode opératoire correspond à celui de l’organisation Scattered Spider : des campagnes de phishing, de vishing, et l’exploitation de comptes d’accès à privilèges. Une approche redoutable, car elle contourne les défenses techniques en s’appuyant sur la psychologie et la routine des utilisateurs.

    Un précédent aux allures de crise nationale

    Le gouvernement britannique a dû réagir. Selon le rapport du CMC, l’État s’est porté garant à hauteur de 1,5 milliard de livres sterling pour maintenir les liquidités de Jaguar-Land Rover. Le but limiter et éviter une onde de choc sur l’économie du pays.

    Le CMC appelle à une révision des cadres et à un renforcement des couvertures assurantielles face aux menaces cyber. « Les perturbations opérationnelles posent aujourd’hui le plus grand risque pour la plupart des entreprises », conclut-il.

    À peine vingt-quatre heures après la révélation de l’incident chez Jaguar-Land Rover, Bridgestone annonce à son tour l’interruption de son usine de Joliette, au Canada, en raison d’une possible cyberattaque. La troisième depuis 2022. « L’usine demeure à l’arrêt jusqu’à vendredi 19 h. Selon les progrès réalisés par l’équipe informatique, nous prévoyons vous partager le plan de redémarrage des activités en cours de journée le vendredi 5 septembre », précise la société. Les droits de chômage partiel ne sont pas les mêmes qu’en France. « On n’est pas payé. Il faut être sept jours à l’arrêt pour faire une demande de chômage. » Elle met à disposition des 1400 employés 200 $ par jour, car l’usine est le poumon économique de la région lanaudoise.

    Bridgestone
    victime collatérale

    Ces attaques, menées par des organisations à motivation financière, traduisent aussi une géo-politisation du cyberespace. Les services européens de renseignement évoquent depuis 2024 une multiplication des offensives à visée de cyberespionnage industriel, souvent attribuées à des groupes affiliés à la Russie ou à la Chine.

    Au-delà du Royaume-Uni, cet épisode résonne comme un signal d’alarme pour l’industrie européenne. À l’heure où entre en vigueur la directive NIS2, censée renforcer la cybersécurité des opérateurs essentiels, le cas JLR illustre les limites du dispositif : la conformité ne garantit pas la résilience. L’ensemble des acteurs doivent composer avec la réalité : la cybersécurité industrielle est un enjeu de souveraineté économique. [Crédits : Pixabay/Pexels]

    « La digitalisation de l’industrie, si elle n’est pas accompagnée d’une culture de sécurité, revient à installer des portes automatiques sans serrure », ironise un expert du NCSC. Cette cyberattaque a mis en lumière la vulnérabilité d’un modèle entier : celui d’une industrie mondialisée, hyperconnectée et dépendante de prestataires interopérables. Jaguar-Land Rover n’est peut-être que le premier domino d’une série que l’Europe industrielle n’a plus le luxe ni le temps d’ignorer.

  • Trois attaques ébranlent l’environnement Google, et pas que…

    Trois attaques ébranlent l’environnement Google, et pas que…

    En l’espace de quelques semaines, Google a vu son écosystème frappé par trois secousses majeures : une faille critique dans son service Cloud Dataform, une campagne de phishing exploitant Google Classroom et une possible fuite massive de données touchant Gmail. Ces incidents, confirmés par des sources spécialisées, révèlent la fragilité des géants du numérique face à des cybermenaces protéiformes. Entre correctifs d’urgence, exploitation de plateformes éducatives et piratage revendiqué par Shiny Hunters, la sécurité de milliards d’usagers se retrouve une nouvelle fois sur la sellette.

    L’été 2025 aura mis à l’épreuve la cybersécurité de Google. Trois événements distincts, mais significatifs, ont ciblé son infrastructure et ses services : une faille critique dans Google Cloud Dataform, une campagne de phishing exploitant Google Classroom, et une possible fuite de données concernant potentiellement des milliards d’utilisateurs de Gmail, démenti par la maison mère Google..

    Faille critique dans Google Cloud Dataform

    Le 21 août 2025, Google a corrigé une vulnérabilité critique affectant Google Cloud Dataform, référencée sous le numéro CVE-2025-9118. La faille reposait sur un path traversal (CWE-22) qui consiste à « sortir » du dossier prévu par l’application en injectant des chemins tels que « ../../../../../etc/passwd ».

    Ordinateur, bureau, google

    Le problème vient du fait que Google Dataform (un service cloud pour gérer des workflows de données SQL) lit le fichier package.json lors de l’installation de dépendances. Si ce fichier est piégé, il peut contenir des chemins qui obligent le système à écrire ou lire en dehors du répertoire prévu. Vulgairement, un immeuble, ici le Dataform, contient de multiples appartements individuels (les dépôts de différents clients). La faille est semblable à une porte dérobée dans une cloison mal sécurisée. Une personne malveillante peut s’introduire dans n’importe quel logement, en changer ce que bon lui semble, sans y être autorisée.

    L’attaquant à distance, sans avoir besoin de se connecter, peut créer un package.json malveillant — fichier qui décrit un paquet logiciel — pour lire ou modifier les fichiers d’autres clients, comme s’il était l’un d’eux. (Crédits : Caio/Pexels)

    Google a assuré que tous les clients ont été automatiquement protégés après le déploiement du correctif et qu’aucune action supplémentaire n’était requise de leur part. Le score CVSS 10.0 traduit la gravité maximale, car aucun mot de passe n’était requis, accès aux données privées, modification possible de fichiers.

    Campagne massive de phishing

    Quelques jours plus tôt, soit entre le 6 et le 12 août 2025, des acteurs malveillants exploitent la plateforme Google Classroom. Leur but : une campagne de phishing à grande échelle. Selon l’entreprise de cybersécurité Armorblox, environ 13 500 organisations à travers le monde ont été ciblées, via l’envoi de plus de 115 000 messages frauduleux.

    Le stratagème est aussi simple que redoutable. Les attaquants créent de faux cours dans Google Classroom, puis y intègrent des liens malveillants dissimulés dans des documents ou des annonces. Ces cours sont ensuite partagés par courriel sur des entreprises et administrations.

    Leur efficacité repose sur un levier psychologique : la confiance. Venant d’un service légitime, dont le nom de domaine et les certificats ne délivrent pas d’alerte immédiate, tout semble sûr. En réalité, il redirige vers des sites piégés qui distribuent des malwares ou récoltent des identifiants et mots de passe.

    Cette attaque, déjà observée, surfe sur une tendance. Détourner les services de confiance pour contourner les filtres de sécurité classiques et surtout tromper les utilisateurs. (Crédits : Pixabay/Pexels)

    Classe, tableau, écriture

    En détournant l’usage premier de Google Classroom, les cybercriminels hackent le pilier de confiance. Cela rappelle que le plus grand ennemi se cache dans les usages quotidiens. L’attaque exploite ce qu’il y a de plus humain : la confiance, la routine, l’habitude de cliquer sans se méfier, sans regarder. Cette affaire révèle que sans une culture de vigilance partagée par tous, la technologie ne suffira pas. Enfin, selon les révélations de PCWorld, le groupe de pirates Shiny Hunters affirme avoir compromis une base de données associée à Google, en exploitant des accès liés à Salesforce. L’incident aurait exposé les données d’au moins 2,5 milliards d’utilisateurs Gmail, incluant noms, identifiants d’entreprise et autres métadonnées.

    Shiny Hunters, qui sont-ils ?

    Le nom n’est pas nouveau. Depuis 2020, Shiny Hunters s’est imposé comme un acteur central du cybercrime mondialisé, multipliant les assauts contre des entreprises cotées comme contre des plateformes de niche. Leur stratégie : l’industrialisation de la compromission. Le collectif revendique une série de brèches spectaculaires.

    Mobile, google, smartphone

    Shiny Hunters est un collectif de cybercriminels qui a émergé en 2020. Célèbre pour des fuites massives — comme Tokopedia (91 millions de comptes volés), Wattpad (271 millions), AT&T (plus de 70 millions), ou encore l’exfiltration de 500 Go de code source Microsoft —, le groupe a rapidement gagné en notoriété. Il s’illustre par sa capacité à transformer les données volées en armes de chantage et de monétisation.

    À partir de 2025, leur méthode a profondément évolué. Shiny Hunters a fait un virage stratégique vers le vishing (phishing vocal) ciblant Salesforce. Ainsi, en usurpant l’identité du support IT, ils incitent des employés à installer des programmes malveillants, leur ouvrant l’accès aux CRM de Google, Workday, Cisco, Chanel ou Dior.

    (Crédits : BM Amaro/Pexels)

    Aujourd’hui, Shiny Hunters est en capacité de mener des campagnes d’exploitation sociale amplifiée par la technologie, avec une finalité économique claire : l’extorsion. Ce collectif n’est plus un simple groupe de pilleurs de données. Il mute en une entreprise criminelle sophistiquée, où l’intelligence sociale (vishing) devient l’une des clés pour pénétrer les bastions du cloud mondial.

    Shiny Hunters s’allie à Scattered Spider

    Après une année d’inactivité, « Shiny Hunters » refait surface. Silencieux entre juin 2024 et juin 2025, à la suite de l’arrestation de quatre de ses membres, ils signent leurs retours avec une vague d’attaques contre Salesforce.

    Selon les révélations de The Hacker News, « le groupe Shiny Hunters, tristement célèbre pour ses fuites massives de données, semble avoir conclu une alliance avec le gang Scattered Spider ». Reliaquest explique que « Shiny Hunters adopte les stratégies emblématiques de Scattered Spider ». Cette collaboration marque une montée en gamme du cybercrime, passant de l’exploitation individuelle à des campagnes de chantage coordonnées ciblant les clients de Salesforce.

    Scattered Spider, quant à lui, est un groupe de cybercriminels à but lucratif lié au collectif « The Community » (alias The Com). Initialement connu pour les opérations d’échange de données SIM, le groupe a progressé vers l’exécution de systèmes d’ingénierie sociale complexes. (Crédits : Pixabay/Pexels)

    Masque, anonymous, fleur

    Leurs outils sont une combinaison d’ingénierie sociale et des campagnes d’extorsion, une version 3.0 du cybercrime avec l’aide de l’IA. « Soupçonné d’inclure à la fois les membres Scattered Spider et Shiny Hunters, The Com est un réseau tentaculaire de sous-groupes et de cliques disparates qui s’engagent dans l’activité de prise de contrôle, de SIM-swapping, de vol de cryptomonnaie, et sextortion », explique Reliaquest. Quelles sont les prochaines étapes : le Chaos-as-a-Service ? Face à ces menaces, les États doivent-ils imposer une régulation plus ferme, ou le risque d’un monde numérique moins ouvert serait-il pire que le mal qu’il prétend combattre ?

  • Cyberattaque d’Aeroflot et pharmacies paralysées en Russie

    Cyberattaque d’Aeroflot et pharmacies paralysées en Russie

    Une vague de cyberattaques a frappé la Russie en juillet 2025. Elles touchent en quasi-simultanéité Aeroflot, le fleuron de l’aviation civile, et un vaste réseau de pharmacies. Sur fond de tensions internationales, la nature coordonnée de ces attaques relance les soupçons d’une cyberguerre latente, aux contours encore flous, mais aux conséquences bien réelles. Cette guerre, qui ne dit pas son nom, se déroule pourtant aux yeux et à la vue de tous : sur l’Internet. Concernant Aeroflot, la perturbation est partie pour durer.

    Bien avant le commencement du conflit entre l’Ukraine et la Russie, les cyberattaques étaient légion. Mais depuis, chaque camp cible davantage l’autre et vice-versa, sans oublier les appuis de chaque belligérant. Ainsi, il est logique de voir le nombre d’attaques, revendiquées publiquement, croître. Mais aussi le nombre d’actions des forces de l’ordre contre des organisations criminelles, telle l’opération Eastwood d’Europol contre le groupe russophone NoName057(16).

    Coup d’arrêt en Russie

    La compagnie aérienne Aeroflot est contrainte d’annuler plus de 50 vols aller-retour lundi 28 juillet 2025. Ce qui a immanquablement perturbé les déplacements à travers la Russie. Silent Crow revendique la cyberattaque contre Aeroflot. Deux groupes pro-ukrainiens s’entendent. Le premier Silent Crow (Ukraine) et le second Cyberpartisans BY (Biélorussie). Ce dernier s’est déjà illustré par le passé.

    Le 24 janvier 2022, le groupe connu sous le nom de « Belarussian Cyber-Partisans » réclame la maternité, sur X, de la cyberattaque de type ransomware de la société ferroviaire biélorusse. « Nous avons les clés de chiffrement, et nous sommes prêts à remettre les systèmes de la compagnie Belarusian Railroad en mode normal. » Peu de temps après cette offensive cybernétique, le site WEB de l’entreprise faisait son retour en ligne.

    Cette cyberattaque fait suite à la déclaration du ministre de la Défense biélorusse, Viktor Khrenin. Déclaration appuyée de vidéos sur les réseaux sociaux montrant « des convois militaires russes et des trains avec du matériel militaire se déplaçant à travers le sud de la Russie et la Biélorussie ».

    Silent Crow et Cyberpartisans BY

    Concernant l’attaque cybernétique de la compagnie Aeroflot, Yuliana Shemetovets, porte-parole du groupe criminel Cyberpartisans BY, explique sur le site d’opposition biélorusse Zerkalo que : « Notre objectif principal était de tout détruire, de tout faire exploser. Le but n’était pas de voler des données, mais nous avons pris tout ce que nous pouvions. »

    Au final, ils auraient siphonné 22 téraoctets de données, puis auraient déclenché l’effacement total des informations, affectant les 7000 serveurs de la compagnie. Les hacktivistes précisent que le directeur général d’Aeroflot, Sergey Aleksandrovsky, n’a pas changé de mot de passe depuis 2022. Et qu’elle utilise des systèmes d’exploitation obsolètes Windows XP et Windows 2003 sur leurs réseaux. Ainsi ils « sont parvenus à la mise en péril de l’ensemble de leur infrastructure », affirment-ils. Ils ont également confirmé qu’ils étaient sur le réseau de l’entreprise d’Aeroflot pendant « quelques mois » avant la mise en œuvre de la cyberattaque, qui a commencé dans la nuit du 28 juillet 2025. (Crédits : Evgeniya Kuzmina/Pexels)

    Le fait de « piratage » est reconnu au Bureau du Procureur général de la Fédération de Russie. Au Kremlin, la situation a été qualifiée d’alarmante. The Moscow Times relate la déclaration de Dmitri Peskov, porte-parole du président russe : « La menace des pirates est une menace qui persiste pour toutes les grandes entreprises qui fournissent des services à la population. » La compagnie aérienne explique que dès mercredi « Aeroflot assure son programme de vols conformément à l’horaire à partir de 10 h ».

    Pharmacies et soins de santé à l’arrêt

    Le lendemain, 29 juillet, c’est au tour des chaînes Neopharm et Stolichki de fermer leurs portes. Plus de 1 100 officines deviennent inaccessibles : rupture de l’accès aux stocks, paiements impossibles, bases clients effacées. Pas de revendication officielle. Mais les analystes évoquent une action coordonnée, probablement en représailles à des cyberattaques russes récentes en Ukraine.

    La chaîne de pharmacies Stolichki confirme une défaillance en ce 29 juillet 2025. « Nous avons subi une panne technique majeure suite à une cyberattaque […] le fonctionnement des pharmacies est perturbé », commente la compagnie sur Telegram. Elle exploite environ un millier d’officines sur l’ensemble du territoire. Les caisses enregistreuses ne fonctionnent pas, les employés ont été renvoyés chez eux.

    Une autre compagnie fait les frais de cette attaque : Neofarm. Elle gère plus de 110 pharmacies à Moscou, Toula, Kostroma et à Saint-Pétersbourg. « Stolichki et Neofarm font partie de la même société holding, précédemment contrôlée par l’ancien législateur de la Douma d’État, Yevgeny Nifantiev », relate The Record Media. En ce 31 juillet, aucune amélioration n’est annoncée à la mi-journée. (Crédits : Roman Ska/Pexels)

    Pharmacie, Russie, nuit


    Elles ne sont pas les seules à subir les foudres des cybercriminels. La société AirNet ayant subi une attaque de type DDoS avertissait ses clients de la panne momentanée de ses services. Au milieu du mois de juillet, plus de 2000 magasins de la chaîne WineLab ont montré porte close, durant trois jours. Attaque qui aurait eu lieu aux alentours du 14 juillet, affirme dans son communiqué la firme. Ce qui a provoqué une perte financière de 200 à 300 millions de roubles, soit entre 2,18 et 3,27 millions d’euros de manque à gagner.