Désormais les cyberattaques ciblent les laboratoires, les hôpitaux et les systèmes de santé publique. Au Guatemala, une attaque contre le Laboratoire national de santé apporte l’illustration concrète qu’aucune barrière n’est infranchissable. L’incident a été contenu, assurent les autorités. Mais derrière cette communication maîtrisée, une réalité s’impose : la santé publique est devenue un territoire numérique exposé. Et chaque intrusion, même limitée, révèle une fragilité plus profonde. Celle d’un secteur où la continuité du soin dépend désormais de la solidité des systèmes informatiques.
Le ministère de la Santé publique et de l’Aide sociale de la Santé (MSPAS) guatémaltèque confirme une cyberattaque contre le Laboratorio Nacional de Salud (LNS). Aucune preuve du vol de données sensibles n’a été identifiée à ce stade. Au-delà du cas guatémaltèque, l’incident s’inscrit dans une tendance internationale. Ces dernières années, des hôpitaux en Europe, des laboratoires en Amérique latine et des agences de santé dans plusieurs régions du monde ont été ciblés par des cyberattaques.
Cyberattaque contre le LNS au Guatemala
Le MSPAS confirme par voie de presse, le 14 avril 2026, qu’un incident de sécurité des systèmes d’information a touché le Laboratoire national de santé. Cette attaque cybernétique a eu lieu entre le 9 et le 10 mars 2026, confirme le directeur César Conde. « Ce qui a été fait, c’est de bloquer cela et de restaurer ensuite tous les fichiers que nous avions en tant que sauvegarde (…) en ce moment à la fin du mois de mars, le début du mois d’avril est que les fichiers sont déjà restaurés ».
Le LNS est une institution clé dans la surveillance épidémiologique du pays. Le ministère indique également n’avoir identifié, à ce stade, aucune preuve d’accès non autorisé à des données sensibles ni de compromission d’informations liées aux patients ou aux activités sanitaires. L’absence de preuve d’exfiltration ne constitue pas toujours une certitude absolue. Cette attaque cybernétique est rendue publique alors que la Direction du contrôle des armes et des munitions (Digecam) a été victime d’une attaque également. Elle visait à voler des informations personnelles, des documents et des certificats de port d’armes.
Opération « PowerOFF »
L’opération internationale PowerOFF met en lumière une transformation profonde du cybercrime : son industrialisation et sa démocratisation. Plus de 75 000 utilisateurs impliqués dans des attaques par déni de service distribué (DDoS) ont été identifiés, indique Europol. Les services dits « DDoS-for-hire », ou « booter services », permettent à des individus de lancer des attaques en quelques clics. Ces attaques visent à saturer des systèmes pour les rendre indisponibles. Leur portée s’étend désormais aux infrastructures publiques, y compris celles du secteur de la santé, comme au Guatemala. Dans ce contexte, un laboratoire, un hôpital ou une agence de santé devient une cible non pas pour ce qu’il est, mais pour ce qu’il représente. C’est-à-dire un point de vulnérabilité dans un système essentiel. (Crédits : LNS/MSPAS)
L’intervention d’Europol avec l’opération « PowerOFF » (ex-Opération Vulcania) initiée le 1er juillet 2017, a révélé le 13 avril 2026, une semaine d’action coordonnée. Elle fut axée sur la répression et la prévention des agissements de plus de 75 000 utilisateurs criminels proposant des services de DDoS à la demande. Mais c’est autant de courriels et de lettres d’avertissement qui sont envoyés aux utilisateurs identifiés, explique l’agence. Cette semaine d’action a également permis la fermeture de 53 domaines, l’émission de 25 mandats de perquisition, et 4 arrestations ont été effectuées.
La fin de l’année 2025, deux affaires sonnent le glas. Toutes deux liées à la sécurité numérique et aux pratiques illicites font la une des médias. D’un côté, une cyberattaque de type DDoS de grande ampleur revendiquée par des NoName057 (16), hackers pro-russes contre La Banque postale. De l’autre, l’arrestation en Géorgie de l’ancien chef des services de sécurité nationale. Ce dernier est accusé d’avoir protégé des centres d’appels frauduleux opérant à l’échelle mondiale. Ces deux affaires démontrent que les enjeux ne sont plus techniques, mais aussi géopolitiques et judiciaires.
Tandis que France Travail est une nouvelle fois la victime d’attaques cybernétique, les fuites de données de l’année se terminant affolent une fois de plus les compteurs. Mais c’est aussi l’impact de plus en plus prégnant des attaques visant l’Europe et la France.
Une attaque informatique au cœur des fêtes
La Banque Postale a été la cible d’une cyberattaque de type DDoS. La durée exceptionnelle admet que les personnels derrière NoName057 (16) ont profité de moyens considérables. Car la moyenne des attaques par déni de service dure quatre heures. Le groupe pro-russe, Noname057 (16), a revendiqué la responsabilité de cette attaque. La Poste confirme que les opérations, nombreuses durant cette période de fêtes de Noël, avaient été interrompues.
Pour tout un chacun, ce genre d’attaque cybernétique est courante. Pour les autorités françaises, elle n’est pas un simple acte. Cela s’inscrit dans un contexte d’actions hostiles. Ce qui évoque à mots couverts le terme de Warfare. Les conflits armés perdurent comme celui entre l’Ukraine et la Russie, mais le terrain numérique prendre de plus en plus de place. D’ailleurs, dans le classement 2025 établi par l’Acled, l’Ukraine ne figure qu’à la onzième place des conflits les plus dangereux et violents.
Le Myanmar (2e) est le conflit le plus fragmenté au monde, avec plus de 1 200 groupes armés distincts qui auraient été impliqués dans au moins un événement violent. Le Pakistan (10e) est devenu plus dangereux pour les civils au cours des 12 derniers mois […] Haïti (8e) est devenu plus meurtrier et dangereux pour les civils (plus de 4 500 Haïtiens ont été tués.).
(Crédits : Mikhail Nilov/Pexels)
Face à ces perturbations, le parquet de Paris a saisi l’Unité nationale cyber (UNC) ainsi que la Direction générale de la sécurité intérieure (DGSI) pour enquêter. NoName057(16), entité prorusse supposément démantelée en juillet, a effectué, depuis 2023, plus de 2 200 attaques contre des entités françaises. La Poste a quant à elle été la cible, déjà en février 2024, du groupe Turk Hack Team.
Les hackers pro-russes et l’arène cybernétique européenne
Pour se fondre dans l’arrière-boutique de cette attaque, il faut replacer Noname057 (16) dans le paysage. Ce collectif éclate sur le devant de la scène internationale au début de l’invasion de l’Ukraine en 2022. Depuis, leur marque de fabrique est la cyberattaque de type DDoS contre des institutions européennes. Dès qu’une nation appuyait d’une manière ou d’une autre l’Ukraine, elle se voyait visée par ce type d’attaque cyber.
Bien que l’opération internationale Eastwood réussit à démanteler une partie de l’infrastructure et a arrêté certains membres, le groupe continue d’opérer. Non loin de la frontière russe, Killnet, un autre groupe pro-russe, revendique une cyberattaque contre plusieurs sites gouvernementaux bulgares. En répression au soutien militaire à l’Ukraine.
Grigol Liluashvili arrêté
Tandis que l’Europe fait face à des attaques attribuées ou revendiquées à des groupes pro-russes, une affaire de sécurité résonne au cœur du Caucase.
Les procureurs géorgiens ont procédé à l’arrestation de Grigol Liluashvili, ancien directeur du Service de sécurité d’État (SSG) de Géorgie. Les faits reprochés sont des allégations de corruption liées à la protection de « scam call centers ». Ces derniers seraient des centres d’appels frauduleux ciblant des victimes dans le monde entier. Selon la mise en accusation, le prévenu aurait accepté des pots-de-vin d’un montant avoisinant 1,365 million de dollars, versés par l’intermédiaire de son cousin.
Depuis mai 2022, 35,3 millions de dollars auraient été escroqués à plus de 6 100 victimes à travers le monde. Une enquête bien antérieure mettait au jour leur existence au sein de la capitale géorgienne, Tbilissi, à quelques mètres du siège de la SSG.
(Crédits : Harsch Shivam/Pexels)
Dans l’entourage du prévenu, certains hauts responsables politiques ont fait l’objet de perquisitions ou d’arrestations. « En octobre, les autorités ont également perquisitionné les domiciles d’un ancien Premier ministre, d’un ancien procureur en chef, et de Liluashvili, entre autres. Le cousin de Lilouashvili, Sandro Liluashvili, a été arrêté pour fraude et blanchiment d’argent. » Ce qui remémore l’affaire de corruption en Ukraine des dernières semaines. Si Liluashvili est déclaré coupable des faits qui lui sont reprochés, il encourt la peine maximale de 15 ans de prison selon le droit géorgien.
Des enjeux qui dépassent les frontières nationales
Dans un contexte géopolitique préoccupant, où les tensions s’expriment également par des moyens numériques, les cyberattaques sont partie intégrante de la guerre dite hybride. Ces deux affaires tracent une ligne de front mouvante entre cybersécurité et criminalité économique. La cyberattaque contre l’institution « La Poste » illustre combien les infrastructures numériques modernes sont des cibles, capables de perturber des services essentiels à grande échelle.
Les défis que rencontrent les gouvernements pour protéger leurs citoyens, leurs données ainsi que les entreprises contre des acteurs qui opèrent à l’échelle internationale sont multiples.
L’affaire géorgienne rappelle que la criminalité liée aux télécommunications et aux technologies peut bénéficier de complicités internes. Ce même à des niveaux élevés de l’appareil d’État, ce qui fragilise la confiance dans les institutions.
« L’enquête, basée sur 1,9 téraoctet de données divulguées obtenues par SVT, a identifié deux réseaux de centres d’appels frauduleux opérant en provenance d’Israël, d’Europe de l’Est et de Géorgie », explique l’OCCRP.
(Crédits : Fernando Arcos/Pexels)
Tout devient une arme. Le doute permet la manipulation des foules, elle devient par sa destruction une arme de propagande, ou des théories du complot deviennent des vérités. Parallèlement, des affaires comme celle de Géorgie illustrent la frontière entre crimes économiques. Tant et si bien que la frontière séparant corruption et cybersécurité s’étiole et devient floue.
Dans un monde où la guerre se joue de plus en plus derrière les écrans, l’Espagne se retrouve à l’avant-poste d’une bataille silencieuse et pourtant ravageuse : cyberattaques, ransomwares et campagnes DDoS se multiplient en 2025. Face à cette offensive numérique, Madrid répond par un plan massif de cyberdéfense, tandis que des signaux similaires émergent en Amérique latine. Ce n’est plus une simple criminalité, mais une guerre d’influence et de pouvoir.
L’Espagne, longtemps perçue comme un pays en pleine transition numérique, se découvre en 2025 une fragilité stratégique. Le dernier rapport de Thales, évoqué par Data Center Market, révèle un bond de 61 % des cyberattaques par ransomware sur le territoire espagnol, avec 79 opérations enregistrées au premier semestre. L’Espagne prend le taureau par les cornes, en se dotant d’un programme cyber
La guerre que personne ne voit (mais que tout le monde subit)
Selon les analystes de Thales, des groupes comme Akira (669 victimes), Qilin (864) ou Cl0p (517) sont parmi les plus actifs. En 2025, 7230 victimes sont à déplorer. Cette montée en puissance ne se limite pas à la simple extorsion : elle s’intègre dans une stratégie hybride, où la guerre politique, économique et numérique s‘’’imbrique, se chevauche. Ce fléau ne se manifeste pas seulement par des rançongiciels, mais aussi par des attaques de déni de service concertées (DDoS).
Les nombreuses attaques via DDoS, révèlent un hacktivisme, une riposte idéologique, mais pas seulement.
Le centre de cybersécurité industriel ZIUR, basé au Pays basque, observe une augmentation drastique de ces dernières, liée à une campagne nommée #OpSpain.
Les auteurs ? Le collectif NoName057. NoName 057 est un groupe de hackers pro-russes qui s‘est fait connaître en mars 2022 et a revendiqué la responsabilité de cyberattaques contre des agences gouvernementales, des médias et des entreprises privées ukrainiennes, américaines et européennes.
Comme le maillon humain est souvent un des vecteurs d’attaque via l’ingénierie sociale, Maria Penilla, directrice de ZIUR, indique qu’il est fondamental « de mettre en œuvre des politiques qui exigent des mots de passe robustes… en plus d’effectuer des audits périodiques pour identifier les points faibles. »
La riposte espagnole
Face à ces menaces, le gouvernement ne reste pas inerte. En 2025, il annonce 1.157 milliard d’euros alloué à la cybersécurité et à la cyberdéfense.
Selon Óscar López, ministre de la Transformation numérique, cette enveloppe financera des initiatives de prévention, de détection, mais aussi de réponse, notamment dans les infrastructures critiques, tels l’énergie, la santé ou les réseaux publics. Ce plan vient compléter celui de 2022, et que 60,4 % des fonds seront gérés par le ministère de la Défense.
(Crédits : Enrico Perini/Pexels)
L‘Espagne connaît un second trimestre plus apaisé, avec une baisse de 3.86 % (1702 incidents). « Les cinq groupes les plus actifs ont concentré près de 43 % des cas et les secteurs les plus touchés ont été la fabrication, la technologie, la santé, le banquier et la construction », relate Ziur. En effet, Qilin (864 victimes), Akira (670), Cl0p (517), Play (369) et Incransom (353), auquel s’ajoute Safepay (308) sont devenus les acteurs les plus hostiles. Dans cette stratégie l’Espagne s’affirme comme un acteur majeur de la cyberguerre. Non seulement pour protéger son territoire, mais pour peser sur l’échiquier international.
L’ombre d’un conflit global
Les cybercriminels ne sont plus de simples escrocs, ils deviennent mercenaires, parfois au service d’États. L‘hacktivisme augmente en Europe, à l’image de groupes liés à la Russie, comme UAC-0063 en Espagne. Au troisième trimestre 4941 attaques DDoS réussies sont comptabilisées, soit 2.423 de plus que le trimestre précédent. Le classement des cibles affiche en premier l’Allemagne, suivi par l’Ukraine, l’Italie, la Lituanie, la République tchèque, la France, la Belgique, la Finlande, la Norvège et, à la dixième place, l’Espagne.
Ces opérations exploitent l‘humain, ses croyances et ses faiblesses, encore trop courantes : mots de passe faibles, réutilisation des anciens, absence de gestion centralisée… Ces différents points couplés à l’ingénierie sociale deviennent dramatiques face à des adversaires disciplinés, financés et motivés.
Le miroir latino-américain
Partout en Amérique latine, la tendance se reflète : croissance des ransomwares, hacktivisme, infiltration. Il y a 39 % de cyberattaque en plus en rapport à la moyenne mondiale. Le vecteur principal est l’e-mail (62 %), celui-là même qui est utilisé pour une authentification plus forte.
Le Brésil truste la première place avec près d’un incident sur deux (47 %) devant le Mexique (23 %) et la Colombie (8 %). Les failles structurelles rendent la région particulièrement vulnérable. D’ailleurs les secteurs visés sont les gouvernements, la Défense, la Santé et les moyens de communication.
Une guerre sans fumée
Les groupes criminels s’organisent avec la sophistication des multinationales, utilisant le numérique comme levier pour étendre leur influence.
Les criminels derrière les ransomwares usent des mêmes outils que tout un chacun. Ils détournent leur utilisation pour augmenter l’efficacité des attaques cybernétiques.
« L’acteur de la menace a manipulé notre outil Claude Code pour tenter d’infiltrer environ trente cibles mondiales et a réussi dans un petit nombre de cas », explique Anthropic. (Crédits : Alex Azabache/Pexels)
L’Espagne, d’un côté, investit lourdement pour renforcer sa cyberdéfense. L’Amérique latine, de l’autre, s’érige en terrain d’expérimentation. Dans ce chaos numérique, les populations, les services publics, et les industries sont pris en étau.
Une évolution d’un côté comme de l’autre
Un constat revient dans tous les rapports : la plupart des intrusions commencent par des erreurs humaines. Mais au jeu des données qui sont rendues publiques, elles alimentent des dictionnaires et pas seulement. « Le collectif aux contours flous des ShinyHunters […] se prépare-t-il à un tournant ? », questionneLeMagIT.
Si les groupes tendent vers le modèle R.a.a.S (Ransomware-as-a-Service), ShinySp1d3r invente. Ce dernier est le nom d‘un RaaS émergent créé par ShinyHunters et Scattered Spider, relate Bleeping Computer.
Une version en cours de développement de la prochaine plate-forme ShinySp1d3r a fait surface, offrant un aperçu de l’opération à venir.
Le chiffrement développé par ShinyHunters, est construit à partir de zéro, plutôt que d’utiliser une base de code précédemment divulguée comme LockBit ou Babuk.
(Crédits : Chait Goli/Pexels)
En 2025, l’Espagne n’est plus seulement une victime du cybercrime : elle est un champ de bataille comme le monde entier. Les milliards investis, l’augmentation des ransomwares, tout converge vers un constat alarmant : le cyberespace est devenu un terrain de guerre. Il faut remettre l‘église au milieu du village, car il n’est plus le temps à la naïveté : la résilience commence par la prise de conscience.
Une opération conjointe au niveau international est lancée dès le 14 juillet 2025. La cible d’Europol n’est autre que le réseau cybercriminel NoName057(16). De très nombreuses autorités judiciaires sont intervenues dans les opérations simultanées. Une grande partie de l’infrastructure de ce groupe d’activistes pro-russes est désormais hors service. NoName057(16) est apparu en mars 2022. Les attaques cybernétiques de type DDoS visaient des sites WEB et des institutions outre-Atlantique et en Europe, comme en Suisse.
Europol, à travers le communiqué, indique le déroulement de l’opération. La France, en septembre 2024, subissait les attaques dudit groupe. « Le centre régional Centre-Val-de-Loire, les sites de l’open data de Marseille et de Sortir à Marseille, la ville de Nice ainsi que la métropole de Nantes sont visés le lundi 2 septembre 2024 via des attaques par déni de service (DDoS). »
Mandats d’arrêt émis
De nouvelles personnes viennent de rentrer sur le tableau des personnes les plus recherchées en Europe. Les conséquences de l’opérationEastwood conduisent à la perturbation « d’une infrastructure d’attaque composée de plus de cent systèmes informatiques dans le monde entier tandis qu’une grande partie de l’infrastructure centrale de serveurs du groupe a été mise hors ligne. »
Plusieurs pays ont émis des mandats d’arrêt. La Suisse, à travers le ministère public de la Confédération (MPC), a « étendu la procédure pénale à ces trois personnes et lancé un mandat d’arrêt à leur encontre […] ».
La Suisse avait subi des attaques de type DDoS les 15 juin et 25 novembre 2023, en janvier 2024 et 2025 (World Economic Forum), mais également lors du concours Eurovision de la chanson, le 16 mai 2025. L’Espagne, via la Guardia Civil, arrête, il y a tout juste un an en juillet 2024, trois hacktivistes présumés.
(Crédits : Capture d’écran/Eumostwanted)
L’opération Eastwood conduit à deux arrestations, plusieurs mandats d’arrêt émis par l’Allemagne, la Suisse, l’Espagne. Mais également vingt-quatre perquisitions, dont une en France. Une grande partie de l’infrastructure de NoName057(16) est mise hors ligne, avec la perturbation de 100 serveurs à travers le monde.
Depuis peu, les affaires sur les cyberattaques sont de plus en plus documentées. L’affaire qui est devant le tribunal correctionnel de Lyon, en France, avec les 14 prévenus et 76 000 victimes présumées, plus d’un million d’euros de préjudice, est l’affaire dite « Adecco ». Elle donne la possibilité à tout un chacun de toucher du doigt les conséquences d’une attaque cybernétique. Mais si elles peuvent être de type DDoS, il existe aussi des attaques de masse et chirurgicales, avec de vraies personnes derrière le clavier.
Si l’affaire dite « Adecco » parait hors norme, c’est par le nombre de personnes ayant ester en justice. Chaque jour, des milliers, voire bien plus encore, d’attaques cybernétiques se déroulent. Elles sont légion. Que cela se passe en temps de paix ou non, elles ne s’arrêtent jamais. Si l’espionnage ne date pas d’hier, le cinéma et les documentations des affaires déclassifiées alimentent l’intérêt général. La génération Z est plongée au cœur des cyberattaques au sens général du terme. Rares sont les personnes qui ne possèdent pas un smartphone, ou ordiphone, dans lequel se trouve leur vie numérique.
Les attaques de masse
Comme à l’usine, depuis l’avènement du fordisme, l’automatisation est devenue la norme. Ce que les cybercriminels ont compris depuis longtemps, c’est que l’automatisation rend le crime scalable. Les attaques de masse, souvent peu sophistiquées, balayent Internet à la recherche d’appareils mal configurés : caméras, imprimantes, routeurs réseau, babyphones, dispositifs de surveillance de l’environnement, machines agricoles, écouteurs ou détecteurs de fumée… En général, toute attaque a pour origine du phishing.
Une fois infectés, ces objets deviennent des « zombies », contrôlés à distance. L’une des attaques de masse emblématiques est, en 2016, due au logiciel malveillant Mirai. Le 21 octobre 2016, aux alentours de 7 h, une société d’infrastructures Internet, Dyn, est visée par une attaque DDoS (déni de service distribué). Une deuxième se produit vers midi, enfin une troisième vague vers 16 h.
Les créateurs — Paras Jha, Josiah White et Dalton Norman —, à travers leurs lignes de codes, mettent à genoux des services comme Twitter, Netflix ou GitHub en s’attaquant à l’infrastructure de Dyn. Impact mondial, coût minime. Les botnets sont soit centralisés, soit contrôlés par niveaux, ou décentralisés, les plus redoutables (Trojan.Peacomm, Stormnet). (Crédits : Ryan Lansdown/Pexels)
« Une semaine plus tard, ils mirent en ligne le code source à disposition partout dans le monde, peut-être dans une tentative de dissimuler leur trace », écrit CloudFlare. Il existe de nombreuses autres attaques de ce genre : NotPetya (2017/Lazarus), WannaCry (2017/Russie), SolarWinds (2020/APT29)…
Attaques chirurgicales
À l’opposé des attaques de masse se trouvent les APT ou Advanced Persistent Threats. Ce sont des offensives ciblées, chirurgicales, menées contre des organisations stratégiques. Qui dit attaques ciblées, sophistiquées et sur un temps persistant, dit forcément des groupes ou entités disposant de moyens considérables. Car elles reposent sur une cartographie précise de la cible, un phishing personnalisé avec du social engineering, et enfin une prise de contrôle discrète.
Le protocole est une machine bien huilée. Il commence par de la collecte d’informations publiques (OSINT). Elles proviennent de nos publications volontaires ou des fuites de données. S’ensuit une infection ciblée à travers un e-mail, un SMS, un vocal piège… Arrive la latéralisation. « La phase de déplacement latéral d’une attaque est celle où l’assaillant cherche d’autres systèmes à compromettre sur le réseau », explique Lindsay Kaye, directrice senior de l’Insikt Group de Recorded Future, en charge des résultats opérationnels. Les acteurs malveillants cherchent des accès, d’autres systèmes à infecter ou des informations intéressantes. « Le déplacement latéral se produit avant le dépôt de la charge utile finale, qu’il s’agisse d’un ransomware, d’un malware utilisé avec le soutien d’un État ou d’autres outils malveillants », poursuit Lindsay Kaye sur LeMagIT. Enfin vient l’extraction des données.
Contrairement aux cyberattaques dites opportunistes, les APT visent des objectifs quantitatifs et qualitatifs — entreprises stratégiques, infrastructures critiques, institutions publiques — dans une logique d’espionnage, de sabotage ou de manipulation.
Comme le téléfilm de la fin des années 80 Arsène Lupin, avec Georges Descrières, où « il vient chez vous la nuit sans déranger votre sommeil », ils cherchent la plus grande discrétion. Le but est simple : y demeurer des mois, des années, tout en collectant des informations sensibles ou en préparant des actions destructrices.
Les attaques via APT sont régulièrement attribuées à des acteurs étatiques ou paraétatiques, comme le groupe APT28, APT41 ou Lazarus. Ces attaques constituent aujourd’hui l’un des plus grands risques pour la sécurité économique et géopolitique mondiale.
(Crédits : Summer Stock/Pexels)
Parmi les groupes les plus actifs, il y a APT28 ou Fancy Bear ; le groupe serait lié au renseignement russe, tout comme APT29 ou Cozy Bear. Lazarus Group est lié à la Corée du Nord, comme le Bureau 121, Apt41 ou Winnti est un groupe chinois ; enfin APT33 est associé à l’Iran. Ce dernier ciblerait les secteurs de l’aéronautique et de l’énergie. Mais également Unit 8200 en Israël, Lulzsec aux États-Unis, The Dark Overlord ou encore Ugnazi.
Qui se cache derrière le clavier ?
Comme dans la série Profilage, chaque entité, individu, possède des traits qui lui sont propres. L’image du geek installé dans sa chambre avec des restes de pizza froide tient plus de la légende des films de série Z. Dans l’affaire dite « Adecco », le féru d’informatique n’avait que 17 ans. Tous les cybercriminels ne se ressemblent pas. Plusieurs profils se distinguent : l’individuel, animé par le défi, l’ennui, la vengeance personnelle ou l’appât du gain. Le crime organisé, les hacktivistes (Anonymous, LulzSec…), ceux des États… pour interférer dans une élection présidentielle ou créer un scandale.
Derrière les écrans, certains noms circulent comme des ombres, des fantômes aux visages familiers parmi les analystes de cybersécurité et les enquêteurs d’Interpol. Ils sont ainsi quelques-uns à faire l’unanimité des forces de l’ordre à travers le monde.
Le plus recherché est Dmitry Khoroshev. Il est identifié comme le responsable du ransomware LockBit. L’un, voire le plus prolifique des groupes cybercriminels. Les sommes extorquées dépassent le milliard de dollars.
Evgeniy Mikhailovich Bogachev, alias « Slavik » ou « Lucky12345 », est le créateur du malware Zeus GameOver. Il est accusé d’avoir orchestré le vol de plus de 100 millions de dollars via des institutions financières infectées. Aujourd’hui, il vivrait en Russie, sous la protection de l’État, avec une prime de 3 millions de dollars promise par le FBI sur sa tête.
Maksim Yakubets alias « Aqua », chef du groupe Evil Corp, a sur sa tête une prime de 5 millions de dollars. Il est accusé d’être responsable des malwares Dridex, Bugat. Du côté de la Corée du Nord, Park Jin Hyok est membre du célèbre Bureau 121. Ce dernier est soupçonné des attaques cyber contre Sony Pictures en 2014. Mais aussi la propagation du ransomware WannaCry qui a paralysé le NHS britannique et touché plus de 150 pays, et le piratage de banques via le réseau SWIFT. En Iran, c’est le groupe APT35 ou Charming Kitten.
Alexsey Belan détient le plus grand nombre de compromissions de comptes, avec plus d’un demi-milliard et le « piratage » de Yahoo en 2014. Et encore des noms comme Yevgeniy Nikulin, accusé du piratage de LinkedIn et de Dropbox. Quant à Moises Luis Zagala Gonzalez, alias « Nosophoros », il serait le créateur du ransomware Thanos (utilisé en Iran et en Russie). (Crédits : Andrew Neel/Pexels)
La plus grande compromission en France est la fuite des données de France Travail, anciennement Pôle emploi avec 43 millions de comptes touchés. La recherche et l’arrestation pour la présentation devant la justice des personnes présumées auteures des faits cités est souvent compliquée. Aux USA, l’arsenal judiciaire, bien que redoutable, est désarmé face à des États qui voient en ces cyber-mercenaires des leviers géopolitiques, telle la Chine, la Corée du Nord ou encore la Russie pour ne citer que ces pays. Le crime cybernétique n’est plus un jeu de solitaire, c’est une affaire d’infrastructure, d’influence et parfois, d’impunité.
Une bonne hygiène est possible
La numérisation accélérée des services, la généralisation du télétravail et la prolifération des objets connectés (IoT) décuplent chaque jour la surface d’attaque. Chaque terminal, chaque routeur, chaque employé est une porte potentielle de fuite ou d’entrée. Toutes les entreprises sont et restent vulnérables, les TPE encore plus. Leur manque de moyens, l’absence de référents sécurité (RSSI), la méconnaissance des risques…. Selon l’ANSSI, en 2023, on comptait une attaque toutes les 37 secondes dans le monde.
Prévenir plutôt que subir. La réponse n’est pas seulement technique. Elle passe la culture, l’organisation et l’information. Parmi les leviers possibles, la formation à la SSI dès le collège et dans l’entreprise. En effet, les données que rapporte Heaven sont impressionnantes. « 9 enfants sur 10, âgés de 12 ans, disposent déjà d’un smartphone au quotidien. » D’autant que la CNIL, dans son rapport, indique une augmentation significative des fuites en 2024.
« 5 629 violations de données ont été notifiées à la CNIL en 2024, soit 20 % de plus par rapport à l’année précédente. »
L’adoption de bonnes pratiques et d’hygiène informatique semble nécessaire. Mais également des tests d’intrusion, des simulations et des audits. Car la sécurité est un processus, pas un état où la vigilance doit être continue, évolutive et partagée. (Crédits : cottonbro studio/Pexels)
La cybercriminalité est une menace transversale, qui dépasse les frontières comme les disciplines. Elle est économique, stratégique, parfois politique, mais surtout : elle est persistante. Face à elle, la meilleure défense reste la lucidité. L’idée que « cela n’arrive qu’aux autres » est l’alliée la plus fidèle des attaquants. La résilience ne se décrète pas : elle se construit dans la durée, par la formation, la prévention, la coordination.
Depuis quelques années, le terme cyberattaque est devenu courant dans le langage. Les séries « Stalk », « Mr. Robot », « Person of interest » et films « WarGame », « Conversation secrète », « Ennemi d’État », « Westworld » et bien sûr « Snowden » ont démocratisé ces termes. Certaines affaires font la une des journaux lorsqu’un centre hospitalier, une entreprise ou des écoles sont l’objet d’une cyberattaque. Pour autant, savez-vous ce qu’est véritablement une attaque cybernétique ?
Pas un seul jour sans que les titres de la presse informent de cyberattaques, principalement WEB. Quelques affaires documentées démontrent qu’elles ne sont pas l’apanage des seuls cybercriminels. Elles peuvent être aussi l’œuvre d’États. L’affaire des fuites de données de l’entreprise Adecco est d’ailleurs en procès depuis le 17 juin 2025 pour deux semaines. Mais commençons par le commencement, la définition. Une cyberattaque est une atteinte à des systèmes informatiques nommés systèmes d’information réalisée dans un but malveillant. Elle est comme l’hydre, elle a plusieurs visages.
Du défacement au sabotage silencieux : anatomie d’une cybercriminalité polymorphe
Le mythe du hacker solitaire, affublé d’un hoodie et d’une pizza à portée de main, appartient désormais au folklore. La cybercriminalité d’aujourd’hui est polymorphe, professionnelle et profondément ancrée dans les enjeux du monde contemporain. Elle cible aussi bien les individus que les multinationales, les hôpitaux que les États, dans une logique tantôt opportuniste, tantôt géopolitique, tantôt financière et parfois les trois ensemble.
Trois grandes motivations dominent le paysage : atteinte à l’image, espionnage, et sabotage. À travers elles, c’est toute une cartographie des risques numériques qui se dessine, du symbole au système, de l’humiliation publique à l’effondrement fonctionnel. Le défacement est à la cybersécurité ce que le tag est à l’architecture : un geste de visibilité, parfois revendicatif, souvent symbolique. Il s’agit de modifier l’apparence d’un site web pour y afficher un message, une signature, une revendication.
En 2023 encore, le collectif Anonymous a revendiqué des centaines d’actes de ce type, notamment contre des sites russes, en réaction à la guerre en Ukraine. Le message affiché est totalement clair : « vous n’êtes pas intouchables ». (Crédits : ASSY/Pixabay)
Moins dangereux qu’un ransomware, le défacement est souvent perçu comme bénin. Mais il révèle une faille dans le système, et peut servir de précurseur à des attaques plus graves. En cybersécurité, la symbolique précède parfois l’opérationnel.
Espionnage numérique, le vol silencieux
Si le défacement hurle, car visible au demeurant, l’espionnage numérique murmure. Pas question d’abîmer ou de perturber, mais de voir sans être vu. Une fois infiltré dans le système, l’assaillant collecte des documents stratégiques, des courriels sensibles, des secrets industriels, sans altérer le fonctionnement visible de la cible : pas vu, pas pris.
L’actualité brûlante au proche et Moyen-Orient ravivent des blessures jamais cicatrisées. La volonté d’empêcher l’Iran de posséder la bombe atomique ne date pas d’hier. C’est pour cela que l’un des cas les plus célèbres de cyberattaque est en forme de Matriochka. Un quatuor au service de ses concepteurs.
Elle se compose de Stuxnet, Duqu, Flame et Gauss, connue sous le nom officieux de « Olympic Games ». Cette opération concertée aurait impliqué la NSA et les services israéliens avec l’unité 8200.
D’abord Stuxnet en 2010 avec le sabotage des centrifugeuses de Natanz, via SCADA. En 2011, Duqu, c’est une collecte d’informations pour préparer de futures attaques. Flame en 2012, bien que lancée en 2006-2007 d’après Kaspersky Lab est de l’espionnage de masse, notamment de réseaux diplomatiques et scientifiques. Gauss partage certaines fonctionnalités de Flame, notamment les sous-programmes d’infection USB. C’est purement le ciblage bancaire et de la logistique financière dans les pays dits arabes. Plus précisément, des ordres d’interception des données provenant d’utilisateurs de banques israélienne, libanaise, palestinienne et syrienne.
Enfin, l’acte chirurgical, voire l’opération au laser, s’effectue par miniFlame. Il est une backdoor ultra-ciblée utilisée comme module complémentaire à Flame, permettant un contrôle granulaire des machines infectées.
(Crédits : Rafael Guajardo/Pexels)
Les différentes composantes ont eu des cibles privilégiées écrit Kaspersky Lab. Flame s’intéressait en particulier à l’Égypte, l’Europe, l’Iran, Israël, le Liban, la Palestine, l’Arabie Saoudite, le Soudan, la Syrie et l’Ukraine ; Duqu visait la France, la Hongrie, l’Iran et le Soudan ; Gauss Israël, le Liban, la Palestine et la Syrie ; StuxNet l’Iran.
Sabotage numérique, bloquer pour faire plier
Parfois, l’objectif n’est ni l’image ni le renseignement, mais tout bonnement la paralysie. Le sabotage numérique vise à rendre un service inopérant, souvent via des attaques DDoS ou l’injection de ransomwares. Les impacts peuvent être directs : arrêt d’activité, pertes financières, mise en danger des utilisateurs. En 2021, l’hébergeur français OVH a subi l’une des attaques DDoS les plus puissantes jamais enregistrées — à l’époque —, culminant à 1 Tbit/s.
En 2024, CloudFlare subit la plus grande attaque DDoS jamais enregistrée : « une attaque qui a atteint 5,6 térabits par seconde (Tb/s) et 666 millions de paquets par seconde à son pic. »
L’attaque DDoS considérée comme le premier acte de cyberguerre ou warfare date de 2007, en Estonie. L’étincelle est issue de la relocalisation du « soldat de la bravoure de Tallinn », un monument de la Seconde Guerre mondiale. Le gouvernement russe était soupçonné d’en être l’instigateur. L’enquête s’est stoppée aux frontières de la Russie. Cet incident conduit à l’élaboration de lois internationales pour la cyberguerre.
L’ampleur de l’attaque a rappelé que, dans le cyberespace, les infrastructures numériques peuvent s’effondrer aussi brutalement qu’un château de cartes, puis suit l’exfiltration de données. La fuite est invisible, mais les dégâts sont bien réels.
Qu’est-ce qu’une attaque DDoS ?
Rendre un dispositif indisponible pour ses utilisateurs en interrompant son fonctionnement normal. Elle est « distribuée », car elle provient de nombreuses sources. Comme une élève ou quinze professeurs lui parlent en même temps, il sature.
Il existe l’attaque dite par débordement de tampon. C’est amener une entité à utiliser toutes les ressources disponibles de l’espace du disque dur, de la mémoire ou encore du CPU. L’attaque par inondation, est comme son nom l’indique saturer un serveur avec une quantité « huge » de paquets. Pour la réussite de cet acte malveillant, l’attaquant doit disposer d’une plus grande bande passante.
Des attaques courantes sont : Smurf attack, Ping flood et Ping of Death. (Crédits : andreas160578/Pixabay)
Les conséquences sont multiples : juridique, réputationnelle, financière, opérationnelle avec une désorganisation et un arrêt de production. Le Centre Hospitalier de Versailles, fin 2022, a vu ses services profondément désorganisés après une attaque mêlant exfiltration et chiffrement de fichiers. À suivre…
Diverses cibles françaises sont la cible d’attaques par déni de service. Le but est de surcharger les serveurs pour rendre inopérant ledit site WEB. Si, certains affirment ne pas avoir subi de vol de données, elles sont souvent comme le magicien, une diversion. De Reims à Nantes, jusqu’à Marseille, de nombreuses infrastructures sont touchées. Les services compétents sont à pied d’œuvre pour rétablir les services. Des cyberattaques pour obtenir de l’argent, perturber une entité ou un pays en représailles des actions ou soutiens.
La rentrée des classes s’effectue à peine, que les cyberattaques de tout type n’ont pas pris de vacances. En premier lieu, le groupe NoName057(16) affiche de nombreuses attaques de type DDoS sur des cibles françaises.
La France ciblée par NoName057(16)
Une fois de plus, les différentes entités sur l’hexagone sont victimes de cyberattaques. Les revendications vont bon train. Le site de la ville et de l’agglomération de la ville de Reims est le denier exemple en date. Elle est la réponse au soutien à l’Ukraine de la France.
Le centre régional Centre-Val-de-Loire, les sites de l’open data de Marseille et sortir à Marseille, la ville de Nice ainsi que la métropole de Nantes sont visés le lundi 2 septembre 2024 via des attaques par déni de service (DDoS). Selon la collectivité, aucune donnée n’aurait été volée. Le site est à nouveau consultable le lundi à 21 h 30.
C’est également le cas de la Préfecture de Police selon les revendications.
Un seul des sites affichés admet des difficultés encore. Le site bien pratique de la circulation en temps réel sur l’île de la Réunion.
Le lendemain, 3 septembre 2024, la ville de Reims et son agglomération sont touchés. Ils saturent le trafic pour empêcher son fonctionnement.
Le jour de la rentrée des classes, l’université de Reims Champagne-Ardenne subissait une « attaque massive de Bots ». Mais les villes de Strasbourg, Bordeaux, Le Havre, Montpellier et Lille sont épinglées.
(Crédits : capture d’écran/NoName057(16))
Aujourd’hui, le 4 septembre le groupe affilié à la Russie rends momentanément les sites des villes de Nîmes et Angers hors ligne. Celles concernant l’Autorité de régulation des transports, du ministère de la Justice, de l’ONAC semblent contenues. Seuls les sites de la direction interministérielle du numérique et de l’alerte sur les réseaux sont en dysfonctionnement.
Le fournisseur d’accès à l’Internet Lagoon est victime d’une cyberattaque de type ransomware. L’offensive se serait déroulée dans la nuit de samedi à dimanche 18 août 2024. Le site du FAI est toujours hors service à l’heure actuelle. Les équipes techniques travaillent d’arrache-pied. Cette attaque vient confirmer le niveau des cyberattaques dans le monde. Mais c’est en particulier la somme totale que les victimes ont versée aux cybercriminels qui affolent les compteurs : 459,8 millions de dollars.
Les cyberattaques sont légion. Durant les JO de Paris2024, l’ANSSI a recensé 141 incidents de cybersécurité. Elles sont principalement des attaques DDoS bien gérées. En Nouvelle-Calédonie, il n’y a plus d’accès au site internet de Lagoon, et des victimes collatérales.
Lagoon hors service
Depuis lundi 19 août 2024, c’est le black-out, la panne complète : « Cyberattaque, le FAI Lagoon Offratel victime d’un rançongiciel », titre Radio Cocotier. Sport Eveil attitude explique que « notre opérateur internet LAGOON rencontre des difficultés et malheureusement nous ne sommes pas en mesure d’envoyer ou de recevoir des mails. » C’est le cas de nombreuses victimes collatérales.
Par un message sur Facebook, l’opérateur annonce à ses clients être victime d’attaque par ransomware. « Nous prenons cette situation très au sérieux et travaillons activement avec les autorités locales et nationales pour traiter cet incident. »
L’impact sur ses clients est en cours d’investigation. Ils sont à pied d’œuvre pour « rétablir nos services dans les plus brefs délais ». Le nom du gang de cybercriminels n’est pas connu.
Sur le deuxième point info, les courriels « @laggon.nc » ne sont plus accessibles. Mais il indique qu’il ne faut pas absolument pas débrancher le modem, ni l’éteindre.
Comme chaque entreprise victime, les lignes téléphoniques sont hors services. (Crédits : Capture d’écran/Lagoon Offratel)
Lorsque les hôpitaux sont victimes de cyberattaque, ils doivent faire face. Ils fonctionnent avec papier et crayon, pour maintenir l’offre de soins, jusqu’au rétablissement des dives systèmes d’information. Le FAI, Lagoon, indique que petit à petit, les clients recouvrent l’accès à l’Internet.
Près d’un demi-milliard de rançons
Comme explique Bill Toulas pour BleepingComputer, les victimes de ransomware ont versé 459 800 000 dollars lors du premier semestre. Si le paiement de rançons se maintient, la somme totale devrait établir un nouveau record. La comparaison avec 2023 s’appuie sur des attaques très médiatisées et préjudiciables. L’exploitation Cl0p du zero-dayMoveIT et l’exploitation par le groupe de ransomware ALPHV/BlackCat des propriétés hôtelières de Caesars, pour ne citer qu’eux.
L’année 2023 affiche un retour des ransomwares, mais c’est en particulier le total des rançons payées qui atteint des records. Selon Chainalysis, le montant des rançons payées passe de 220 millions de dollars en 2019 à 1,1 milliard en 2023.
Une entreprise du classement fortune 50 a versé 75 millions de dollars en 2024, cela fait suite à la cyberattaque du gang Dark Angels, selon le rapport de Zscaler. « 2024 devrait être l’année la plus lucrative à ce jour pour les paiements de ransomware, en grande partie parce que les souches mènent moins d’attaques très médiatisées, mais perçoivent des paiements importants », explique ChainAnalysis. Le rapport stipule aussi que les souches de ransomware les plus conséquentes ont sous-performé de 50,8 %. Ce qui est dû aux interventions des forces de Police (Alphv/BlackCat, Lockbit), avec une interruption temporaire ou définitive. (Crédits : MichaelWuensch/Pixabay)
La première partie du rapport continue en relevant que la rançon médiane versée est passée de 198 939 dollars au début de l’année 2023 à 1,5 million en juin 2024. Donc les groupes de cybercriminels « ciblent en priorité les grandes entreprises et les fournisseurs d’infrastructures critiques, qui pourraient être plus enclins à payer des rançons élevées en raison de leurs poches profondes et de leur importance systémique. » Moins d’attaque, mais plus ciblées, la chasse aux gros poissons (big game hunting), plus enclins à payer.
Les jeux Olympiques de Paris 2024 mettent la capitale française sous les lumières des projecteurs. C’est l’événement sportif mondial attendu des dernières années. Il pourrait être aussi le plus exposé aux cyberattaques. Bien qu’il n’y ait pas besoin d’un tel événement pour que la France et ses entreprises soient ciblées. Des arrestations ont lieu en Espagne, avec trois personnes liées au groupe NoName057(16), un jeune de 17 ans qui échangeait données personnelles contre cryptomonnaie et au Royaume-Uni, un autre de 17 ans pour appartenance à Scattered Spider.
Alors que les jeux Olympiques de Paris 2024 ont commencé, malgré la densité des forces de l’ordre sur la capitale française, ils œuvrent encore partout ailleurs. En Espagne, comme en Angleterre ont eu lieu des arrestations.
Trois hacktivistes présumés de NoName057(16) arrêtés
La Guardia Civil arrête trois personnes en Andalousie à Séville, Huelva et au sein des îles Baléares à Manacor. Leurs domiciles perquisitionnés, du matériel informatique et divers documents d’intérêt ont été saisis.
Le trio d’individus est soupçonné d’avoir exercé des cyberattaques par déni de service distribué (DDoS). Les cibles sont des institutions stratégiques espagnoles, comme d’autres pays membres de l’OTAN.
Depuis le début du conflit armé entre l’Ukraine et la Russie, le groupe admet qu’il « répondra de manière proportionnée aux actions hostiles et ouvertement anti-russes des russophobes occidentaux », relate le manifeste fondateur.
L’entité mène des attaques DDoS contre des sites web d’organisations publiques comme privées. Ils visent notamment les secteurs gouvernementaux et infrastructures dites critiques. Tout ce qui est donc essentiel. (Crédits : interior.gob.es)
Ils usent de leur propre conception, DDoSia, pour les cyberattaques effectuées par le groupe NoName057 (16). Ainsi cet hacktivisme est dirigé vers les différents pays adoptant une position pro-Ukrainienne dans le contexte de ce conflit armé. Malgré l’arrestation des trois affidés présumés, les cyberattaque et revendication ne s’interrompent pas. « Another of our friends hacked the Spanish website of the Spanish company MONTAJES COFIVENT and mined the data😈 ». Avec à la clé 21 fichiers téléchargeables, dont treize semblent vides de la société ibérique Cofivent..
Les Mossos d’Esquadra arrêtent Alcasec à Madrid
Les Mossos d’Esquadra avec la Guardia Civil détiennent Alcasec, l’auteur présumé de cyberattaque de la compagnie Hola Luz en 2022. Son arrestation date du 18 juin 2024. L’intrusion non autorisée a eu lieu les 26 et 27 octobre 2022.
Le jeune homme est libéré il y a un an (2023), grâce à sa collaboration avec la justice. Il est l’auteur présumé du vol des données de 37 000 clients de l’entreprise Hola Luz. Données qu’il aurait ensuite vendues en échange de cryptomonnaies.
José Luis Huertas, 20 ans connu sous le pseudonyme d’Alcasec, est une troisième fois arrêté depuis ses seize ans en 2020.
Selon les forces de l’ordre, le suivi des paiements en cryptomonnaies a permis de découvrir son implication présumée dans la cyberattaque contre Hola Luz. Alcasec est d’ailleurs considéré comme un expert en cryptomonnaies. (Crédits : Mossos d’Esquadra)
Mis à la disposition de la justice espagnole le 19 juin 2024, le jeune homme est en détention provisoire dans l’attente de son procès. Il est soupçonné d’être derrière le moteur de recherche Udyat, l’Oeil d’Horus. Il permet d’obtenir des données personnelles et sensibles,
Scattered Spider, BlackCat et Quilin
Il y a presque un an, les casinos Caesar Palace et MGM Resorts aux États-Unis subissaient une cyberattaque. L’enquête a permis d’arrêter un suspect, en Angleterre. La police des West Midlands en collaboration avec le FBI détient un adolescent de 17 ans. « […] les chercheurs pensent que le groupe de pirates est composé d’adolescents et de jeunes adultes anglophones âgés de 16 à 22 ans », écrivait très justement Bleeping Computer.
« Nous avons arrêté un jeune homme de 17 ans originaire de Walsall en relation avec un groupe mondial de cybercriminalité en ligne, qui a ciblé de grandes organisations avec des ransomwares et a accédé à des réseaux informatiques », communique la police de West Midlands.
Microsoft affirme que Scattered Spider use du ransomware Qilin dans ses cyberattaques. En premier lieu, ils auraient utilisé le ransomware BlackCat avant Qilin. Ce dernier émerge la première fois en août 2022, sous le nom d’Agenda, puis rebaptisé un mois plus tard.
Le suspect a été placé en garde à vue. Il est soupçonné de chantage et d’infraction à la loi sur l’utilisation abusive de l’informatique (Computer Misuse Act). (Crédits : Linda78/Pixabay)
Le groupe cybercriminel Scattered Spider a ajouté le ransomware Qilin à ses outils et en use lors de ses attaques. « Au cours du deuxième trimestre de 2024, acteur de la menace motivé par des raisons financières, Octo Tempest, notre acteur de la menace de rançongiciel le plus étroitement suivi, a ajouté RansomHub et Qilin à leurs charges utiles de rançongiciel dans des campagnes », déclare Microsoft lundi 15 juillet 2024.
Les attaques par déni de service distribué (DDoS) ne sont pas les attaques informatiques les plus sophistiquées. Elles sont pourtant une offensive régulière. Elles sont le fait de nombreux acteurs. L’afflux de messages entrants, de requêtes, de paquets mal formés… ont un seul but : ralentir, bloquer, voire arrêter un ou plusieurs systèmes. Ceux qui usent de ce type sont des pirates informatiques individuels, des réseaux criminels organisés, jusqu’aux agences gouvernementales.
Le plus grand hub de DDoS-for-Hire est désormais sous le contrôle de la NCA depuis le 2 juillet 2024. Ils sont 61 sites démantelés par les forces de l’ordre sans le denier et troisième volet de l’opération PowerOFF. D’après une étude menée par Cloudflare, au cours du premier trimestre de 2024, 4,5 millions d’attaques DDoS sont menées. Une augmentation de 50 % en rapport à l’année 2023, cite le rapport vantant ses infrastructures.
L’opération PowerOFF met Digitalstress hors ligne
La National Crime Agency (NCA) au Royaume-Uni annonce que le site DDoS-for-hire www[.]digitalstress[.]su est sous le contrôle de l’entité britannique. Le 2 juillet 2024 une opération conjointe de la NCA, du PNSI (Service de police d’Irlande du Nord) et du FBI. La révélation de cette opération s’effectue seulement le 22 juillet, 20 jours après.
Et pour cause, le PNSI conduit à l’arrestation d’un présumé responsable en ce début du mois de juillet 2024. L’individu est connu sous le pseudonyme de Skiop.
L’agence s’est introduite tel un ver dans la pomme. Ayant pris le contrôle, de nombreuses données et informations sur les utilisateurs ont été glanées.
Puis via la confection d’une splash page, les autorités avertissaient les utilisateurs de la récupération de leurs données, par le service compétent.
(Crédits : NCA)
Désormais, les services épluchent l’ensemble des informations ainsi glanées. « L’activité […] a toutefois montré que ces domaines sont vulnérables et peuvent être exploités pour mettre fin aux activités criminelles et identifier les responsables», explique la NCA.
The NCA took over the site and disabled its functionality, replacing the domain with a splash page, warning users that their data has been collected by law enforcement. This was achieved by creating a mirror site that users were directed to. pic.twitter.com/6aV0Qc3rHA
— National Crime Agency (NCA) (@NCA_UK) July 22, 2024
« Les services de “booter” sont une forme attrayante de cybercriminalité d’entrée de gamme, qui permet à des individus ayant peu de compétences techniques de commettre facilement des cyberdélits », a déclaré Paul Foster, chef de l’unité nationale de lutte contre la cybercriminalité.
Opération PowerOFF
L’opération PowerOFF débute en 2018. Elle est une opération conjointe en cours depuis six années. Le FBI avec la police néerlandaise se saisit de 15 sites WEB. Le Département de la justice américaine a inculpé le 19 décembre 2018 Matthew Gatrel, 30 ans, de St. Charles (Illinois), et Juan Martinez, 25 ans, de Pasadena (Californie).
Le procès se tient en 2022. Matthew Gatrel et Juan « Severon » Martinez ont créé deux services, qui se trouvent être au cœur de ce procès. Le premier est un « booter », le second un « stresser », soit une attaque DDoS à la demande.
Le volet se décomposait en deux volets. Downthem permettait de lancer des attaques DDoS, via des abonnements. L’autre AmpNode fournissait aux clients des serveurs « usurpateurs » (spoofing).
Matthew Gratel est reconnu coupable de violations du Computer Fraud and Abuse Act (CFAA) au regard de trois chefs d’accusation. Le premier est la « conspiration en vue de commettre une atteinte non autorisée à un ordinateur protégé », le deuxième est la « conspiration en vue de commettre une fraude électronique », enfin celle « d’atteinte non autorisée à un ordinateur protégé ». (Crédits : Fokuza/Pixabay)
Il est condamné à deux ans de prison. Lors de l’opération, les canaux de communication sont saisis. Les services de police analysent les données. Ce qui pourrait aboutir à de nouvelles enquêtes. L’année passée au mois de mai 2023, treize autres sites sont tombés via la même opération PowerOFF.
