Libre Expression

Étiquette : ransomware

  • IA et cyberattaque, quand le cybercrime change de visage

    IA et cyberattaque, quand le cybercrime change de visage

    La cybercriminalité connaît une transformation significative, ciblant désormais des infrastructures essentielles, qu’il s’agisse de systèmes bancaires au Brésil, de plateformes de jeux en ligne telles que PlayStation, ou de dispositifs d’alerte sismique au Pérou. Bien que l’intelligence artificielle (IA) n’ait pas initié les activités frauduleuses, elle en optimise la célérité, la crédibilité et la difficulté de détection. Les acteurs malveillants ont adapté leurs méthodes, délaissant les approches physiques pour privilégier des stratégies numériques axées sur l’exploitation des vulnérabilités, la manipulation de données et la tromperie.

    L’intégration de l’IA confère aux cyberattaques une rapidité, une fluidité et une envergure accrues, s’inscrivant dans une logique d’industrialisation du crime. Ce qui était initialement perçu comme relevant du domaine virtuel impacte désormais des entités réelles : institutions financières, États, citoyens et systèmes d’urgence. Le champ d’application de ces menaces semble limité uniquement par l’imagination des assaillants.

    Le crime organisé à l’ère industrielle numérique

    Historiquement adaptable, le crime organisé a évolué au-delà de ses schémas traditionnels, opérant désormais de manière plus discrète. Il oriente ses efforts vers les flux financiers, les failles systémiques et les comportements humains. Alors qu’auparavant, il ciblait principalement les agences bancaires physiques, les coffres-forts et les distributeurs automatiques, ses objectifs actuels incluent les identifiants numériques, les systèmes de paiement, les services clients, les données biométriques et les applications quotidiennes.

    CCTV, surveillance, IA

    Dans le domaine physique, le braquage d’une banque implique une exposition à la CCTV et aux forces de l’ordre, augmentant les risques d’arrestation. Inversement, dans le monde numérique, l’attaquant opère à distance, peut multiplier ses actions malveillantes, fragmenter les responsabilités et transférer des fonds en peu de temps.

    La Febraban révèle une baisse des attaques contre les agences bancaires et les DAB au Brésil, avec seulement vingt et une occurrences rapportées en 2025, contre plusieurs milliers une décennie auparavant. Toutefois, cette baisse ne signale pas une éradication, mais une mutation. Parallèlement, le système financier brésilien enregistre 12 millions de cas, dont l’attaque contre C&M qui a entraîné le détournement de 813 millions de réaux brésiliens, un montant cinq fois supérieur à celui du braquage de la Banque centrale de Fortaleza en 2005. (Crédits : Jakub Zerdzicki/Pexels)

    Dans ce contexte, l’IA ne constitue pas une solution miracle, mais un puissant accélérateur. Elle facilite la rédaction de messages frauduleux plus crédibles, permet l’imitation de tons professionnels, la personnalisation des tentatives d’hameçonnage et la réduction des erreurs manifestes. Les courriels d’hameçonnage mal formulés et truffés de fautes coexistent désormais avec des communications numériques bien plus sophistiquées. La nature fondamentale de la cybercriminalité, fondée sur la ruse, l’exploitation des failles et l’appât du gain, demeure inchangée, mais l’IA lui confère une efficacité renouvelée.

    Les infrastructures comme cibles privilégiées en Amérique latine

    La portée de la cybercriminalité s’étend au-delà du simple vol de cartes bancaires pour englober des infrastructures critiques, telles que les banques, les registres d’identité, les systèmes d’alerte et les plateformes numériques. Bien que la France soit fréquemment mentionnée dans les rapports d’incidents de fuites de données, l’application de l’IA dans la cybercriminalité est un phénomène global. Au Pérou, plusieurs incidents récents soulignent cette vulnérabilité, notamment concernant le système Sismate, dédié aux alertes sismiques d’urgence. Des messages erronés signalant des séismes majeurs et des tsunamis, ainsi que des allégations de fraude électorale, ont été rapportés suite à une attaque cybernétique.

    Bien que les autorités péruviennes n’aient pas intégralement confirmé la nature de ces événements comme cyberattaque, l’usurpation d’un système d’alerte public érode la confiance, ce qui peut déstabiliser l’autorité étatique et, potentiellement, être le signe d’une ingérence étrangère. Au Pérou, le Reniec signale avoir bloqué 46 millions de tentatives d’accès non autorisées en 2024. Un registre d’identité contient des données personnelles, parfois biométriques, indispensables à l’authentification des citoyens, à l’attribution de droits et à la sécurisation des procédures administratives. Des situations similaires sont observées en France avec l’ANTS. Lorsqu’une telle entité est compromise, la question n’est plus uniquement la protection d’un serveur, mais elle impacte directement l’individu dans ses dimensions administrative, sociale et financière.

    Pression sur les infrastructures publiques et privées

    Les signalements de compromission de comptes PlayStation Network (PSN) illustrent la vulnérabilité des plateformes numériques. Un compte PSN représente bien plus qu’un simple profil, intégrant une adresse électronique, un historique d’achats, des moyens de paiement, un portefeuille numérique, des abonnements, des consoles associées et des liens avec d’autres services. Les conditions d’utilisation de PlayStation exigent des utilisateurs la fourniture d’informations personnelles exactes, incluant le lieu de résidence et la date de naissance, ainsi que des données d’usage relatives à l’activité de jeu, aux interactions sociales, aux listes d’amis, aux messages et aux paramètres de confidentialité. Autrement dit, il concentre assez d’informations pour intéresser un cybercriminel. Pas pour voler un compte, mais pour usurper une identité, contourner un support client ou tenter d’autres fraudes par système de rebond. (Crédits : Marco Alhelm/Pexels)

    Pérou, sol, photo

    Ces comptes centralisent un volume significatif d’informations susceptibles d’intéresser les cybercriminels, non seulement pour le vol du compte lui-même, mais également pour l’usurpation d’identité, le contournement des systèmes de support client ou l’initiation de fraudes par rebond. Les attaquants exploitent fréquemment l’ingénierie sociale pour persuader les équipes de support client de restaurer l’accès à des comptes ne leur appartenant pas, réaffirmant ainsi le facteur humain comme point d’entrée critique. La vulnérabilité ne réside donc pas toujours dans les failles logicielles, mais peut émerger de la perte de confiance.

    Les contributions de l’IA : vitesse, crédibilité et confusion

    Il serait inexact d’attribuer l’intégralité des cyberattaques à l’IA. Des méthodes telles que les rançongiciels, l’hameçonnage, le harponnage, les exploits de zero-day, le vol d’identifiants, les vulnérabilités non corrigées, les faux comptes et l’ingénierie sociale préexistaient à la prolifération des IA génératives. Cependant, l’expansion de l’IA modifie profondément le paysage de la cybersécurité en augmentant la productivité et les ressources des acteurs malveillants. L’IA ne crée pas nécessairement de nouvelles méthodes, mais elle rend les techniques existantes plus rapides, plus crédibles et plus généralisables.

    IA, femme, code

    Son premier effet se manifeste dans le langage : les messages accompagnant les tentatives d’hameçonnage sont désormais plus raffinés, plus vraisemblables, et adaptés au contexte linguistique, culturel et professionnel de la cible. Un faux courriel bancaire peut ainsi être difficilement distinguable d’un original, et les tentatives sont plus subtiles. Le deuxième effet concerne l’industrialisation, permettant de générer des milliers de variantes, d’expérimenter diverses approches et de cibler différents profils avec une efficacité accrue. Le troisième effet est d’ordre psychologique : dans un environnement informationnel saturé, la distinction entre une alerte officielle authentique, une communication commerciale et une tentative de fraude devient de plus en plus ténue, générant une confusion préjudiciable.

    Principes fondamentaux de la cybersécurité

    Les organisations doivent prioriser la correction de leurs vulnérabilités, la surveillance rigoureuse des accès, la formation continue de leurs équipes, l’encadrement des usages internes de l’IA et la coopération avec les autorités compétentes. Les individus, quant à eux, doivent cultiver un esprit critique sans être paranoïaques, en vérifiant systématiquement l’expéditeur, en évitant de transmettre des codes sensibles, en ne cédant pas à l’urgence de cliquer et en activant l’authentification multifacteur (MFA).
    La France est directement exposée à cette pression numérique mondiale. Selon un rapport Check Point/Cyberint, elle aurait concentré 13 % des cyberattaques recensées en Europe en 2025, la plaçant en première position sur le continent. L’ANSSI confirme une menace élevée, ayant enregistré 2 209 signalements et 1 366 incidents l’année précédente, touchant particulièrement les secteurs de l’éducation, de la recherche, des ministères, des collectivités, de la santé et des télécommunications. (Crédits : Cottonbro Studio/Pexels)

    Dans ce contexte, la France, pays numérisé, puissance diplomatique, économie développée, et acteur engagé sur la scène internationale, se trouve être une cible de choix, confrontée aux réalités de la cyberguerre. Cette situation souligne que le cybercrime transcende la sphère virtuelle pour impacter l’économie, l’identité des citoyens, la confiance publique et la souveraineté nationale. L’IA n’a pas créé cette menace, mais elle lui a conféré une formulation plus élaborée, une exécution plus rapide et une apparence plus légitime. Contrairement aux méthodes de vol traditionnelles qui étaient souvent bruyantes, les cyberattaques modernes débutent fréquemment par un message numérique d’une parfaite crédibilité.

  • Les nouvelles lignes de faille du numérique (3/4)

    Les nouvelles lignes de faille du numérique (3/4)

    Les vulnérabilités naissent aussi d’un enchevêtrement de dépendances, d’infrastructures vieillissantes et d’arbitrages politiques, au niveau étatique comme européen. Pour chaque défaillance du corps humain, l’amalgame de traitement pourrait causer des désagréments. Par conséquent, aller au-delà de cinq prescriptions médicamenteuses après 65 ans ne serait pas adéquat. C’est ainsi que l’histoire de surcharge, à l’instar d’un ascenseur, d’un système d’information fragile, mal géré et malade.

    Il est courant d’évoquer les gentils et les méchants, les blancs et les noirs, comme lorsque, gamins, nous jouions aux gendarmes et aux voleurs. Il est de bon ton de parler de cybersécurité en termes de duel clair, d’un côté les défenseurs, de l’autre les attaquants. Une facilité de langage commode, mais incomplète. Les vulnérabilités émergent d’un système où les outils d’exploitation sophistiqués circulent au-delà de leur usage et mésusage. Le problème n’est donc pas uniquement celui du hacker. Il est aussi celui de l’architecture, de l’entretien et du pouvoir. L’extinction de réseaux encore utilisés par des équipements, comme les ascenseurs, la pression record des géants comme les GAFAM à Bruxelles nous raconte une même histoire. Un système devient fragile parce qu’il est mal gouverné.

    0-day, réseaux vieillissants, lobbying, arrêt des 2G/3G…

    Le kit d’exploitation Coruna constitue un framework offensif ciblant les appareils sous iOS. Il repose sur l’orchestration de multiples chaînes d’exploitation combinant au total 23 vulnérabilités distinctes. Conçu comme une plateforme modulaire, il permet une compromission quasi complète. Le kit implémente des mécanismes de fingerprinting afin d’adapter dynamiquement la chaîne d’attaque à la version d’iOS (13 à 17.2.1) et au modèle ciblé. Son but est de maximiser la fiabilité de l’exploitation, mais à l’origine une boite d’outils de piratage d’iPhone utilisés par des espions russes en Ukraine. Ce qui donne écho à la cyberattaque concernant Signal en Allemagne.

    Réseau, Hub, Câble

    Initialement observé dans des opérations liées à des acteurs de surveillance commerciale, Coruna illustre un phénomène critique de prolifération de cybercriminels. Ce notamment lors des campagnes de vol de données et de cryptoactifs, explique Google Threat Intelligence (GTIG). Ils indiquent avoir constaté des fragments de la chaîne dans des actions très ciblées. Puis dans des attaques en watering hole. Ces offensives visent des utilisateurs Ukrainiens, avant une récupération dans des opérations bien plus vastes. Elles sont attribuées à un acteur basé en Chine. Ce phénomène traduit une évolution du cybercrime.

    La vulnérabilité des équipements oubliés

    À première vue, les ascenseurs ne sont pas concernés par des 0-day. Pourtant, ils le sont à travers les dépendances techniques héritées. Le décret n° 2026-166 du 4 mars 2026, publié au Journal officiel du 6 mars, vise à maintenir le niveau de sécurité des ascenseurs face à l’arrêt des réseaux de télécommunication dit 2G/3G. Certaines dispositions sont d’ores et déjà en vigueur au 1er avril 2026, et le 15 mai pour le contrôle technique. Ce qui se joue ici est plus important qu’un simple ajustement réglementaire.

    La Banque des Territoires rappelle que le décret impose le remplacement des systèmes de communication d’urgence reposant encore sur le RTC ou la 3G. La Fédération des ascenseurs indique que le parc français compte 661 000 unités, dont 290 000 sont toujours équipés de dispositifs de téléalarme utilisant les réseaux 2G/3G.

    (Crédits : Paul Seling/Pexels)

    Ici, la dette technique ne se traduit pas seulement par un logiciel obsolète ou un serveur mal patché. Elle révèle une vérité souvent négligée. Les couches les plus anciennes ne disparaissent pas. Elles s’incrustent dans les bâtiments, les ascenseurs, les alarmes, les systèmes de santé ou les téléassistances. Elles deviennent ainsi des points de fragilité au moment même où l’on prétend « basculer » vers le nouveau. Là encore, la menace ne vient pas d’abord d’un adversaire, mais d’un empilage. Des réseaux s’éteignent, des équipements ne sont pas modernisés à temps, la réglementation rattrape l’urgence… Le cyber, au sens large, n’est pas seulement un espace d’attaque : c’est aussi le lieu où l’obsolescence se transforme en risque concret.

    Fragilité politique d’un numérique sous influence

    Le troisième niveau de faille est le moins visible, quoique : le Lobbying. Omniprésent, il désigne une activité d’influence sur le pouvoir politique. Selon SynthMedia, s’appuyant sur un rapport relève qu’à Bruxelles, les groupes de pression comptaient fin 2025 quelque 890 représentants. L’Observatoire des multinationales, qui reprend les mêmes chiffres, ajoute que les dépenses annuelles de lobbying du secteur atteignent désormais 151 millions d’euros, en hausse d’un tiers depuis 2023, et que dix entreprises représentent à elles seules 49 millions, Meta truste la première place.

    Ces chiffres ne constituent pas un scandale, ils décrivent juste un rapport de force présent dans les différentes couches de la société. La régulation du numérique européen est une âpre bataille où les entreprises disposent de moyens d’influence considérables. L’Observatoire souligne qu’au premier semestre 2025, les lobbyistes obtiennent 378 rendez-vous avec des membres du Parlement. La norme se travaille, se commente, se contourne et parfois se neutralise sous une pression continue.

    La cybersécurité se joue aussi
    dans les textes

    Un kit d’exploit prospère grâce à l’existence d’un marché, de l’offre et de la demande. Ainsi, des ascenseurs restent dépendants de réseaux obsolètes parce que les transitions se font trop tard ou trop lentement. La cybersécurité n’est pas que l’affaire des équipes techniques. Elle résulte aussi de la force de la régulation, de la capacité à imposer des exigences industrielles, de la vitesse à laquelle on oblige les acteurs à moderniser, à documenter, à réduire la dépendance ou rendre des comptes.

    Certaines fragilités sont subies, entretenues, découvertes, tolérées. Puis certaines s’aggravent par des arbitrages politiques qui laissent les dépendances sédimenter jusqu’à l’incident. Le numérique mal gouverné n’est pas seulement un numérique vulnérable ; c’est un numérique qui produit lui-même les conditions de sa propre faiblesse. (Crédits : Oluwatosin A/Pexels)

    Roue, Bruxelles, sécurité

    Coruna, les ascenseurs et l’armée de lobbyistes racontent une seule histoire. Ils décrivent trois couches d’une même vulnérabilité. La première est technique : des outils offensifs de très haut niveau circulent plus qu’hier. La deuxième est matérielle : des équipements ordinaires restent suspendus à des infrastructures anciennes. La troisième est politique : la norme censée corriger ces failles se construit sous une pression privée massive. Un système peut être innovant, et profondément fragile. Il peut multiplier les prouesses techniques tout en accumulant des angles morts et les dépendances. La cybersécurité ne consiste plus seulement à colmater des failles. Elle suppose de gouverner un ensemble de vulnérabilités techniques, infrastructurelles et politiques qui, ensemble, dessinent l’état réel de notre souveraineté numérique.

  • Le Laboratoire de la santé au Guatemala subit une cyberattaque

    Le Laboratoire de la santé au Guatemala subit une cyberattaque

    Désormais les cyberattaques ciblent les laboratoires, les hôpitaux et les systèmes de santé publique. Au Guatemala, une attaque contre le Laboratoire national de santé apporte l’illustration concrète qu’aucune barrière n’est infranchissable. L’incident a été contenu, assurent les autorités. Mais derrière cette communication maîtrisée, une réalité s’impose : la santé publique est devenue un territoire numérique exposé. Et chaque intrusion, même limitée, révèle une fragilité plus profonde. Celle d’un secteur où la continuité du soin dépend désormais de la solidité des systèmes informatiques.

    Le ministère de la Santé publique et de l’Aide sociale de la Santé (MSPAS) guatémaltèque confirme une cyberattaque contre le Laboratorio Nacional de Salud (LNS). Aucune preuve du vol de données sensibles n’a été identifiée à ce stade. Au-delà du cas guatémaltèque, l’incident s’inscrit dans une tendance internationale. Ces dernières années, des hôpitaux en Europe, des laboratoires en Amérique latine et des agences de santé dans plusieurs régions du monde ont été ciblés par des cyberattaques.

    Cyberattaque contre le LNS au Guatemala

    Le MSPAS confirme par voie de presse, le 14 avril 2026, qu’un incident de sécurité des systèmes d’information a touché le Laboratoire national de santé. Cette attaque cybernétique a eu lieu entre le 9 et le 10 mars 2026, confirme le directeur César Conde. « Ce qui a été fait, c’est de bloquer cela et de restaurer ensuite tous les fichiers que nous avions en tant que sauvegarde (…) en ce moment à la fin du mois de mars, le début du mois d’avril est que les fichiers sont déjà restaurés ».

    Le LNS est une institution clé dans la surveillance épidémiologique du pays. Le ministère indique également n’avoir identifié, à ce stade, aucune preuve d’accès non autorisé à des données sensibles ni de compromission d’informations liées aux patients ou aux activités sanitaires. L’absence de preuve d’exfiltration ne constitue pas toujours une certitude absolue. Cette attaque cybernétique est rendue publique alors que la Direction du contrôle des armes et des munitions (Digecam) a été victime d’une attaque également. Elle visait à voler des informations personnelles, des documents et des certificats de port d’armes.

    Opération « PowerOFF »

    L’opération internationale PowerOFF met en lumière une transformation profonde du cybercrime : son industrialisation et sa démocratisation. Plus de 75 000 utilisateurs impliqués dans des attaques par déni de service distribué (DDoS) ont été identifiés, indique Europol.
    Les services dits « DDoS-for-hire », ou « booter services », permettent à des individus de lancer des attaques en quelques clics. Ces attaques visent à saturer des systèmes pour les rendre indisponibles. Leur portée s’étend désormais aux infrastructures publiques, y compris celles du secteur de la santé, comme au Guatemala. Dans ce contexte, un laboratoire, un hôpital ou une agence de santé devient une cible non pas pour ce qu’il est, mais pour ce qu’il représente. C’est-à-dire un point de vulnérabilité dans un système essentiel. (Crédits : LNS/MSPAS)

     L’intervention d’Europol avec l’opération « PowerOFF » (ex-Opération Vulcania) initiée le 1er juillet 2017, a révélé le 13 avril 2026, une semaine d’action coordonnée. Elle fut axée sur la répression et la prévention des agissements de plus de 75 000 utilisateurs criminels proposant des services de DDoS à la demande. Mais c’est autant de courriels et de lettres d’avertissement qui sont envoyés aux utilisateurs identifiés, explique l’agence. Cette semaine d’action a également permis la fermeture de 53 domaines, l’émission de 25 mandats de perquisition, et 4 arrestations ont été effectuées.

  • Les nouvelles lignes de faille du numérique (2/4)

    Les nouvelles lignes de faille du numérique (2/4)

    La fuite d’informations n’est plus l’accident rare qu’une institution espère contenir à huis clos avant de reprendre son souffle. Elle est devenue un bruit de fond, presque un régime ordinaire du numérique. En ce début d’année 2026, entre le bilan déjà vertigineux dressé sur les deux premiers mois, l’affaire de la Carte Jeune Occitanie (CJO), l’exfiltration de données liée aux CROUS, l’attaque signalée par la Fédération française de rugby et la cyberattaque qui a frappé la billetterie de musées lyonnais via Vivaticket, c’est une même réalité qui s’impose : les données personnelles circulent souvent plus vite que la responsabilité.

    À force de se répéter, la fuite de données perd son pouvoir d’effroi. Un nouvel incident survient. Une communication promet la vigilance. Des recommandations de prudence sont diffusées. Puis l’attention se dissipe. C’est précisément ce mécanisme d’accoutumance qui devrait inquiéter. Pendant que l’opinion se lasse, les bases s’accumulent, les fichiers circulent, les identités se recomposent et les victimes, elles, demeurent exposées.

    La banalisation des fuites de données

    Le constat est brutal. Dans le bilan du premier trimestre, les fuites de données sont légion. « Une fuite massive chez Alinto expose 40 millions de métadonnées e-mail, touchant grandes entreprises et institutions françaises. Un risque majeur de phishing et de cyberattaques ciblées », explique French Breaches. Parmi les entreprises identifiées, on compte L’Oréal, Renault, Carrefour, DHL et Hermès. En 2025, ce sont plus d’une centaine de fuites importantes.

    Le danger de ce conglomérat de fuites n’est pas la violation en tant que telle, mais la consolidation de toutes les données exposées. Ainsi, la construction d’activités malveillantes spécifiques est permise, avec une connaissance plus profonde des individus concernés ou ciblés. Les attaques de la supply chain couplées à de l’ingénierie sociale sont légion.

    « Les attaques contre la chaîne logistique ou d’approvisionnement (supply-chain attack) consistent à compromettre un tiers, comme un fournisseur de services logiciels ou un prestataire, afin de cibler la victime finale. Cette technique est éprouvée et exploitée par plusieurs acteurs étatiques et cybercriminels depuis au moins 2016 », relate le rapport du CERT à la page 48.

    Cela évoque l’une des dernières incursions d’UNC1069 contre le Node Package Manager (NPM) « axios ». UNC1069, alias CryptoCore alias MASAN, est un APT (Advanced Persistent Threat) nord-coréen connu pour cibler les échanges de cryptomonnaies et les institutions financières, en utilisant des techniques de spear-phishing.

    Carte Jeune Région en Occitanie

    L’affaire de la CJO concentre à elle seule plusieurs lignes de fracture. La Région Occitanie a confirmé avoir reçu, le 5 mars 2026, un avis de son prestataire technique sur un incident de sécurité affectant le système de la Carte. « La région Occitanie vient (encore) de subir une faille de sécurité touchant les bénéficiaires de la Carte Jeune Région. Plus de 310 000 lycéens, apprentis et étudiants voient ainsi leur vie privée compromise par ce piratage », martèle France Bleu. Les informations mises à la disposition de tout un chacun sur le dark web sont les prénoms, noms, les coordonnées, dates de naissance, courriels, numéros de téléphone, le tout avec un volume important de photographies. (Crédits : Swastik Arora/Pexels)


    Cette fuite expose des identités jeunes, jusqu’à parfois celle des représentants légaux, des rattachements scolaires et des éléments suffisamment précis pour nourrir de l’ingénierie sociale, de l’hameçonnage ciblé ou de l’usurpation. Le plus révélateur, ici, n’est plus seulement l’incident. C’est le modèle. On numérise pour simplifier l’accès à des aides, à des services, à des avantages éducatifs ou culturels. Une base bien intentionnée reste une base.

    Quand une plateforme du Crous devient un gisement de données

    L’exfiltration de renseignements confidentiels issus du site « Mes Rendez-Vous » prolonge ce même constat. Le 24 mars 2026, le réseau des CROUS confirme l’extraction de données concernant 774 000 personnes, issues de la décennie précédente. Parmi elles, 139 000 ont vu des pièces jointes exfiltrées, et 635 000 ont subi les conséquences d’une fuite limitée au prénom, nom, courriel ainsi que l’objet et la date du rendez-vous.

    Là encore, un schéma est familier. Une routine presque invisible dans le quotidien administratif. Des données s’accumulent au fil du temps. Puis vient la révélation que cette matière silencieuse constitue un actif criminel de premier ordre. Le groupe DumpSec revendique l’affaire. Les pièces concernées sont encore sensibles.

    Cet incident se regarde pour ce qu’il est vraiment. Il n’est pas une simple fuite de plus, mais un rappel du potentiel à vocation criminelle des infrastructures de service quand elles concentrent, sur une longue durée, des données personnelles liées à des parcours de vie, à des demandes d’aide ou à des situations sociales fragiles.
    La plateforme AlumnForce a été victime d’une cyberattaque entraînant l’exfiltration de données. Elle porte sur environ 2,7 millions de profils. La base contiendrait plus de 1,83 million de courriels uniques et plus de 651 000 numéros de téléphone. Les informations ainsi collectées afficheraient prénom, nom, courriel, numéro de téléphone, adresse postale, lieu de travail, poste occupé, adresse professionnelle, entreprises…

    La FFR plaquée au sol

    Le cas de la Fédération française de rugby ajoute une autre dimension au tableau. La FFR relate être victime d’une cyberattaque. Cet incident s’est produit à la suite d’une campagne de phishing visant certains licenciés. Elle précise que les systèmes d’information n’auraient pas subi de dommages.
    Une base volumineuse de plus de 500 000 personnes potentiellement concernées, en plus de photographies et de nombreux documents. Avec un croisement des fuites précédentes, telles que la Carte jeune Région, et l’ingénierie sociale bondissent d’un cran supplémentaire. (Crédits : Malama Mushitu/Pexels)

    Les multiples fuites rappellent une chose simple. Le risque cyber ne se cantonne plus aux banques, aux opérateurs ou aux grandes entreprises. En cas de conflit, la guerre se déroule sur terre, dans l’air, sur et dans les océans et mers, dans l’espace et le cyberespace. Le risque s’est dilué au sein des structures de confiance du quotidien et dans nos habitudes.

    La billetterie passe au révélateur la fragilité des dépendances techniques

    À première vue, l’attaque contre la billetterie de plusieurs musées lyonnais semble d’un autre ordre, pourtant. Le système de billetterie de quatre musées — le Musée des Beaux-Arts, le Musée d’art contemporain, le Musée Gadagne et le Centre d’Histoire de la Résistance et de la Déportation — est touché, avec compromission de données, notamment prénoms, noms, adresses postales, numéros de téléphone et mots de passe.

    Nous avons adressé des notifications à la CNIL et à l’ANSSI, tandis qu’on a invité les utilisateurs à changer leur mot de passe, relate l’entreprise.

    Car l’affaire lyonnaise n’est pas isolée. Elle se mue en un cas international et touche 3500 musées européens. Les responsables de l’attaque de type ransomware la revendiquent et affichent leur site de fuite.

    « Chère direction d’Irec SAS. Nous vous attendions depuis un certain temps, mais il semble que votre service informatique ait décidé de dissimuler l’incident survenu dans votre entreprise. Nous vous recommandons fortement de nous contacter afin d’éviter que vos données confidentielles et vos documents de projets ne soient divulgués », annoncent les opérateurs derrière le rançongiciel RansomHouse.

    État dégradé du numérique

    Ce que raconte ensemble le premier trimestre de 2026 n’est pas une simple série de faits. C’est également un affaiblissement de la confiance, donc de la réputation, et indirectement un impact financier.

    Et cette logique ne se limite pas aux bases administratives ou aux prestataires du quotidien : les révélations récentes autour d’une fuite alléguée de plus de dix pétaoctets depuis un centre national de supercalcul de Tianjin en Chine rappellent que la compromission de données peut aussi changer d’échelle et toucher des infrastructures a valeur stratégique, même si ce cas reste à confirmer pleinement. (Crédits : Ehsan Hasani/Pexels)

    Mais la vraie question, sous-jacente, n’est plus seulement : une fuite s’est-elle produite ? Elle est devenue plus sévère : quelle organisation a réellement réduit sa collecte, cartographié ses dépendances, limité ses durées de conservation, segmenté ses accès et préparé l’après-incident ? Tant que cette question restera sans réponse robuste, la fuite de données continuera d’apparaître comme une crise ponctuelle, alors qu’elle est déjà, pour une part du numérique contemporain, une condition ordinaire de fonctionnement.

  • Au chevet du malade, assailli de cyberattaques

    Au chevet du malade, assailli de cyberattaques

    En février 2026, la France a, à travers le ministère de la Santé, confirmé l’une des fuites de données médicales les plus importantes de l’histoire contemporaine. Au final entre 11 et 15 millions de patients sont touchés. Un prestataire est au cœur de la tempête médiatique et informatique. L’éditeur concerné, Cegedim, stipile qu’il y a eu un accès non autorisé a des comptes professionnels de praticiens. Cet incident n’est pas une anomalie — il est le symptôme d’une mutation profonde du cybercrime, industrialisé, mondialisé et dopé à l’intelligence artificielle.

    L’entreprise explique avoir détecté l’incident en fin d’année 2025. Elle engage depuis des mesures correctives communique t-elle. Les renseignements exposés incluent notamment l’identité. Cet épisode constitue l’un des événements les plus importants qui ont touché le système de santé français ces dernières années. Il illustre surtout une tendance structurelle : la multiplication des attaques contre des bases de données contenant des informations sensibles.

    L’affaire Cegedim : une brèche dans la chaîne de confiance médicale

    Le ministère de la Santé français confirme la compromission des données administratives d’environ 15 millions de patients. Le vecteur d’attaque identifié : une intrusion dans les comptes professionnels de praticiens utilisant « Mon Logiciel Médical » de l’éditeur Cegedim, l’un des principaux fournisseurs de solutions numériques pour les cabinets médicaux en France.

    santé, médecine, hôpital

    Cette attaque n’est pas isolée. Elle s’inscrit dans une dynamique mondiale caractérisée par une augmentation rapide du nombre et de la sophistication des cyberattaques. Selon le média économique espagnol Merca2, on a compté 28 millions de cyberattaques en 2025 avec l’aide de l’intelligence artificielle. D’ailleurs le répit connu en début d’année 2025 a fondu comme neige au soleil. Mais certaines franchises minimisent leurs attaques sur le site de fuite comme Akira.

    Selon les déclarations de l’entreprise, l’accès frauduleux n’a pas visé ses infrastructures centrales directement, mais a exploité des comptes utilisateurs de médecins. Cegedim affirme avoir détecté l’incident fin 2025 et avoir engagé des mesures correctives. Les données exposées comprennent des éléments d’identité et de contact — noms, dates de naissance, coordonnées. Puis pour certaines des brides d’indications, relevant du secret médical, sont diffusées sur l’Internet. (Crédits : Alexa/Pixabay)

    L’incident illustre un vecteur de plus en plus prisé : la compromission par rebond via les prestataires (supply chain attack). Lorsqu’un fournisseur informatique desservant des milliers de cabinets subit une attaque, l’impact se propage en cascade à l’ensemble de ses clients. Elle est particulièrement difficile à anticiper pour des établissements de santé aux ressources en cybersécurité souvent limitées.

    Concernant la fuite elle-même, différentes informations circulent. Le fichier contenant les civilités pèse 411,2 Mo compressé, puis 4,7 Go décompressé. Il affiche au total 19 109 299 lignes au sein d’un document au format “.json”.
    Les informations ainsi distillées sont pour chacun et chacune : prénom, nom, civilité, genre, date de naissance, adresse, code postal, ville, département, courriel, numéros de téléphone (fixe et portable), statut du patient (assuré ou non), régime (général, agricole ou spéciaux), nom de l’assuré principal en cas d’enfant à charge, date de création du dossier médical, la dernière visite au cabinet…

    Sur l’ensemble des lignes, seules 19 109 298 sont uniques et représentent des informations sensibles et personnelles des patients. Il existe en outre 150 529 e-mails unique dans ce fichier. (Crédits : Todoran Bogdan/Pexels)

    Le logiciel MLM est utilisé par 3 800 médecins en France dont 1 500 concernés par cette attaque explique Cegedim dans son communiqué. Aujourd’hui, « on est pris entre le marteau et l’enclume », déplore la présidente de MG France. « On a un État qui veut absolument qu’on mette le plus de choses possibles en ligne sur des logiciels, sur des serveurs externes partagés avec d’autres professionnels, souligne Agnès Giannotti. Donc, c’est un vrai souci de confiance, de sécurité pour les patients et de pénalisation de notre exercice. »

    Une industrialisation rapide du cybercrime

    La cybercriminalité n’est plus une délinquance artisanale. Elle meut en une économie structurée, mondialisée et segmentée. La criminalité organisée révèle une mutation profonde, elle s’est industrialisée. Si le modèle dominant demeure le ransomware, ce dernier évolue vers de la « pure extorsion » où le chiffrement n’est plus indispensable — seule l’exfiltration de données suffit.

    ville, cyber, espace

    Ils opèrent en franchises, via des programmes de Ransomware-as-a-Service (RaaS). Les groupes recrutent sur des forums clandestins, partageant les bénéfices selon des pourcentages contractuels. Cette métamorphose émerge de nouveaux acteurs : initial access brokers, négociateurs professionnels, blanchisseurs de crypto.

    Parallèlement, le vecteur d’intrusion se déplace vers les maillons faibles de la chaîne. Les compromissions de fournisseurs de services informatiques ou d’éditeurs de logiciels permettent d’infecter des centaines d’entreprises. Dans un contexte d’externalisation massive vers le cloud et les environnements SaaS, la cible privilégiée n’est plus le serveur local, mais l’identité numérique : jetons d’authentification, clés API, comptes administrateurs mal protégés… Pour rentrer via la grande porte.

    Vecteur d’intrusion en mouvement

    Les infostealers — conçus pour aspirer mots de passe, cookies de session… — alimentent un marché secondaire. Dans un lieu où les accès volés sont revendus quasiment en temps réel. L’irruption de l’IA accentue le mouvement : phishing hyperpersonnalisé, deepfakes vocaux pour fraudes au président, automatisation de malwares polymorphes.

    Certaines interventions brouillent la frontière entre criminalité, géopolitique et stratégie d’influence, comme lors des élections. Des groupes opérant bénéficient parfois d’une tolérance implicite tant que leurs cibles restent étrangères. Les infrastructures critiques — énergie, santé, systèmes industriels — deviennent des objectifs, soit pour la rançon, l’influence ou pour la démonstration de puissance. (Crédits : Kehn Hermano/Pexels)

    L’attribution de la paternité des cyberattaques demeure complexe. Cela est du à la pluralité de juridictions, l’usage de cryptoactifs, des serveurs répartis sur plusieurs continents. La coopération internationale progressent, mais l’adaptation criminelle semble supérieure, jusqu’à preuve du contraire. Les groupes accroissent leur résilience face aux démantèlements. La cybercriminalité contemporaine n’est plus une succession d’attaques isolées. Car, elle évolue au sein d’un marché structuré, agile, dont la logique est celle du rendement, et dont la régulation peine encore à suivre le rythme, malgré les efforts et outils déployés.

    Une pluralité d’offre criminelle

    Des groupes développent et commercialisent des programmes à buts malveillants. Ce modèle réduit drastiquement les barrières techniques. Les opérateurs mènent désormais des attaques sophistiquées en louant l’infrastructure d’autrui. Le cybercrime se scinde et se spécialise. L’organisation Cl0p en illustre l’évolution. Apparue vers 2019 et associée par plusieurs chercheurs en cybersécurité au groupe criminel FIN11, cette organisation russophone s’est consacrée au vol de bases de données à grande échelle.

    Contrairement à d’autres collectifs reposant uniquement sur le chiffrement des systèmes, Cl0p privilégie une stratégie dite de data extorsion. L’objectif principal est d’exfiltrer des quantités colossales de renseignements confidentiels afin de maximiser le levier de pression.

    Ce collectif a exploité à grande échelle la vulnérabilité critique du logiciel MOVEit Transfer (CVE-2023-34362), compromettant des centaines d’organisations dans plus de 25 pays (administrations, universités, entreprises…). Ainsi, en 2023, LeMagIT explique que : « le groupe Cl0p vient d’ajouter plus de 290 segments d’archives compressées de données présentées comme dérobées à Cegedim lors de sa campagne de cyberattaques contre les instances MOVEit Transfer. Au total, ce sont donc plus de 1,5 To de données compressées qui sont mises à disposition. » La compagnie Cegedim se trouvait dans la même situation que d’autres organismes déjà épinglés au tableau de chasse.

    L’IA, accélérateur du cybercrime

    Le modèle économique repose sur une segmentation des rôles. Cela permet de mener simultanément plusieurs campagnes, tout en répartissant les risques et les profits.

    Les revenus proviennent en grande partie de rançons. Les montants exigés peuvent atteindre plusieurs millions de dollars dans les cas les plus médiatisés. Les données volées constituent également une ressource économique en elles-mêmes. Lorsqu’une victime refuse de payer, Cl0p — et d’autres — publie progressivement les archives exfiltrées sur son site de fuite. La pression s’exerce, et peut permettre leur réutilisation par d’autres acteurs.

    La génération de messages de phishing de plus en plus personnalisés, la reconnaissance robotisée des systèmes cibles, identification de vulnérabilités, sont le résultat de l’utilisation de l’IA et son automatisation. (Crédits : Pixabay/Pexels)

    feu, tricolore, signalisation

    Elle augmente considérablement le volume, la précision et la chute dans le piège tendu par les attaques. Concomitante à l’alerte de la société Cegedim, la CNIL rappelle régulièrement que les données de santé figurent parmi les informations les plus sensibles, car elles peuvent servir à des fins d’usurpation d’identité, de fraude ou de chantage. Elle martèle aussi de recourir à l’utilisation de la MFA.

    Les systèmes de santé sont des cibles prioritaires

    Pour les patients, comme tout un chacun, ces fuites restent abstraites jusqu’au moment où elles deviennent concrètes. Des appels frauduleux, tentatives d’escroquerie, ou l’utilisation de l’ingénierie sociale. Contrairement aux informations bancaires, qui peuvent être annulées ou remplacées, les données médicales accompagnent une personne tout au long de sa vie. Une fois exposées, elles ne peuvent plus être changées, au grand dam des personnes concernées.

    santé, échographie, enceinte

    Les établissements comme les prestataires de santé concentrent des caractéristiques qui en font des cibles particulièrement attractives. En premier lieu, la valeur des données. Elles permettent des usurpations d’identité, des fraudes à l’assurance et bien d’autres encore. Sur les marchés clandestins, un dossier médical se négocie à un prix bien supérieur à celui d’une simple carte bleue. « Les détails d’une carte de crédit se monnaient entre 10 et 120 dollars. Une American Express clonée avec code PIN : 25 $, une Visa ou une Mastercard 20 $ », explique Privacy Affairs.

    Réaction en chaîne

    Ensuite, la vulnérabilité structurelle des infrastructures. Les systèmes d’information hospitaliers et médicaux reposent souvent sur des architectures hétérogènes, parfois vieillissantes, dont la mise à jour s’avère complexifiée par des contraintes opérationnelles considérables. Un hôpital ne peut pas interrompre ses systèmes aussi facilement qu’une entreprise industrielle, ce qui crée des fenêtres de vulnérabilité persistantes.

    Enfin, la généralisation des prestataires informatiques mutualisés — comme Cegedim — crée des points de défaillance unique à fort impact. Comme ce fut le cas pour Partitio (ESN française — 2025), Majorel (prestataire informatique de France Travail — 2023), WEDA (éditeur de logiciel médical — 2025), Airbus (attaque via fournisseurs — 2019), Fondouest (PME française — 2024). Un seul incident chez un fournisseur peut exposer les données de dizaines de milliers de clients simultanément.

    Le Maroc a récemment mis en avant son approche lors d’un sommet organisé à Madrid. Cette approche est présentée comme un élément de crédibilité mondiale et de positionnement stratégique, commente NextDefense. (Crédits : Mart Production/Pexels)

    Les États cherchent à renforcer leurs capacités de détection, de prévention et de réponse aux incidents. Cette évolution reflète une transformation plus large des enjeux de sécurité. Le cyber est un domaine tactique, au même titre que les espaces terrestre, maritime, aérien et spatial.

    Un cadre juridique confronté à des défis structurels

    Le RGPD impose des obligations strictes. Mais cette conformité ne constitue pas un bouclier, juste une norme. La directive européenne NIS 2 (Network and Information Security) est entrée en vigueur en janvier 2023 et en cours de transposition dans les États membres, donc en France. « Alors que la menace cyber augmente et que les systèmes d’information restent pour partie vulnérables, la directive NIS 2 représente une opportunité unique : sa mise en application va permettre à des milliers d’entités de mieux se protéger. Elle va être l’occasion de mobiliser largement le tissu économique national et le secteur public. »

    Les cyberattaques soulèvent des défis juridiques importants. Car, l’identification des auteurs est souvent difficile — pas impossible au vue des nombreux succès d’Europol : Eastwood, Endgame, No More Ransom project et la chute de Kidflix (opération Stream)— en raison de l’utilisation d’infrastructures réparties sur plusieurs continents. La cybersécurité repose sur une logique de réduction des risques, étant donné que l’élimination absolue n’existe pas. Le tout numérique augmente la surface d’attaque, car les entreprises, administrations et infrastructures critiques dépendent totalement des systèmes d’information.

    Une cyberguerre mondiale

    La cybersécurité est un élément central des politiques de sécurité nationale. Elle influence les relations internationales, l’économie et la stabilité des institutions — ou est-ce le contraire. La capacité d’un État à protéger ses systèmes informatiques constitue désormais un facteur de souveraineté. Les cyberattaques continueront de représenter un défi dans les années à venir. Face à une hydre, ou une vendetta, que peut-on faire ?

    L’affaire Cegedim n’est pas un accident de parcours. Elle n’est pas symptomatique de la structure française, mais de celui du paysage mondial. Elle est la manifestation d’un risque systémique inhérent à la numérisation du secteur de la santé, comme l’ensemble des autres. La fréquence et la sophistication des attaques continueront d’augmenter, portées par l’automatisation et l’intelligence artificielle. Quand une contre-mesure est mise en place, les criminels semblent avoir déjà plusieurs coups d’avance.

    Comment comprendre que le courriel est le principal vecteur, alors qu’il constitue également le moyen par lequel nous recevons la confirmation de notre identification vérifiée ? (Crédits : Taha Samet Arslan/Pexels)

    justice, droit, tribunal

    La numérisation de la médecine devait simplifier la vie des patients et des soignants. Elle ampute le temps consacré aux soins des professionnels de la santé, envers les patients. Elle ouvre un nouveau front invisible. Dans cet univers, les dossiers médicaux circulent entre cabinets, hôpitaux, laboratoires et prestataires. Chaque maillon de cette chaîne peut muer en un point d’entrée potentiel. L’affaire Cegedim n’est donc pas uniquement un incident informatique. Elle révèle une mutation plus profonde : la santé est devenue une cible stratégique dans l’économie mondiale du cybercrime, avec une dimension géopolitique. Et derrière les bases de données, les serveurs compromis et les lignes de code, ce ne sont jamais seulement des systèmes qui sont attaqués.

    Ce sont des patients.

  • Comprendre la nouvelle grammaire des failles

    Comprendre la nouvelle grammaire des failles

    Il y a encore quelques années, le terme de cybersécurité se racontait en termes de pare-feu, de correctifs et de lignes de code. Aujourd’hui, ce terme envahit l’espace, déborde, dégouline. Les incidents s’infiltrent via nos e-mails, s’invitent dans les cabinets ministériels, survolent les bases militaires et s’installent, durablement, dans le débat public. Trois informations récentes, en apparence toutes distinctes. Pourtant, elles expriment une même réalité, une même histoire. C’est l’Histoire d’un monde où la faille n’est plus l’exception, mais une condition structurelle.

    Chaque jour, chaque heure, des opérateurs derrière un écran testent, envisagent et cherchent une faille dans les systèmes d’information. Leurs buts, hors mis l’exploit, c’est souvent l’argent, par revente de données, compilation de dictionnaires, ou rançon. Elles peuvent être aussi l’espionnage à des fins industrielles ou étatiques.

    Quand la faille ordinaire devient un incident pédagogique

    L’alerte adressée par courriel aux différents clients de ManoMano ressemble, à première lecture, à un cas d’école. Un sous-traitant, un compte compromis, une extraction illicite de données. Pas de mot de passe exposé, pas de modification des informations, une notification aux autorités compétentes, une ligne téléphonique dédiée : tout semble conforme à la mécanique bien huilée du RGPD. Et pourtant…

    Ce type d’incident est précisément celui qu’il faut savoir lire. Non pour s’en indigner, mais pour en comprendre la logique. La faille ne se situe pas dans une technologie défaillante, mais dans la chaîne de confiance. Un prestataire dispose d’accès. Un agent se fait compromettre. Et l’attaquant n’a plus besoin de forcer les murs : il entre par la grande porte. Pour l’utilisateur, l’essentiel n’est pas tant ce qui a été volé que ce qui peut en être fait. Prénom, nom, e-mail, numéro de téléphone, possibles échanges avec le service client… Ce sont autant d’éléments qui suffisent à nourrir des campagnes de phishing crédibles, de l’ingénierie sociale ciblée, voire des tentatives d’usurpation d’identité.

    La condamnation de Free à 42 millions d’euros annonce la couleur : personne n’est épargné. En janvier 2026, l’autorité française a infligé une amende de 5 millions d’euros à France Travail, pour ne pas avoir suffisamment protégé les données personnelles de dizaines de millions d’usagers après une cyberattaque majeure en 2024. (Crédits : Capture d’écran/ManoMano)

    L’intrusion avait exposé les informations de près de 37 millions de personnes en raison de mesures techniques et organisationnelles jugées insuffisantes, notamment des procédés d’authentification faibles et un manque de surveillance effective des accès. Dans le même temps, Codes Rousseau a prévenu ses utilisateurs d’un accès non autorisé à son application Easysystème, largement utilisée par les auto-écoles françaises. Les données concernées incluaient état civil (prénom, nom, sexe, date de naissance), coordonnées (adresse postale, adresse électronique, numéro de téléphone), photographie d’identité, numéro NEPH et informations relatives à l’obtention de l’ASR, et la signature.

    À mesure que les fuites se multiplient, ce ne sont plus seulement des bases d’informations abstraites qui sont exposées, mais des fragments d’existences. Des vies, mises en colonnes.
    Ces derniers mois, plusieurs révélations ont illustré cette banalisation de l’intrusion. Des données sur des parlementaires français circulent. Un fichier concernant la plateforme Osmose, qui était utilisée par des agents de l’État, affiche 3501 lignes. Des informations personnelles — prénom, nom, poste, entreprise, e-mail, téléphone fixe, mobile — touchant des personnels rattachés à des institutions aussi sensibles que le ministère des Armées, l’École de guerre, la Gendarmerie nationale, le ministère de l’Intérieur, la DINUM (direction interministérielle du Numérique) ou encore l’ANSSI.

    Intimités violées

    Mais l’atteinte ne s’arrête pas aux sphères du pouvoir. Elle descend, méthodiquement, dans la société. La fuite massive ayant touché France Travail a concerné des millions de citoyens. D’autres exfiltrations ont porté sur des données liées à des personnes recherchées par le ministère de l’Intérieur russe, dans un contexte deconflit russo-ukrainien. Dans le monde éducatif et sportif, les exemples s’accumulent également.
    Certains récemment touchés sont le golf, la chasse et le volley, mais, ces dernières semaines, les fédérations de football, de tennis ou de tir sportif ont été prises pour cibles. L’UNSS, en 2025, a été victime d’une fuite. (Crédits : Capture d’écran/BonjourLaFuite)

    Les données exfiltrées par un certain « Marak » proposaient les informations de 7 795 940 profils sur les six dernières années. Elles sont : prénom, nom, date de naissance, sexe, e-mail des parents et de l’élève, téléphone, classe, handicap, photo, historique, établissement, adresse licence, activités actuelles et plus de 900 000 photos des élèves. La fuite n’est plus seulement un incident technique. Elle devient une atteinte à l’intimité collective, un effritement progressif de la frontière entre sphère privée et espace numérique. Et dans cet écosystème, les données sont rarement détruites : elles sont agrégées, revendues, compilées, jusqu’à alimenter ces dictionnaires géants qui serviront, demain, à de nouvelles attaques.

    La faille stratégique ou la cible choisie

    Dans le registre de menaces étendues, la justice française a récemment mis en examen quatre individus suspectés d’espionnage pour le compte de la Chine, après leur interpellation en Gironde. Deux des prévenus sont placés en détention provisoire dans le cadre d’une information judiciaire ouverte pour « livraison d’informations à une puissance étrangère », un délit passible de quinze ans de prison. À un autre niveau, plus feutré, mais tout autant sensible, se joue une bataille d’image et de normes. Le Pall Mall Process, initiative diplomatique franco-britannique visant à encadrer l’usage des outils de surveillance numérique, ambitionne de poser les bases d’une gouvernance responsable.

    Faille, séisme, brèche

    L’intention est louable, mais le terrain est encore un véritable champ de mines. Car plus d’un an après son lancement et à la suite de sa deuxième conférence diplomatique à Paris, le Pall Mall Process fait face à un défi majeur : obtenir l’adhésion du marché des logiciels espions et du piratage commercial. Ce secteur, nommé CCCI (capacités commerciales de cyberintrusion), est en pleine expansion. Les participants alertent que, sans régulation efficace, cette croissance risque d’entraîner une multiplication des abus, ciblant notamment les journalistes, défenseurs des droits humains, dissidents politiques et responsables gouvernementaux étrangers, comme l’avait déjà signalé le renseignement britannique en 2023.

    « La révolution numérique a transformé le cyberespace en un théâtre d’affrontements où la frontière entre souveraineté et dépendance se joue désormais à une ligne de code. »

    Quand le ciel devient une surface d’attaque

    Le troisième signal vient du ciel britannique.
    En un an, les signalements de drones à proximité des bases militaires ont doublé. Certains sont probablement inoffensifs, d’autres mal identifiés, quelques-uns potentiellement hostiles. Leur point commun n’est pas leur origine, mais l’incertitude qu’ils produisent.

    Le drone n’est pas un simple objet volant. C’est un système numérique complet : pilotage à distance, liaisons radio, capteurs embarqués, parfois autonomie logicielle. Il évolue à la frontière du cyber et du physique. (Crédits : Vilkasss/Pixabay)

    Intercepter un drone ne consiste donc pas uniquement à le neutraliser mécaniquement. Il s’agit aussi de comprendre, perturber ou détourner ses communications, voire d’en prendre le contrôle. Cette hybridation des menaces est déjà à l’œuvre dans le conflit entre la Russie et l’Ukraine, entré dans sa cinquième année. Face à la multiplication de ces incidents, le gouvernement britannique envisage désormais d’élargir les pouvoirs de l’armée pour neutraliser directement ces engins. Une décision qui acte un basculement : la militarisation assumée de la gestion des menaces hybrides, y compris en temps de paix.

    Une lecture commune : la faille comme symptôme

    Fuite de données commerciale, encadrement du spyware, drones au-dessus des bases militaires : trois scènes, un même décor. Celui d’un monde hyperconnecté, où la sécurité ne se compartimente plus. Dans chaque cas, la faille naît d’un déséquilibre : entre sous-traitance et contrôle, entre innovation technologique et cadre éthique, entre liberté d’usage et impératif de protection.

    La cybersécurité n’est plus seulement une affaire d’experts techniques. Elle devient une question de culture collective, de choix politiques et de maturité. Elle oblige à penser en continuum. Soit du clic imprudent d’un client à la stratégie d’un État. Il est illusoire de promettre un monde sans failles. La technologie avance trop vite, et l’humain reste ce qu’il est : faillible, pressé, parfois négligent. Mais comprendre les mécanismes à l’œuvre, nommer les responsabilités et refuser les faux-semblants est déjà une forme de défense.

    Ainsi, comme souvent, les fuites de données terminent en une compilation de dictionnaires, pour de nouvelles attaques.

    (Crédits : Capture d’écran)

    La cybersécurité moderne ne se résume plus à colmater des brèches. Elle consiste à apprendre à lire les signaux faibles, à relier les incidents et à accepter que, désormais, le numérique est partout — donc vulnérable partout. Et c’est précisément pour cela qu’il mérite d’être expliqué, patiemment, au plus grand nombre. C’est tout l’enjeu de la souveraineté en terme de cybersécurité déployée par l’État Français pour 2026-2030.

  • Cyber : de La Poste à l’ancien chef des services secrets géorgiens

    Cyber : de La Poste à l’ancien chef des services secrets géorgiens

    La fin de l’année 2025, deux affaires sonnent le glas. Toutes deux liées à la sécurité numérique et aux pratiques illicites font la une des médias. D’un côté, une cyberattaque de type DDoS de grande ampleur revendiquée par des NoName057 (16), hackers pro-russes contre La Banque postale. De l’autre, l’arrestation en Géorgie de l’ancien chef des services de sécurité nationale. Ce dernier est accusé d’avoir protégé des centres d’appels frauduleux opérant à l’échelle mondiale. Ces deux affaires démontrent que les enjeux ne sont plus techniques, mais aussi géopolitiques et judiciaires.

    Tandis que France Travail est une nouvelle fois la victime d’attaques cybernétique, les fuites de données de l’année se terminant affolent une fois de plus les compteurs. Mais c’est aussi l’impact de plus en plus prégnant des attaques visant l’Europe et la France.

    Une attaque informatique au cœur des fêtes

    La Banque Postale a été la cible d’une cyberattaque de type DDoS. La durée exceptionnelle admet que les personnels derrière NoName057 (16) ont profité de moyens considérables. Car la moyenne des attaques par déni de service dure quatre heures. Le groupe pro-russe, Noname057 (16), a revendiqué la responsabilité de cette attaque. La Poste confirme que les opérations, nombreuses durant cette période de fêtes de Noël, avaient été interrompues.

    Pour tout un chacun, ce genre d’attaque cybernétique est courante. Pour les autorités françaises, elle n’est pas un simple acte. Cela s’inscrit dans un contexte d’actions hostiles. Ce qui évoque à mots couverts le terme de Warfare. Les conflits armés perdurent comme celui entre l’Ukraine et la Russie, mais le terrain numérique prendre de plus en plus de place. D’ailleurs, dans le classement 2025 établi par l’Acled, l’Ukraine ne figure qu’à la onzième place des conflits les plus dangereux et violents.

    Le Myanmar (2e) est le conflit le plus fragmenté au monde, avec plus de 1 200 groupes armés distincts qui auraient été impliqués dans au moins un événement violent. Le Pakistan (10e) est devenu plus dangereux pour les civils au cours des 12 derniers mois […] Haïti (8e) est devenu plus meurtrier et dangereux pour les civils (plus de 4 500 Haïtiens ont été tués.).

    (Crédits : Mikhail Nilov/Pexels)

    Face à ces perturbations, le parquet de Paris a saisi l’Unité nationale cyber (UNC) ainsi que la Direction générale de la sécurité intérieure (DGSI) pour enquêter. NoName057(16), entité prorusse supposément démantelée en juillet, a effectué, depuis 2023, plus de 2 200 attaques contre des entités françaises. La Poste a quant à elle été la cible, déjà en février 2024, du groupe Turk Hack Team.

    Les hackers pro-russes et l’arène cybernétique européenne

    Pour se fondre dans l’arrière-boutique de cette attaque, il faut replacer Noname057 (16) dans le paysage. Ce collectif éclate sur le devant de la scène internationale au début de l’invasion de l’Ukraine en 2022. Depuis, leur marque de fabrique est la cyberattaque de type DDoS contre des institutions européennes. Dès qu’une nation appuyait d’une manière ou d’une autre l’Ukraine, elle se voyait visée par ce type d’attaque cyber.

    Bien que l’opération internationale Eastwood réussit à démanteler une partie de l’infrastructure et a arrêté certains membres, le groupe continue d’opérer. Non loin de la frontière russe, Killnet, un autre groupe pro-russe, revendique une cyberattaque contre plusieurs sites gouvernementaux bulgares. En répression au soutien militaire à l’Ukraine.

    Grigol Liluashvili arrêté

    Tandis que l’Europe fait face à des attaques attribuées ou revendiquées à des groupes pro-russes, une affaire de sécurité résonne au cœur du Caucase.

    Les procureurs géorgiens ont procédé à l’arrestation de Grigol Liluashvili, ancien directeur du Service de sécurité d’État (SSG) de Géorgie. Les faits reprochés sont des allégations de corruption liées à la protection de « scam call centers ». Ces derniers seraient des centres d’appels frauduleux ciblant des victimes dans le monde entier. Selon la mise en accusation, le prévenu aurait accepté des pots-de-vin d’un montant avoisinant 1,365 million de dollars, versés par l’intermédiaire de son cousin.

    Depuis mai 2022, 35,3 millions de dollars auraient été escroqués à plus de 6 100 victimes à travers le monde. Une enquête bien antérieure mettait au jour leur existence au sein de la capitale géorgienne, Tbilissi, à quelques mètres du siège de la SSG.

    (Crédits : Harsch Shivam/Pexels)

    Dans l’entourage du prévenu, certains hauts responsables politiques ont fait l’objet de perquisitions ou d’arrestations. « En octobre, les autorités ont également perquisitionné les domiciles d’un ancien Premier ministre, d’un ancien procureur en chef, et de Liluashvili, entre autres. Le cousin de Lilouashvili, Sandro Liluashvili, a été arrêté pour fraude et blanchiment d’argent. » Ce qui remémore l’affaire de corruption en Ukraine des dernières semaines. Si Liluashvili est déclaré coupable des faits qui lui sont reprochés, il encourt la peine maximale de 15 ans de prison selon le droit géorgien.

    Des enjeux qui dépassent les frontières nationales

    Dans un contexte géopolitique préoccupant, où les tensions s’expriment également par des moyens numériques, les cyberattaques sont partie intégrante de la guerre dite hybride. Ces deux affaires tracent une ligne de front mouvante entre cybersécurité et criminalité économique. La cyberattaque contre l’institution « La Poste » illustre combien les infrastructures numériques modernes sont des cibles, capables de perturber des services essentiels à grande échelle.

    Les défis que rencontrent les gouvernements pour protéger leurs citoyens, leurs données ainsi que les entreprises contre des acteurs qui opèrent à l’échelle internationale sont multiples.

    L’affaire géorgienne rappelle que la criminalité liée aux télécommunications et aux technologies peut bénéficier de complicités internes. Ce même à des niveaux élevés de l’appareil d’État, ce qui fragilise la confiance dans les institutions.

    « L’enquête, basée sur 1,9 téraoctet de données divulguées obtenues par SVT, a identifié deux réseaux de centres d’appels frauduleux opérant en provenance d’Israël, d’Europe de l’Est et de Géorgie », explique l’OCCRP.

    (Crédits : Fernando Arcos/Pexels)

    Tout devient une arme. Le doute permet la manipulation des foules, elle devient par sa destruction une arme de propagande, ou des théories du complot deviennent des vérités. Parallèlement, des affaires comme celle de Géorgie illustrent la frontière entre crimes économiques. Tant et si bien que la frontière séparant corruption et cybersécurité s’étiole et devient floue.

  • Quand les fuites de données rongent la confiance (numérique)

    Quand les fuites de données rongent la confiance (numérique)

    En quelques mois, la France, comme le monde entier, a vu chanceler l’un des piliers invisibles de sa modernité. Désormais ébranlée, la confiance dans la sécurité numérique vacille. Enseignes, géants technologiques, institutions publiques, fournisseurs de services… personne n’est épargné. Des millions de données personnelles exfiltrées, des centaines d’entreprises fragilisées, d’ailleurs, certaines firmes disparaissent, des citoyens démunis, soudain exposés à une criminalité sans visage. L’année 2025 marque d’une pierre blanche celle où la vulnérabilité n’est plus une exception, mais un état.

    À 7 h 42, dans le silence feutré d’une maison, Élodie se saisit de son ordiphone, ou smartphone. Un e-mail. Une alerte. Un message laconique l’informe qu’« une partie de vos données personnelles a pu être compromise… » Pas de coupable identifié. Juste cette notification — encore une — qui vient briser l’illusion fragile de sécurité numérique. Elle, comme des millions, se mue en une victime. Derrière son écran, le soupçon s’insinue. Que signifie cette « compromission » pour son identité, ses finances, sa vie privée ?

    Fuite de données en pagaille

    Cette histoire factice n’est malheureusement pas une fiction. C’est une vague, un tsunami qui déferle avec une intensité inédite. L’année 2025 est marquée par des fuites massives, des piratages en chaîne, des alertes répétées. Le monde numérique soudain vacille, et les citoyens (re) découvrent leur fragilité.

    Crime, cyber, attaque

    Le 3 décembre 2025, un rapport du GTIG confirme qu’une cyberattaque massive a exposé les données de plus de 200 entreprises utilisant des services reliés à Salesforce. L’activité suspecte affecte des applications d’un tiers, Gainsight. L’intrusion a permis aux hackers d’accéder à des instances, ouvrant la voie à une fuite d’informations sensibles.

    « Cette activité est probablement liée à UNC6240 (alias ShinyHunters) », déclare Austin Larsen, analyste principal de GTIG. Ils auraient mené l’opération mêlant ingénierie sociale, vishing, usurpation de comptes et exploitation de tokens d’authentification. « […] Salesforce a révoqué tous les tokens d’accès actif […] », indique Allen Tsai, porte-parole de Salesforce. (Crédits : Pete Linforth/Pixabay)

    Dans un contexte où les signalements de cybermalveillance augmentent fortement — hameçonnage, compromissions de comptes, rançongiciels — des publications, des alertes et des mises en garde contre les risques croissants liés aux informations volées sont affichées. La dernière en date concerne la violation de données personnelles de la Fédération Française de Tir.

    Une explosion des cyberattaques et des menaces en cascade

    Selon un article d’Euronews, l’Europe a enregistré une hausse spectaculaire des cyberattaques en 2025, affectant de nombreux secteurs. Si la patrie de Molière qui se retrouve parmi les pays les plus touchés, nos voisins et amis Belges font faces à une recrudescence d’escroquerie. Dans des courriels, les escrocs se font passer pour le Ministère Public ou le procureur général M. Van Leeuw. « Ces e-mails sont des faux et peuvent être dangereux. Soyez vigilant, n’ouvrez pas les pièces jointes et ne cliquez pas sur les liens contenus dans l’e-mail. »

    Le constat est limpide. Les vulnérabilités ne frappent plus individuellement, mais globalement. Nous possédons un modèle désormais fragilisé par l’interdépendance et la complexité croissante des chaînes logicielles, comme des fuites de données. Voici une liste non exhaustive des victimes d’attaques cybernétiques de l’année 2025 : Procureur général de l’État de Guanajuato (MEX), Merkle (JPN), Svenska kraftnät (SWE), Sunafil (PER), Milwaukee Police Department (USA), YAC GARTER CO., LTD. (JPN), Ville de Fumel (FRA), LG Balakrishnan & Bros Ltd (IND), Al-Babtain Power and Telecommunications Co. (SAU), Direction générale des impôts et domaines (Dgid) (SEN), Agence régionale de santé (ARS) des Hauts-de-France (FRA), Ordre des journalistes de Rome et du Lazio (ITA), Ville de Poitiers et Grand-Poitiers (FRA), Wibaie (FRA), CNFPT (FRA), Muséum national d’Histoire naturelle (FRA), Orange (FRA), Curaçao Tax Office (CUW), Delfingen (FRA), Uni-Asia Group Limited (SGN), Département de l’Aude (FRA), Büchner Barella (DEU), Alto Adige (ITA), Melilla (ESP), Glasgow (GBR), Département des Hauts-de-Seine (FRA), La Maison Liégeoise (BEL), Peter Green Chilled (GBR), Service public de Wallonie (BEL), District scolaire de Limestone (CAN), Groupe 3R (CHE), Bikur Rofeh (ISR), Adval Tech Group (CHE), Harvest (FRA), Orangeville (CAN), Bain de Bretagne (FRA), Écoles publiques de Portland (USA), Conseil scolaire Upper Canada (UCDSB) (CAN), La Police de Kingston (CAN), Berson (FRA), Leroy Merlin (FRA), France Travail (FRA)…

    Culture de la cybersécurité fragile

    L’origine du problème ne tient plus à un serveur mal configuré ou à un mot de passe trop faible. C’est désormais tout un ensemble, qui réside dans l’écosystème lui-même. En effet, il existe une externalisation massive & SaaS (Software-as-a-Service). De plus en plus d’entreprises laissent une part non négligeable de leur activité logicielle vers des tiers (CRM, support client, outils marketing, cloud…) En greffant un maillon à une chaîne, vous augmentez la surface d’attaque.

    D’autant que l’interconnexion des services ajoute un peu de piment. Un fournisseur de support en liaison avec plusieurs clients devient un hub de compromission. (Crédits : Obregonia D. Toretto/Pexels)

    Tour, communication, relais

    Selon le baromètre 2025 du CESIN, une entreprise française sur deux identifie les fuites de données comme un risque prioritaire, mais nombre d’entre elles ne jugent pas les solutions suffisamment sûres ou adaptées à leur taille. L’arrivée de l’IA générative, de services interconnectés, d’accès à distance, multiplie les vecteurs d’attaque, les erreurs possibles. Ce contexte structurel met en lumière la faiblesse d’un modèle numérique fondé sur la confiance.

    L’affaire Gainsight au révélateur

    Un prestataire, Gainsight se voit attribuer des accès légitimes — via tokens OAuth — à des CRM d’entreprises. Un acteur malveillant — via social engineering, vishing, usurpation d’identité — obtient ces tokens ou convainc un employé de les approuver. Grâce à ces accès, les pirates exportent, en masse, des bases de données entières. Cela concerne les contacts, utilisateurs, historiques, métadonnées…

    rue, public, asiatique

    Les données volées peuvent ensuite être revendues, publiées, ou servir à des campagnes de phishing ou d’usurpations d’identité ciblée. L’attaque ne nécessite pas une faille dans le cœur logiciel (Salesforce) — mais exploite la chaîne d’approvisionnement logicielle, ou « supply-chain ». Ce type d’attaque illustre une tendance récente : la cybercriminalité vers non plus le point le plus faible de l’infrastructure, mais l’écosystème global.

    Qu’est-ce qu’une attaque supply-chain ?

    Une attaque supply-chain consiste à cibler non la victime directe, mais un de ses fournisseurs ou prestataires. En compromettant ce maillon, l’attaquant obtient un accès indirect à de nombreuses cibles. Cette stratégie, très efficace à l’échelle industrielle, transforme un prestataire en point névralgique de compromission — un « hub » d’accès à plusieurs organisations.

    Vivre dans l’insécurité digitale

    Pour les victimes — salariés, clients, particuliers —, la prise de conscience est brutale. Plusieurs conséquences psychologiques se dessinent. Sentiment de vulnérabilité permanente. Car, le numérique, jusque-là perçu tel un lieu « fiable », apparais désormais comme un terrain miné.

    (Crédits : Ethan Brooke/Pexels)

    Des conséquences directes, avec la peur, ou une méfiance considérable de confier ses informations personnelles. Mais aussi le syndrome de l’appel au loup. Face à la multiplication des incidents, le risque d’habituation s’installe. Certains minimisent alors les alertes en acceptant une exposition comme « coût normal ». Mais en fonction de l’âge et de la culture cyber, la crainte d’usurpation d’identité, de fraude, de revente de données, voire de compromissions financières — car la menace ne dort jamais. L’addition de ces facteurs engendre un climat anxiogène, intime et collectif.

    La menace comme instrument systémique

    Quand les infos volées incluent des éléments personnels — noms, adresses, contacts, emails, données sensibles —, les risques sont concrets. Ainsi, comme le dévoile sur X (anciennement Twitter), SaxX, un tiers non autorisé a accédé aux données de santé des patients du site « Médecin direct » : prénom, nom, date de naissance, adresse e-mail, numéro de téléphone, adresse postale, numéro de sécurité sociale (si transmis), les données de santé (l’objet de la téléconsultation, les données renseignées dans le questionnaire de prétéléconsultation, les données échangées par écrit avec le professionnel de santé)

    Les organismes d’assistance comme Cybermalveillance.gouv.fr alertent en 2025. Les demandes d’aide ont explosé (jusqu’à + 82 % pour certaines catégories), traduisant l’intensification de la menace. Comme le montre le rapport de Surfshark : au second trimestre 2025, la France est le 2ᵉ pays le plus touché sur Terre par les violations de données, selon Surfshark. Au total, 11 946 923 e-mails français ont été compromis entre le 1ᵉʳ janvier et le 1ᵉʳ avril 2025, soit une augmentation de 441 % par rapport au trimestre précédent. Le chiffre croit à 15 466 792 au 1er juillet 2025 (+29 %).

    Cela révèle une mondialisation de la cybercriminalité. L’ingénierie sociale, combinée à l’exploitation des tiers, constitue la voie d’accès la plus rentable et la plus massive. Méthode qu’usent ShinyHunters/Scattered Spider. (Crédits : Brett Sayles/Pexels)

    câble, connexion, fibre



    Environ 83% des cyberincidents en France n’ont pas de pays d’origine identifié – 11 des 64 cas ont été attribués à au moins un pays d’origine, selon l’EuRepoC. Face à la fragilité et aux menaces contrent des États ou des entreprises, il faut repenser le modèle. Car le risque systémique existe. La fuite d’un fournisseur majeur affiche le vacillement d’un pan de l’économie numérique. La France est quatrième au rang mondial des comptes violés. Cela représente 703 912 680 depuis 2004.

    Vers un sursaut collectif ?

    L’urgence date d’hier. Le renforcement des réglementations avec la traçabilité des accès, l’obligation de signalement, la transparence sur les incidents, les sanctions… sans oublier l’hygiène numérique (mots de passe robustes, 2 FA, vigilance face aux phishings et aux sollicitations) se doit d’être la norme. « La plupart des gens utilisent le même e-mail pour différents comptes lors de l’inscription en ligne », rappelle Surfshark.

    Squelette, casque, VR

    Ce que risque tout un chacun est l’usurpation d’identité, phishing, harcèlement, perte de vie privée, stress, méfiance généralisée. Mais cela passe par la prise de conscience des données déjà fournies gratuitement lors de l’installation d’applications ou de jeu.

    L’année 2025 pourrait rester dans les mémoires comme l’année où la confiance numérique s’est fissurée — non sous les coups d’un virus explosif, mais sous la pression d’un écosystème globalisé, interconnecté, fragilisé. Derrière chaque fuite, chaque base de données volée, ce sont des individus, des familles, des entreprises, des destins qui vacillent.

    Mais ce basculement peut aussi être un appel. Un appel à la responsabilité collective — des États, des entreprises, des citoyens — pour bâtir ensemble un système plus résilient, plus transparent, plus respectueux de la vie numérique. (Crédits : Andrea Piacquadio/Pexels)

  • L’Espagne sous les feux de la rampe IT

    L’Espagne sous les feux de la rampe IT

    Dans un monde où la guerre se joue de plus en plus derrière les écrans, l’Espagne se retrouve à l’avant-poste d’une bataille silencieuse et pourtant ravageuse : cyberattaques, ransomwares et campagnes DDoS se multiplient en 2025. Face à cette offensive numérique, Madrid répond par un plan massif de cyberdéfense, tandis que des signaux similaires émergent en Amérique latine. Ce n’est plus une simple criminalité, mais une guerre d’influence et de pouvoir.

    L’Espagne, longtemps perçue comme un pays en pleine transition numérique, se découvre en 2025 une fragilité stratégique. Le dernier rapport de Thales, évoqué par Data Center Market, révèle un bond de 61 % des cyberattaques par ransomware sur le territoire espagnol, avec 79 opérations enregistrées au premier semestre. L’Espagne prend le taureau par les cornes, en se dotant d’un programme cyber


    La guerre que personne ne voit (mais que tout le monde subit)

    Selon les analystes de Thales, des groupes comme Akira (669 victimes), Qilin (864) ou Cl0p (517) sont parmi les plus actifs. En 2025, 7230 victimes sont à déplorer. Cette montée en puissance ne se limite pas à la simple extorsion : elle s’intègre dans une stratégie hybride, où la guerre politique, économique et numérique s‘’’imbrique, se chevauche. Ce fléau ne se manifeste pas seulement par des rançongiciels, mais aussi par des attaques de déni de service concertées (DDoS).

    Les nombreuses attaques via DDoS, révèlent un hacktivisme, une riposte idéologique, mais pas seulement.

    Le centre de cybersécurité industriel ZIUR, basé au Pays basque, observe une augmentation drastique de ces dernières, liée à une campagne nommée #OpSpain.

    Les auteurs ? Le collectif NoName057. NoName 057 est un groupe de hackers pro-russes qui s‘est fait connaître en mars 2022 et a revendiqué la responsabilité de cyberattaques contre des agences gouvernementales, des médias et des entreprises privées ukrainiennes, américaines et européennes.

    Comme le maillon humain est souvent un des vecteurs d’attaque via l’ingénierie sociale, Maria Penilla, directrice de ZIUR, indique qu’il est fondamental « de mettre en œuvre des politiques qui exigent des mots de passe robustes… en plus d’effectuer des audits périodiques pour identifier les points faibles. »

    La riposte espagnole

    Face à ces menaces, le gouvernement ne reste pas inerte. En 2025, il annonce 1.157 milliard d’euros alloué à la cybersécurité et à la cyberdéfense.

    Selon Óscar López, ministre de la Transformation numérique, cette enveloppe financera des initiatives de prévention, de détection, mais aussi de réponse, notamment dans les infrastructures critiques, tels l’énergie, la santé ou les réseaux publics. Ce plan vient compléter celui de 2022, et que 60,4 % des fonds seront gérés par le ministère de la Défense.

    (Crédits : Enrico Perini/Pexels)

    L‘Espagne connaît un second trimestre plus apaisé, avec une baisse de 3.86 % (1702 incidents). « Les cinq groupes les plus actifs ont concentré près de 43 % des cas et les secteurs les plus touchés ont été la fabrication, la technologie, la santé, le banquier et la construction », relate Ziur. En effet, Qilin (864 victimes), Akira (670), Cl0p (517), Play (369) et Incransom (353), auquel s’ajoute Safepay (308) sont devenus les acteurs les plus hostiles. Dans cette stratégie l’Espagne s’affirme comme un acteur majeur de la cyberguerre. Non seulement pour protéger son territoire, mais pour peser sur l’échiquier international.

    L’ombre d’un conflit global

    Les cybercriminels ne sont plus de simples escrocs, ils deviennent mercenaires, parfois au service d’États. L‘hacktivisme augmente en Europe, à l’image de groupes liés à la Russie, comme UAC-0063 en Espagne. Au troisième trimestre 4941 attaques DDoS réussies sont comptabilisées, soit 2.423 de plus que le trimestre précédent. Le classement des cibles affiche en premier l’Allemagne, suivi par l’Ukraine, l’Italie, la Lituanie, la République tchèque, la France, la Belgique, la Finlande, la Norvège et, à la dixième place, l’Espagne.

    Ces opérations exploitent l‘humain, ses croyances et ses faiblesses, encore trop courantes : mots de passe faibles, réutilisation des anciens, absence de gestion centralisée… Ces différents points couplés à l’ingénierie sociale deviennent dramatiques face à des adversaires disciplinés, financés et motivés.

    Le miroir latino-américain

    Partout en Amérique latine, la tendance se reflète : croissance des ransomwares, hacktivisme, infiltration. Il y a 39 % de cyberattaque en plus en rapport à la moyenne mondiale. Le vecteur principal est l’e-mail (62 %), celui-là même qui est utilisé pour une authentification plus forte.

    Le Brésil truste la première place avec près d’un incident sur deux (47 %) devant le Mexique (23 %) et la Colombie (8 %). Les failles structurelles rendent la région particulièrement vulnérable. D’ailleurs les secteurs visés sont les gouvernements, la Défense, la Santé et les moyens de communication.

    Une guerre sans fumée

    Les groupes criminels s’organisent avec la sophistication des multinationales, utilisant le numérique comme levier pour étendre leur influence.

    Les criminels derrière les ransomwares usent des mêmes outils que tout un chacun. Ils détournent leur utilisation pour augmenter l’efficacité des attaques cybernétiques.

    « L’acteur de la menace a manipulé notre outil Claude Code pour tenter d’infiltrer environ trente cibles mondiales et a réussi dans un petit nombre de cas », explique Anthropic. (Crédits : Alex Azabache/Pexels)

    L’Espagne, d’un côté, investit lourdement pour renforcer sa cyberdéfense. L’Amérique latine, de l’autre, s’érige en terrain d’expérimentation. Dans ce chaos numérique, les populations, les services publics, et les industries sont pris en étau.

    Une évolution d’un côté comme de l’autre

    Un constat revient dans tous les rapports : la plupart des intrusions commencent par des erreurs humaines. Mais au jeu des données qui sont rendues publiques, elles alimentent des dictionnaires et pas seulement. « Le collectif aux contours flous des ShinyHunters […] se prépare-t-il à un tournant ? », questionne LeMagIT.

    Si les groupes tendent vers le modèle R.a.a.S (Ransomware-as-a-Service), ShinySp1d3r invente. Ce dernier est le nom d‘un RaaS émergent créé par ShinyHunters et Scattered Spider, relate Bleeping Computer.

    Une version en cours de développement de la prochaine plate-forme ShinySp1d3r a fait surface, offrant un aperçu de l’opération à venir.

    Le chiffrement développé par ShinyHunters, est construit à partir de zéro, plutôt que d’utiliser une base de code précédemment divulguée comme LockBit ou Babuk.

    (Crédits : Chait Goli/Pexels)

    En 2025, l’Espagne n’est plus seulement une victime du cybercrime : elle est un champ de bataille comme le monde entier. Les milliards investis, l’augmentation des ransomwares, tout converge vers un constat alarmant : le cyberespace est devenu un terrain de guerre. Il faut remettre l‘église au milieu du village, car il n’est plus le temps à la naïveté : la résilience commence par la prise de conscience.

  • La cybersécurité de la santé est en hypotension

    La cybersécurité de la santé est en hypotension

    Les attaques cybernétiques mettent le monde de la santé en urgence absolue. Cet univers est confronté à une menace numérique sans précédent. Depuis quelques années, les cyberattaques se multiplient, ciblent les données médicales sensibles, paralysent des services entiers. Ce qui pose des questions sur la résilience du système de santé. L’attaque récente contre le logiciel Weda, utilisé par des milliers de médecins, cristallise ces risques. Est-elle révélatrice d‘un mal encore plus profond ?

    Mais cet incident intervient dans un contexte plus vaste. Le secteur de la santé fait face à une hausse des menaces cyber et à des défis structurels dans l‘exercice de la médecine, autant en milieu rural qu’en milieu urbain. Du CHSF à Cannes en passant par Argenteuil, les hôpitaux souffrent en silence. Bientôt, les professionnels de santé passeront plus de temps sur les écrans que sur les patients. Pour la question cyber, la réponse institutionnelle tient en quatre lettres : CaRE. Acronyme pour Cybersécurité accélération et Résilience des Établissements.

    Crise de tachycardie pour Weda

    Dans la nuit du 10 novembre 2025, Weda, éditeur de logiciels métiers du groupe Vidal, utilisé par des médecins généralistes, spécialistes, sages-femmes ou centres de soins, a été victime d’un cyberincident. Face au risque, l’éditeur a suspendu la plateforme en mode SaaS (Softaware as a Service), invoquant la protection des données des professionnels et des patients.

    Seringue, liquide, santé

    Le bilan, à ce stade, est lourd : 23 000 professionnels de santé auraient été impactés. Tandis que la société revendique 85 000 praticiens. Pendant cette période, de nombreux praticiens ont dû revenir au crayon et au papier. Weda évoque une remise en marche partielle de certains services, mais la situation reste dégradée : les dossiers, les prescriptions ou les ordonnances numériques ne sont pas pleinement accessibles.

    L’éditeur relate avoir « détecté une activité inhabituelle sur certains comptes utilisateurs, laissant penser à des tentatives d’accès non autorisés ». L’éditeur travaille activement avec des équipes techniques et de cybersécurité pour sécuriser l’infrastructure. Avec, en parallèle, l‘alerte auprès des autorités compétentes : le CERT Santé, l’ANSSI et la CNIL. (Crédits : nts01/Pixabay)

    « Les premières analyses indiquent que les accès malveillants auraient pu permettre une extraction partielle de données, mais ni l’ampleur ni la confirmation formelle d‘une fuite de données ne sont encore établies », explique Weda.

    Un contexte de menace en forte croissance

    L’attaque contre Weda ne survient pas dans un vide. Elle s’inscrit dans un contexte où les incidents de cybersécurité dans le secteur de la santé se multiplient, mais où la réponse institutionnelle tente de rattraper le retard.

    Selon le CERT Santé, l’année 2024 a enregistré 749 incidents déclarés dans les établissements de santé et médico-sociaux, soit une augmentation de près de 29 % par rapport à 2023.

    Pour autant, une hausse de signalements n’implique pas nécessairement une aggravation. Selon l’Agence du Numérique en Santé (ANS), elle traduit davantage une meilleure appropriation des dispositifs de remontée d’incidents.

    En même temps, la gravité des incidents (déclarés) majeurs semble diminuer. Les établissements seraient mieux préparés à faire face, grâce à des audits, des exercices de crise, et un accompagnement renforcé par le CERT Santé au sein de CaRE. (Crédits : Engin Akyurt/Pixabay)

    Doigt, saturation, hôpital

    Pour l’année 2023, sur 581 incidents déclarés, la moitié étaient d’origine malveillante, selon les rapports du CERT. Parmi eux, 35 % auraient eu un impact sur la prise en charge de la patientèle.

    Face au fléau des ransomwares : take CaRE

    Les rançongiciels restent l’une des menaces les plus présentes. Sans oublier, les attaques cybernétiques : DDoS, phishing, spearphishing, vishing… En 2024, le CERT Santé signale que la menace due au ransomware est la plus prégnante. Ainsi, plusieurs établissements ont dû recourir à des modes de fonctionnement dégradés durant plusieurs semaines. L’augmentation des incidents liés aux ransomwares (+28,9 %) montre à quel point ces attaques restent un défi majeur.

    Main, radio, hopital

    Face à cette menace croissante, les autorités françaises ont mis en place une stratégie structurée et ambitieuse : le programme CaRE. Qu’est-ce que CaRE ? Lancé par l’ANS, le programme CaRE vise à renforcer la gouvernance et la résilience des établissements de santé face aux cyberattaques. Articulé autour d‘axes, tels que l’amélioration de la sécurité des systèmes d’information, structurer les référentiels de sécurité (via la PGSSI-S), l’accompagnement dans la gestion de crise, et mutualiser des compétences.

    Au chevet du malade

    Le programme prévoit aussi un accompagnement financier et technique : le CERT Santé joue un rôle capital en accompagnant opérationnellement les structures et en réalisant des audits ciblés. Toutefois, la Cour des comptes a tiré la sonnette d’alarme. Le rapport sur « la sécurité informatique des établissements de santé » est factuel. Elle rappelle que « cet engagement financier (750 millions d’euros) n’est assuré que jusqu’à la fin de l’année 2024. Il est indispensable qu’il soit poursuivi jusqu’au terme du programme. »

    Dans sa première partie, le rapport présente « l’état de la menace à laquelle les 2 400 hôpitaux publics et privés sont confrontés expose les raisons de la vulnérabilité des systèmes d’information hospitaliers et évalue les conséquences des cyberattaques sur les hôpitaux en termes de fonctionnement et de coût. »

    (Crédits : Pixabay/Pexels)

    Constat effectué, en page 11, entre janvier 2021 et mars 2023, sur 215 incidents identifiés. La France est première avec 43 incidents, l‘Espagne deuxième avec 25, puis l’Allemagne avec 23, avant les Pays-Bas et l’Italie avec respectivement 20 et 19. La Cour des comptes ajoute que, dès 2027, c’est aux établissements eux-mêmes de s’en charger : « Le financement par les établissements de santé de l’élévation de leur cyberprotection devra être poursuivi. »

    Entre menaces, régulation et résilience

    Comment le secteur santé va-t-il se transformer pour devenir cyber-résilient ? Trois axes principaux se dessinent. Les rançongiciels ne sont pas le seul danger. À l’avenir, les cybercriminels pourraient exploiter l’IA pour automatiser et cibler leurs attaques. La multiplicité des dispositifs médicaux connectés IoMT (Internet of Medical Things) élargit la surface d’attaque. Chaque appareil connecté est un point d’entrée vulnérable en devenir.

    À la mi-septembre 2025, Anthropic détecte une activité suspecte. L‘enquête a ensuite permis de déterminer une campagne d’espionnage très sophistiquée. Les attaquants ont utilisé l’IA à un degré sans précédent, en utilisant l’IA pour exécuter les cyberattaques elles-mêmes.

    « L’acteur de menace — que nous évaluons avec une grande confiance comme étant un groupe parrainé par l’État chinois — a manipulé notre outil Claude Code pour tenter d’infiltrer environ trente cibles mondiales et a réussi dans un petit nombre de cas », argumente Anthropic.

    Vers une culture cyber

    Pour que le secteur de la santé devienne véritablement résilient, comme d’autres, plusieurs leviers sont essentiels. En premier lieu, ils doivent posséder une culture du cyber et une gouvernance structurée, en plus de leur profession. Trois scénarii pour 2030

    L’optimiste : la majorité des établissements ont atteint une maturité, avec des PCA/PRA, une gouvernance, des audits réguliers et des investissements. L’IA est utilisée, comme le garde des Sceaux le préconise dès 2026, pour la justice avec des question de Droit.

    Le réaliste : des progrès sont perceptibles, mais inégaux. Le programme CaRE fonctionne, mais certains établissements sont limités par les ressources. Quant au pessimiste, les financements ralentissent, les cyberattaques, au sens large, deviennent de plus en plus fréquentes.

    (Crédits : Tara Winstead/Pexels)

    Pilulier, santé, sucre

    L’attaque contre Weda, comme celle du Centre hospitalier de la Haute-Comté à Pontarlier, est un signal d’alarme : elle rappelle brutalement que, dans un monde de plus en plus numérisé, la cybersécurité en santé n’est plus une option, mais vitale. Les chiffres 2023‑2024 montrent une situation paradoxale : plus d’incidents, mais aussi une maturité grandissante. Pour autant, les défis restent nombreux en 2025. Car la menace ne cesse d’évoluer.