Libre Expression

Étiquette : ShinyHunters

  • Quand les fuites de données rongent la confiance (numérique)

    Quand les fuites de données rongent la confiance (numérique)

    En quelques mois, la France, comme le monde entier, a vu chanceler l’un des piliers invisibles de sa modernité. Désormais ébranlée, la confiance dans la sécurité numérique vacille. Enseignes, géants technologiques, institutions publiques, fournisseurs de services… personne n’est épargné. Des millions de données personnelles exfiltrées, des centaines d’entreprises fragilisées, d’ailleurs, certaines firmes disparaissent, des citoyens démunis, soudain exposés à une criminalité sans visage. L’année 2025 marque d’une pierre blanche celle où la vulnérabilité n’est plus une exception, mais un état.

    À 7 h 42, dans le silence feutré d’une maison, Élodie se saisit de son ordiphone, ou smartphone. Un e-mail. Une alerte. Un message laconique l’informe qu’« une partie de vos données personnelles a pu être compromise… » Pas de coupable identifié. Juste cette notification — encore une — qui vient briser l’illusion fragile de sécurité numérique. Elle, comme des millions, se mue en une victime. Derrière son écran, le soupçon s’insinue. Que signifie cette « compromission » pour son identité, ses finances, sa vie privée ?

    Fuite de données en pagaille

    Cette histoire factice n’est malheureusement pas une fiction. C’est une vague, un tsunami qui déferle avec une intensité inédite. L’année 2025 est marquée par des fuites massives, des piratages en chaîne, des alertes répétées. Le monde numérique soudain vacille, et les citoyens (re) découvrent leur fragilité.

    Crime, cyber, attaque

    Le 3 décembre 2025, un rapport du GTIG confirme qu’une cyberattaque massive a exposé les données de plus de 200 entreprises utilisant des services reliés à Salesforce. L’activité suspecte affecte des applications d’un tiers, Gainsight. L’intrusion a permis aux hackers d’accéder à des instances, ouvrant la voie à une fuite d’informations sensibles.

    « Cette activité est probablement liée à UNC6240 (alias ShinyHunters) », déclare Austin Larsen, analyste principal de GTIG. Ils auraient mené l’opération mêlant ingénierie sociale, vishing, usurpation de comptes et exploitation de tokens d’authentification. « […] Salesforce a révoqué tous les tokens d’accès actif […] », indique Allen Tsai, porte-parole de Salesforce. (Crédits : Pete Linforth/Pixabay)

    Dans un contexte où les signalements de cybermalveillance augmentent fortement — hameçonnage, compromissions de comptes, rançongiciels — des publications, des alertes et des mises en garde contre les risques croissants liés aux informations volées sont affichées. La dernière en date concerne la violation de données personnelles de la Fédération Française de Tir.

    Une explosion des cyberattaques et des menaces en cascade

    Selon un article d’Euronews, l’Europe a enregistré une hausse spectaculaire des cyberattaques en 2025, affectant de nombreux secteurs. Si la patrie de Molière qui se retrouve parmi les pays les plus touchés, nos voisins et amis Belges font faces à une recrudescence d’escroquerie. Dans des courriels, les escrocs se font passer pour le Ministère Public ou le procureur général M. Van Leeuw. « Ces e-mails sont des faux et peuvent être dangereux. Soyez vigilant, n’ouvrez pas les pièces jointes et ne cliquez pas sur les liens contenus dans l’e-mail. »

    Le constat est limpide. Les vulnérabilités ne frappent plus individuellement, mais globalement. Nous possédons un modèle désormais fragilisé par l’interdépendance et la complexité croissante des chaînes logicielles, comme des fuites de données. Voici une liste non exhaustive des victimes d’attaques cybernétiques de l’année 2025 : Procureur général de l’État de Guanajuato (MEX), Merkle (JPN), Svenska kraftnät (SWE), Sunafil (PER), Milwaukee Police Department (USA), YAC GARTER CO., LTD. (JPN), Ville de Fumel (FRA), LG Balakrishnan & Bros Ltd (IND), Al-Babtain Power and Telecommunications Co. (SAU), Direction générale des impôts et domaines (Dgid) (SEN), Agence régionale de santé (ARS) des Hauts-de-France (FRA), Ordre des journalistes de Rome et du Lazio (ITA), Ville de Poitiers et Grand-Poitiers (FRA), Wibaie (FRA), CNFPT (FRA), Muséum national d’Histoire naturelle (FRA), Orange (FRA), Curaçao Tax Office (CUW), Delfingen (FRA), Uni-Asia Group Limited (SGN), Département de l’Aude (FRA), Büchner Barella (DEU), Alto Adige (ITA), Melilla (ESP), Glasgow (GBR), Département des Hauts-de-Seine (FRA), La Maison Liégeoise (BEL), Peter Green Chilled (GBR), Service public de Wallonie (BEL), District scolaire de Limestone (CAN), Groupe 3R (CHE), Bikur Rofeh (ISR), Adval Tech Group (CHE), Harvest (FRA), Orangeville (CAN), Bain de Bretagne (FRA), Écoles publiques de Portland (USA), Conseil scolaire Upper Canada (UCDSB) (CAN), La Police de Kingston (CAN), Berson (FRA), Leroy Merlin (FRA), France Travail (FRA)…

    Culture de la cybersécurité fragile

    L’origine du problème ne tient plus à un serveur mal configuré ou à un mot de passe trop faible. C’est désormais tout un ensemble, qui réside dans l’écosystème lui-même. En effet, il existe une externalisation massive & SaaS (Software-as-a-Service). De plus en plus d’entreprises laissent une part non négligeable de leur activité logicielle vers des tiers (CRM, support client, outils marketing, cloud…) En greffant un maillon à une chaîne, vous augmentez la surface d’attaque.

    D’autant que l’interconnexion des services ajoute un peu de piment. Un fournisseur de support en liaison avec plusieurs clients devient un hub de compromission. (Crédits : Obregonia D. Toretto/Pexels)

    Tour, communication, relais

    Selon le baromètre 2025 du CESIN, une entreprise française sur deux identifie les fuites de données comme un risque prioritaire, mais nombre d’entre elles ne jugent pas les solutions suffisamment sûres ou adaptées à leur taille. L’arrivée de l’IA générative, de services interconnectés, d’accès à distance, multiplie les vecteurs d’attaque, les erreurs possibles. Ce contexte structurel met en lumière la faiblesse d’un modèle numérique fondé sur la confiance.

    L’affaire Gainsight au révélateur

    Un prestataire, Gainsight se voit attribuer des accès légitimes — via tokens OAuth — à des CRM d’entreprises. Un acteur malveillant — via social engineering, vishing, usurpation d’identité — obtient ces tokens ou convainc un employé de les approuver. Grâce à ces accès, les pirates exportent, en masse, des bases de données entières. Cela concerne les contacts, utilisateurs, historiques, métadonnées…

    rue, public, asiatique

    Les données volées peuvent ensuite être revendues, publiées, ou servir à des campagnes de phishing ou d’usurpations d’identité ciblée. L’attaque ne nécessite pas une faille dans le cœur logiciel (Salesforce) — mais exploite la chaîne d’approvisionnement logicielle, ou « supply-chain ». Ce type d’attaque illustre une tendance récente : la cybercriminalité vers non plus le point le plus faible de l’infrastructure, mais l’écosystème global.

    Qu’est-ce qu’une attaque supply-chain ?

    Une attaque supply-chain consiste à cibler non la victime directe, mais un de ses fournisseurs ou prestataires. En compromettant ce maillon, l’attaquant obtient un accès indirect à de nombreuses cibles. Cette stratégie, très efficace à l’échelle industrielle, transforme un prestataire en point névralgique de compromission — un « hub » d’accès à plusieurs organisations.

    Vivre dans l’insécurité digitale

    Pour les victimes — salariés, clients, particuliers —, la prise de conscience est brutale. Plusieurs conséquences psychologiques se dessinent. Sentiment de vulnérabilité permanente. Car, le numérique, jusque-là perçu tel un lieu « fiable », apparais désormais comme un terrain miné.

    (Crédits : Ethan Brooke/Pexels)

    Des conséquences directes, avec la peur, ou une méfiance considérable de confier ses informations personnelles. Mais aussi le syndrome de l’appel au loup. Face à la multiplication des incidents, le risque d’habituation s’installe. Certains minimisent alors les alertes en acceptant une exposition comme « coût normal ». Mais en fonction de l’âge et de la culture cyber, la crainte d’usurpation d’identité, de fraude, de revente de données, voire de compromissions financières — car la menace ne dort jamais. L’addition de ces facteurs engendre un climat anxiogène, intime et collectif.

    La menace comme instrument systémique

    Quand les infos volées incluent des éléments personnels — noms, adresses, contacts, emails, données sensibles —, les risques sont concrets. Ainsi, comme le dévoile sur X (anciennement Twitter), SaxX, un tiers non autorisé a accédé aux données de santé des patients du site « Médecin direct » : prénom, nom, date de naissance, adresse e-mail, numéro de téléphone, adresse postale, numéro de sécurité sociale (si transmis), les données de santé (l’objet de la téléconsultation, les données renseignées dans le questionnaire de prétéléconsultation, les données échangées par écrit avec le professionnel de santé)

    Les organismes d’assistance comme Cybermalveillance.gouv.fr alertent en 2025. Les demandes d’aide ont explosé (jusqu’à + 82 % pour certaines catégories), traduisant l’intensification de la menace. Comme le montre le rapport de Surfshark : au second trimestre 2025, la France est le 2ᵉ pays le plus touché sur Terre par les violations de données, selon Surfshark. Au total, 11 946 923 e-mails français ont été compromis entre le 1ᵉʳ janvier et le 1ᵉʳ avril 2025, soit une augmentation de 441 % par rapport au trimestre précédent. Le chiffre croit à 15 466 792 au 1er juillet 2025 (+29 %).

    Cela révèle une mondialisation de la cybercriminalité. L’ingénierie sociale, combinée à l’exploitation des tiers, constitue la voie d’accès la plus rentable et la plus massive. Méthode qu’usent ShinyHunters/Scattered Spider. (Crédits : Brett Sayles/Pexels)

    câble, connexion, fibre



    Environ 83% des cyberincidents en France n’ont pas de pays d’origine identifié – 11 des 64 cas ont été attribués à au moins un pays d’origine, selon l’EuRepoC. Face à la fragilité et aux menaces contrent des États ou des entreprises, il faut repenser le modèle. Car le risque systémique existe. La fuite d’un fournisseur majeur affiche le vacillement d’un pan de l’économie numérique. La France est quatrième au rang mondial des comptes violés. Cela représente 703 912 680 depuis 2004.

    Vers un sursaut collectif ?

    L’urgence date d’hier. Le renforcement des réglementations avec la traçabilité des accès, l’obligation de signalement, la transparence sur les incidents, les sanctions… sans oublier l’hygiène numérique (mots de passe robustes, 2 FA, vigilance face aux phishings et aux sollicitations) se doit d’être la norme. « La plupart des gens utilisent le même e-mail pour différents comptes lors de l’inscription en ligne », rappelle Surfshark.

    Squelette, casque, VR

    Ce que risque tout un chacun est l’usurpation d’identité, phishing, harcèlement, perte de vie privée, stress, méfiance généralisée. Mais cela passe par la prise de conscience des données déjà fournies gratuitement lors de l’installation d’applications ou de jeu.

    L’année 2025 pourrait rester dans les mémoires comme l’année où la confiance numérique s’est fissurée — non sous les coups d’un virus explosif, mais sous la pression d’un écosystème globalisé, interconnecté, fragilisé. Derrière chaque fuite, chaque base de données volée, ce sont des individus, des familles, des entreprises, des destins qui vacillent.

    Mais ce basculement peut aussi être un appel. Un appel à la responsabilité collective — des États, des entreprises, des citoyens — pour bâtir ensemble un système plus résilient, plus transparent, plus respectueux de la vie numérique. (Crédits : Andrea Piacquadio/Pexels)

  • Cyberattaque contre Jaguar-Land Rover

    Cyberattaque contre Jaguar-Land Rover

    Le 28 août 2025, le constructeur automobile britannique, filiale du conglomérat indien Tata Motors, voit ses systèmes informatiques plongés dans le chaos. À Halewood, dans le nord-ouest de l’Angleterre, les employés reçoivent un ordre inhabituel : ne pas se présenter au travail. Les systèmes ERP SAP, les contrôleurs SCADA, les automates programmables robotiques, les outils CRM et même les portails de concessionnaires sont à l’arrêt. L’entreprise reconnaît rapidement une attaque à large spectre affectant ses environnements industriels et bureautiques.

    Les chaînes d’assemblage de Jaguar-Land Rover (JLR) ont été ralenties, puis stoppées à la suite d’un incident informatique majeur. Les premières investigations du Cyber Monitoring Centre (CMC) britannique et du National Cyber Security Centre (NCSC) révèlent une cyberattaque à effet domino. C’est l’une de ces offensives où la faille ne vient pas de l’intérieur, mais d’un prestataire, d’un fournisseur ou d’un maillon négligé de la chaîne numérique, ce pour quelques raisons que ce soit.

    Un séisme industriel et systémique

    D’après The Hindu Business Line, les serveurs compromis ont eu un effet domino. Cet effet s’est fait ressentir dans plusieurs usines à travers le monde. Ce qui provoque une suspension de la production. En Slovaquie, Eberspächer Gruppe GmbH & Co., fournisseur de systèmes d’échappement, a dû stopper l’activité de sa manufacture de Nitra. Le Britannique Autins Group, l’un des sous-traitants majeurs, a pour sa part informé ses actionnaires d’un « impact significatif » sur ses opérations locales. « JLR a été impacté par un cyberincident. Nous avons pris des mesures immédiates pour atténuer son impact en arrêtant de manière proactive nos systèmes. […] À ce stade, il n’y a aucune preuve que des données sur les clients ont été volées, mais nos activités de vente au détail et de production ont été gravement perturbées », a déclaré un porte-parole de JLR après l’incident du samedi 30 août 2025.

    « Le modèle de CMC estime que l’événement a causé un impact financier britannique de 1,9 milliard de £ et a affecté plus de 5 000 organisations britanniques. » Les bouleversements touchent tout autant les sites d’exploitation que les transporteurs, les prestataires logistiques ainsi que les concessions automobiles. Dans son rapport, le comité technique du CMC, présidé par Ciaran Martin (ancien directeur du NCSC), prévient que « cet incident répond aux critères de la catégorie 3 en raison d’une perte financière comprise entre 1 et 5 milliards de livres sterling pour les organisations concernées et d’un impact significatif sur plus de 2 700 entités britanniques. »

    Pour les experts du CMC, la dépendance des entreprises aux systèmes IT [Information technology] et OT [operationel technology] interconnectés constitue le véritable maillon faible. Les points de convergences entre l’IT [SQL, Cloud, CRM, ERP, RDP, HTTPS, Internet access] et l’OT [Machinery, Assembly Lines, RTUs, HMIs, SCADA, PLCs, Modbus] seraient le talon d’Achille. Les chaînes logistiques multi-niveaux, la sous-traitance massive et la concentration de données critiques dans des environnements cloud accentuent donc leurs expositions.

    ShinyHunters
    une signature familière

    Vingt-quatre heures après l’attaque, une organisation bien connue de la scène cyber, en réclame la paternité : ShinyHunters. Sur leur chaîne Telegram, « le groupe dit des Shiny Hunters [et en particulier Rey, qui a officié un temps sous la bannière de Hellcat] », explique LeMagIT.

    Derrière ce trouve un collectif ayant déjà revendiqué des attaques contre des détaillants britanniques et des entreprises comme Google, Air France-KLM, Allianz for Life, Cisco ou Pandora, via des intrusions dans leurs instances Salesforce. [Crédits : Bradley De Melo/Pexels]

    Le mode opératoire correspond à celui de l’organisation Scattered Spider : des campagnes de phishing, de vishing, et l’exploitation de comptes d’accès à privilèges. Une approche redoutable, car elle contourne les défenses techniques en s’appuyant sur la psychologie et la routine des utilisateurs.

    Un précédent aux allures de crise nationale

    Le gouvernement britannique a dû réagir. Selon le rapport du CMC, l’État s’est porté garant à hauteur de 1,5 milliard de livres sterling pour maintenir les liquidités de Jaguar-Land Rover. Le but limiter et éviter une onde de choc sur l’économie du pays.

    Le CMC appelle à une révision des cadres et à un renforcement des couvertures assurantielles face aux menaces cyber. « Les perturbations opérationnelles posent aujourd’hui le plus grand risque pour la plupart des entreprises », conclut-il.

    À peine vingt-quatre heures après la révélation de l’incident chez Jaguar-Land Rover, Bridgestone annonce à son tour l’interruption de son usine de Joliette, au Canada, en raison d’une possible cyberattaque. La troisième depuis 2022. « L’usine demeure à l’arrêt jusqu’à vendredi 19 h. Selon les progrès réalisés par l’équipe informatique, nous prévoyons vous partager le plan de redémarrage des activités en cours de journée le vendredi 5 septembre », précise la société. Les droits de chômage partiel ne sont pas les mêmes qu’en France. « On n’est pas payé. Il faut être sept jours à l’arrêt pour faire une demande de chômage. » Elle met à disposition des 1400 employés 200 $ par jour, car l’usine est le poumon économique de la région lanaudoise.

    Bridgestone
    victime collatérale

    Ces attaques, menées par des organisations à motivation financière, traduisent aussi une géo-politisation du cyberespace. Les services européens de renseignement évoquent depuis 2024 une multiplication des offensives à visée de cyberespionnage industriel, souvent attribuées à des groupes affiliés à la Russie ou à la Chine.

    Au-delà du Royaume-Uni, cet épisode résonne comme un signal d’alarme pour l’industrie européenne. À l’heure où entre en vigueur la directive NIS2, censée renforcer la cybersécurité des opérateurs essentiels, le cas JLR illustre les limites du dispositif : la conformité ne garantit pas la résilience. L’ensemble des acteurs doivent composer avec la réalité : la cybersécurité industrielle est un enjeu de souveraineté économique. [Crédits : Pixabay/Pexels]

    « La digitalisation de l’industrie, si elle n’est pas accompagnée d’une culture de sécurité, revient à installer des portes automatiques sans serrure », ironise un expert du NCSC. Cette cyberattaque a mis en lumière la vulnérabilité d’un modèle entier : celui d’une industrie mondialisée, hyperconnectée et dépendante de prestataires interopérables. Jaguar-Land Rover n’est peut-être que le premier domino d’une série que l’Europe industrielle n’a plus le luxe ni le temps d’ignorer.

  • Trois attaques ébranlent l’environnement Google, et pas que…

    Trois attaques ébranlent l’environnement Google, et pas que…

    En l’espace de quelques semaines, Google a vu son écosystème frappé par trois secousses majeures : une faille critique dans son service Cloud Dataform, une campagne de phishing exploitant Google Classroom et une possible fuite massive de données touchant Gmail. Ces incidents, confirmés par des sources spécialisées, révèlent la fragilité des géants du numérique face à des cybermenaces protéiformes. Entre correctifs d’urgence, exploitation de plateformes éducatives et piratage revendiqué par Shiny Hunters, la sécurité de milliards d’usagers se retrouve une nouvelle fois sur la sellette.

    L’été 2025 aura mis à l’épreuve la cybersécurité de Google. Trois événements distincts, mais significatifs, ont ciblé son infrastructure et ses services : une faille critique dans Google Cloud Dataform, une campagne de phishing exploitant Google Classroom, et une possible fuite de données concernant potentiellement des milliards d’utilisateurs de Gmail, démenti par la maison mère Google..

    Faille critique dans Google Cloud Dataform

    Le 21 août 2025, Google a corrigé une vulnérabilité critique affectant Google Cloud Dataform, référencée sous le numéro CVE-2025-9118. La faille reposait sur un path traversal (CWE-22) qui consiste à « sortir » du dossier prévu par l’application en injectant des chemins tels que « ../../../../../etc/passwd ».

    Ordinateur, bureau, google

    Le problème vient du fait que Google Dataform (un service cloud pour gérer des workflows de données SQL) lit le fichier package.json lors de l’installation de dépendances. Si ce fichier est piégé, il peut contenir des chemins qui obligent le système à écrire ou lire en dehors du répertoire prévu. Vulgairement, un immeuble, ici le Dataform, contient de multiples appartements individuels (les dépôts de différents clients). La faille est semblable à une porte dérobée dans une cloison mal sécurisée. Une personne malveillante peut s’introduire dans n’importe quel logement, en changer ce que bon lui semble, sans y être autorisée.

    L’attaquant à distance, sans avoir besoin de se connecter, peut créer un package.json malveillant — fichier qui décrit un paquet logiciel — pour lire ou modifier les fichiers d’autres clients, comme s’il était l’un d’eux. (Crédits : Caio/Pexels)

    Google a assuré que tous les clients ont été automatiquement protégés après le déploiement du correctif et qu’aucune action supplémentaire n’était requise de leur part. Le score CVSS 10.0 traduit la gravité maximale, car aucun mot de passe n’était requis, accès aux données privées, modification possible de fichiers.

    Campagne massive de phishing

    Quelques jours plus tôt, soit entre le 6 et le 12 août 2025, des acteurs malveillants exploitent la plateforme Google Classroom. Leur but : une campagne de phishing à grande échelle. Selon l’entreprise de cybersécurité Armorblox, environ 13 500 organisations à travers le monde ont été ciblées, via l’envoi de plus de 115 000 messages frauduleux.

    Le stratagème est aussi simple que redoutable. Les attaquants créent de faux cours dans Google Classroom, puis y intègrent des liens malveillants dissimulés dans des documents ou des annonces. Ces cours sont ensuite partagés par courriel sur des entreprises et administrations.

    Leur efficacité repose sur un levier psychologique : la confiance. Venant d’un service légitime, dont le nom de domaine et les certificats ne délivrent pas d’alerte immédiate, tout semble sûr. En réalité, il redirige vers des sites piégés qui distribuent des malwares ou récoltent des identifiants et mots de passe.

    Cette attaque, déjà observée, surfe sur une tendance. Détourner les services de confiance pour contourner les filtres de sécurité classiques et surtout tromper les utilisateurs. (Crédits : Pixabay/Pexels)

    Classe, tableau, écriture

    En détournant l’usage premier de Google Classroom, les cybercriminels hackent le pilier de confiance. Cela rappelle que le plus grand ennemi se cache dans les usages quotidiens. L’attaque exploite ce qu’il y a de plus humain : la confiance, la routine, l’habitude de cliquer sans se méfier, sans regarder. Cette affaire révèle que sans une culture de vigilance partagée par tous, la technologie ne suffira pas. Enfin, selon les révélations de PCWorld, le groupe de pirates Shiny Hunters affirme avoir compromis une base de données associée à Google, en exploitant des accès liés à Salesforce. L’incident aurait exposé les données d’au moins 2,5 milliards d’utilisateurs Gmail, incluant noms, identifiants d’entreprise et autres métadonnées.

    Shiny Hunters, qui sont-ils ?

    Le nom n’est pas nouveau. Depuis 2020, Shiny Hunters s’est imposé comme un acteur central du cybercrime mondialisé, multipliant les assauts contre des entreprises cotées comme contre des plateformes de niche. Leur stratégie : l’industrialisation de la compromission. Le collectif revendique une série de brèches spectaculaires.

    Mobile, google, smartphone

    Shiny Hunters est un collectif de cybercriminels qui a émergé en 2020. Célèbre pour des fuites massives — comme Tokopedia (91 millions de comptes volés), Wattpad (271 millions), AT&T (plus de 70 millions), ou encore l’exfiltration de 500 Go de code source Microsoft —, le groupe a rapidement gagné en notoriété. Il s’illustre par sa capacité à transformer les données volées en armes de chantage et de monétisation.

    À partir de 2025, leur méthode a profondément évolué. Shiny Hunters a fait un virage stratégique vers le vishing (phishing vocal) ciblant Salesforce. Ainsi, en usurpant l’identité du support IT, ils incitent des employés à installer des programmes malveillants, leur ouvrant l’accès aux CRM de Google, Workday, Cisco, Chanel ou Dior.

    (Crédits : BM Amaro/Pexels)

    Aujourd’hui, Shiny Hunters est en capacité de mener des campagnes d’exploitation sociale amplifiée par la technologie, avec une finalité économique claire : l’extorsion. Ce collectif n’est plus un simple groupe de pilleurs de données. Il mute en une entreprise criminelle sophistiquée, où l’intelligence sociale (vishing) devient l’une des clés pour pénétrer les bastions du cloud mondial.

    Shiny Hunters s’allie à Scattered Spider

    Après une année d’inactivité, « Shiny Hunters » refait surface. Silencieux entre juin 2024 et juin 2025, à la suite de l’arrestation de quatre de ses membres, ils signent leurs retours avec une vague d’attaques contre Salesforce.

    Selon les révélations de The Hacker News, « le groupe Shiny Hunters, tristement célèbre pour ses fuites massives de données, semble avoir conclu une alliance avec le gang Scattered Spider ». Reliaquest explique que « Shiny Hunters adopte les stratégies emblématiques de Scattered Spider ». Cette collaboration marque une montée en gamme du cybercrime, passant de l’exploitation individuelle à des campagnes de chantage coordonnées ciblant les clients de Salesforce.

    Scattered Spider, quant à lui, est un groupe de cybercriminels à but lucratif lié au collectif « The Community » (alias The Com). Initialement connu pour les opérations d’échange de données SIM, le groupe a progressé vers l’exécution de systèmes d’ingénierie sociale complexes. (Crédits : Pixabay/Pexels)

    Masque, anonymous, fleur

    Leurs outils sont une combinaison d’ingénierie sociale et des campagnes d’extorsion, une version 3.0 du cybercrime avec l’aide de l’IA. « Soupçonné d’inclure à la fois les membres Scattered Spider et Shiny Hunters, The Com est un réseau tentaculaire de sous-groupes et de cliques disparates qui s’engagent dans l’activité de prise de contrôle, de SIM-swapping, de vol de cryptomonnaie, et sextortion », explique Reliaquest. Quelles sont les prochaines étapes : le Chaos-as-a-Service ? Face à ces menaces, les États doivent-ils imposer une régulation plus ferme, ou le risque d’un monde numérique moins ouvert serait-il pire que le mal qu’il prétend combattre ?

  • Tensions dans le cyberespace ?

    Tensions dans le cyberespace ?

    Les cyberattaques sont devenues le quotidien, alors qu’elles devraient être exceptionnelles. Dorénavant, la seule inconnue est la date à laquelle je vais, vous allez, nous allons… subir une attaque cybernétique. Car, une série de cyberattaques frappe simultanément des géants de la Tech et des opérateurs de télécommunications, exposant un peu plus encore des milliards de données personnelles. Renforçant la mainmise sur des données à fort potentiel, et pour une augmentation des tentatives d’attaque (DDoS, phishing, spearphishing…) tous azimuts.

    Derrière l’exploitation de ces failles, des organisations d’individus souvent nommés « hackers ». Ils utilisent notre dépendance à l’IT à des fins financières ou de cyberespionnage, que ce soit à titre individuel ou étatique. Les risques pour la sécurité numérique mondiale sont réels. L’exemple de la gestion du cloud du Pentagone par des ingénieurs chinois en Chine est flagrant. Ces derniers jours, le conglomérat derrière le ransomware Datacarry a revendiqué l’attaque contre la société française Peggy Sage avec un fichier compressé de 11,3 GB.

    Google, Orange et Cie…

    Mais c’est un coup de tonnerre numérique qui électrise un ou deux bits. Google confirme que 2,5 milliards d’utilisateurs de Gmail sont affectés. D’ailleurs Google n’est pas seul, Orange Belgique est aussi une victime. Tout comme des serveurs de l’armée d’Argentine qui auraient été compromis par des groupes APT Storm-2603, Violet Typhoon et Linen Typhoon. Concernant Google, c’est en lien étroit avec l’affaire Salesforce, d’autres clients font les frais de cette campagne : Air France-KLM, Bouygues Telecom. « Le Google Threat Intelligence Group (GTIG) suit les activités d’extorsion suite aux intrusions de UNC6040, parfois plusieurs mois après le vol initial de données, sous le nom de UNC6240. »

    Cela implique des appels (vishing) ou des courriels (phishing) aux employés des entreprises victimes. Ils exigent un règlement en bitcoin, dans les 72 heures. « Lors de ces communications, UNC6240 a constamment affirmé être le groupe de menace ShinyHunters. »

    « Ils ont exploité des vulnérabilités dans Salesforce pour manipuler les comptes », confie un ingénieur sous couvert d’anonymat. L’entité ShinyHunters/UNC6040, réputée pour ses campagnes ciblées et ses fuites massives, est très fortement soupçonnée d’être à l’origine de cette opération.

    Parmi elles, les « dangling buckets », permettant de récupérer des informations oubliées sur des serveurs mal configurés, et des manipulations de comptes à grande échelle. Le risque est immédiat : phishing, escroqueries… (Crédits : Caio/Pexels)

    Databreaches.net rapporte, début août, que « les acteurs de la menace ont déjà envoyé une demande d’extorsion à Google ». Google, dans un communiqué, a assuré avoir alerté toutes les victimes et renforcé ses protections via les passkeys et le programme de protection avancé. Néanmoins une vigilance constante est nécessaire face aux messages suspects. Car « UNC6040 est un groupe de menace à motivation financière qui accède aux réseaux des victimes par ingénierie sociale de phishing vocal. »

    Un opérateur sous haute surveillance

    À Bruxelles, l’attaque de 850 000 comptes Orange révèle un autre visage. Selon le communiqué d’Orange Belgique, des données — nom et prénom, numéro de téléphone, numéro de carte SIM, code PUK (Personal Unblocking Key) et les tarifs — ont été consultées. Aucun mot de passe ou donnée bancaire n’auraient été consultés, toujours selon ledit communiqué. Pour un utilisateur lambda, l’attaque pourrait sembler moins grave que celle touchant Google. Pourtant, les risques de vol d’identité et de fraude (sociale) sont réels.

    Le SIM swapping est la technique permettant de prendre le contrôle d’une ligne mobile pour accéder à des services financiers ou professionnels. Le porte-monnaie est au cœur des inquiétudes de chaque individu.

    Le secteur des télécommunications, considéré comme infrastructure critique, illustre à quel point la dépendance à des systèmes centralisés et vulnérables peut fragiliser la sécurité nationale.

    En Argentine, des serveurs de l’Armée, du ministère de la Santé et de la Fondation ArgenINTA ont été compromis via ransomware et exploitation de SharePoint. Les groupes APT Storm-2603, Violet Typhoon et Linen Typhoon, connus pour leurs liens avec Pékin, sont partiellement responsables. Des groupes que l’on retrouve avec ce que l’on pourrait nommer le petit « Pentagon-Gate ». Ces incidents démontrent qu’elles ne sont plus de simples cyberattaques, mais des opérations à dimension géopolitique et géostratégique.

    Quand la géopolitique s’invite dans le cyberespace

    Elles exploitent des vulnérabilités, ouvrant la voie au cyberespionnage et à la perturbation d’infrastructures critiques. « Chaque grande puissance joue sa partition dans le cyberespace, et autant dire que la symphonie est tout sauf harmonieux. »

    Les incidents récents révèlent des patterns communs : dépendance aux services cloud centralisés, exposition massive de données, et insuffisance des audits réguliers. Sur le plan géopolitique, ces attaques rappellent que la souveraineté numérique n’est pas une option. Alors, la maîtrise des systèmes d’information est un enjeu stratégique, car chaque faille est exploitée. (Crédits : Pixabay/Pexels)

    Ainsi, le renforcement des défenses critiques et la sensibilisation des utilisateurs ne sont plus des recommandations : elles constituent la première ligne face à des menaces de plus en plus sophistiquées et politiquement instrumentalisées. D’ailleurs le Royaume-Uni annonce en juin 2025 qu’avec une dotation d’un milliard de livres, l’État britannique déploie l’IA, car selon John Healey « le clavier est devenu une arme de guerre ».