Étiquette : Databreaches

Quand le thé est froid
Les relations entre la Chine est les États-Unis sont actuellement sensibles. Le géant américain, Microsoft, affirme cesser séance tenante d’utiliser des ingénieurs basés en Chine pour sécuriser ses services cloud Azure. Ces derniers sont destinés au département de la défense étasunienne, soit le Pentagone. La décision découle du rapport écrit par le média d’investigation ProPublica. D’autant que les autorités chinoises emploient un nouveau type de logiciel malveillant pour extraire des données à partir de téléphones saisis lors d’un contrôle frontalier.
Ce qui n’était qu’un bruit de couloir devient une tempête politico-médiatique. Un article de ProPublica du 15 juillet 2025 met à jour une faille majeure dans l’architecture de cybersécurité des États-Unis. En effet, Microsoft faisait appel à des ingénieurs chinois pour la maintenance de ses systèmes sensibles. Cette pratique encadrée par un dispositif de contrôle nommé « digital escorting ». « Mais ces travailleurs n’ont souvent pas l’expertise technique nécessaire pour surveiller la police d’ingénieurs étrangers ayant des compétences beaucoup plus avancées », explique ProPublica.
Cloud, Chine et PentagonLeaks…
Le système mis en place par Microsoft repose sur une idée simple : permettre à des ingénieurs étrangers d’intervenir sur des serveurs sensibles. Mais à la condition qu’ils soient supervisés par un citoyen américain habilité. Ces escortes numériques, censée jouer les vigies « n’ont souvent pas l’expertise technique nécessaire pour surveiller la police d’ingénieurs étrangers ayant des compétences beaucoup plus avancées », a constaté ProPublica.
« Certains sont d’anciens militaires avec peu d’expérience du codage qui sont payés à peine plus que le salaire minimum pour le travail », ajoute ProPublica. L’illusion du contrôle masque une réalité brutale : dans ce rapport de forces asymétrique, les clefs du système sont potentiellement dans les mains d’opérateurs étrangers.
En parallèle, un second rapport révèle l’existence de Massistant. Les chercheurs du Lookout Threat Lab ont découvert une application criminalistique, un outil de forensique mobile développé par Xiamen Meiya Pico. Elle est capable d’extraire l’intégralité des données d’un smartphone saisi : messages (même chiffrés), photos, localisations, audios… Ce logiciel, utilisé sur le terrain par les autorités chinoises, opère sans exploit zero-day, ni piratage. Il suffit d’un téléphone déverrouillé et d’un accès physique. (Credits : Xiamen Meiya Pico/Xiamen Meiya Pico/TechCrunch)
La police d’État chinoise possède depuis le 1^er juillet 2024 « des pouvoirs étendus pour fouiller les appareils électroniques, y compris les smartphones et les ordinateurs portables […] dans le cadre d’une campagne nationale visant à garantir la “sécurité nationale” ». Donc, là où Microsoft joue l’externalisation pour des raisons financières, la Chine y voit une opportunité d’ingérence. La loi chinoise impose aux entreprises de coopérer avec les services de renseignement. Dans cette configuration, chaque ligne de code, chaque intervention technique devient un vecteur d’espionnage possible.
Tempête à Washington D.C.
Les révélations de ProPublica provoquent un électrochoc à Washington D.C.. Le secrétaire à la Défense, Pete Hegseth, a annoncé la rupture immédiate de toute collaboration avec des équipes chinoises sur le susnommé cloud. Un audit express de deux semaines est lancé sur l’ensemble des contrats cloud du département de la Défense. Électrochoc amplifié par les vulnérabilités de SharePoint de Microsoft et son exploitation par Linen Typhoon, Violet Typhoon et Storm-2603, groupes réputés proches du gouvernement chinois.
« Au moment de la rédaction du présent rapport, Microsoft a observé deux acteurs chinois de l’État-nation, Linen Typhoon et Violet Typhoon, exploitant ces vulnérabilités ciblant les serveurs SharePoint orientés vers l’internet », relate Microsoft.
D’ailleurs le rapport déclassifié, sur l’évaluation annuelle des menaces (05/02/2024 — Page 11), martèle que : « la Chine reste la menace cybernétique la plus active et persistante pour les réseaux gouvernementaux, privés et d’infrastructure critique des États-Unis. »
Il ajoute que « les activités d’espionnage cybernétique de Pékin et l’exportation par son industrie de technologies de surveillance, d’information et de communication augmentent les menaces d’opérations cybernétiques agressives contre les États-Unis et la suppression de la libre circulation de l’information dans le cyberespace. »
Sous le feu de cyberattaques
Du côté du Congrès, les demandes se font pressantes : le sénateur Tom Cotton exige une liste exhaustive des sous-traitants faisant appel à du personnel chinois. L’affaire prend des airs de scandale d’État.
Face à la pression, Microsoft a publié un communiqué annonçant la fin de toute implication chinoise sur les systèmes militaires. Une manœuvre de damage control nécessaire pour protéger un secteur qui représente plus du quart de ses revenus mondiaux.
Cette affaire Microsoft illustre la dépendance critique des institutions américaines vis-à-vis de prestataires privés dont les impératifs commerciaux priment souvent sur les exigences stratégiques.
La question qui se pose : à qui doit revenir la responsabilité de la sécurité des données de défense ? Peut-on confier des infrastructures critiques à des entreprises extérieures au pays ? L’Europe tente, avec Gaia-X, de répondre par la création de clouds souverains. Les États-Unis, eux, sont face à un choix : reprendre la main ou continuer à naviguer à vue dans un espace numérique devenu un théâtre d’opérations hybrides. (Crédits : Juan Rojas/Pexels)
Ce que révèle cette affaire n’est pas uniquement une brèche, mais la vision d’un adversaire qui, avance à pas feutrés, avec une vision à long terme. Dans le cyberespace, ce ne sont plus les missiles qui font la guerre, mais les lignes de code. Microsoft, entreprise privée à but lucratif vient d’en faire l’expérience. C’est aussi aux dirigeants d’opter pour des solutions, et d’opter pour des systèmes d’information adéquats : entre le profit et la sécurité nationale, il faut choisir.
juillet 24, 2025
Cyberattaque de la santé chilienne
Depuis la révélation de la cyberattaque du 27 juin 2025 visant l’institut de santé publique au Chili, les mesures vont bon train. Cette attaque cybernétique a tenu le pays en haleine pendant 12 jours. Période durant laquelle la paralysie des fonctions clés de l’organisme ravive les inquiétudes concernant la fragilité technologique de l’État. Bien que les services soient rétablis, le Ministère public a ouvert une enquête pour connaître les auteurs derrière cet acte cybernétique.
L’attaque informatique a, depuis le 27 juin, affecté le service public concernant la délivrance des médicaments, mais aussi la validation des laboratoires et la gestion douanière, obligeant cette dernière à modifier ses procédures. Le secteur privé a également été touché. Plusieurs entreprises alertent sur l’impact sur leurs processus d’importation, de distribution et de commercialisation de produits.
Cybercriminalité et IA
La communication s’effectue via la résolution exceptionnelle n°616. Elle explique que durant la nuit du vendredi 27 juin 2025 « le personnel de l’unité IT de l’ISP a détecté une attaque qui a affecté nos systèmes d’information. Selon les informations recueillies, celui-ci se serait généré depuis le Royaume-Uni et il s’agirait d’un ransomware. » Depuis, les services concernés travaillent avec l’Agence nationale de cybersécurité (ANCI). Des fuites de données sont envisagées.
La conséquence directe est la libération de produits importés – médicaments, cosmétiques, dispositifs médicaux et pesticides à usage sanitaire – sans avoir le certificat de destination douanière (CDA) ou l’autorisation d’utilisation et d’élimination (UyD). Ces documents sont normalement nécessaires à la libération et à la distribution des produits arrivés en douane.
Sur son site, l’ISP explique en date du 9 juillet 2025, 12 h, que « nous avons rétabli l’accès aux prestations […]. Concernant les prestations qui étaient en cours de traitement au moment de la contingence informatique : celles-ci se trouvent actuellement dans des bases de données et sont en cours de récupération. » (Crédits : Carlos Figueroa Rojas/Wikipedia)
Les députés martèlent qu’il s’agit d’une « alerte rouge » et appellent à la transparence sur les violations de données et les possibles fuites. À cet égard, il est nécessaire de rappeler que le Chili a enregistré 27,6 milliards de tentatives de cyberattaques en 2024, selon FortiGuard Labs. Ce qui reflète une augmentation due à l’utilisation de l’IA et à l’automatisation, affirme le rapport. En effet, le Chili, comme l’Amérique du Sud, a dû faire face à une augmentation alarmante des cyberattaques, qui est passée de 6 milliards en 2023 à 27,6 milliards en 2024.
juillet 12, 2025
Hunters International ferme boutique
Le ransomware Hunters International qui apparaît à la fin de l’année 2023 annonce sa fin programmée en ce début juillet 2025. L’ensemble des malversations est désormais fermé. Le Ransomware-as-a-Service « offre » à toute entreprise concernée les outils nécessaires pour déchiffrer. Sur le site de fuite, plus aucune victime n’est affichée, car « en signe de bonne volonté et afin d’aider les personnes touchées par nos activités passées, nous offrons gratuitement un logiciel de déchiffrement à toutes les entreprises qui ont été victimes de notre ransomware ».
L’enseigne héritière du ransomware Hive baisse le rideau, explique LeMagIT. Ce choix serait en rapport avec les opérations de Police : End Game, Magnus et Morpheus. Mais également la rentabilité de ces opérations, avancent-ils. C’est l’occasion de se pencher sur ce groupe de cybercriminels, qui en moins de deux années, font couler beaucoup d’encre, et potentiellement des entreprises.
Le rideau est baissé
Bien que l’annonce du 17 novembre 2024 indiquant que Hunters International fermerait bientôt, en raison d’une surveillance accrue et d’une baisse de la rentabilité, Group-IB l’avait anticipé en avril. Les anciens opérateurs du ransomware Hive pourraient être impliqués dans l’administration de Hunters International. Car des similitudes du code source sont observées par différents chercheurs.
Au total 307 victimes déclarées et affichées, dont certaines notables telles Finance ICBC (UK), Quálitas (Mexique), U.S. Marshals Service (USA), Hoya Corp. (JPN), Austal (USA), Benetton Group (IT)… jusqu’à Integris Health, le plus grand réseau de soins de santé à but non lucratif de l’Oklahoma. Les données de 2,4 millions de personnes exfiltrées.
Ses cibles n’étaient pas choisies au hasard. L’intérêt stratégique est de mise. La santé, avec des données sensibles et l’urgence de réaction. L’industrie et la Défense, la capacité de nuisance, mais surtout la recherche et développement. « […] Après mûre réflexion et à la lumière des développements récents, nous avons décidé de fermer le projet Hunters International. […] » (Crédits : capture d’écran/Hunters International)
Il faut se remémorer les méthodes brutales, comme celle utilisée contre Fred Hutch Cancer Center (USA). Dans la plainte déposée, en page 10 est écrit que les patients recevaient des courriels menaçants. « Si vous lisez ceci, vos données ont été volées et seront bientôt vendues à divers courtiers en données et marchés noirs pour être utilisées dans des fraudes et d’autres activités criminelles. » Accompagné des données personnelles pour chaque destinataire : prénom, nom, adresse, numéro de dossier et informations médicales. Mais ils étaient aussi menacés d’une attaque dite « swatting ». Elle se produit lorsqu’une « fausse déclaration est faite aux forces de l’ordre afin que des agents d’intervention d’urgence, comme les équipes SWAT, se rendent au domicile d’une personne. »
Adaptation au marché
Après la fermeture programmée, au vu du message sur le site de fuites : « […] Après mûre réflexion et à la lumière des développements récents, nous avons décidé de fermer le projet Hunters International. […] », des questions demeurent. Surtout une : que font-ils désormais ? Alors que Hunters ferme, World Leaks apparaît : coïncidence ?
Le modèle business du ransomwware Hunters International n’est plus rentable. Donc ils publient un nouveau projet au 1er janvier : World Leaks (Silent). « Contrairement à Hunters International, qui combinait cryptage et extorsion, World Leaks (désormais Silent) opère comme un groupe d’extorsion uniquement en utilisant un outil d’exfiltration sur mesure », a déclaré Group-IB. Selon les opérateurs, le logiciel serait indétectable…
La stratégie de communication est basée sur un concept des années 1970 : le FUD. Il est l’acronyme de Fear, Uncertainty, and Doubt pour peur, incertitude et doute. Le logiciel malveillant utilisé par Hunters International est développé « dans Rust pour cibler les architectures x64, x86 et ARM, ainsi que les systèmes d’exploitation Windows, Linux, FreeBSD et SunOS. » (Crédits : capture d’écran/Silent)
Dorénavant, Hunters international cherchent juste l’exfiltration des données, comme un groupe d’extorsion. « Maintenant, notre tâche principale est le vol de données confidentielles des entreprises. Des données qui intéresseront tout le monde. » Ils changent leurs fusils d’épaules. Désormais seul le service IT sera informé. « Les notes sont reçues exclusivement par le service informatique et les dirigeants de l’entreprise, aucun employé ne sait rien du piratage ni des autres personnes extérieures. Nous chiffrons rarement les systèmes. » Les opérateurs indiquent avoir tout un département qui étudie soigneusement chaque dossier et trouve les plus avantageux. « Le prix sera très élevé s’il apparaît sur notre blog, ou s’il est vendu à des concurrents, sur le marché noir ou transféré aux bonnes personnes. »
juillet 7, 2025
Cyberattaques sur le sol espagnol
Après la coupure générale de fourniture d’énergie, la péninsule ibérique est sujette à une attaque cybernétique. Elle touche, Hero, fabricant de sauces entre autres. La succursale espagnole est seule touchée selon Foodretail. L’entreprise rejoint trois autres compagnies ciblées : Alcampo, Consum et El Corte Inglés. Les fuites de données et les reventes sont légion. Celles de l’entreprise d’El Corte Inglés se retrouvaient quelques semaines plus tard à vendre au prix de 15 000 dollars. Mais la ville autonome de Melilla est aussi victime de cyberattaque.
Les systèmes d’information de l’usine Hero basée à Alcantarilla (Murcia) subissent un incident cybernétique ce lundi 30 juin 2025. L’annonce se produit le lendemain par les services dédiés. Mais l’usine de production a, semble-t-il, plus de chance que la ville de Melilla. La ville autonome espagnole, située au Maroc, est la cible Qilin, ransomware russophone.
Forcées de tout stopper
L’usine espagnole de la multinationale suisse Hero a, dès la détection, isolé les systèmes d’information concernés. Le but est tout simplement de stopper la propagation. L’enquête est en cours avec des équipes spécialisées. Cette cyberattaque, selon l’entreprise, « n’a affecté que l’exploitation locale de Hero en Espagne, sans impact sur d’autres filiales du Grupo Hero au niveau international. » Ce n’est pas le cas de Melilla.
Durant le week-end du samedi 21 et du dimanche 22 juin 2025, la ville autonome de Mellila au Maroc est victime du ransomware Qilin. Ce dernier revendique d’ailleurs la cyberattaque le 26 juin sur leur site de fuite.
Le groupe criminel assure avoir « complètement détruit l’infrastructure administrative et réseau de la ville ». Ils auraient volé des données d’un volume compris entre 4 à 5 téraoctets. Depuis le site WEB est toujours hors ligne.
La source de l’infection serait la connexion à distance d’un employé de la commune. Pour un retour dans les meilleurs délais, une quarantaine de personnes travaillent d’arrache-pied.
(Crédits : Google Maps)
Les cybercriminels demandent une rançon en cryptomonnaie d’un montant de 1,8 million d’euros pour qu’ils recouvrent l’ensemble des informations. Ce qui, au départ, selon le Conseil municipal, est « un incident technique qui se résoudrait en deux jours » se transforme « en une affaire grave ». Selon le maire, Juan José Imbroda, il n’y a pas de date connue de retour à la normale, ni du coût final de remise en état et en service des systèmes d’information. Seule bonne nouvelle, les 1200 fonctionnaires sont finalement payés, malgré la cyberattaque.
juillet 2, 2025
Cyberattaque : c’est à dire ? (1/2)
Depuis quelques années, le terme cyberattaque est devenu courant dans le langage. Les séries « Stalk », « Mr. Robot », « Person of interest » et films « WarGame », « Conversation secrète », « Ennemi d’État », « Westworld » et bien sûr « Snowden » ont démocratisé ces termes. Certaines affaires font la une des journaux lorsqu’un centre hospitalier, une entreprise ou des écoles sont l’objet d’une cyberattaque. Pour autant, savez-vous ce qu’est véritablement une attaque cybernétique ?
Pas un seul jour sans que les titres de la presse informent de cyberattaques, principalement WEB. Quelques affaires documentées démontrent qu’elles ne sont pas l’apanage des seuls cybercriminels. Elles peuvent être aussi l’œuvre d’États. L’affaire des fuites de données de l’entreprise Adecco est d’ailleurs en procès depuis le 17 juin 2025 pour deux semaines. Mais commençons par le commencement, la définition. Une cyberattaque est une atteinte à des systèmes informatiques nommés systèmes d’information réalisée dans un but malveillant. Elle est comme l’hydre, elle a plusieurs visages.
Du défacement au sabotage silencieux : anatomie d’une cybercriminalité polymorphe
Le mythe du hacker solitaire, affublé d’un hoodie et d’une pizza à portée de main, appartient désormais au folklore. La cybercriminalité d’aujourd’hui est polymorphe, professionnelle et profondément ancrée dans les enjeux du monde contemporain. Elle cible aussi bien les individus que les multinationales, les hôpitaux que les États, dans une logique tantôt opportuniste, tantôt géopolitique, tantôt financière et parfois les trois ensemble.
Trois grandes motivations dominent le paysage : atteinte à l’image, espionnage, et sabotage. À travers elles, c’est toute une cartographie des risques numériques qui se dessine, du symbole au système, de l’humiliation publique à l’effondrement fonctionnel. Le défacement est à la cybersécurité ce que le tag est à l’architecture : un geste de visibilité, parfois revendicatif, souvent symbolique. Il s’agit de modifier l’apparence d’un site web pour y afficher un message, une signature, une revendication.
En 2023 encore, le collectif Anonymous a revendiqué des centaines d’actes de ce type, notamment contre des sites russes, en réaction à la guerre en Ukraine. Le message affiché est totalement clair : « vous n’êtes pas intouchables ».
(Crédits : ASSY/Pixabay)
Moins dangereux qu’un ransomware, le défacement est souvent perçu comme bénin. Mais il révèle une faille dans le système, et peut servir de précurseur à des attaques plus graves. En cybersécurité, la symbolique précède parfois l’opérationnel.
Espionnage numérique, le vol silencieux
Si le défacement hurle, car visible au demeurant, l’espionnage numérique murmure. Pas question d’abîmer ou de perturber, mais de voir sans être vu. Une fois infiltré dans le système, l’assaillant collecte des documents stratégiques, des courriels sensibles, des secrets industriels, sans altérer le fonctionnement visible de la cible : pas vu, pas pris.
L’actualité brûlante au proche et Moyen-Orient ravivent des blessures jamais cicatrisées. La volonté d’empêcher l’Iran de posséder la bombe atomique ne date pas d’hier. C’est pour cela que l’un des cas les plus célèbres de cyberattaque est en forme de Matriochka. Un quatuor au service de ses concepteurs.
Elle se compose de Stuxnet, Duqu, Flame et Gauss, connue sous le nom officieux de « Olympic Games ». Cette opération concertée aurait impliqué la NSA et les services israéliens avec l’unité 8200.
D’abord Stuxnet en 2010 avec le sabotage des centrifugeuses de Natanz, via SCADA. En 2011, Duqu, c’est une collecte d’informations pour préparer de futures attaques. Flame en 2012, bien que lancée en 2006-2007 d’après Kaspersky Lab est de l’espionnage de masse, notamment de réseaux diplomatiques et scientifiques.
Gauss partage certaines fonctionnalités de Flame, notamment les sous-programmes d’infection USB. C’est purement le ciblage bancaire et de la logistique financière dans les pays dits arabes. Plus précisément, des ordres d’interception des données provenant d’utilisateurs de banques israélienne, libanaise, palestinienne et syrienne.
Enfin, l’acte chirurgical, voire l’opération au laser, s’effectue par miniFlame. Il est une backdoor ultra-ciblée utilisée comme module complémentaire à Flame, permettant un contrôle granulaire des machines infectées.
(Crédits : Rafael Guajardo/Pexels)
Les différentes composantes ont eu des cibles privilégiées écrit Kaspersky Lab. Flame s’intéressait en particulier à l’Égypte, l’Europe, l’Iran, Israël, le Liban, la Palestine, l’Arabie Saoudite, le Soudan, la Syrie et l’Ukraine ; Duqu visait la France, la Hongrie, l’Iran et le Soudan ; Gauss Israël, le Liban, la Palestine et la Syrie ; StuxNet l’Iran.
Sabotage numérique, bloquer pour faire plier
Parfois, l’objectif n’est ni l’image ni le renseignement, mais tout bonnement la paralysie. Le sabotage numérique vise à rendre un service inopérant, souvent via des attaques DDoS ou l’injection de ransomwares. Les impacts peuvent être directs : arrêt d’activité, pertes financières, mise en danger des utilisateurs. En 2021, l’hébergeur français OVH a subi l’une des attaques DDoS les plus puissantes jamais enregistrées — à l’époque —, culminant à 1 Tbit/s.
En 2024, CloudFlare subit la plus grande attaque DDoS jamais enregistrée : « une attaque qui a atteint 5,6 térabits par seconde (Tb/s) et 666 millions de paquets par seconde à son pic. »
L’attaque DDoS considérée comme le premier acte de cyberguerre ou warfare date de 2007, en Estonie. L’étincelle est issue de la relocalisation du « soldat de la bravoure de Tallinn », un monument de la Seconde Guerre mondiale. Le gouvernement russe était soupçonné d’en être l’instigateur. L’enquête s’est stoppée aux frontières de la Russie. Cet incident conduit à l’élaboration de lois internationales pour la cyberguerre.
L’ampleur de l’attaque a rappelé que, dans le cyberespace, les infrastructures numériques peuvent s’effondrer aussi brutalement qu’un château de cartes, puis suit l’exfiltration de données. La fuite est invisible, mais les dégâts sont bien réels.
Qu’est-ce qu’une attaque DDoS ?
Rendre un dispositif indisponible pour ses utilisateurs en interrompant son fonctionnement normal. Elle est « distribuée », car elle provient de nombreuses sources. Comme une élève ou quinze professeurs lui parlent en même temps, il sature.
Il existe l’attaque dite par débordement de tampon. C’est amener une entité à utiliser toutes les ressources disponibles de l’espace du disque dur, de la mémoire ou encore du CPU. L’attaque par inondation, est comme son nom l’indique saturer un serveur avec une quantité « huge » de paquets. Pour la réussite de cet acte malveillant, l’attaquant doit disposer d’une plus grande bande passante.
Des attaques courantes sont : Smurf attack, Ping flood et Ping of Death. (Crédits : andreas160578/Pixabay)
Les conséquences sont multiples : juridique, réputationnelle, financière, opérationnelle avec une désorganisation et un arrêt de production. Le Centre Hospitalier de Versailles, fin 2022, a vu ses services profondément désorganisés après une attaque mêlant exfiltration et chiffrement de fichiers. À suivre…
juin 18, 2025
Akira, ransomware aux allures rétro
Sorti de nulle part ou presque au printemps 2023, le rançongiciel Akira truste les places de choix chez les ransomware. Les victimes, au nombre de 808, se trouvent en particulier aux États-Unis, au Canada, en Allemagne, au Royaume-Uni et au Brésil pour la moitié. Il a depuis plus d’une année gravi des échelons en qualité de Ransomware-as-a-Service (RaaS). Selon Recorded Future, il est l’un des plus actifs et persistants. De très nombreuses victimes dont certaines ne se relèvent pas, et mettent la clé sous la porte.
Depuis son apparition en mars 2023, le ransomware Akira s’est imposé comme une menace de premier plan dans le paysage cybercriminel. Contrairement à son nom évoquant un manga culte et à son interface néo-rétro, Akira n’a rien d’un jeu. Il s’agit d’un ransomware opérant selon le modèle du RaaS : une plateforme mise à disposition de cybercriminels affiliés, qui partagent les rançons avec les développeurs du code malveillant.
Une menace persistante au design trompeur
Akira se distingue par sa stratégie de double extorsion. Ainsi, avant le chiffrement, il exfiltre des données tout en menaçant de les publier si la victime refuse de payer la rançon. Cette méthode décuple la pression psychologique sur les entreprises et organisations ciblées. Des soupçons appuyés notent des liens avec le groupe Conti dissous en 2022. Des migrations d’anciens affidés de BlackBasta provoquent l’explosion de la franchise. Akira présente des similitudes avec le ransomware Conti v2. A minima, les concepteurs d’Akira ont été au moins inspirés par les sources de Conti divulguées.
En juin 2023, Avast Threat Labs indique la liste des exclusions de type de fichier. « Akira ignore les fichiers avec les mêmes extensions que Conti, sauf qu’il y a akira_readme.txt au lieu de R3ADM3.txt. » Sur la liste des exclusions d’annuaires, Akira ignore les mêmes dossiers que Conti. Le 29 juin 2023, un déchiffreur est publié par Avast pour cette version.
Akira exploite des vulnérabilités connues, et notamment CVE-2019-6693, CVE-2022-40684 et notamment la faille CVE-2023-20269 affectant les VPN Cisco ASA, pour s’introduire dans les réseaux. Une fois l’accès obtenu, il utilise des outils légitimes comme AnyDesk pour maintenir un accès distant ou encore WinRAR pour compresser les fichiers volés. (Crédits : capture d’écran/Akira)
La filiation ou paternité relève de l’achat des droits d’exploitations. « Arctic Wolf s’est concentré sur l’analyse de la chaîne de blocs, estimant que dans les trois transactions suspectes qu’il a observées, les utilisateurs de ransomware Akira ont payé plus de 600 000 dollars au total aux adresses affiliées à Conti », explique The Record.
Un arsenal technique affûté
Akira exploite des vulnérabilités connues pour s’introduire dans les réseaux. Une fois l’accès obtenu, il déploie ses tentacules. Ce dernier use d’une méthode de chiffrement complexe. En 2023, les recherches démontrent que le chiffrement s’effectuait via une combinaison des algorithmes Chacha 2008 et KCipher2. Puis, les clés étaient chiffrées avec RSA-4096, destiné à un usage sensible.
Yohanes Nugroho, chercheur en cybersécurité, détermine que la génération unique des clefs repose sur l’algorithme SHA-256. Qu’en plus, il est appliqué en 1500 tours sur quatre horodatages distincts, à la nanoseconde près ! Il n’y a pas de déchiffrement possible avec des méthodes classiques.
La faille (sur Linux) que découvre le chercheur est liée à l’utilité même de la protection : l’horodatage. La rétro-ingénierie recrée les clés de chiffrement.
« Le malware ne s’appuie pas sur un seul moment dans le temps, mais sur quatre moments distincts avec une précision à la nanoseconde. La corrélation entre ces moments permet de limiter le champ de recherche, rendant la force brute plus efficace. » (Crédits : Recorded Future)
En début d’année 2025, Akira a lancé une nouvelle version de son logiciel malveillant, écrite en Rust. Cette version cible des extensions de fichiers spécifiques et intègre des mécanismes d’évasion améliorés, rendant sa détection plus difficile. « Cependant, une fois que cela a été publié, les attaquants ont mis à jour leur cryptage. Je m’attends à ce qu’ils changent de nouveau leur chiffrement après que j’ai publié ceci », explique le chercheur.
Des victimes au nombre de 808
Depuis son apparition en mars 2023, le ransomware Akira a ciblé 808 victimes, selon Ransomware Live. La moitié d’entre elles se retrouve aux États-Unis (305), au Canada (40), en Allemagne (28), au Royaume-Uni (17), au Brésil (17). En mai 2025, l’entreprise KNP Logistics, l’un des plus grands transporteurs britanniques, a été contrainte à la fermeture après la cyberattaque de juin 2023.
Parmi les victimes notables figurent Nissan Australie (12/2023), l’université de Stanford (10/2023), le zoo de Toronto (01/2024), dont les données sont divulguées sur le site de fuite.
Les dernières victimes en date sont : McKenzie Commercial Contractors (USA, 29/05/2025), AGME Automated Assembly Solutions (Allemagne, même date), Termignoni SpA (Italie, m.d.), et Del Corona & Scardigli (Canada, m.d.)
Selon des données de Ransomware[.]live, Akira a revendiqué plus de 250 attaques en un an, affectant aussi bien des écoles publiques américaines, des fournisseurs d’énergie (Mississippi Power) que des entreprises agroalimentaires.
(Crédits : Tima Miroshnichenko/Pexels)
Si l’entreprise ne paie pas la rançon (allant de 200 000 dollars à plus de 4 millions de dollars des États-Unis sur la base des informations d’Arctic Wolf and Incident Response), le nom et les données de la victime sont publiés sur le site de fuite d’Akira. D’ailleurs, le ransomware revendique les victimes à un rythme effréné : « 54 au mois d’avril, à date, après 62 en mars, et un total de 80 en février. Mais dans ce dernier cas, au moins 21 des revendications se rapportaient à des faits antérieurs. »
juin 1, 2025
La facture salée des cyberattaques
Les attaques cybernétiques ne cessent d’augmenter depuis le premier trimestre 2025. Mis à part la violation des données, leur publication ou la vente sur des réseaux annexes, un coût est souvent ignoré. Les cyberattaques sont devenues, à l’ère du tout numérique, des catastrophes économiques aux effets en cascade. Les cas récents de Marks & Spencer et de Coinbase le confirment avec éclat : des centaines de millions d’euros évaporés, des chaînes logistiques perturbées, des cours de Bourse en chute libre.
Pendant longtemps, les cyberattaques étaient perçues comme des incidents techniques, relégués aux équipes dites informatiques. Aujourd’hui, elles s’invitent au cœur des conseils d’administration, des États, de la géopolitique, de la guerre économique et militaire. Elles redessinent la carte des risques stratégiques.
M&S : une faille à 300 millions d’euros
Le 22 avril 2025, une cyberattaque cible le géant de la distribution Marks & Spencer. Dans un communiqué, l’entreprise reconnaît que « la nature de l’incident signifie que certaines informations personnelles des clients ont été volées ». Lesdites informations sont : le nom, l’e-mail, le numéro de téléphone, la date de naissance, l’historique des achats et les détails de paiement en ligne.
Il n’existe, au stade de l’enquête en cours, aucune preuve du partage ou non, des données. La paternité est conférée à une organisation de cybercriminels liés au réseau Scattered Spider externalisant un programme désigné DragonForce. Les victimes les plus connues de Scattered Spider sont les casinos américains : Caesars et MGM Resorts.
La première attaque du groupe date de 2022. Depuis, cinq membres sont arrêtés, quatre Américains et un Écossais. Ahmed Hossam Eldin Elbadawy, Noah Michael Urban, Evans Onyeaka Osiebo, Joel Martin Evans et Tyler Buchanan. Ce dernier, appréhendé en Espagne en juin 2024, est extradé vers les USA. Au-delà de la somme astronomique, c’est l’étendue des dégâts qui frappe : dysfonctionnement prolongé de l’unité e-commerce, désorganisation de la gestion des stocks, hausse des dépenses de cybersécurité… (Crédits : Mtaylor848/Wikipedia)
« […] nous avons décidé de suspendre la prise de commandes via nos sites web et applications de M&S.com […] », explique la marque sur son site web. L’objet des intrusions non autorisées n’est plus seulement de simples fichiers volés, mais des modèles économiques, et leurs conséquences peuvent être mortelles pour les entreprises touchées.
Coinbase : faille humaine et sociale
À quelques milliers de kilomètres, c’est un autre géant qui semble vaciller. La plateforme américaine d’échange de cryptomonnaies Coinbase révèle avoir été victime d’une attaque aux conséquences potentiellement plus lourdes encore. Les estimations hautes affichent jusqu’à 400 millions de dollars de pertes. « Des criminels ont ciblé nos agents de support client à l’étranger. Ils ont utilisé des offres en espèces pour convaincre un petit groupe d’initiés de copier des données dans nos outils de support client pour moins de 1 % des utilisateurs mensuels de Coinbase. »
Ce qu’ils ont : nom, adresse, téléphone et e-mail, pièces d’identité, données du compte (instantanés de solde et historique), données d’entreprise limitées. Ce qu’ils n’ont pas : identifiants de connexion ou codes 2FA, clés privées, capacité à déplacer ou accéder aux fonds des clients, accès aux comptes Coinbase Prime…
L’entreprise a immédiatement rompu ses contrats avec les prestataires impliqués. Au lieu de payer la rançon, la société fait un pied de nez aux cybercriminels. Ils établissent un fonds de récompense de la même somme, 20 millions de dollars pour toute information menant à l’arrestation et à la condamnation des attaquants. De plus, les adresses des cybercriminels sont marquées, afin que les autorités « puissent les suivre et travailler à la récupération des actifs. » (Crédits : Worldspectrum/Pexels)
Ce que révèlent ces deux affaires, c’est que la cybersécurité ne se résume pas à des pare-feu ou des protocoles. Elle touche à l’organisation même des entreprises, à la gestion de leurs partenaires, à la formation de leurs employés, à leur capacité à anticiper les modes opératoires de plus en plus sophistiqués des cybercriminels : l’ingénierie sociale.
Ingénierie sociale : quand la menace parle votre langue
Ce n’est plus seulement par la technique que les entreprises chutent : c’est par la parole, par l’illusion, par l’être humain. L’ingénierie sociale, cet art trouble de manipuler les comportements pour accéder à des informations ou à des systèmes, ne cesse de gagner en raffinement suite aux nombreuses fuites de données.
Les fautes grossières dans des courriels douteux sont en diminution. Les attaques par phishing, spearphishing… sont de plus en plus crédibles. Le manque d’attention, de temps, la précipitation, le mobile first, fait qu’elles se glissent dans le quotidien d’un employé, sans éveiller le moindre soupçon.
Et face à cette menace invisible, aucune ligne de code ne suffit. Ce qu’il faut, c’est une éducation., une culture de la vigilance, du doute constructif, de la responsabilité partagée. La cybersécurité ne se décrète pas, elle s’enseigne, se vit, se répète. Cela, aussi bien dans le monde professionnel que dans la sphère familiale. Elle n’est plus l’exclusivité des experts IT, mais elle doit être un réflexe collectif, une éthique du quotidien. Ce n’est pas la technologie qui échoue, c’est souvent la confiance mal placée, le silence gêné, le clic trop rapide. (Crédits : Mateusz Dach/Pexels)

Parce qu’à l’ère de l’ingénierie sociale, le vrai pare-feu, c’est la conscience humaine. Le plus grand exploit jamais enregistré est le vol de 1,5 milliard de dollars en février à Bybit, deuxième plateforme mondiale de cryptomonnaies. Face à cela, les entreprises commencent à revoir leurs priorités. Mais l’ampleur des réformes à mener est immense : reconsidérer la gouvernance, auditer les chaînes de sous-traitance, investir massivement dans les outils de détection, intégrer la cybersécurité dès la conception des services. Car ce n’est plus une simple menace, c’est une condition de survie.
mai 28, 2025
Doublement des cyberattaques en Amérique latine
Il y a moins d’articles publiés sur les attaques cybernétiques de type ransomware, mais pourquoi ? La banalité d’un phénomène devenu courant ? La lassitude des lecteurs ou des journalistes ? Un peu des deux. L’information est dominée par d’autres sujets. Pour autant, les cyberattaques perdurent, les opérateurs derrière les ransomwares ne faiblissent pas, bien au contraire. Le constat est quasiment identique sur le globe terrestre, comme en Amérique latine où les cyberattaques ont doublé au premier trimestre 2025 par rapport à 2024.
Selon les chiffres de Check Point, les établissements, de la très petite entreprise à la multinationale de la région américaine, ont subi 2,6 attaques par semaine. Une augmentation significative de 108 % par rapport au premier trimestre de l’année passée.
Les cyberattaques croissent de 47 %
Le constat est alarmant. « Une augmentation de près de 50 % des menaces cybernétiques dans le monde, avec une hausse de 126 % des attaques par ransomware. » Au premier trimestre de l’année 2025, les cyberattaques ont augmenté de 47 %, ce qui représente une moyenne de 1 925 attaques hebdomadaires (Afrique 3 286, +39% ; Asie-Pacifique 2 934, +38% ; Amérique latine 2 640, +108% ; Europe 1 612, +57% ; Amérique du Nord 1 357, +40 %). À travers la planète et de manière générale, l’éducation termine en tête avec 4 484 attaques par semaine. Suivent le gouvernement (2 678) et les télécommunications (2 664).
Si l’Afrique concentre la moyenne la plus élevée, avec 3 286 attaques hebdomadaires, l’Amérique latine n’est malheureusement pas en reste. Elle affiche la plus forte augmentation avec 108 %. La banalité des attaques augmente, quand celles par ransomware croissent de 126 %. L’Amérique du Nord concentre 62 % des incidents mondiaux, l’Europe 21 %. Les biens et services de consommation sont le secteur le plus ciblé (13,2 %).
« Même les journalistes qui écrivent habituellement sur les ransomwares ne parlent plus des incidents aussi souvent qu’avant. Plusieurs journalistes m’ont même dit que Cl0p s’est plaint que personne ne couvre son exploit Cleo et les fuites de données qui ont suivi », explique Allan Liska, spécialiste du renseignement sur les menaces chez Recorded Future. (Crédits : Darwin Laganzon/Pixabay)
Allan Liska indique avoir abordé le sujet de la lassitude à l’égard des ransomwares dans les conseils d’administration, mais concernant ces attaques cybernétiques, tous s’en moquent la majeure partie du temps.
Les différents vecteurs d’attaques
Les attaques de type ransomware augmentent, affichant 126 % de croissance au niveau mondial par rapport au premier trimestre 2024. Soit un total de 2 289 incidents signalés. Ils usent de faux courriels, de faux messages, de phishing, de spearphishing… mais pas seulement. Le clonage, plus ou moins bien réussi, de sites existants est de plus en plus prégnant.
Au Mexique, c’est la marque de vêtements de plein air MAJA Sportswear qui met en garde ses clients. Un site WEB reproduisant son image tente d’escroquer les utilisateurs. Cela reflète l’évolution de la société, avec l’utilisation exponentielle de l’intelligence artificielle. Qui plus est, avec la saturation d’information et de communication, qui rend difficile la distinction entre le réel et le virtuel.
« Ce que nous avons détecté, c’est une tentative de reproduction de notre site. Le design est similaire, les images sont les mêmes, les produits sont les mêmes. La seule chose qui n’était pas authentique était l’intention : il s’agissait d’une escroquerie visant nos clients », explique Jesús Polanco, responsable du commerce électronique de MAJA.
Comment ça fonctionne ?
Les cybercriminels clonent la conception et le contenu d’un site en question. Cela ne ressemble en rien au défaçage d’un site. Ils achalandent et proposent des produits à des prix très bas, défiant toute concurrence. Ils obtiennent ainsi vos données personnelles et bancaires.
Les secteurs les plus touchés jusqu’à présent sont la mode, les cosmétiques et la technologie, mais toute entreprise ayant une présence numérique est vulnérable.
Comment identifier un faux site ?
Par des attentions abordables à tout un chacun. Il faut vérifier l’URL du site. Elle doit commencer par « https:// ». Elle correspond lettre pour lettre au domaine officiel. Ne pas faire confiance aux promotions absurdes, trop alléchantes, ni aux liens qui arrivent par courriels ou par les réseaux sociaux non vérifiés. (Crédits : Sid Maia/Pexels)
Les diverses fuites renforcent la pseudo véracité des messages reçus. En cas de doute, il suffit de choisir votre moteur de recherches préféré, de taper le nom de la marque ou du produit. Consultez toujours les réseaux officiels de la marque, ou encore écrire directement en cas de doute. Jamais, Ô grand jamais votre banque, la direction générale des finances publiques (DGFIP), et tout autre organisme ne vous demanderont de confirmer les données en leur possession.
mai 23, 2025
Cyberattaque : Astral foods perd des plumes
La cyberattaque dont le géant sud-africain est victime le 16 mars 2025 a des effets immédiats. L’entreprise annonce, dans un communiqué officiel, le 24 mars qu’elle s’attend à voir son bénéfice semestriel chuter de 60 %. Cette attaque modifie et perturbe la production et les livraisons de ses produits. La firme se veut rassurante en indiquant « qu’aucune information confidentielle ou sensible n’a été compromise ». Cette histoire remémore la cyberattaque de la ferme états-unienne qui avait perdu 9 millions de dollars au final en 2021.
Le 16 mars 2025, la section avicole de la compagnie sud-africaine Astral Foods est à l’arrêt complet suite à une cyberattaque. En toute bonne foi, la compagnie assure avoir réagi « rapidement en mettant en œuvre tous les protocoles de reprise après sinistre et les plans de préparation. Cependant, notre division Volaille a été affectée par des temps d’arrêt dans la transformation et les livraisons aux clients. »
Conséquences diverses suite aux cyberattaques
Les cyberattaques touchent de très nombreuses sociétés à travers le monde. Certaines sont des TPE, PME mais aussi des multinationales. L’impact d’un tel traumatismes est différent d’une société à une autre, le tout en fonction de la conjoncture. Quelques unes s’en sortent sans trop de dommages, quand d’autres peuvent , en France , passe en redressement judiciaire, voire en liquidation. Ces cyberattaques font subir à leurs victimes une accélération avec des conséquences désastreuses parfois.
L’industrie avicole sud-africaine vit des moments particuliers. Les causes sont : la hausse des coûts de production, les conditions économiques compliquées et la baisse du prix du poulet. Cet incident cybernétique provoque la perte de 20 millions de rands (environ un million d’euros). Ainsi, Astral Foods estime que le bénéfice net par action ne devrait pas diminuer de plus de 60 %.
Selon le marché international le prix de la volaille a diminué de 0,01 BRL/kg, ou 0,12 % depuis le début de 2025 (l’unité de mesure le BRL est le Réal brésilien par kilogramme, NDLR).
En 2023, Les États-Unis représentent 17,5 % de la production mondiale devant la Chine (13,3 %) et le Brésil (12,3 %). Les producteurs de céréales utilisées dans l’alimentation de la volaille sont la Chine (20,4 %), États-Unis (18,4 %) et Brésil (6,5 %). (Crédits : Quang Nguyen/Pexels)
Le prix record est de 8,60 BRL/kg en septembre 2021, il affiche 8,29 BRL/kg à l’écriture de cet article (31/03/2025. La production mondiale de viande de volaille devrait atteindre plus de 141,3 millions de tonnes. La croissance affichée, selon les données de l’OCDE et la FAO est de 11 %. Elle devrait atteindre près de 160 millions de tonnes, lors de la prochaine décennie. Quant au traitement des volailles lors de leurs élevages : rien n’indique l’augmentation des bons traitements, comme l’accroissement de l’espace de vie, la vue de la lumière naturelle et le fait de manger de l’herbe.
Une perte de 9 millions de dollars suite à une cyberattaque
Une affaire similaire touche une ferme états-unienne en janvier 2021. La raison une attaque cybernétique de type ransomware qui bloque temporairement les activités agricoles d’une ferme. Elle entraîne des pertes d’environ 9 millions de dollars. De nombreuses entreprises à travers le monde ne se relèvent pas des suites des cyberattaques. Un exemple en France avec la société Octave : une cyberattaque survenue le 16 août 2024, liquidation judiciaire le 19 mars 2025.
Des sociétés de production de viande sont régulièrement la cible de cyberattaque. La compagnie JBS USA est la victime en mai 2021, du groupe Sodinokibi/REvil indique le FBI. Les conséquences sont multiples. L’interruption complète de ses activités, qui affecte durablement l’approvisionnement des supermarchés. « Il va sans dire que le bœuf a disparu des rayons de nombreux magasins aux États-Unis. »
L’entreprise a fait le choix de payer une rançon aux criminels. Le montant réglé est de 11 millions de dollars. Le but est d’éviter la perte des données de l’entreprise, des clients et des employés.
La note du département de la justice américaine indique une hausse du prix de gros jusqu’à 25 %. (Crédits : Tom Fisk/Pexels)
Le 14 janvier 2022, le FSB annonce le démantèlement du groupe Sodinokibi/REvil. Au total, quatorze personnes sont arrêtées. 426 millions de roubles, soit environ 4,8 millions d’euros et 20 voitures de luxe sont saisis.
mars 31, 2025
L’ASSE, en Uruguay, subit une cyberattaque
L’administration des services de santé de l’État d’Uruguay (ASSE) est victime d’une cyberattaque. Un groupe de cybercriminels indique avoir eu accès au réseau interne. Ils déclarent, dans le but de prouver la véracité de leurs dires, avoir changé les mots de passe du directeur et du vice-président. Un fichier compressé de près de 100 Mo est disponible sur un célèbre forum, Breach Forums pour ne pas le citer. La ou les personnes derrière cette attaque expliquent que « les citoyens uruguayens ne méritent pas d’être escroqués ni que l’État joue avec leur santé ».
L’administration indique enquêter sur la situation afin d’avoir plus d’informations à ce sujet. De son côté, une entité cybercriminelle déclare, dimanche 9 mars 2025 avoir eu accès au réseau interne de l’ASSE. « Depuis quelque temps, notre groupe a accès au réseau interne de l’ASSE, ce qui nous permet d’accéder à de nombreuses bases de données. » La fuite de données exposent professionnels et patients.
Le fichier mis à disposition est de 95,6 Mo compressé pour un total de 282 documents pour un poids de 150 Mo. La base SQL affiche près de 6200 lignes de données des personnels soignants. De nombreux documents sous formats de tableurs indiquent les identités de personnes ayant effectué des tests PCR en rapport au Covid-19. Ainsi les prénoms, noms et résultats des tests sont affichés, comme le détail des facturations des personnes vaccinées ou non. (Crédits : Capture d’écran)
Concernant les tests d’autres données sont affichées : institution, professionnel, ID, lieu, numéro d’identité, date, date de réception, médecin prescripteur, type de patient, date de naissance, prénom, nom, âge, secteur, test composite, test simple, statut, résultat, unité, plage normale, libération, date de validation… L’ASSE, quant à elle, enquête sur des allégations de piratage impliquant la possibilité de retirer ou d’ajouter des prescriptions médicales au système.
mars 11, 2025