Étiquette : ransomware

Cyberattaque contre Jaguar-Land Rover
Le 28 août 2025, le constructeur automobile britannique, filiale du conglomérat indien Tata Motors, voit ses systèmes informatiques plongés dans le chaos. À Halewood, dans le nord-ouest de l’Angleterre, les employés reçoivent un ordre inhabituel : ne pas se présenter au travail. Les systèmes ERP SAP, les contrôleurs SCADA, les automates programmables robotiques, les outils CRM et même les portails de concessionnaires sont à l’arrêt. L’entreprise reconnaît rapidement une attaque à large spectre affectant ses environnements industriels et bureautiques.
Les chaînes d’assemblage de Jaguar-Land Rover (JLR) ont été ralenties, puis stoppées à la suite d’un incident informatique majeur. Les premières investigations du Cyber Monitoring Centre (CMC) britannique et du National Cyber Security Centre (NCSC) révèlent une cyberattaque à effet domino. C’est l’une de ces offensives où la faille ne vient pas de l’intérieur, mais d’un prestataire, d’un fournisseur ou d’un maillon négligé de la chaîne numérique, ce pour quelques raisons que ce soit.
Un séisme industriel et systémique
D’après The Hindu Business Line, les serveurs compromis ont eu un effet domino. Cet effet s’est fait ressentir dans plusieurs usines à travers le monde. Ce qui provoque une suspension de la production. En Slovaquie, Eberspächer Gruppe GmbH & Co., fournisseur de systèmes d’échappement, a dû stopper l’activité de sa manufacture de Nitra. Le Britannique Autins Group, l’un des sous-traitants majeurs, a pour sa part informé ses actionnaires d’un « impact significatif » sur ses opérations locales. « JLR a été impacté par un cyberincident. Nous avons pris des mesures immédiates pour atténuer son impact en arrêtant de manière proactive nos systèmes. […] À ce stade, il n’y a aucune preuve que des données sur les clients ont été volées, mais nos activités de vente au détail et de production ont été gravement perturbées », a déclaré un porte-parole de JLR après l’incident du samedi 30 août 2025.
« Le modèle de CMC estime que l’événement a causé un impact financier britannique de 1,9 milliard de £ et a affecté plus de 5 000 organisations britanniques. » Les bouleversements touchent tout autant les sites d’exploitation que les transporteurs, les prestataires logistiques ainsi que les concessions automobiles. Dans son rapport, le comité technique du CMC, présidé par Ciaran Martin (ancien directeur du NCSC), prévient que « cet incident répond aux critères de la catégorie 3 en raison d’une perte financière comprise entre 1 et 5 milliards de livres sterling pour les organisations concernées et d’un impact significatif sur plus de 2 700 entités britanniques. »
Pour les experts du CMC, la dépendance des entreprises aux systèmes IT [Information technology] et OT [operationel technology] interconnectés constitue le véritable maillon faible. Les points de convergences entre l’IT [SQL, Cloud, CRM, ERP, RDP, HTTPS, Internet access] et l’OT [Machinery, Assembly Lines, RTUs, HMIs, SCADA, PLCs, Modbus] seraient le talon d’Achille. Les chaînes logistiques multi-niveaux, la sous-traitance massive et la concentration de données critiques dans des environnements cloud accentuent donc leurs expositions.
ShinyHunters
une signature familière
Vingt-quatre heures après l’attaque, une organisation bien connue de la scène cyber, en réclame la paternité : ShinyHunters. Sur leur chaîne Telegram, « le groupe dit des Shiny Hunters [et en particulier Rey, qui a officié un temps sous la bannière de Hellcat] », explique LeMagIT.
Derrière ce trouve un collectif ayant déjà revendiqué des attaques contre des détaillants britanniques et des entreprises comme Google, Air France-KLM, Allianz for Life, Cisco ou Pandora, via des intrusions dans leurs instances Salesforce. [Crédits : Bradley De Melo/Pexels]
Le mode opératoire correspond à celui de l’organisation Scattered Spider : des campagnes de phishing, de vishing, et l’exploitation de comptes d’accès à privilèges. Une approche redoutable, car elle contourne les défenses techniques en s’appuyant sur la psychologie et la routine des utilisateurs.
Un précédent aux allures de crise nationale
Le gouvernement britannique a dû réagir. Selon le rapport du CMC, l’État s’est porté garant à hauteur de 1,5 milliard de livres sterling pour maintenir les liquidités de Jaguar-Land Rover. Le but limiter et éviter une onde de choc sur l’économie du pays.
Le CMC appelle à une révision des cadres et à un renforcement des couvertures assurantielles face aux menaces cyber. « Les perturbations opérationnelles posent aujourd’hui le plus grand risque pour la plupart des entreprises », conclut-il.
À peine vingt-quatre heures après la révélation de l’incident chez Jaguar-Land Rover, Bridgestone annonce à son tour l’interruption de son usine de Joliette, au Canada, en raison d’une possible cyberattaque. La troisième depuis 2022. « L’usine demeure à l’arrêt jusqu’à vendredi 19 h. Selon les progrès réalisés par l’équipe informatique, nous prévoyons vous partager le plan de redémarrage des activités en cours de journée le vendredi 5 septembre », précise la société. Les droits de chômage partiel ne sont pas les mêmes qu’en France. « On n’est pas payé. Il faut être sept jours à l’arrêt pour faire une demande de chômage. » Elle met à disposition des 1400 employés 200 $ par jour, car l’usine est le poumon économique de la région lanaudoise.
Bridgestone
victime collatérale
Ces attaques, menées par des organisations à motivation financière, traduisent aussi une géo-politisation du cyberespace. Les services européens de renseignement évoquent depuis 2024 une multiplication des offensives à visée de cyberespionnage industriel, souvent attribuées à des groupes affiliés à la Russie ou à la Chine.
Au-delà du Royaume-Uni, cet épisode résonne comme un signal d’alarme pour l’industrie européenne. À l’heure où entre en vigueur la directive NIS2, censée renforcer la cybersécurité des opérateurs essentiels, le cas JLR illustre les limites du dispositif : la conformité ne garantit pas la résilience. L’ensemble des acteurs doivent composer avec la réalité : la cybersécurité industrielle est un enjeu de souveraineté économique. [Crédits : Pixabay/Pexels]
« La digitalisation de l’industrie, si elle n’est pas accompagnée d’une culture de sécurité, revient à installer des portes automatiques sans serrure », ironise un expert du NCSC. Cette cyberattaque a mis en lumière la vulnérabilité d’un modèle entier : celui d’une industrie mondialisée, hyperconnectée et dépendante de prestataires interopérables. Jaguar-Land Rover n’est peut-être que le premier domino d’une série que l’Europe industrielle n’a plus le luxe ni le temps d’ignorer.
octobre 23, 2025
Cyberattaques : un fléau qui frappe la France
En France, les cyberattaques ne cessent de se multiplier, touchant aussi bien les hôpitaux que les entreprises privées. Le site Ransomware Live recense déjà 402 attaques revendiquées par des groupes criminels organisés, ce depuis 2017. Un chiffre impressionnant, qui ne reflète pourtant qu’une partie de la réalité, puisque de nombreuses intrusions restent dans l’ombre. Les conséquences pour les entreprises subissant des cyberattaques peuvent être multiples : financières, réputationnelle et juridique.
Les conséquences sont lourdes : pertes financières, atteinte à l’image, responsabilité juridique… faillite. Aucun secteur n’est épargné. Les cybercriminels, souvent jeunes, multiplient les assauts en exigeant des rançons contre la restitution ou la non-divulgation de données chiffrées. Mais les premières attaques remontent au 11 décembre 1989.
Une menace omniprésente, des conséquences sans limites !
Les vendredi 12 et samedi 13 mai 2017, Renault a dû interrompre la production dans de nombreuses usines à Batilly en Meurthe-et-Moselle, Douai dans le Nord, Sandouville en Seine-Maritime, Novo Mesto dans le sud-est de la Slovénie ou encore à Pitesti, en Roumanie. Il était urgent d’isoler les ordinateurs et les serveurs infectés par le ransomware Wannacry. Europol qualifie cette cyberattaque « d’un niveau sans précédent », car plusieurs dizaines de milliers de systèmes d’informations sont affectés, dans au moins 70 pays.
Il n’y a pas un seul jour où des sociétés publiques comme privées ne soient sous le joug de groupes composés de cybercriminels, souvent jeunes. Les ransomwares « Qilin » revendique les cyberattaques de Bio3g, Wouters France, EPLS, PathoQuest, « The Gentlemen » affiche LPP, SAelen/Heizomat et Peggy Sage via « Datacarry ».
Depuis « Wannacry » et Renault en 2017 , les ransomwares sont responsables de plus de 400 attaques réussies et rendues publiques dans l’hexagone. Parmi les plus actifs : LockBit (91 attaques connues), Qilin (30), 8Base (27), RansomHub (18), Hunters (12), Alphv/BlackCat (11), et d’autres comme Cl0p, Cactus, Play…
Double extorsion
Si les ransomwares dominent l’actualité, ils ne sont pas seuls. Les principaux vecteurs les plus connus du grand public sont les ransowmares, phishing et spear-phishing comme les attaques DDoS.
Le phishing consiste à piéger les victimes par de faux courriels pour leur soutirer des informations sensibles. Le spear-phishing va plus loin, avec des messages personnalisés et donc plus crédibles. Les attaques DDoS, déni de service distribué paralysent quant à elles des sites web en les saturant de requêtes.
Ces méthodes, souvent combinées, peuvent conduire à l’arrêt total d’une activité. De nombreux groupes, tels que Datacarry, adoptent une stratégie de double extorsion : ils menacent de les divulguer si la rançon n’est pas payée.
(Crédits : Anete Lusina/Pexels)
Ces attaques peuvent paralyser les sites web d’entreprises, entraînant des pertes financières et une altération de la réputation, voire bien pire : la faillite. Le plus emblématique des exemples sur les conséquences des cyberattaques se déroule outre-manche. Le géant britannique du transport, KNP Logistics a dû fermer ses portes en mai 2025 après une attaque du ransomware Akira de juin 2023. Une faillite brutale après 158 ans d’existence.
L’attaque de Peggy Sage par Datacarry
Le 15 août 2025, la marque française de cosmétiques Peggy Sage a été victime d’une cyberattaque revendiquée par le groupe Datacarry. Les opérateurs derrière le ransomware divulguent 11,3GB de données compressées sur leur site vitrine. L’ensemble des informations une fois décompressé atteint 14,3 GB. Quatre dossiers et trois documents au format CSV : stg_client de 6,9 Mo, un autre ods_client de 139.1 ko et dwh_client de 963,4 ko.
Respectivement, ils affichent 268, 12742 et 1896 lignes. Puis quatre dossiers : Personnel de 1,2 Go (1,4 Go décompressé), shop_personnel de 5,9 Go (6,1 Go), recrut de 644,3 Mo (880,9 Mo), webOrders_old de 141,7 Mo (501,3 Mo) et recrut2 de 4,2 Go (5,5 Go).
Les fichiers divulgués sont particulièrement sensibles : données personnelles (pièces d’identité, cartes vitales, coordonnées bancaires, adresses, numéros de téléphone…), documents RH (Documents pour le recrutement, correspondances France Travail, organigramme…), données internes (commandes, bases clients, favoris de navigation…). (Crédits : capture d’écran)
Autrement dit, des informations exploitables pour lancer d’autres attaques ciblées contre les salariés ou les clients, par phishing ou usurpation d’identité. Chaque nouvelle cyberattaque rappelle la même réalité : la cybersécurité n’est plus un sujet réservé aux experts. Elle concerne les entreprises, leurs employés, et les citoyens dont les données circulent désormais sans protection. À l’heure où plus de 400 attaques revendiquées depuis 2017, rien qu’en France par ransomware, ont déjà été revendiquées par les cybercriminels, la question n’est plus de savoir si une vous allez être attaqué, mais : quand ?
septembre 17, 2025
Trois attaques ébranlent l’environnement Google, et pas que…
En l’espace de quelques semaines, Google a vu son écosystème frappé par trois secousses majeures : une faille critique dans son service Cloud Dataform, une campagne de phishing exploitant Google Classroom et une possible fuite massive de données touchant Gmail. Ces incidents, confirmés par des sources spécialisées, révèlent la fragilité des géants du numérique face à des cybermenaces protéiformes. Entre correctifs d’urgence, exploitation de plateformes éducatives et piratage revendiqué par Shiny Hunters, la sécurité de milliards d’usagers se retrouve une nouvelle fois sur la sellette.
L’été 2025 aura mis à l’épreuve la cybersécurité de Google. Trois événements distincts, mais significatifs, ont ciblé son infrastructure et ses services : une faille critique dans Google Cloud Dataform, une campagne de phishing exploitant Google Classroom, et une possible fuite de données concernant potentiellement des milliards d’utilisateurs de Gmail, démenti par la maison mère Google..
Faille critique dans Google Cloud Dataform
Le 21 août 2025, Google a corrigé une vulnérabilité critique affectant Google Cloud Dataform, référencée sous le numéro CVE-2025-9118. La faille reposait sur un path traversal (CWE-22) qui consiste à « sortir » du dossier prévu par l’application en injectant des chemins tels que « ../../../../../etc/passwd ».
Le problème vient du fait que Google Dataform (un service cloud pour gérer des workflows de données SQL) lit le fichier package.json lors de l’installation de dépendances. Si ce fichier est piégé, il peut contenir des chemins qui obligent le système à écrire ou lire en dehors du répertoire prévu. Vulgairement, un immeuble, ici le Dataform, contient de multiples appartements individuels (les dépôts de différents clients). La faille est semblable à une porte dérobée dans une cloison mal sécurisée. Une personne malveillante peut s’introduire dans n’importe quel logement, en changer ce que bon lui semble, sans y être autorisée.
L’attaquant à distance, sans avoir besoin de se connecter, peut créer un package.json malveillant — fichier qui décrit un paquet logiciel — pour lire ou modifier les fichiers d’autres clients, comme s’il était l’un d’eux. (Crédits : Caio/Pexels)
Google a assuré que tous les clients ont été automatiquement protégés après le déploiement du correctif et qu’aucune action supplémentaire n’était requise de leur part. Le score CVSS 10.0 traduit la gravité maximale, car aucun mot de passe n’était requis, accès aux données privées, modification possible de fichiers.
Campagne massive de phishing
Quelques jours plus tôt, soit entre le 6 et le 12 août 2025, des acteurs malveillants exploitent la plateforme Google Classroom. Leur but : une campagne de phishing à grande échelle. Selon l’entreprise de cybersécurité Armorblox, environ 13 500 organisations à travers le monde ont été ciblées, via l’envoi de plus de 115 000 messages frauduleux.
Le stratagème est aussi simple que redoutable. Les attaquants créent de faux cours dans Google Classroom, puis y intègrent des liens malveillants dissimulés dans des documents ou des annonces. Ces cours sont ensuite partagés par courriel sur des entreprises et administrations.
Leur efficacité repose sur un levier psychologique : la confiance. Venant d’un service légitime, dont le nom de domaine et les certificats ne délivrent pas d’alerte immédiate, tout semble sûr. En réalité, il redirige vers des sites piégés qui distribuent des malwares ou récoltent des identifiants et mots de passe.
Cette attaque, déjà observée, surfe sur une tendance. Détourner les services de confiance pour contourner les filtres de sécurité classiques et surtout tromper les utilisateurs. (Crédits : Pixabay/Pexels)
En détournant l’usage premier de Google Classroom, les cybercriminels hackent le pilier de confiance. Cela rappelle que le plus grand ennemi se cache dans les usages quotidiens. L’attaque exploite ce qu’il y a de plus humain : la confiance, la routine, l’habitude de cliquer sans se méfier, sans regarder. Cette affaire révèle que sans une culture de vigilance partagée par tous, la technologie ne suffira pas. Enfin, selon les révélations de PCWorld, le groupe de pirates Shiny Hunters affirme avoir compromis une base de données associée à Google, en exploitant des accès liés à Salesforce. L’incident aurait exposé les données d’au moins 2,5 milliards d’utilisateurs Gmail, incluant noms, identifiants d’entreprise et autres métadonnées.
Shiny Hunters, qui sont-ils ?
Le nom n’est pas nouveau. Depuis 2020, Shiny Hunters s’est imposé comme un acteur central du cybercrime mondialisé, multipliant les assauts contre des entreprises cotées comme contre des plateformes de niche. Leur stratégie : l’industrialisation de la compromission. Le collectif revendique une série de brèches spectaculaires.
Shiny Hunters est un collectif de cybercriminels qui a émergé en 2020. Célèbre pour des fuites massives — comme Tokopedia (91 millions de comptes volés), Wattpad (271 millions), AT&T (plus de 70 millions), ou encore l’exfiltration de 500 Go de code source Microsoft —, le groupe a rapidement gagné en notoriété. Il s’illustre par sa capacité à transformer les données volées en armes de chantage et de monétisation.
À partir de 2025, leur méthode a profondément évolué. Shiny Hunters a fait un virage stratégique vers le vishing (phishing vocal) ciblant Salesforce. Ainsi, en usurpant l’identité du support IT, ils incitent des employés à installer des programmes malveillants, leur ouvrant l’accès aux CRM de Google, Workday, Cisco, Chanel ou Dior.
(Crédits : BM Amaro/Pexels)
Aujourd’hui, Shiny Hunters est en capacité de mener des campagnes d’exploitation sociale amplifiée par la technologie, avec une finalité économique claire : l’extorsion. Ce collectif n’est plus un simple groupe de pilleurs de données. Il mute en une entreprise criminelle sophistiquée, où l’intelligence sociale (vishing) devient l’une des clés pour pénétrer les bastions du cloud mondial.
Shiny Hunters s’allie à Scattered Spider
Après une année d’inactivité, « Shiny Hunters » refait surface. Silencieux entre juin 2024 et juin 2025, à la suite de l’arrestation de quatre de ses membres, ils signent leurs retours avec une vague d’attaques contre Salesforce.
Selon les révélations de The Hacker News, « le groupe Shiny Hunters, tristement célèbre pour ses fuites massives de données, semble avoir conclu une alliance avec le gang Scattered Spider ». Reliaquest explique que « Shiny Hunters adopte les stratégies emblématiques de Scattered Spider ». Cette collaboration marque une montée en gamme du cybercrime, passant de l’exploitation individuelle à des campagnes de chantage coordonnées ciblant les clients de Salesforce.
Scattered Spider, quant à lui, est un groupe de cybercriminels à but lucratif lié au collectif « The Community » (alias The Com). Initialement connu pour les opérations d’échange de données SIM, le groupe a progressé vers l’exécution de systèmes d’ingénierie sociale complexes. (Crédits : Pixabay/Pexels)
Leurs outils sont une combinaison d’ingénierie sociale et des campagnes d’extorsion, une version 3.0 du cybercrime avec l’aide de l’IA. « Soupçonné d’inclure à la fois les membres Scattered Spider et Shiny Hunters, The Com est un réseau tentaculaire de sous-groupes et de cliques disparates qui s’engagent dans l’activité de prise de contrôle, de SIM-swapping, de vol de cryptomonnaie, et sextortion », explique Reliaquest. Quelles sont les prochaines étapes : le Chaos-as-a-Service ? Face à ces menaces, les États doivent-ils imposer une régulation plus ferme, ou le risque d’un monde numérique moins ouvert serait-il pire que le mal qu’il prétend combattre ?
septembre 3, 2025
Tensions dans le cyberespace ?
Les cyberattaques sont devenues le quotidien, alors qu’elles devraient être exceptionnelles. Dorénavant, la seule inconnue est la date à laquelle je vais, vous allez, nous allons… subir une attaque cybernétique. Car, une série de cyberattaques frappe simultanément des géants de la Tech et des opérateurs de télécommunications, exposant un peu plus encore des milliards de données personnelles. Renforçant la mainmise sur des données à fort potentiel, et pour une augmentation des tentatives d’attaque (DDoS, phishing, spearphishing…) tous azimuts.
Derrière l’exploitation de ces failles, des organisations d’individus souvent nommés « hackers ». Ils utilisent notre dépendance à l’IT à des fins financières ou de cyberespionnage, que ce soit à titre individuel ou étatique. Les risques pour la sécurité numérique mondiale sont réels. L’exemple de la gestion du cloud du Pentagone par des ingénieurs chinois en Chine est flagrant. Ces derniers jours, le conglomérat derrière le ransomware Datacarry a revendiqué l’attaque contre la société française Peggy Sage avec un fichier compressé de 11,3 GB.
Google, Orange et Cie…
Mais c’est un coup de tonnerre numérique qui électrise un ou deux bits. Google confirme que 2,5 milliards d’utilisateurs de Gmail sont affectés. D’ailleurs Google n’est pas seul, Orange Belgique est aussi une victime. Tout comme des serveurs de l’armée d’Argentine qui auraient été compromis par des groupes APT Storm-2603, Violet Typhoon et Linen Typhoon. Concernant Google, c’est en lien étroit avec l’affaire Salesforce, d’autres clients font les frais de cette campagne : Air France-KLM, Bouygues Telecom. « Le Google Threat Intelligence Group (GTIG) suit les activités d’extorsion suite aux intrusions de UNC6040, parfois plusieurs mois après le vol initial de données, sous le nom de UNC6240. »
Cela implique des appels (vishing) ou des courriels (phishing) aux employés des entreprises victimes. Ils exigent un règlement en bitcoin, dans les 72 heures. « Lors de ces communications, UNC6240 a constamment affirmé être le groupe de menace ShinyHunters. »
« Ils ont exploité des vulnérabilités dans Salesforce pour manipuler les comptes », confie un ingénieur sous couvert d’anonymat. L’entité ShinyHunters/UNC6040, réputée pour ses campagnes ciblées et ses fuites massives, est très fortement soupçonnée d’être à l’origine de cette opération.
Parmi elles, les « dangling buckets », permettant de récupérer des informations oubliées sur des serveurs mal configurés, et des manipulations de comptes à grande échelle. Le risque est immédiat : phishing, escroqueries… (Crédits : Caio/Pexels)
Databreaches.net rapporte, début août, que « les acteurs de la menace ont déjà envoyé une demande d’extorsion à Google ». Google, dans un communiqué, a assuré avoir alerté toutes les victimes et renforcé ses protections via les passkeys et le programme de protection avancé. Néanmoins une vigilance constante est nécessaire face aux messages suspects. Car « UNC6040 est un groupe de menace à motivation financière qui accède aux réseaux des victimes par ingénierie sociale de phishing vocal. »
Un opérateur sous haute surveillance
À Bruxelles, l’attaque de 850 000 comptes Orange révèle un autre visage. Selon le communiqué d’Orange Belgique, des données — nom et prénom, numéro de téléphone, numéro de carte SIM, code PUK (Personal Unblocking Key) et les tarifs — ont été consultées. Aucun mot de passe ou donnée bancaire n’auraient été consultés, toujours selon ledit communiqué. Pour un utilisateur lambda, l’attaque pourrait sembler moins grave que celle touchant Google. Pourtant, les risques de vol d’identité et de fraude (sociale) sont réels.
Le SIM swapping est la technique permettant de prendre le contrôle d’une ligne mobile pour accéder à des services financiers ou professionnels. Le porte-monnaie est au cœur des inquiétudes de chaque individu.
Le secteur des télécommunications, considéré comme infrastructure critique, illustre à quel point la dépendance à des systèmes centralisés et vulnérables peut fragiliser la sécurité nationale.
En Argentine, des serveurs de l’Armée, du ministère de la Santé et de la Fondation ArgenINTA ont été compromis via ransomware et exploitation de SharePoint. Les groupes APT Storm-2603, Violet Typhoon et Linen Typhoon, connus pour leurs liens avec Pékin, sont partiellement responsables. Des groupes que l’on retrouve avec ce que l’on pourrait nommer le petit « Pentagon-Gate ». Ces incidents démontrent qu’elles ne sont plus de simples cyberattaques, mais des opérations à dimension géopolitique et géostratégique.
Quand la géopolitique s’invite dans le cyberespace
Elles exploitent des vulnérabilités, ouvrant la voie au cyberespionnage et à la perturbation d’infrastructures critiques. « Chaque grande puissance joue sa partition dans le cyberespace, et autant dire que la symphonie est tout sauf harmonieux. »
Les incidents récents révèlent des patterns communs : dépendance aux services cloud centralisés, exposition massive de données, et insuffisance des audits réguliers. Sur le plan géopolitique, ces attaques rappellent que la souveraineté numérique n’est pas une option. Alors, la maîtrise des systèmes d’information est un enjeu stratégique, car chaque faille est exploitée. (Crédits : Pixabay/Pexels)
Ainsi, le renforcement des défenses critiques et la sensibilisation des utilisateurs ne sont plus des recommandations : elles constituent la première ligne face à des menaces de plus en plus sophistiquées et politiquement instrumentalisées. D’ailleurs le Royaume-Uni annonce en juin 2025 qu’avec une dotation d’un milliard de livres, l’État britannique déploie l’IA, car selon John Healey « le clavier est devenu une arme de guerre ».
août 23, 2025
Cyberattaque de la santé chilienne
Depuis la révélation de la cyberattaque du 27 juin 2025 visant l’institut de santé publique au Chili, les mesures vont bon train. Cette attaque cybernétique a tenu le pays en haleine pendant 12 jours. Période durant laquelle la paralysie des fonctions clés de l’organisme ravive les inquiétudes concernant la fragilité technologique de l’État. Bien que les services soient rétablis, le Ministère public a ouvert une enquête pour connaître les auteurs derrière cet acte cybernétique.
L’attaque informatique a, depuis le 27 juin, affecté le service public concernant la délivrance des médicaments, mais aussi la validation des laboratoires et la gestion douanière, obligeant cette dernière à modifier ses procédures. Le secteur privé a également été touché. Plusieurs entreprises alertent sur l’impact sur leurs processus d’importation, de distribution et de commercialisation de produits.
Cybercriminalité et IA
La communication s’effectue via la résolution exceptionnelle n°616. Elle explique que durant la nuit du vendredi 27 juin 2025 « le personnel de l’unité IT de l’ISP a détecté une attaque qui a affecté nos systèmes d’information. Selon les informations recueillies, celui-ci se serait généré depuis le Royaume-Uni et il s’agirait d’un ransomware. » Depuis, les services concernés travaillent avec l’Agence nationale de cybersécurité (ANCI). Des fuites de données sont envisagées.
La conséquence directe est la libération de produits importés – médicaments, cosmétiques, dispositifs médicaux et pesticides à usage sanitaire – sans avoir le certificat de destination douanière (CDA) ou l’autorisation d’utilisation et d’élimination (UyD). Ces documents sont normalement nécessaires à la libération et à la distribution des produits arrivés en douane.
Sur son site, l’ISP explique en date du 9 juillet 2025, 12 h, que « nous avons rétabli l’accès aux prestations […]. Concernant les prestations qui étaient en cours de traitement au moment de la contingence informatique : celles-ci se trouvent actuellement dans des bases de données et sont en cours de récupération. » (Crédits : Carlos Figueroa Rojas/Wikipedia)
Les députés martèlent qu’il s’agit d’une « alerte rouge » et appellent à la transparence sur les violations de données et les possibles fuites. À cet égard, il est nécessaire de rappeler que le Chili a enregistré 27,6 milliards de tentatives de cyberattaques en 2024, selon FortiGuard Labs. Ce qui reflète une augmentation due à l’utilisation de l’IA et à l’automatisation, affirme le rapport. En effet, le Chili, comme l’Amérique du Sud, a dû faire face à une augmentation alarmante des cyberattaques, qui est passée de 6 milliards en 2023 à 27,6 milliards en 2024.
juillet 12, 2025
Hunters International ferme boutique
Le ransomware Hunters International qui apparaît à la fin de l’année 2023 annonce sa fin programmée en ce début juillet 2025. L’ensemble des malversations est désormais fermé. Le Ransomware-as-a-Service « offre » à toute entreprise concernée les outils nécessaires pour déchiffrer. Sur le site de fuite, plus aucune victime n’est affichée, car « en signe de bonne volonté et afin d’aider les personnes touchées par nos activités passées, nous offrons gratuitement un logiciel de déchiffrement à toutes les entreprises qui ont été victimes de notre ransomware ».
L’enseigne héritière du ransomware Hive baisse le rideau, explique LeMagIT. Ce choix serait en rapport avec les opérations de Police : End Game, Magnus et Morpheus. Mais également la rentabilité de ces opérations, avancent-ils. C’est l’occasion de se pencher sur ce groupe de cybercriminels, qui en moins de deux années, font couler beaucoup d’encre, et potentiellement des entreprises.
Le rideau est baissé
Bien que l’annonce du 17 novembre 2024 indiquant que Hunters International fermerait bientôt, en raison d’une surveillance accrue et d’une baisse de la rentabilité, Group-IB l’avait anticipé en avril. Les anciens opérateurs du ransomware Hive pourraient être impliqués dans l’administration de Hunters International. Car des similitudes du code source sont observées par différents chercheurs.
Au total 307 victimes déclarées et affichées, dont certaines notables telles Finance ICBC (UK), Quálitas (Mexique), U.S. Marshals Service (USA), Hoya Corp. (JPN), Austal (USA), Benetton Group (IT)… jusqu’à Integris Health, le plus grand réseau de soins de santé à but non lucratif de l’Oklahoma. Les données de 2,4 millions de personnes exfiltrées.
Ses cibles n’étaient pas choisies au hasard. L’intérêt stratégique est de mise. La santé, avec des données sensibles et l’urgence de réaction. L’industrie et la Défense, la capacité de nuisance, mais surtout la recherche et développement. « […] Après mûre réflexion et à la lumière des développements récents, nous avons décidé de fermer le projet Hunters International. […] » (Crédits : capture d’écran/Hunters International)
Il faut se remémorer les méthodes brutales, comme celle utilisée contre Fred Hutch Cancer Center (USA). Dans la plainte déposée, en page 10 est écrit que les patients recevaient des courriels menaçants. « Si vous lisez ceci, vos données ont été volées et seront bientôt vendues à divers courtiers en données et marchés noirs pour être utilisées dans des fraudes et d’autres activités criminelles. » Accompagné des données personnelles pour chaque destinataire : prénom, nom, adresse, numéro de dossier et informations médicales. Mais ils étaient aussi menacés d’une attaque dite « swatting ». Elle se produit lorsqu’une « fausse déclaration est faite aux forces de l’ordre afin que des agents d’intervention d’urgence, comme les équipes SWAT, se rendent au domicile d’une personne. »
Adaptation au marché
Après la fermeture programmée, au vu du message sur le site de fuites : « […] Après mûre réflexion et à la lumière des développements récents, nous avons décidé de fermer le projet Hunters International. […] », des questions demeurent. Surtout une : que font-ils désormais ? Alors que Hunters ferme, World Leaks apparaît : coïncidence ?
Le modèle business du ransomwware Hunters International n’est plus rentable. Donc ils publient un nouveau projet au 1er janvier : World Leaks (Silent). « Contrairement à Hunters International, qui combinait cryptage et extorsion, World Leaks (désormais Silent) opère comme un groupe d’extorsion uniquement en utilisant un outil d’exfiltration sur mesure », a déclaré Group-IB. Selon les opérateurs, le logiciel serait indétectable…
La stratégie de communication est basée sur un concept des années 1970 : le FUD. Il est l’acronyme de Fear, Uncertainty, and Doubt pour peur, incertitude et doute. Le logiciel malveillant utilisé par Hunters International est développé « dans Rust pour cibler les architectures x64, x86 et ARM, ainsi que les systèmes d’exploitation Windows, Linux, FreeBSD et SunOS. » (Crédits : capture d’écran/Silent)
Dorénavant, Hunters international cherchent juste l’exfiltration des données, comme un groupe d’extorsion. « Maintenant, notre tâche principale est le vol de données confidentielles des entreprises. Des données qui intéresseront tout le monde. » Ils changent leurs fusils d’épaules. Désormais seul le service IT sera informé. « Les notes sont reçues exclusivement par le service informatique et les dirigeants de l’entreprise, aucun employé ne sait rien du piratage ni des autres personnes extérieures. Nous chiffrons rarement les systèmes. » Les opérateurs indiquent avoir tout un département qui étudie soigneusement chaque dossier et trouve les plus avantageux. « Le prix sera très élevé s’il apparaît sur notre blog, ou s’il est vendu à des concurrents, sur le marché noir ou transféré aux bonnes personnes. »
juillet 7, 2025
Cyberattaques sur le sol espagnol
Après la coupure générale de fourniture d’énergie, la péninsule ibérique est sujette à une attaque cybernétique. Elle touche, Hero, fabricant de sauces entre autres. La succursale espagnole est seule touchée selon Foodretail. L’entreprise rejoint trois autres compagnies ciblées : Alcampo, Consum et El Corte Inglés. Les fuites de données et les reventes sont légion. Celles de l’entreprise d’El Corte Inglés se retrouvaient quelques semaines plus tard à vendre au prix de 15 000 dollars. Mais la ville autonome de Melilla est aussi victime de cyberattaque.
Les systèmes d’information de l’usine Hero basée à Alcantarilla (Murcia) subissent un incident cybernétique ce lundi 30 juin 2025. L’annonce se produit le lendemain par les services dédiés. Mais l’usine de production a, semble-t-il, plus de chance que la ville de Melilla. La ville autonome espagnole, située au Maroc, est la cible Qilin, ransomware russophone.
Forcées de tout stopper
L’usine espagnole de la multinationale suisse Hero a, dès la détection, isolé les systèmes d’information concernés. Le but est tout simplement de stopper la propagation. L’enquête est en cours avec des équipes spécialisées. Cette cyberattaque, selon l’entreprise, « n’a affecté que l’exploitation locale de Hero en Espagne, sans impact sur d’autres filiales du Grupo Hero au niveau international. » Ce n’est pas le cas de Melilla.
Durant le week-end du samedi 21 et du dimanche 22 juin 2025, la ville autonome de Mellila au Maroc est victime du ransomware Qilin. Ce dernier revendique d’ailleurs la cyberattaque le 26 juin sur leur site de fuite.
Le groupe criminel assure avoir « complètement détruit l’infrastructure administrative et réseau de la ville ». Ils auraient volé des données d’un volume compris entre 4 à 5 téraoctets. Depuis le site WEB est toujours hors ligne.
La source de l’infection serait la connexion à distance d’un employé de la commune. Pour un retour dans les meilleurs délais, une quarantaine de personnes travaillent d’arrache-pied.
(Crédits : Google Maps)
Les cybercriminels demandent une rançon en cryptomonnaie d’un montant de 1,8 million d’euros pour qu’ils recouvrent l’ensemble des informations. Ce qui, au départ, selon le Conseil municipal, est « un incident technique qui se résoudrait en deux jours » se transforme « en une affaire grave ». Selon le maire, Juan José Imbroda, il n’y a pas de date connue de retour à la normale, ni du coût final de remise en état et en service des systèmes d’information. Seule bonne nouvelle, les 1200 fonctionnaires sont finalement payés, malgré la cyberattaque.
juillet 2, 2025
Cyberattaque : c’est-à-dire ? (2/2)
Depuis peu, les affaires sur les cyberattaques sont de plus en plus documentées. L’affaire qui est devant le tribunal correctionnel de Lyon, en France, avec les 14 prévenus et 76 000 victimes présumées, plus d’un million d’euros de préjudice, est l’affaire dite « Adecco ». Elle donne la possibilité à tout un chacun de toucher du doigt les conséquences d’une attaque cybernétique. Mais si elles peuvent être de type DDoS, il existe aussi des attaques de masse et chirurgicales, avec de vraies personnes derrière le clavier.
Si l’affaire dite « Adecco » parait hors norme, c’est par le nombre de personnes ayant ester en justice. Chaque jour, des milliers, voire bien plus encore, d’attaques cybernétiques se déroulent. Elles sont légion. Que cela se passe en temps de paix ou non, elles ne s’arrêtent jamais. Si l’espionnage ne date pas d’hier, le cinéma et les documentations des affaires déclassifiées alimentent l’intérêt général. La génération Z est plongée au cœur des cyberattaques au sens général du terme. Rares sont les personnes qui ne possèdent pas un smartphone, ou ordiphone, dans lequel se trouve leur vie numérique.
Les attaques de masse
Comme à l’usine, depuis l’avènement du fordisme, l’automatisation est devenue la norme. Ce que les cybercriminels ont compris depuis longtemps, c’est que l’automatisation rend le crime scalable. Les attaques de masse, souvent peu sophistiquées, balayent Internet à la recherche d’appareils mal configurés : caméras, imprimantes, routeurs réseau, babyphones, dispositifs de surveillance de l’environnement, machines agricoles, écouteurs ou détecteurs de fumée… En général, toute attaque a pour origine du phishing.
Une fois infectés, ces objets deviennent des « zombies », contrôlés à distance. L’une des attaques de masse emblématiques est, en 2016, due au logiciel malveillant Mirai. Le 21 octobre 2016, aux alentours de 7 h, une société d’infrastructures Internet, Dyn, est visée par une attaque DDoS (déni de service distribué). Une deuxième se produit vers midi, enfin une troisième vague vers 16 h.
Les créateurs — Paras Jha, Josiah White et Dalton Norman —, à travers leurs lignes de codes, mettent à genoux des services comme Twitter, Netflix ou GitHub en s’attaquant à l’infrastructure de Dyn. Impact mondial, coût minime. Les botnets sont soit centralisés, soit contrôlés par niveaux, ou décentralisés, les plus redoutables (Trojan.Peacomm, Stormnet). (Crédits : Ryan Lansdown/Pexels)
« Une semaine plus tard, ils mirent en ligne le code source à disposition partout dans le monde, peut-être dans une tentative de dissimuler leur trace », écrit CloudFlare. Il existe de nombreuses autres attaques de ce genre : NotPetya (2017/Lazarus), WannaCry (2017/Russie), SolarWinds (2020/APT29)…
Attaques chirurgicales
À l’opposé des attaques de masse se trouvent les APT ou Advanced Persistent Threats. Ce sont des offensives ciblées, chirurgicales, menées contre des organisations stratégiques. Qui dit attaques ciblées, sophistiquées et sur un temps persistant, dit forcément des groupes ou entités disposant de moyens considérables. Car elles reposent sur une cartographie précise de la cible, un phishing personnalisé avec du social engineering, et enfin une prise de contrôle discrète.
Le protocole est une machine bien huilée. Il commence par de la collecte d’informations publiques (OSINT). Elles proviennent de nos publications volontaires ou des fuites de données. S’ensuit une infection ciblée à travers un e-mail, un SMS, un vocal piège… Arrive la latéralisation. « La phase de déplacement latéral d’une attaque est celle où l’assaillant cherche d’autres systèmes à compromettre sur le réseau », explique Lindsay Kaye, directrice senior de l’Insikt Group de Recorded Future, en charge des résultats opérationnels. Les acteurs malveillants cherchent des accès, d’autres systèmes à infecter ou des informations intéressantes. « Le déplacement latéral se produit avant le dépôt de la charge utile finale, qu’il s’agisse d’un ransomware, d’un malware utilisé avec le soutien d’un État ou d’autres outils malveillants », poursuit Lindsay Kaye sur LeMagIT. Enfin vient l’extraction des données.
Contrairement aux cyberattaques dites opportunistes, les APT visent des objectifs quantitatifs et qualitatifs — entreprises stratégiques, infrastructures critiques, institutions publiques — dans une logique d’espionnage, de sabotage ou de manipulation.
Comme le téléfilm de la fin des années 80 Arsène Lupin, avec Georges Descrières, où « il vient chez vous la nuit sans déranger votre sommeil », ils cherchent la plus grande discrétion. Le but est simple : y demeurer des mois, des années, tout en collectant des informations sensibles ou en préparant des actions destructrices.
Les attaques via APT sont régulièrement attribuées à des acteurs étatiques ou paraétatiques, comme le groupe APT28, APT41 ou Lazarus. Ces attaques constituent aujourd’hui l’un des plus grands risques pour la sécurité économique et géopolitique mondiale.
(Crédits : Summer Stock/Pexels)
Parmi les groupes les plus actifs, il y a APT28 ou Fancy Bear ; le groupe serait lié au renseignement russe, tout comme APT29 ou Cozy Bear. Lazarus Group est lié à la Corée du Nord, comme le Bureau 121, Apt41 ou Winnti est un groupe chinois ; enfin APT33 est associé à l’Iran. Ce dernier ciblerait les secteurs de l’aéronautique et de l’énergie. Mais également Unit 8200 en Israël, Lulzsec aux États-Unis, The Dark Overlord ou encore Ugnazi.
Qui se cache derrière le clavier ?
Comme dans la série Profilage, chaque entité, individu, possède des traits qui lui sont propres. L’image du geek installé dans sa chambre avec des restes de pizza froide tient plus de la légende des films de série Z. Dans l’affaire dite « Adecco », le féru d’informatique n’avait que 17 ans. Tous les cybercriminels ne se ressemblent pas. Plusieurs profils se distinguent : l’individuel, animé par le défi, l’ennui, la vengeance personnelle ou l’appât du gain. Le crime organisé, les hacktivistes (Anonymous, LulzSec…), ceux des États… pour interférer dans une élection présidentielle ou créer un scandale.
Derrière les écrans, certains noms circulent comme des ombres, des fantômes aux visages familiers parmi les analystes de cybersécurité et les enquêteurs d’Interpol. Ils sont ainsi quelques-uns à faire l’unanimité des forces de l’ordre à travers le monde.
Le plus recherché est Dmitry Khoroshev. Il est identifié comme le responsable du ransomware LockBit. L’un, voire le plus prolifique des groupes cybercriminels. Les sommes extorquées dépassent le milliard de dollars.
Evgeniy Mikhailovich Bogachev, alias « Slavik » ou « Lucky12345 », est le créateur du malware Zeus GameOver. Il est accusé d’avoir orchestré le vol de plus de 100 millions de dollars via des institutions financières infectées. Aujourd’hui, il vivrait en Russie, sous la protection de l’État, avec une prime de 3 millions de dollars promise par le FBI sur sa tête.
Maksim Yakubets alias « Aqua », chef du groupe Evil Corp, a sur sa tête une prime de 5 millions de dollars. Il est accusé d’être responsable des malwares Dridex, Bugat. Du côté de la Corée du Nord, Park Jin Hyok est membre du célèbre Bureau 121. Ce dernier est soupçonné des attaques cyber contre Sony Pictures en 2014. Mais aussi la propagation du ransomware WannaCry qui a paralysé le NHS britannique et touché plus de 150 pays, et le piratage de banques via le réseau SWIFT. En Iran, c’est le groupe APT35 ou Charming Kitten.
Alexsey Belan détient le plus grand nombre de compromissions de comptes, avec plus d’un demi-milliard et le « piratage » de Yahoo en 2014. Et encore des noms comme Yevgeniy Nikulin, accusé du piratage de LinkedIn et de Dropbox. Quant à Moises Luis Zagala Gonzalez, alias « Nosophoros », il serait le créateur du ransomware Thanos (utilisé en Iran et en Russie). (Crédits : Andrew Neel/Pexels)
La plus grande compromission en France est la fuite des données de France Travail, anciennement Pôle emploi avec 43 millions de comptes touchés. La recherche et l’arrestation pour la présentation devant la justice des personnes présumées auteures des faits cités est souvent compliquée. Aux USA, l’arsenal judiciaire, bien que redoutable, est désarmé face à des États qui voient en ces cyber-mercenaires des leviers géopolitiques, telle la Chine, la Corée du Nord ou encore la Russie pour ne citer que ces pays. Le crime cybernétique n’est plus un jeu de solitaire, c’est une affaire d’infrastructure, d’influence et parfois, d’impunité.
Une bonne hygiène est possible
La numérisation accélérée des services, la généralisation du télétravail et la prolifération des objets connectés (IoT) décuplent chaque jour la surface d’attaque. Chaque terminal, chaque routeur, chaque employé est une porte potentielle de fuite ou d’entrée. Toutes les entreprises sont et restent vulnérables, les TPE encore plus. Leur manque de moyens, l’absence de référents sécurité (RSSI), la méconnaissance des risques…. Selon l’ANSSI, en 2023, on comptait une attaque toutes les 37 secondes dans le monde.
Prévenir plutôt que subir. La réponse n’est pas seulement technique. Elle passe la culture, l’organisation et l’information. Parmi les leviers possibles, la formation à la SSI dès le collège et dans l’entreprise. En effet, les données que rapporte Heaven sont impressionnantes. « 9 enfants sur 10, âgés de 12 ans, disposent déjà d’un smartphone au quotidien. » D’autant que la CNIL, dans son rapport, indique une augmentation significative des fuites en 2024.
« 5 629 violations de données ont été notifiées à la CNIL en 2024, soit 20 % de plus par rapport à l’année précédente. »
L’adoption de bonnes pratiques et d’hygiène informatique semble nécessaire. Mais également des tests d’intrusion, des simulations et des audits. Car la sécurité est un processus, pas un état où la vigilance doit être continue, évolutive et partagée. (Crédits : cottonbro studio/Pexels)
La cybercriminalité est une menace transversale, qui dépasse les frontières comme les disciplines. Elle est économique, stratégique, parfois politique, mais surtout : elle est persistante. Face à elle, la meilleure défense reste la lucidité. L’idée que « cela n’arrive qu’aux autres » est l’alliée la plus fidèle des attaquants. La résilience ne se décrète pas : elle se construit dans la durée, par la formation, la prévention, la coordination.
juin 18, 2025
Cyberattaque : c’est à dire ? (1/2)
Depuis quelques années, le terme cyberattaque est devenu courant dans le langage. Les séries « Stalk », « Mr. Robot », « Person of interest » et films « WarGame », « Conversation secrète », « Ennemi d’État », « Westworld » et bien sûr « Snowden » ont démocratisé ces termes. Certaines affaires font la une des journaux lorsqu’un centre hospitalier, une entreprise ou des écoles sont l’objet d’une cyberattaque. Pour autant, savez-vous ce qu’est véritablement une attaque cybernétique ?
Pas un seul jour sans que les titres de la presse informent de cyberattaques, principalement WEB. Quelques affaires documentées démontrent qu’elles ne sont pas l’apanage des seuls cybercriminels. Elles peuvent être aussi l’œuvre d’États. L’affaire des fuites de données de l’entreprise Adecco est d’ailleurs en procès depuis le 17 juin 2025 pour deux semaines. Mais commençons par le commencement, la définition. Une cyberattaque est une atteinte à des systèmes informatiques nommés systèmes d’information réalisée dans un but malveillant. Elle est comme l’hydre, elle a plusieurs visages.
Du défacement au sabotage silencieux : anatomie d’une cybercriminalité polymorphe
Le mythe du hacker solitaire, affublé d’un hoodie et d’une pizza à portée de main, appartient désormais au folklore. La cybercriminalité d’aujourd’hui est polymorphe, professionnelle et profondément ancrée dans les enjeux du monde contemporain. Elle cible aussi bien les individus que les multinationales, les hôpitaux que les États, dans une logique tantôt opportuniste, tantôt géopolitique, tantôt financière et parfois les trois ensemble.
Trois grandes motivations dominent le paysage : atteinte à l’image, espionnage, et sabotage. À travers elles, c’est toute une cartographie des risques numériques qui se dessine, du symbole au système, de l’humiliation publique à l’effondrement fonctionnel. Le défacement est à la cybersécurité ce que le tag est à l’architecture : un geste de visibilité, parfois revendicatif, souvent symbolique. Il s’agit de modifier l’apparence d’un site web pour y afficher un message, une signature, une revendication.
En 2023 encore, le collectif Anonymous a revendiqué des centaines d’actes de ce type, notamment contre des sites russes, en réaction à la guerre en Ukraine. Le message affiché est totalement clair : « vous n’êtes pas intouchables ».
(Crédits : ASSY/Pixabay)
Moins dangereux qu’un ransomware, le défacement est souvent perçu comme bénin. Mais il révèle une faille dans le système, et peut servir de précurseur à des attaques plus graves. En cybersécurité, la symbolique précède parfois l’opérationnel.
Espionnage numérique, le vol silencieux
Si le défacement hurle, car visible au demeurant, l’espionnage numérique murmure. Pas question d’abîmer ou de perturber, mais de voir sans être vu. Une fois infiltré dans le système, l’assaillant collecte des documents stratégiques, des courriels sensibles, des secrets industriels, sans altérer le fonctionnement visible de la cible : pas vu, pas pris.
L’actualité brûlante au proche et Moyen-Orient ravivent des blessures jamais cicatrisées. La volonté d’empêcher l’Iran de posséder la bombe atomique ne date pas d’hier. C’est pour cela que l’un des cas les plus célèbres de cyberattaque est en forme de Matriochka. Un quatuor au service de ses concepteurs.
Elle se compose de Stuxnet, Duqu, Flame et Gauss, connue sous le nom officieux de « Olympic Games ». Cette opération concertée aurait impliqué la NSA et les services israéliens avec l’unité 8200.
D’abord Stuxnet en 2010 avec le sabotage des centrifugeuses de Natanz, via SCADA. En 2011, Duqu, c’est une collecte d’informations pour préparer de futures attaques. Flame en 2012, bien que lancée en 2006-2007 d’après Kaspersky Lab est de l’espionnage de masse, notamment de réseaux diplomatiques et scientifiques.
Gauss partage certaines fonctionnalités de Flame, notamment les sous-programmes d’infection USB. C’est purement le ciblage bancaire et de la logistique financière dans les pays dits arabes. Plus précisément, des ordres d’interception des données provenant d’utilisateurs de banques israélienne, libanaise, palestinienne et syrienne.
Enfin, l’acte chirurgical, voire l’opération au laser, s’effectue par miniFlame. Il est une backdoor ultra-ciblée utilisée comme module complémentaire à Flame, permettant un contrôle granulaire des machines infectées.
(Crédits : Rafael Guajardo/Pexels)
Les différentes composantes ont eu des cibles privilégiées écrit Kaspersky Lab. Flame s’intéressait en particulier à l’Égypte, l’Europe, l’Iran, Israël, le Liban, la Palestine, l’Arabie Saoudite, le Soudan, la Syrie et l’Ukraine ; Duqu visait la France, la Hongrie, l’Iran et le Soudan ; Gauss Israël, le Liban, la Palestine et la Syrie ; StuxNet l’Iran.
Sabotage numérique, bloquer pour faire plier
Parfois, l’objectif n’est ni l’image ni le renseignement, mais tout bonnement la paralysie. Le sabotage numérique vise à rendre un service inopérant, souvent via des attaques DDoS ou l’injection de ransomwares. Les impacts peuvent être directs : arrêt d’activité, pertes financières, mise en danger des utilisateurs. En 2021, l’hébergeur français OVH a subi l’une des attaques DDoS les plus puissantes jamais enregistrées — à l’époque —, culminant à 1 Tbit/s.
En 2024, CloudFlare subit la plus grande attaque DDoS jamais enregistrée : « une attaque qui a atteint 5,6 térabits par seconde (Tb/s) et 666 millions de paquets par seconde à son pic. »
L’attaque DDoS considérée comme le premier acte de cyberguerre ou warfare date de 2007, en Estonie. L’étincelle est issue de la relocalisation du « soldat de la bravoure de Tallinn », un monument de la Seconde Guerre mondiale. Le gouvernement russe était soupçonné d’en être l’instigateur. L’enquête s’est stoppée aux frontières de la Russie. Cet incident conduit à l’élaboration de lois internationales pour la cyberguerre.
L’ampleur de l’attaque a rappelé que, dans le cyberespace, les infrastructures numériques peuvent s’effondrer aussi brutalement qu’un château de cartes, puis suit l’exfiltration de données. La fuite est invisible, mais les dégâts sont bien réels.
Qu’est-ce qu’une attaque DDoS ?
Rendre un dispositif indisponible pour ses utilisateurs en interrompant son fonctionnement normal. Elle est « distribuée », car elle provient de nombreuses sources. Comme une élève ou quinze professeurs lui parlent en même temps, il sature.
Il existe l’attaque dite par débordement de tampon. C’est amener une entité à utiliser toutes les ressources disponibles de l’espace du disque dur, de la mémoire ou encore du CPU. L’attaque par inondation, est comme son nom l’indique saturer un serveur avec une quantité « huge » de paquets. Pour la réussite de cet acte malveillant, l’attaquant doit disposer d’une plus grande bande passante.
Des attaques courantes sont : Smurf attack, Ping flood et Ping of Death. (Crédits : andreas160578/Pixabay)
Les conséquences sont multiples : juridique, réputationnelle, financière, opérationnelle avec une désorganisation et un arrêt de production. Le Centre Hospitalier de Versailles, fin 2022, a vu ses services profondément désorganisés après une attaque mêlant exfiltration et chiffrement de fichiers. À suivre…
juin 18, 2025
Flame, le virus fantôme
En mai 2012, les experts de Kaspersky, le laboratoire de cybersécurité basé à Moscou, annoncent une découverte qui fait date : un programme-espion d’une complexité inédite rôde sur les réseaux du Proche-Orient. Son nom : « Flame ». Les recherches indiquent que plus de 1 000 machines sont identifiées comme infectées. Les systèmes d’information appartiennent à des pays savamment ciblés. L’Iran, en fer de lance, mais aussi le Liban, la Syrie, le Soudan ou encore les Territoires palestiniens.
Rapidement, la presse spécialisée évoque une campagne d’espionnage à grande échelle — un projet hautement stratégique, silencieux et méticuleusement ciblé. Il n’est pas comme Stormous qui revendique une cyberattaque contre les systèmes de l’Éducation nationale. Flame n’est pas un ransomware ni un ver destructeur. Il n’efface rien, ne bloque rien, mais il observe, collecte, intercepte. Une opération de renseignement cybernétique, probablement conçue pour durer dans le temps, à l’insu de ses victimes.
Aux origines du cyberespionnage d’État
Ce qui frappe immédiatement les analystes, c’est la richesse fonctionnelle du programme malveillant. Il est tout sauf un simple, déjà par son poids de 20 Mo. Il s’apparente plus à une plateforme d’espionnage modulaire. Ses opérateurs peuvent l’adapter en fonction des cibles et des besoins. « Il est beaucoup plus difficile de pénétrer un réseau, d’en apprendre plus à son sujet, d’y résider pour toujours et d’en extraire des informations sans être détecté que d’entrer et de se piquer à l’intérieur du réseau, causant des dommages », déclare en 2012 Michael V. Hayden, un ancien directeur de la NSA et directeur de la CIA ayant quitté ses fonctions trois ans plus tôt.
Parmi ses fonctionnalités : l’interception des e-mails et des documents de type Word, Excel, PDF ; l’enregistrement des conversations audio, via l’activation du micro ; des captures d’écran régulières, lors de l’usage de logiciels spécifiques ; l’analyse du trafic réseau et des connexions Bluetooth ; et l’extraction furtive des données vers des serveurs distants.
Le tout dans un code d’une taille peu ordinaire. Il représente près de 20 mégaoctets, soit dix à vingt fois plus qu’un malware classique en 2012. Cerise sur le gâteau, il est capable de se mettre à jour à distance, de s’auto-effacer, sans oublier le principal : échapper à la détection des antivirus traditionnels. Il dépeint, en 2012, le summum de l’ingénierie logicielle appliquée à l’espionnage. (Crédits : Miriam Espacio/Pexels)
Comme Stuxnet, pas besoin de test de paternité pour émettre des soupçons précis et vraisemblables. Tout laisse à penser qu’il s’agit d’un outil conçu par un État ou un groupement interétatique. Pour étayer ces propos, les experts en rétro-ingénierie, entre autres, s’appuient sur la sophistication du code, la durée de développement supposée, la précision géopolitique du ciblage. Devant autant d’indices convergents, aucun doute. Un magistrat construit un faisceau d’indices. Ce dernier est un ensemble d’indices qui, par leur convergence, permettent de prouver un fait juridique ou un acte juridique.
Une signature discrète mais révélatrice
Une proximité avérée avec Stuxnet, le ver informatique qui a frappé les centrifugeuses nucléaires iraniennes en 2010. Certaines parties de code semblent partagées ou s’inspirent des mêmes bibliothèques. Un autre membre de la famille apparaît également : Duqu. Ce dernier est considéré pour avoir été créé par l’unité israélienne 8200. « L’unité 8200 est probablement la meilleure agence de renseignement technique au monde et se situe au même niveau que la NSA à tout point de vue, sauf l’échelle », explique Peter Roberts, chercheur principal au Royal United Services Institute de Grande-Bretagne.
Bien entendu, aucune preuve formelle ne confirme ces allégations. Des enquêtes journalistiques, comme les « Pandora papers », les « Panama papers » et des rapports de cybersécurité, affirment que Flame s’inscrit dans l’identique lignée que Stuxnet, connu sous le nom d’« Olympic Games ».
C’est un tournant, au moins pour le grand public. Il s’agit alors d’un outil digne de la guerre froide numérique. Très utile à des fins de collecte à grande échelle, sur le long terme, dans des zones de tension diplomatique.
Le niveau est monté d’un cran. La logique n’est plus de punir ou d’extorquer, mais de savoir avant tout le monde. Pour anticiper les mouvements, cartographier les réseaux décisionnels, scientifiques ou militaires. (Crédits : Kevin Ku/Pexels)
Les militaires habitués aux codes de la Guerre voient une évolution drastique. Plus un bruit, pas de fumée, aucun champ de bataille visible. Flame déclare un changement de paradigme. Dans le cyberespace, la guerre n’est plus annoncée. Elle est diffuse et permanente, méthodique et chirurgicale. Les règles classiques de souveraineté et du droit international peinent à s’y appliquer. Le cyberespace devient un terrain de manœuvre parallèle, peuplé d’outils invisibles et de fronts mouvants.
Héritage et enseignements

Plus de dix années après sa découverte, il continue d’occuper une place particulière dans la mémoire. Il contribue à dévoiler au grand public l’existence d’une cyberactivité étatique soutenue, financée et technologiquement avancée. Il montre ou démontre que les États, eux aussi, pouvaient être acteurs — voire pionniers — d’un certain niveau de « piratage ».
Depuis, d’autres campagnes ont été révélées : Equation Group, Shadow Brokers, Pegasus… D’ailleurs, dans le cadre de l’enquête qui concerne les données recueillies, via Pegasus, par le consortium de journalistes, onze États sont pointés du doigt. Le Maroc, le Mexique, l’Arabie saoudite, l’Inde, l’Indonésie, les Émirats arabes unis, le Kazakhstan, l’Azerbaïdjan, le Togo et le Rwanda. En Europe, seule la Hongrie est visée par l’enquête.
Depuis, une accélération de la militarisation du cyberespace et une prise de conscience mondiale des vulnérabilités systémiques qui nous entourent. Quoique sur la prise de conscience de vulnérabilité, il subsiste des doutes. (Crédits : Pixabay/Pexels)
Flame n’est pas une simple concaténation de lignes de code. C’est un prélude à une ère nouvelle, une ébauche d’une société différente, où la cyberguerre n’est plus une hypothèse, mais une composante bien réelle des relations internationales. Les fuites successives et massives de data, la propagande, les communications tronquées, les diversions font partie d’un tout. Le programme malveillant Flame permet d’effectuer un retour vers le passé pour envisager un futur, qui se vit au présent.
juin 12, 2025