Archives quotidiennes :

Cybersécurité, Justice, Piratage

Un Yéménite accusé d’avoir lancé Black Kingdom contre des hôpitaux

Un ressortissant yéménite est accusé d’avoir orchestré une vaste campagne de cyberattaques avec le rançongiciel Black Kingdom, ciblant écoles, cliniques et entreprises aux États-Unis, depuis le Yémen.

Le ministère américain de la Justice a levé le voile sur un nouvel épisode inquiétant de la cyberguerre mondiale. Le 2 mai 2025, les autorités américaines ont annoncé l’inculpation de Rami Khaled Ahmed, un Yéménite de 36 ans, accusé d’avoir dirigé une campagne d’attaques informatiques via le ransomware Black Kingdom entre mars 2021 et juin 2023. Depuis Sanaa, la capitale du Yémen, Ahmed aurait mené une série d’opérations visant à extorquer des sommes en cryptomonnaie en paralysant des réseaux informatiques critiques, notamment dans les domaines de la santé, de l’éducation et des services aux entreprises. Cette affaire, révélée dans un contexte de répression renforcée contre les cybercriminels à l’échelle internationale, soulève de nombreuses questions sur la coordination de la lutte contre la cybercriminalité, les failles persistantes dans les infrastructures numériques et les limites de la souveraineté judiciaire face à des menaces transnationales.

D’après l’acte d’accusation rendu public par le Département de la Justice américain (DoJ), Rami Khaled Ahmed aurait exploité une faille de sécurité critique baptisée ProxyLogon, découverte dans les serveurs Microsoft Exchange début 2021. Cette vulnérabilité, qui permet à un pirate de prendre le contrôle total d’un serveur sans authentification préalable, a été rapidement exploitée par de nombreux groupes malveillants à travers le monde. Dans le cas du Yéménite, elle aurait permis l’installation du ransomware Black Kingdom sur environ 1 500 systèmes informatiques, principalement aux États-Unis mais aussi dans d’autres pays.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Parmi les cibles confirmées figurent une entreprise de services de facturation médicale à Encino, une station de ski dans l’Oregon, un district scolaire en Pennsylvanie et une clinique de santé dans le Wisconsin. Après avoir pénétré les réseaux, le malware procédait au chiffrement des données sensibles, empêchant tout accès pour les utilisateurs légitimes. Une note de rançon apparaissait ensuite sur les écrans des victimes, les invitant à transférer 10 000 dollars (environ 9 300 euros) en bitcoins à une adresse contrôlée par un complice. Un canal de communication par e-mail permettait aux victimes de prouver le paiement et de recevoir, potentiellement, une clé de déchiffrement.

« Black Kingdom est l’une des premières familles de ransomwares à avoir exploité ProxyLogon. Elle a marqué une étape dans la sophistication des attaques contre les systèmes Exchange Server« , a expliqué Microsoft dans une analyse publiée fin mars 2021.

Connue également sous le nom de Pydomer, la famille de ransomwares Black Kingdom n’est pas nouvelle dans le paysage des menaces cyber. Elle avait déjà été repérée dans des attaques utilisant une autre faille de sécurité majeure : celle du VPN Pulse Secure, référencée CVE-2019-11510. Ces vulnérabilités, connues et documentées, n’en restent pas moins redoutables, notamment lorsque les correctifs ne sont pas appliqués à temps par les administrateurs système.

Si Rami Khaled Ahmed est reconnu coupable, il risque une peine pouvant aller jusqu’à 15 ans de prison fédérale aux États-Unis, soit cinq ans pour chacun des trois chefs d’accusation retenus contre lui : complot, dommage intentionnel à un ordinateur protégé, et menaces de dommage à un ordinateur protégé. Cependant, l’accusé réside toujours au Yémen, pays avec lequel les États-Unis n’ont pas de traité d’extradition en vigueur. Son arrestation dépendra donc de l’évolution des relations diplomatiques et sécuritaires dans la région.

Cette inculpation n’est pas un cas isolé. Elle s’inscrit dans une vague plus large d’actions coordonnées menées par les autorités américaines pour lutter contre la cybercriminalité transnationale. Ces derniers mois, plusieurs arrestations ont été annoncées, illustrant la diversité et l’internationalisation des menaces numériques.

Parmi elles, celle d’Artem Stryzhak, un Ukrainien arrêté en Espagne en juin 2024, affilié au ransomware Nefilim. Extradé vers les États-Unis le 30 avril 2025, il est accusé d’avoir mené des cyberattaques depuis 2021, avec à la clé des demandes de rançon similaires à celles de Black Kingdom. Son procès pourrait également se solder par une peine de cinq ans de prison fédérale.

Dans un autre dossier très médiatisé, Tyler Robert Buchanan, citoyen britannique soupçonné d’appartenir au groupe Scattered Spider, a également été extradé depuis l’Espagne. Il fait face à des accusations de fraude électronique et d’usurpation d’identité, deux infractions couramment associées aux campagnes de phishing et aux compromissions de comptes à grande échelle.

Plus troublant encore : certaines ramifications de ces affaires convergent vers des réseaux aux pratiques encore plus sinistres.

Les noms de Leonidas Varagiannis, alias War, et de Prasan Nepal, alias Trippy, tous deux âgés d’à peine 20 ans, ont fait surface dans un scandale d’envergure. Les deux hommes, décrits comme les chefs du groupe 764, sont accusés d’avoir organisé la diffusion de contenus pédopornographiques en exploitant au moins huit mineurs. Leur groupe, 764, est affilié à une constellation de collectifs criminels appelés The Com, dont ferait également partie Scattered Spider. L’un des membres, Richard Anthony Reyna Densmore, a déjà été condamné à 30 ans de réclusion aux États-Unis en novembre 2024 pour exploitation sexuelle d’enfants.

Ces accusations interviennent dans le contexte d’une série d’annonces des autorités gouvernementales américaines contre diverses activités criminelles.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Le ministère de la Justice a rendu public un acte d’accusation accusant le citoyen ukrainien Artem Stryzhak d’avoir attaqué des entreprises à l’aide du ransomware Nefilim depuis qu’il est devenu affilié en juin 2021. Il a été arrêté en Espagne en juin 2024 et extradé vers les États-Unis le 30 avril 2025. S’il est reconnu coupable de cette accusation, Stryzhak risque jusqu’à cinq ans d’emprisonnement.

Tyler Robert Buchanan, un ressortissant britannique soupçonné d’appartenir au célèbre groupe de cybercriminalité Scattered Spider, a été extradé d’Espagne vers les États-Unis pour répondre à des accusations de fraude électronique et d’usurpation d’identité aggravée. Buchanan a été arrêté en Espagne en juin 2024. Les accusations portées contre lui et d’autres membres de Scattered Spider ont été annoncées par les États-Unis en novembre 2024.

Leonidas Varagiannis (alias War), 21 ans, et Prasan Nepal (alias Trippy), 20 ans, les deux chefs présumés du groupe d’extorsion d’enfants 764, ont été arrêtés et accusés d’avoir dirigé et diffusé du matériel pédopornographique. Les deux hommes sont accusés d’avoir exploité au moins huit victimes mineures.

Richard Anthony Reyna Densmore, un autre membre du 764, a été condamné à 30 ans de prison aux États-Unis en novembre 2024 pour exploitation sexuelle d’un enfant. Les membres du 764 sont affiliés à The Com , un ensemble hétéroclite de groupes aux liens étroits qui commettent des crimes sexuels et violents à motivation financière. Scattered Spider fait également partie de ce groupe.

Le Réseau de lutte contre la criminalité financière (FinCEN) du Département du Trésor américain a désigné le conglomérat cambodgien HuiOne Group comme une « institution particulièrement préoccupante en matière de blanchiment d’argent » pour les réseaux transnationaux de cybercriminalité d’Asie du Sud-Est, car il facilite les escroqueries amoureuses et sert de plaque tournante essentielle au blanchiment des produits des cyberattaques perpétrées par la République populaire démocratique de Corée (RPDC). La licence bancaire de HuiOne Pay a été révoquée en mars 2025 par la Banque nationale du Cambodge.

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, Entreprise

Le grand bluff du SEO : comment des pirates manipulent Google pour créer de fausses marques influentes

Data Security Breach dévoile une méthode de manipulation SEO qui permet à des pirates de créer de toutes pièces des marques fictives et de les propulser artificiellement sur Google, générant ainsi revenus et fausse crédibilité.

Dans l’univers feutré mais redoutable du référencement en ligne, une méthode aux allures d’illusionnisme numérique fait parler d’elle. Baptisée MeatHead 2.0, cette stratégie revisitée d’un vieux procédé de spam marketing, permet à des cyber-entrepreneurs peu scrupuleux de construire de faux sites d’affiliation, puis d’imposer leur présence en tête des résultats Google. Le tout, sans backlinks coûteux ni campagnes publicitaires classiques. Grâce à un savant mélange de contenus postés sur des plateformes de confiance, de commentaires trompeurs et d’avis fictifs, ces pseudo-marques apparaissent comme légitimes aux yeux des internautes — et surtout de Google. Enquête sur une nouvelle frontière du black hat SEO où la crédibilité s’achète avec du vent.

L’illusion d’une notoriété : bâtir du vide qui rapporte

À première vue, le procédé pourrait sembler banal. Créer un site d’affiliation, inventer un produit fictif, publier quelques contenus… sauf que la stratégie est d’une redoutable efficacité car elle repose non pas sur le référencement traditionnel, mais sur la simulation d’un engouement viral. Le pirate, qui se cache derrière un pseudonyme, a choisi de nommer son produit imaginaire « 92829 », un prétendu complément cérébral. Aucun laboratoire, aucune étude, aucune existence légale ne le valide. Pourtant, lorsqu’un internaute tape ce nom dans Google, une avalanche de contenus rassurants et enthousiastes surgit.

Des articles Medium et Notion, des présentations sur SlideShare, des discussions Reddit et Quora, des avis Trustpilot truqués : tout converge vers un unique but — convaincre que 92829 est la dernière tendance en matière de musique. Et tout cela, en ne plaçant jamais le lien du site de vente dans les commentaires. Le génie de la méthode réside précisément là : faire croire à l’utilisateur qu’il découvre le produit par lui-même. L’effet est saisissant. Ce qui semble être une tendance authentique est en fait un décor de théâtre.

Le pirate n’essaie plus de référencer son site. Il transforme Google en complice d’un faux buzz savamment orchestré.

Le SEO artificiel : forcer l’autorité par la crédibilité feinte

Le cœur de la stratégie repose sur un concept que son concepteur appelle le « SEO artificiel ». Loin des techniques classiques qui nécessitent des mois de travail pour gagner la confiance des moteurs de recherche, cette méthode consiste à injecter directement des éléments de preuve sociale dans les zones les plus sensibles de l’algorithme : Reddit, Medium, YouTube, Quora, et autres sites très bien référencés. Les publications sont construites pour imiter un dialogue réel, un témoignage personnel, une anecdote sincère. À aucun moment, elles ne paraissent commerciales ou orientées.

En évoquant 92829 de façon subtile, sans lien ni appel à l’action évident, les pirates jouent sur le réflexe de curiosité naturelle des internautes. Et quand ces derniers lancent une recherche, ils tombent sur un écosystème entièrement artificiel, mais visuellement convaincant. Tous les chemins mènent alors à un unique site d’affiliation, déguisé en vitrine produit. Une fois sur place, le visiteur, rassuré par ce qu’il a vu, clique, achète, et se retrouve sans le savoir acteur d’une fraude informationnelle bien huilée.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Les outils de la supercherie : plateforme par plateforme

La réussite de cette méthode repose sur l’utilisation méthodique de plateformes populaires et bien référencées. Un site Google, simple à créer et rapidement indexé, sert de première accroche. Il donne un vernis « objectif » à l’analyse. Puis viennent les témoignages déguisés sur Notion, présentés comme des journaux intimes d’étudiants ou de jeunes actifs. Sur Medium, les articles se font passer pour des récits de transformation de vie, racontant le passage du Modafinil à 92829.

Sur Reddit, les conversations sont soigneusement scénarisées : un faux utilisateur pose une question anodine, un autre, souvent la même personne, y répond avec enthousiasme, d’autres comptes interviennent pour renforcer la crédibilité. Le ton est toujours mesuré, jamais trop enthousiaste pour éviter la suspicion. Enfin, sur Trustpilot, une avalanche d’avis 5 étoiles complète le tableau. Cette accumulation de signaux positifs force l’algorithme de Google à croire à la légitimité du produit.

En une recherche Google, l’internaute est confronté à un miroir déformant où chaque reflet confirme ce qu’il n’a pas encore décidé de croire.

Un écosystème de l’illusion, pensé pour durer

La force de la méthode MeatHead 2.0, dans sa version 2025, réside dans sa pérennité. Une fois les contenus publiés, ils demeurent souvent en ligne pendant des années, générant un flux régulier de trafic. L’auteur affirme avoir gagné plus de 21 000 $ (environ 19 500 €) en deux ans grâce à un seul de ces sites. Et ce, sans jamais le mettre à jour. Les commentaires laissés dans les vidéos TikTok, les forums Discord ou les chaînes YouTube alimentent un brouhaha constant qui entretient l’illusion d’un bouche-à-oreille naturel.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Dans le jargon des référenceurs, on parle de « marque blanche instantanée » : une entité sans substance réelle, mais dont la présence numérique suffit à lui créer un marché. L’internaute, perdu dans cette constellation de signaux positifs, ne soupçonne pas qu’il est en train de réagir à une mise en scène orchestrée de toutes pièces. Il achète, convaincu d’avoir fait un choix informé. Ce qu’il voit n’est pas un produit, c’est une fiction de produit, portée par une fiction de communauté.

Une stratégie à la frontière de la légalité

La méthode MeatHead 2.0 n’est pas simplement amorale : elle flirte dangereusement avec la légalité. Usurpation d’identité d’entreprise, manipulation de la preuve sociale, diffusion de fausses informations commerciales… les fondements juridiques de cette stratégie sont fragiles. Pourtant, dans les interstices du web, là où la régulation peine à suivre l’inventivité des pirates, ces pratiques prospèrent. Les plateformes concernées, bien qu’averties, n’ont pas les moyens de détecter chaque faux commentaire, chaque faux profil, chaque critique déguisée.

La lutte contre ce type de manipulation repose sur un équilibre délicat entre modération algorithmique et vérification humaine. Mais tant que le système repose sur la confiance dans les signaux communautaires, ces attaques réussiront à se faufiler. Le pirate n’attaque pas frontalement Google ; il le trompe, l’utilise, le rend complice involontaire de ses profits. Et ce faisant, il remet en question la capacité même du web à séparer le vrai du faux.

À l’heure où la confiance numérique devient un enjeu majeur, la méthode MeatHead 2.0 révèle une faille préoccupante dans l’architecture du référencement web. Si une marque peut être inventée et rendue crédible par quelques contenus habiles, quelle valeur accorder à ce que nous voyons en ligne ? Et demain, qui fabriquera notre réalité numérique ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, Entreprise

Un malware dans la brèche : comment la faille BYOI a contourné la protection SentinelOne

Une faille critique dans un outil de cybersécurité de pointe a permis à des cybercriminels d’infiltrer des systèmes protégés. Et cette fois, ils n’ont même pas eu besoin d’un logiciel malveillant sophistiqué.

Début 2025, l’équipe Stroz Friedberg d’Aon, spécialisée dans l’investigation numérique post-incident, a révélé une technique d’intrusion particulièrement ingénieuse exploitant une faiblesse dans le processus de mise à jour du logiciel SentinelOne, un des leaders mondiaux des solutions EDR (Endpoint Detection and Response).

Baptisée BYOI (Bring Your Own Installer) cette méthode permet aux hackers malveillants de contourner la protection normalement très rigoureuse des agents de sécurité SentinelOne. Le plus troublant : ils utilisent l’installateur légitime du logiciel lui-même, sans injecter de code malveillant tiers ni manipuler de pilotes suspects.

Quand l’outil de défense devient une porte d’entrée

L’affaire débute lors de l’analyse d’un incident sur un réseau d’entreprise compromis. Les enquêteurs de Stroz Friedberg découvrent que les cybercriminels ont utilisé un installeur authentique de SentinelOne pour lancer leur attaque. En interrompant le processus d’installation au moment précis où les services système sont temporairement désactivés, les pirates ont pu désactiver brièvement la protection sans être détectés. C’est pendant cette fenêtre critique, avant la fin de l’installation, qu’ils ont activé un ransomware sur la machine cible.

Ce contournement ne nécessite ni élévation supplémentaire de privilèges ni l’injection d’éléments suspects. Tout repose sur l’exploitation minutieuse d’un comportement du logiciel de sécurité lui-même. La clé : des droits administratifs déjà obtenus, souvent grâce à une vulnérabilité préalable dans l’infrastructure du client.

Aucun composant malveillant détecté : un cauchemar pour les SOC

L’un des aspects les plus déconcertants de cette méthode est sa discrétion. Contrairement aux attaques habituelles contre les solutions EDR, elle ne laisse pas de trace évidente. Aucun composant externe, aucun fichier douteux à analyser, juste un installateur signé et une séquence bien orchestrée. C’est un cauchemar pour les centres opérationnels de sécurité (SOC) qui s’appuient sur des alertes comportementales ou la détection d’artefacts malveillants.

Selon leurs conclusions, la faille est présente dans de nombreuses versions du logiciel SentinelOne et ne dépend pas d’un patch ou d’une configuration spécifique. Cela signifie que sans mesure proactive, de nombreux systèmes restent vulnérables.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Un paramètre critique… désactivé par défaut

Informée de la situation, SentinelOne a réagi rapidement. Un correctif n’étant pas suffisant pour pallier une faille procédurale, l’éditeur a recommandé aux clients d’activer l’option « Online Authorization ». Cette fonctionnalité, désactivée par défaut, impose une validation depuis la console de gestion avant toute modification importante de l’agent : installation, désinstallation ou rétrogradation.

Mais malgré la diffusion de cette consigne de sécurité essentielle, les chercheurs de Stroz Friedberg ont constaté lors de leurs tests que nombre d’organisations n’avaient pas appliqué cette recommandation. Faute de cette protection, la brèche reste ouverte. Autrement dit, même après la médiatisation du risque, les attaquants peuvent toujours l’exploiter dans des infrastructures mal configurées.

Certaines entreprises n’ont toujours pas activé l’option de validation en ligne, maintenant ainsi une vulnérabilité connue dans leurs systèmes.

L’éditeur SentinelOne a également partagé les détails techniques de la faille avec d’autres acteurs majeurs du secteur EDR pour limiter les risques de reproduction du scénario dans d’autres environnements. Car si l’approche BYOI s’avère efficace contre un géant comme SentinelOne, elle pourrait potentiellement être adaptée à d’autres logiciels similaires, si ceux-ci ne vérifient pas rigoureusement l’intégrité des processus d’installation.

Des leçons amères pour la cybersécurité d’entreprise

Cette affaire illustre avec force un principe trop souvent négligé en cybersécurité : la confiance dans les composants « légitimes » ne suffit pas. Le simple fait qu’un logiciel soit signé, officiel et éprouvé ne garantit pas qu’il ne puisse pas être détourné à des fins malveillantes.

En l’occurrence, les attaquants ont su repérer un moment précis de vulnérabilité transitoire – un court instant où la protection est suspendue pour faciliter une mise à jour, et en tirer parti. Ce type d’attaque, qui repose plus sur l’ingéniosité que sur l’arsenal technique, s’inscrit dans une tendance croissante de détournement des processus systèmes ou applicatifs standard. On l’observe déjà dans les attaques de type living off the land (LOL), où les outils Windows natifs sont utilisés à des fins malveillantes.

Avec BYOI, cette logique franchit une nouvelle étape. Non seulement l’attaquant n’utilise pas d’outil externe, mais il détourne précisément le mécanisme censé renforcer la sécurité du système. Le fait que la faille soit indépendante de la version du logiciel amplifie le risque.

Un signal d’alarme pour les administrateurs IT

Si la réactivité de SentinelOne est à saluer, la véritable faiblesse mise en lumière ici est humaine. Une simple option à activer, une case à cocher, suffisait à bloquer l’attaque. Mais comme souvent, par manque d’information, de vigilance ou de priorisation, cette mesure n’a pas été mise en œuvre dans toutes les entreprises concernées.

Cela renvoie à un enjeu fondamental : la gestion de la configuration et la gouvernance de la sécurité. Dans un monde où les attaques deviennent de plus en plus furtives, les protections les plus efficaces ne sont rien sans une bonne hygiène de configuration.

D’autant plus que les campagnes de ransomwares continuent de cibler les entreprises de toute taille, avec des demandes de rançon atteignant parfois plusieurs millions de dollars (soit plusieurs millions d’euros), et des conséquences opérationnelles graves, voire paralysantes.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Un avenir où chaque installateur sera suspect ?

La technique BYOI s’ajoute à une liste déjà longue de stratégies sophistiquées de contournement des systèmes de défense. Si elle est aujourd’hui maîtrisée grâce aux mesures proposées par SentinelOne, elle pourrait bien inspirer d’autres cybercriminels, adaptant le concept à d’autres outils de sécurité.

En cybersécurité, l’innovation n’est pas l’apanage des défenseurs. Chaque faille exploitée rappelle l’importance de combiner rigueur opérationnelle, veille constante et collaboration sectorielle. Car si les outils deviennent la cible, alors les méthodes de sécurisation doivent aller au-delà de la simple détection d’anomalies.

Dans ce contexte, comment garantir la confiance dans les outils censés protéger les systèmes, lorsque ceux-ci peuvent eux-mêmes devenir des vecteurs d’attaque ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cyber-attaque, Fuite de données, Piratage

Dracula : une machine bien huilée siphonne les données de millions d’utilisateurs

Un clic, une carte volée. Derrière chaque lien frauduleux, une machine bien huilée siphonne les données de millions d’utilisateurs à travers le monde.

Depuis 2023, une opération de cyberfraude d’une ampleur inédite s’est déployée dans l’ombre, orchestrée à travers une plateforme méconnue du grand public : Darcula. En seulement sept mois, ce système automatisé et tentaculaire a permis à des cybercriminels de subtiliser les données de près de 884 000 cartes de paiement, en attirant plus de 13 millions d’internautes vers des pages frauduleuses. Son fonctionnement repose sur un service de phishing par abonnement, qui fournit à ses clients une panoplie complète d’outils pour escroquer à grande échelle. L’arme principale : des SMS déguisés en notifications administratives ou livraisons fictives. Ce nouveau visage du phishing, plus crédible et insidieux que jamais, expose les failles d’un monde numérique où la géographie ne protège plus personne.

Ce qui distingue Darcula des vagues de phishing classiques, c’est son degré d’industrialisation. La plateforme ne se contente pas de fournir un kit de base pour escrocs du dimanche. Elle propose une véritable infrastructure clé en main, avec interface utilisateur, tableau de bord centralisé, et une assistance technique digne des services professionnels. En clair, tout individu doté d’un minimum de compétences peut, contre un abonnement, devenir opérateur de cette fraude planétaire. Cette démocratisation de la cybercriminalité à grande échelle brouille les pistes et rend la lutte d’autant plus complexe pour les autorités.

L’étude conjointe réalisée par des médias spécialisés et la société norvégienne Mnemonic a révélé une cartographie saisissante de ce système globalisé. Actif dans plus de cent pays, Darcula exploite près de 20 000 domaines frauduleux qui usurpent les marques les plus connues, des opérateurs téléphoniques aux services postaux, en passant par les banques et plateformes de commerce en ligne. Ces domaines sont utilisés pour piéger les internautes via des messages bien ficelés, envoyés en masse grâce à des fermes SIM automatisées et des modems configurés pour inonder le monde de fausses alertes.

Darcula s’appuie sur un écosystème sophistiqué de 20 000 faux domaines actifs, capables d’imiter à la perfection les plus grandes marques mondiales.

L’un des éléments centraux de l’opération est un framework malveillant baptisé Magic Cat, une structure logicielle modulaire conçue pour générer automatiquement des pages de phishing personnalisées. Ce code, qui permet une mise en ligne rapide de faux sites imitant n’importe quel service légitime, serait l’œuvre d’un développeur chinois originaire du Henan. Bien que l’entreprise à laquelle il est affilié ait démenti toute implication, arguant qu’elle se contente de créer des outils de webdesign, la chronologie des événements suggère une autre réalité. Peu après ces déclarations publiques, une nouvelle version de Magic Cat a refait surface sur le darknet, dotée de fonctionnalités encore plus avancées.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

La force de Darcula réside également dans sa capacité à évoluer. En février 2025, la plateforme s’est enrichie de services inédits, tels que la création de cartes bancaires virtuelles ou encore l’intégration de modes furtifs. Mais c’est en avril de cette même année qu’un cap technologique a été franchi avec l’introduction d’un réseau neuronal génératif. Ce dernier permet de produire, en quelques secondes, des scénarios de fraude hautement personnalisés, dans n’importe quelle langue, adaptés à la culture, au contexte économique et aux habitudes numériques de la cible.

Ce raffinement des méthodes a pour conséquence directe un taux de conversion dramatique : les victimes ne se doutent de rien, même après avoir cliqué, tant l’illusion est parfaite. Ce n’est qu’une fois leur compte vidé ou leur carte bloquée qu’elles découvrent l’étendue du piège. Les escrocs, eux, disposent d’un canal de revente sécurisé et de circuits de blanchiment anonymes, rendus possibles par les crypto-monnaies et des places de marché fermées sur Telegram.

Le réseau Darcula s’appuie sur des IA génératives pour produire des campagnes de phishing localisées, parfaitement adaptées à chaque cible.

Sur ces forums clandestins, des échanges constants ont été observés : tutoriels pour novices, résultats financiers partagés en captures d’écran, ventes de lots de données bancaires, ou encore recommandations de fournisseurs pour le matériel logistique. Parmi les images récupérées par les chercheurs, on retrouve des photographies de véritables usines de fraude, avec rangées de modems, ordinateurs alignés, et cartes SIM empilées par centaines. Cette réalité, longtemps cantonnée à la fiction cyberpunk, est désormais bien tangible.

Les chercheurs ont pu identifier environ 600 opérateurs ayant utilisé les services de Darcula. Une grande partie d’entre eux opèrent par proxy, en sous-traitant certaines fonctions ou en revendant les accès à des tiers, ce qui complexifie encore le travail des enquêteurs. Malgré cela, tous les éléments collectés ont été transmis aux services de police internationaux, notamment Europol et Interpol, dans l’espoir de remonter la chaîne de responsabilités. Mais dans un monde où un simple clic peut franchir des frontières, où les attaques proviennent d’ordinateurs fantômes répartis sur cinq continents, la réponse judiciaire reste lente et inadaptée à la fluidité des cyberattaques.

Pour les entreprises et les particuliers, le principal levier de défense reste la vigilance. Aucun antivirus, aussi sophistiqué soit-il, ne peut empêcher un utilisateur de cliquer sur un lien s’il pense qu’il provient de sa banque ou d’un service de livraison. C’est là toute la perversité du système Darcula : il n’exploite pas une faille technique, mais humaine. Le doute, l’urgence, la peur de la sanction ou l’attente d’un colis sont des émotions que l’algorithme sait activer au bon moment, avec la bonne formulation.

À mesure que les frontières entre réalité et simulation s’estompent, il devient plus difficile de distinguer le vrai du faux. L’industrialisation du phishing, soutenue par des intelligences artificielles toujours plus persuasives, marque une rupture dans l’histoire de la cybersécurité. Elle démontre que la guerre numérique ne se joue plus entre des experts cachés dans l’ombre, mais entre chaque individu connecté et des systèmes conçus pour le tromper, jusqu’au moindre détail.

Reste à savoir comment les États, les entreprises et les citoyens parviendront à reprendre le contrôle de cet espace numérique devenu si vulnérable. La question est d’autant plus cruciale que des plateformes comme Darcula ne cessent de se perfectionner, chaque mois, dans une course à l’efficacité et à l’invisibilité. Dans un avenir proche, verrons-nous apparaître des campagnes de fraude totalement automatisées, adaptables en temps réel au profil psychologique de chaque cible ?

Et si la prochaine guerre mondiale ne se faisait plus sur terre, ni dans l’espace, mais par message interposé, à travers des clics silencieux et invisibles ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, Entreprise, Particuliers

Microsoft enterre le mot de passe

Microsoft franchit une nouvelle étape dans la sécurité numérique : désormais, tous les nouveaux comptes seront créés sans mot de passe par défaut.

La firme de Redmond poursuit sa révolution en matière de cybersécurité. À l’heure où les cyberattaques deviennent de plus en plus sophistiquées, Microsoft entend bien se positionner à l’avant-garde d’une nouvelle ère sans mot de passe. Depuis mars, l’entreprise a commencé à déployer une interface de connexion repensée, pensée pour une authentification plus fluide, plus rapide, et surtout plus sûre. Désormais, tous les nouveaux comptes Microsoft seront créés sans mot de passe par défaut, une décision stratégique destinée à limiter drastiquement les attaques par hameçonnage, la force brute ou le bourrage d’identifiants. Une transformation majeure qui pourrait bien signer la fin du règne du mot de passe.

Dans les coulisses de cette évolution, un constat simple : les mots de passe ne sont plus adaptés à la menace. Ils sont oubliés, réutilisés, faibles ou partagés. Et, surtout, ils sont devenus une cible de choix pour les cybercriminels. En s’appuyant sur les clés d’accès – ces identifiants chiffrés et biométriques intégrés aux appareils modernes – Microsoft propose une alternative plus sécurisée, mais aussi plus intuitive. Grâce à cette technologie, l’utilisateur pourra se connecter avec son empreinte digitale, la reconnaissance faciale ou un code PIN local, sans jamais avoir à saisir un mot de passe classique. Ce changement, qui commence avec les nouveaux comptes, s’étendra aussi aux utilisateurs existants, qui pourront choisir de supprimer définitivement leur mot de passe depuis les paramètres de leur compte.

Dans une déclaration conjointe, Joy Chik, présidente de l’identité et de l’accès réseau chez Microsoft, et Vasu Jakkal, vice-président de la sécurité, expliquent que cette simplification de l’expérience utilisateur s’inscrit dans une vision à long terme. Microsoft veut encourager une adoption massive des passkeys, en les rendant non seulement plus sécurisées, mais également plus simples à utiliser au quotidien. Dès la première connexion, les utilisateurs seront incités à créer leur propre clé d’accès, qui leur permettra ensuite de se reconnecter rapidement et en toute sécurité, sans manipulation fastidieuse.

Les nouveaux utilisateurs disposeront de plusieurs options pour se connecter à leur compte sans mot de passe, et n’auront plus besoin d’en saisir un.

Ce changement de paradigme ne se limite pas à un simple ajustement ergonomique. Il répond à une problématique de fond : celle de la protection des données personnelles dans un environnement numérique où les menaces se multiplient. Le bourrage d’identifiants, technique consistant à tester en masse des combinaisons d’identifiants dérobés, représente à lui seul un des vecteurs d’attaque les plus fréquents. Supprimer les mots de passe, c’est donc aussi priver les hackers de leur outil principal.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Dans ce contexte, les passkeys apparaissent comme un standard d’avenir. Basées sur le protocole FIDO2, soutenu par des acteurs majeurs comme Apple, Google ou Microsoft, ces clés numériques lient l’identifiant à l’appareil de l’utilisateur et ne quittent jamais ce dernier. Ainsi, même en cas de compromission d’un serveur, aucune information exploitable ne peut être réutilisée ailleurs. Un bond en avant en termes de sécurité, mais aussi de praticité, puisque ces systèmes permettent une connexion quasi instantanée, sans effort cognitif.

Selon les données internes partagées par Microsoft, les premières phases de test ont déjà démontré une adoption prometteuse. En réduisant l’usage du mot de passe de plus de 20 %, la firme indique que les utilisateurs sont non seulement plus enclins à opter pour une clé d’accès, mais qu’ils apprécient également une expérience de connexion plus fluide. Un indicateur clé alors que l’entreprise prépare la disparition progressive du mot de passe traditionnel à moyen terme.

« À mesure que davantage de personnes utilisent Passkey, le nombre d’authentifications par mot de passe continuera de diminuer jusqu’à ce que nous puissions progressivement supprimer complètement la prise en charge des mots de passe.« 

Mais ce tournant pose aussi des questions essentielles. Quels sont les risques si l’appareil biométrique est volé ou compromis ? Que se passe-t-il en cas de perte d’accès physique à son téléphone ou à son ordinateur ? Microsoft, tout comme les autres membres de l’Alliance FIDO, assure avoir intégré des mécanismes de récupération robustes, via des sauvegardes chiffrées dans le cloud, des options secondaires d’authentification ou des dispositifs de secours. Toutefois, l’adhésion massive à ce modèle dépendra de la capacité des entreprises à convaincre le grand public que la sécurité est non seulement renforcée, mais aussi durable et résiliente face à de nouveaux types de menaces.

L’initiative de Microsoft intervient dans un contexte où la guerre contre les mots de passe s’intensifie. Apple, de son côté, a intégré les passkeys à ses systèmes iOS et macOS, permettant une synchronisation entre les appareils via le trousseau iCloud. Google a également activé par défaut la connexion par clé d’accès sur ses services phares, tels que Gmail et YouTube. Ensemble, ces géants du numérique tentent d’imposer une norme mondiale qui mettrait fin aux pratiques actuelles jugées obsolètes.

La dimension économique n’est pas à négliger. La cybersécurité représente un marché colossal, estimé à plus de 170 milliards d’euros en 2024. En s’engageant dans cette voie, Microsoft entend se positionner comme leader d’une nouvelle génération de solutions de sécurité intégrées. La suppression du mot de passe s’inscrit ainsi dans une stratégie plus large, qui mise sur l’intelligence artificielle, la protection proactive des identités numériques et une architecture « zero trust », où chaque connexion est vérifiée indépendamment du contexte.

Mais l’entreprise devra relever plusieurs défis : assurer la compatibilité avec l’ensemble de l’écosystème numérique, convaincre les utilisateurs réticents au changement, et garantir une continuité de service même en cas de perte ou de dysfonctionnement des dispositifs d’authentification biométrique. Autant de conditions indispensables pour que cette transition vers un monde sans mot de passe ne devienne pas une source de frustration, mais bien une avancée tangible vers un internet plus sûr.

Microsoft ouvre donc un nouveau chapitre de l’histoire numérique, dans lequel le mot de passe, pilier de la cybersécurité depuis plus d’un demi-siècle, pourrait devenir un vestige du passé. Une révolution discrète mais déterminante, qui pourrait redéfinir nos usages quotidiens et notre rapport à l’identité numérique.

Alors que les autres grands acteurs du numérique suivent la même trajectoire, une question demeure : les utilisateurs sont-ils prêts à abandonner définitivement le mot de passe au profit d’un futur biométrique ? Perdre un mot de passe est certes gênant, mais se remplace ! Se faire voler sa personne numérique, est une toute autre histoire.

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, Entreprise

Les failles invisibles : la menace persistante des vulnérabilités zero-day

Les failles zero-day continuent de menacer la cybersécurité mondiale : en 2024, 75 vulnérabilités inédites ont été exploitées, principalement à des fins de cyber espionnage, selon Google Threat Intelligence Group.

Alors que la technologie progresse à une vitesse fulgurante, les failles de sécurité persistent, souvent invisibles jusqu’à ce qu’elles soient utilisées pour infiltrer des systèmes critiques. Dans son dernier rapport, le Google Threat Intelligence Group (GTIG) tire la sonnette d’alarme : 75 vulnérabilités zero-day ont été activement exploitées en 2024.

Ce chiffre marque une baisse par rapport à l’année précédente, qui en avait comptabilisé 97, mais il reste supérieur aux 63 failles de 2022. Plus inquiétant encore, plus de la moitié de ces vulnérabilités ont été utilisées à des fins de cyber espionnage, soulignant la manière dont les conflits géopolitiques se transposent désormais dans l’espace numérique.

La vulnérabilité zero-day, rappelons-le, désigne une faille de sécurité logicielle inconnue du développeur au moment de son exploitation. Elle offre aux attaquants une opportunité précieuse : agir sans être détectés, avant même qu’un correctif ne soit envisagé. Ce type d’attaque est particulièrement prisé des groupes étatiques et des acteurs sophistiqués, car il permet un accès furtif et souvent prolongé à des systèmes informatiques sensibles. Le rapport de GTIG met en évidence une tendance qui ne faiblit pas : les attaques par zero-day, bien qu’en légère baisse cette année, suivent une courbe ascendante sur le long terme, signe d’une menace de plus en plus structurée.

Plus de la moitié des failles exploitées pour l’espionnage numérique

En 2024, 56 % des exploits zero-day visaient des plateformes destinées aux utilisateurs finaux : navigateurs, appareils mobiles et systèmes d’exploitation de bureau. Les pirates informatiques exploitent ces points d’entrée pour accéder aux informations personnelles, aux communications sensibles et aux environnements professionnels. Malgré une diminution notable des attaques ciblant les navigateurs (passées de 17 à 11) et les appareils mobiles (de 17 à 9), les systèmes d’exploitation de bureau, en particulier Windows, sont de plus en plus exposés, avec 22 failles contre 17 l’année précédente.

Cette évolution n’est pas anodine. Comme le souligne le rapport de GTIG, Windows reste omniprésent dans les usages domestiques et professionnels, faisant de lui une cible de choix pour les attaquants. La popularité d’un logiciel devient alors sa faiblesse, car elle garantit aux pirates un champ d’action étendu et des bénéfices potentiels considérables.

« Les vulnérabilités zero-day ne sont pas seulement des anomalies techniques, elles sont devenues des armes numériques dans des conflits à grande échelle. »

Le lien entre les failles zero-day et le cyber espionnage est aujourd’hui largement établi. En 2024, cinq vulnérabilités ont été attribuées à des groupes liés à la Chine, cinq autres à des groupes nord-coréens, tandis que les clients de fournisseurs commerciaux de logiciels espions ont exploité huit failles. Ces chiffres mettent en lumière une collaboration croissante entre acteurs privés et étatiques dans le domaine de l’espionnage numérique. La frontière entre cybercriminalité et guerre de l’information devient de plus en plus floue, et les vulnérabilités zero-day en sont les instruments principaux.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Des cibles de plus en plus professionnelles

L’autre constat marquant du rapport réside dans la proportion croissante de failles visant spécifiquement les environnements professionnels. Sur les 75 failles recensées, 33 (soit 44 %) ciblaient des outils et infrastructures utilisés en entreprise. Parmi celles-ci, 20 vulnérabilités touchaient directement des logiciels de sécurité ou des périphériques réseau, comme les firewalls ou les passerelles VPN. Ces systèmes jouent un rôle central dans la protection des données et l’isolation des réseaux d’entreprise. Leur compromission offre aux attaquants une porte d’entrée directe et souvent difficile à détecter vers l’ensemble d’un système.

Les vulnérabilités dans des produits tels qu’Ivanti Connect Secure VPN, Cisco Adaptive Security Appliance ou encore PAN-OS de Palo Alto Networks illustrent à quel point même les outils censés protéger les entreprises peuvent devenir leurs points faibles. La sophistication des attaques ne cesse d’augmenter, les pirates misant sur des exploits uniques, courts et efficaces, qui leur évitent de devoir construire des chaînes d’attaque complexes.

Plus de 60 % des failles zero-day ciblant les entreprises en 2024 ont été trouvées dans des logiciels de sécurité ou des équipements réseau.

Selon Casey Charrier, analyste senior chez GTIG, « l’exploitation des vulnérabilités zero-day continue de croître à un rythme lent mais régulier« . Toutefois, il souligne également un élément encourageant : les efforts des fournisseurs semblent commencer à porter leurs fruits. De nombreux produits autrefois très ciblés par les attaquants sont aujourd’hui moins vulnérables, preuve que les investissements dans la détection proactive et les audits de sécurité portent leurs fruits. Cette tendance positive reste cependant fragile, car les attaquants adaptent rapidement leurs méthodes pour contourner les nouvelles protections.

Les logiciels espions commerciaux, un marché en expansion

Un facteur préoccupant réside dans l’implication croissante de fournisseurs de logiciels espions commerciaux. Ces acteurs privés proposent des outils puissants à des clients qui n’ont ni les ressources techniques ni l’expertise nécessaires pour développer leurs propres solutions de piratage. Ce modèle commercialise la cyberattaque, la rend accessible et démultiplie les risques.

En exploitant des failles zero-day, ces clients peuvent surveiller des cibles politiques, économiques ou personnelles sans laisser de traces apparentes. Le marché des logiciels espions, souvent légitimé sous couvert de sécurité nationale ou de lutte contre le crime, échappe encore à une régulation efficace à l’échelle internationale. Cette absence de cadre juridique clair alimente l’impunité de nombreux acteurs.

Le marché des logiciels espions commerciaux facilite l’accès aux failles zero-day pour des acteurs non étatiques, rendant les cyberattaques plus fréquentes et plus difficiles à attribuer.

À mesure que les attaques gagnent en discrétion et en sophistication, la détection des failles devient une course contre la montre. Une vulnérabilité zero-day peut rester indétectée pendant des semaines, voire des mois, pendant lesquels les attaquants peuvent siphonner des données sensibles ou cartographier les réseaux entiers. Une fois révélées, ces failles doivent être comblées en urgence, mais le délai entre la découverte et le déploiement du correctif laisse souvent un espace d’exploitation critique.

Un équilibre fragile entre progrès technologique et sécurité

La baisse modérée du nombre total de vulnérabilités zero-day exploitées en 2024 ne doit pas masquer la réalité : la menace reste constante, alimentée par des enjeux géopolitiques, économiques et technologiques. Les acteurs malveillants n’ont jamais été aussi nombreux, ni aussi bien équipés. La multiplication des objets connectés, la complexité croissante des infrastructures logicielles et la dépendance numérique des entreprises rendent la tâche des défenseurs toujours plus difficile.

Pourtant, des signes encourageants apparaissent. Les fournisseurs redoublent d’efforts pour renforcer leurs produits, intégrer la sécurité dès la phase de conception, et réagir plus rapidement aux menaces émergentes. L’analyse proactive des comportements suspects, le partage d’informations entre chercheurs en cybersécurité et la transparence des éditeurs en matière de failles corrigées sont autant de leviers à développer.

Reste à savoir si ces efforts suffiront à endiguer la prochaine vague d’attaques.

Face à une menace aussi insidieuse que les failles zero-day, comment les entreprises et les gouvernements peuvent-ils bâtir une cybersécurité réellement résiliente ? En France, une école, l’OTERIA Cyber School, a lancé un cursus dédié aux failles et à la recherche de solution. Idée à suivre !

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Chiffrement, Entreprise

Le contrôle s’intensifie : Roskomnadzor resserre l’étau sur les VPN

La Russie renforce son contrôle sur les protocoles de chiffrement étrangers utilisés dans les réseaux VPN, en élargissant massivement sa « liste blanche » et en plaçant les entreprises sous une surveillance technologique toujours plus étroite.

Avec une multiplication par six du nombre d’adresses IP autorisées sur sa « liste blanche », Roskomnadzor, le régulateur russe des communications, accentue sa pression sur les entreprises utilisant des technologies de chiffrement étrangères. Derrière cette démarche, officiellement justifiée par la cybersécurité, se cache un mouvement plus large vers un Internet souverain, aligné sur les standards russes. Les sociétés, prises en étau entre la conformité réglementaire et la nécessité de maintenir des opérations efficaces, tentent d’obtenir l’aval du Centre de surveillance pour continuer à utiliser des VPN. Ce durcissement des politiques numériques s’inscrit dans une stratégie plus globale visant à affaiblir les outils permettant de contourner la censure et à renforcer le contrôle des flux d’information.

Le paysage numérique russe continue de se redessiner sous l’impulsion de Roskomnadzor (RKN), l’autorité de régulation des télécommunications, qui impose un encadrement toujours plus strict de l’utilisation des technologies de chiffrement étrangères. En quelques mois à peine, la fameuse « liste blanche » tenue par le Centre de surveillance et de contrôle du réseau de communications publiques (CMCN), un organe rattaché à Roskomnadzor, a explosé en volume : elle recense désormais 75 000 adresses IP, contre seulement 12 000 l’année précédente. Cette liste, qui fonctionne comme une zone d’exclusion des futures restrictions, devient un outil central de la politique de cybersurveillance russe.

« L’inclusion dans la liste blanche est devenue un impératif vital pour les entreprises qui souhaitent continuer à utiliser des solutions techniques non russes. »

Les entreprises russes, confrontées à l’impossibilité technique ou économique d’abandonner certains protocoles de chiffrement occidentaux, se résolvent à déclarer leurs systèmes auprès des autorités pour éviter des interruptions de service. Le CMCN leur demande de justifier l’usage de ces protocoles, de fournir les adresses IP concernées ainsi que les finalités de leur utilisation. Le message est clair : tolérance uniquement sous surveillance.

Ce cadre restrictif s’inscrit dans un contexte où l’État russe cherche à s’affranchir progressivement de toute dépendance technologique étrangère. En avril, Roskomnadzor a publié une recommandation explicite : les entreprises utilisant des VPN russes devaient « cesser d’utiliser des protocoles de chiffrement étrangers« , notamment ceux permettant d’accéder à des contenus interdits [comprenez des sites web, par exemple, considéré comme ‘terroriste », comme Facebook« ]. En cas d’impossibilité technique, une demande formelle doit être adressée au régulateur, accompagnée de justificatifs.

Pour les experts, cette mesure vise autant à tester le terrain qu’à préparer un futur durcissement. Selon eux, il ne s’agit pas encore de bloquer systématiquement, mais bien d’étendre les capacités de surveillance du trafic. Cette centralisation de l’information permettra à Roskomnadzor d’affiner ses outils de détection et d’exclusion, à terme, des flux non conformes aux standards russes.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

L’enjeu est loin d’être anodin. Le projet fédéral « Infrastructure de cybersécurité« , doté de 60 milliards de roubles (environ 610 millions d’euros), prévoit une modernisation poussée des dispositifs de filtrage. L’objectif est de pouvoir analyser le trafic chiffré à partir des signatures des protocoles, y compris les connexions VPN. À terme, cela permettrait de bloquer jusqu’à 96 % des solutions de contournement.

Mais cette sophistication technologique s’accompagne de risques considérables. Faux positifs, surcharge administrative pour les entreprises, et surtout frein à la compétitivité dans les secteurs orientés vers l’international. Car les protocoles russes comme GOST, même intégrés dans des solutions telles que « Continent » ou « ViPNet », ne sont pas compatibles avec les systèmes étrangers. Pour les secteurs publics ou les infrastructures critiques, le respect des normes russes est possible, voire imposé. En revanche, pour le commerce mondial ou l’industrie du développement logiciel, la transition est complexe, voire contre-productive.

Bref, les outils russes de chiffrement remplissent leur fonction dans un cadre strictement national. Mais leur déploiement dans les environnements multinationaux reste limité. Résultat : de nombreuses entreprises russes préfèrent conserver les protocoles étrangers pour leurs opérations internes, au risque de s’exposer aux sanctions du régulateur.

Une forme de résignation pragmatique de la part du secteur privé à venir ? Si toutes les communications non conformes aux standards russes sont bloquées, les entreprises n’auront d’autre choix que de livrer leurs adresses IP à Roskomnadzor, afin de ne pas paralyser leurs échanges internes et leurs connexions avec leurs filiales ou partenaires.

« Le VPN pourrait devenir une technologie à autorisation préalable, soumise au bon vouloir du régulateur »

Cette perspective d’un Internet « à autorisation » se confirme. L’accès au VPN en Russie pourrait bientôt être entièrement régi par une logique permissive, à savoir qu’il ne serait accordé qu’après validation explicite de Roskomnadzor. Une telle orientation marquerait une rupture nette avec la logique d’ouverture initiale d’Internet, en instaurant un contrôle bureaucratique préalable sur des technologies pourtant banalisées ailleurs.

La mise en œuvre de ces mesures s’inscrit dans la stratégie plus large du « RuNet souverain« , un Internet russe coupé du reste du monde et fonctionnant selon des normes locales. À terme, Moscou ambitionne de bâtir une infrastructure numérique entièrement autonome, à la fois en matière d’équipement, de logiciels et de protocoles. La guerre en Ukraine et les sanctions occidentales ont accéléré cette volonté de repli technologique.

Dans cette dynamique, les protocoles de chiffrement étrangers deviennent des symboles de dépendance à éradiquer. Mais leur interdiction brutale pourrait engendrer des effets pervers majeurs. Car les protocoles ouverts comme OpenVPN ou IPSec, largement utilisés dans le monde entier, sont devenus des standards industriels. Leur remplacement par des alternatives nationales n’est pas neutre : il impose des coûts supplémentaires, réduit l’interopérabilité et introduit des risques en matière de sécurité si les nouvelles solutions ne sont pas testées à l’échelle globale.

À cela s’ajoute un climat de surveillance renforcée. La collecte massive de données techniques, l’enregistrement obligatoire d’adresses IP et l’archivage des configurations réseau nourrissent un appareil bureaucratique omniprésent, dans lequel la conformité devient une condition de survie. Cette centralisation du contrôle, sous couvert de cybersécurité, marque une inflexion profonde vers un modèle où la liberté numérique est strictement encadrée.

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Apple, Cybersécurité, Mise à jour, Patch

AirPlay en péril : les failles « AirBorne » mettent en danger des milliards d’appareils Apple

Des chercheurs ont découvert 23 vulnérabilités dans AirPlay, menaçant potentiellement plus de deux milliards d’appareils Apple et tiers d’attaques informatiques sophistiquées.

La dernière alerte de cybersécurité en date concerne l’un des protocoles les plus utilisés de l’écosystème Apple : AirPlay. Conçu pour permettre la transmission fluide de contenu audio, vidéo ou d’affichage entre appareils Apple – ou vers des appareils tiers compatibles – AirPlay est aujourd’hui au centre d’un problème de sécurité d’envergure. Le 31 mars 2025, Apple a publié une série de correctifs critiques pour iOS, macOS, iPadOS, visionOS ainsi que pour les SDK audio et vidéo AirPlay. En cause : un ensemble de 23 vulnérabilités découvertes par les experts de la société Oligo Security, regroupées sous le nom évocateur de « AirBorne ».

Ces failles permettent notamment l’exécution de code à distance, les attaques Man-in-the-Middle (MitM), le déni de service, l’interaction non autorisée avec l’utilisateur et la lecture de fichiers locaux. Parmi les menaces les plus graves identifiées : deux failles de type « zéro clic », permettant de compromettre un appareil sans aucune interaction de l’utilisateur, et une autre contournant la validation manuelle d’une connexion AirPlay. Ces vulnérabilités peuvent être exploitées via une connexion directe entre appareils ou à travers un réseau Wi-Fi partagé, décuplant ainsi leur potentiel de propagation et de nuisance.

Un risque systémique pour l’écosystème Apple

L’une des forces d’Apple – la connectivité fluide entre ses appareils – devient ici une faiblesse structurelle. Un iPhone compromis par AirBorne pourrait, par exemple, infecter un Mac, une Apple TV ou même un téléviseur tiers connecté au même réseau domestique ou professionnel. Les conséquences sont multiples : espionnage discret via prise de contrôle des flux audiovisuels, déploiement de rançongiciels, compromission de chaînes d’approvisionnement ou sabotage de systèmes critiques dans des environnements sensibles comme les hôpitaux ou les entreprises technologiques.

Les chercheurs d’Oligo Security ont démontré que des haut-parleurs Bose ou des téléviseurs intelligents compatibles AirPlay peuvent aussi être visés. À travers une vidéo de preuve de concept, ils ont montré qu’il est possible d’afficher des images arbitraires sur un appareil tiers, soulignant le potentiel d’un contrôle complet à distance.

« AirPlay est omniprésent et vulnérable »

Selon Oligo, pas moins de 2,35 milliards d’appareils Apple dans le monde sont concernés. À ce chiffre déjà vertigineux s’ajoutent des dizaines de millions d’appareils tiers, comme les haut-parleurs connectés, les téléviseurs intelligents et les systèmes de divertissement embarqués prenant en charge CarPlay. En clair, la surface d’attaque dépasse largement les seuls produits Apple.

« Étant donné qu’AirPlay est pris en charge par un grand nombre d’appareils, il faudra des années pour que beaucoup d’entre eux soient corrigés, ou ils ne le seront jamais« , avertissent les chercheurs.

Cette prédiction fait froid dans le dos. Car si Apple a rapidement publié des correctifs pour ses propres appareils, les fabricants tiers devront adapter, tester et déployer leurs propres mises à jour pour les intégrer. Or, dans le monde de l’électronique grand public, où les mises à jour logicielles tardent souvent – voire sont complètement négligées – ce délai représente un danger concret et durable.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Des attaques potentiellement autonomes et persistantes

Les failles AirBorne sont d’autant plus préoccupantes qu’elles pourraient être utilisées pour créer un ver, c’est-à-dire un logiciel malveillant capable de se propager de manière autonome d’un appareil vulnérable à un autre. Cela rappelle les grands incidents informatiques comme WannaCry ou NotPetya, qui ont paralysé des réseaux entiers à l’échelle mondiale.

Dans le cas présent, un tel ver pourrait tirer parti de la connectivité sans fil entre les appareils pour s’infiltrer sans laisser de trace visible. Il suffirait qu’un utilisateur se connecte à un réseau Wi-Fi public ou mal sécurisé pour voir son téléphone ou son ordinateur portable compromis, devenant alors un vecteur d’infection pour tous les autres appareils compatibles AirPlay du réseau.

« Ce type de vulnérabilités peut avoir de graves conséquences« , écrivent les experts, soulignant que l’attaque peut débuter par un simple partage de contenu AirPlay entre deux appareils de confiance.

Des réponses à mettre en œuvre rapidement

Face à cette menace, la réponse ne peut pas se limiter à des correctifs techniques. Les chercheurs appellent les entreprises à mettre immédiatement à jour tous les appareils Apple qu’elles utilisent, y compris les terminaux personnels des employés, et à désactiver AirPlay lorsqu’il n’est pas indispensable.

Ils recommandent également de limiter l’accès à AirPlay par le biais de pare-feux ou de règles de sécurité réseau, en s’assurant que seuls des appareils connus et approuvés puissent établir une connexion. Ces mesures sont relativement simples à mettre en œuvre dans un environnement d’entreprise, mais beaucoup plus complexes dans le grand public, où la commodité prime souvent sur la sécurité.

Du côté d’Apple, la réponse a été rapide, mais reste partielle. En publiant des mises à jour pour iOS 18.4, macOS Sonoma 14.7.5, Ventura 13.7.5, Sequoia 15.4 et visionOS 2.4, l’entreprise a montré sa capacité à réagir efficacement. Toutefois, elle ne peut pas imposer aux fabricants tiers de patcher leurs produits, ni contraindre les utilisateurs à installer les mises à jour.

Cela pose la question de la gestion de la sécurité dans les écosystèmes interconnectés, où la responsabilité est répartie entre plusieurs acteurs : Apple, les fabricants tiers, les développeurs de logiciels, les fournisseurs d’accès et, bien sûr, les utilisateurs eux-mêmes.

La promesse d’AirPlay se heurte à la réalité des cybermenaces

Depuis son lancement, AirPlay a été présenté comme un symbole d’innovation, de simplicité et d’interopérabilité. Mais en 2025, cette vision est remise en question par une réalité plus sombre : celle de systèmes complexes, où chaque fonction peut devenir un vecteur de compromission.

À mesure que les objets connectés prolifèrent, que les voitures s’équipent de CarPlay, et que les foyers adoptent des téléviseurs toujours plus intelligents, la sécurité des protocoles comme AirPlay devient une priorité stratégique. Car si ces failles venaient à être exploitées à grande échelle, les conséquences pourraient être dramatiques pour les particuliers comme pour les organisations.

D’autant que la connectivité AirPlay est souvent active par défaut, exposant sans le savoir de nombreux utilisateurs à des risques qu’ils ne soupçonnent même pas. L’illusion de sécurité procurée par la marque Apple pourrait ainsi jouer contre elle, en incitant à un excès de confiance.

L’affaire AirBorne pose, en filigrane, la question fondamentale de la confiance dans les technologies que nous utilisons chaque jour. Quand un protocole aussi central et populaire qu’AirPlay se révèle vulnérable à des attaques sophistiquées, c’est l’ensemble de l’édifice numérique qui vacille.

Les prochaines semaines diront si les mises à jour d’Apple suffiront à juguler la menace ou si, comme le craignent certains experts, une vague d’attaques exploitant ces failles se prépare. Mais une chose est sûre : l’affaire AirBorne marquera un tournant dans la manière dont la sécurité des protocoles sans fil est perçue, tant par les ingénieurs que par le grand public.

En fin de compte, cette alerte pourrait-elle inciter les fabricants à repenser l’architecture de leurs systèmes et à accorder une priorité absolue à la sécurité dès la conception ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, Entreprise

Kali Linux perd sa clé : mises à jour bloquées pour des millions d’utilisateurs

Une erreur humaine, une alerte critique : Offensive Security a perdu la clé de signature de Kali Linux, forçant ses utilisateurs à intervenir manuellement pour continuer à recevoir les mises à jour du système.

C’est une mésaventure technique qui pourrait bien mettre à mal la réputation de rigueur dont jouissent les créateurs de Kali Linux. Offensive Security, l’organisation derrière la célèbre distribution dédiée aux tests de pénétration et à la cybersécurité, a annoncé avoir perdu la clé de signature de son référentiel de paquets. Sans cette clé, les systèmes Kali ne peuvent plus vérifier l’authenticité des mises à jour proposées, ce qui rend leur installation impossible. Le problème n’est pas anodin : il concerne potentiellement des millions d’utilisateurs dans le monde, depuis les professionnels de la cybersécurité jusqu’aux chercheurs et passionnés. Pour y remédier, un correctif manuel a été proposé, mais la situation soulève des interrogations sur les protocoles de sécurité interne au sein d’une distribution pourtant réputée pour l’excellence de ses pratiques en la matière.

Tout commence par un constat embarrassant de la part d’Offensive Security : la clé GPG utilisée pour signer les paquets distribués via les dépôts officiels de Kali Linux, identifiée sous le nom ED444FF07D8D0BF6, a été tout simplement perdue. Sans être compromise, cette clé est donc devenue inutilisable, forçant les développeurs à en générer une nouvelle (ED65462EC8D5E4C5). Un incident qui aurait pu passer inaperçu si ce n’était la nature critique de cette clé. En effet, elle permet aux systèmes de vérifier que les mises à jour logicielles qu’ils reçoivent sont bien légitimes et n’ont pas été altérées. En son absence, toute tentative d’installation échoue avec une erreur mentionnant l’absence de la nouvelle clé : « Clé manquante 827C8569F2518CC677FECA1AED654462EC8D5E4C5, qui est nécessaire pour vérifier la signature« .

« Nous avons perdu l’accès à la clé de signature du dépôt ; nous avons donc dû en créer une nouvelle« , ont reconnu les développeurs, invoquant leur pleine responsabilité dans cette erreur.

Afin d’éviter tout impact immédiat, Offensive Security a temporairement « gelé » son dépôt. Concrètement, aucune mise à jour n’a été publiée depuis le vendredi 18 avril, ce qui a permis de gagner du temps pour mettre en place la transition vers la nouvelle clé. Mais cette pause n’est que temporaire. Les mises à jour vont reprendre dans les jours qui viennent, et à ce moment-là, les utilisateurs qui n’auront pas installé la nouvelle clé verront leur système dans l’incapacité de se mettre à jour.

C’est pourquoi une méthode manuelle a été rapidement communiquée. Les utilisateurs doivent télécharger la nouvelle clé via la commande suivante :

Cette opération, bien que simple pour les habitués de Kali, n’est pas sans risque pour les utilisateurs moins expérimentés, qui pourraient omettre de vérifier l’intégrité de la clé téléchargée. Conscients de cela, les développeurs ont proposé une alternative : effectuer une réinstallation complète du système à partir des nouvelles images ISO, déjà signées avec la clé mise à jour. Une solution plus lourde, mais qui garantit une intégration propre et sans ambiguïté de la nouvelle configuration.

L’affaire révèle une faille embarrassante dans la gestion de la sécurité chez Offensive Security. Kali Linux est une distribution orientée sécurité, utilisée quotidiennement dans les audits, les pentests et l’analyse de vulnérabilités. La moindre faille de gestion interne, même administrative, peut avoir des conséquences disproportionnées. La perte d’une clé GPG n’est pas anodine : elle remet en cause la chaîne de confiance sur laquelle repose toute l’infrastructure logicielle du projet.

En 2018 déjà, les utilisateurs avaient été contraints de mettre à jour manuellement leur trousseau de clés, après l’expiration d’une clé GPG. L’incident de 2024 semble résonner comme une répétition malheureuse.

Cette répétition pose une question importante : pourquoi une distribution aussi centrée sur la sécurité n’a-t-elle pas mis en place un système de sauvegarde ou de gestion plus résilient de ses clés de signature ? Dans le monde de l’open source, la perte d’une clé n’est pas une première, mais les leçons du passé devraient suffire à prévenir ce type de scénario.

Il est aussi utile de rappeler que la clé perdue n’a pas été compromise. Elle n’a pas été volée ni utilisée à mauvais escient. Elle est simplement devenue inaccessible, un oubli ou une négligence qui ne remet pas en cause la sécurité des paquets existants, mais qui empêche toute signature future. Cela limite les conséquences immédiates, mais cela n’exonère pas Offensive Security d’un défaut de diligence.

Pour les utilisateurs, l’enjeu est désormais de rétablir la capacité de leur système à se mettre à jour sans compromettre leur intégrité. Une mauvaise manipulation, une clé non vérifiée ou un paquet téléchargé depuis une source non officielle peuvent ouvrir la porte à des attaques. Le paradoxe est cruel : utiliser un outil conçu pour sécuriser des systèmes peut soudain devenir risqué à cause d’une erreur de gestion interne.

Kali Linux reste malgré tout une référence dans le monde de la cybersécurité. Sa réactivité, la transparence de sa communication et la rapidité de sa réponse ont permis de limiter les dégâts. Mais à l’heure où la confiance est une ressource aussi précieuse que les lignes de code, ce type d’incident mérite une remise en question sérieuse des pratiques internes.

Quoi qu’il en soit, cet incident nous rappelle une vérité fondamentale : même les outils les plus sûrs ne sont jamais à l’abri d’une simple erreur humaine. La sécurité numérique, aussi sophistiquée soit-elle, repose encore sur des chaînes de responsabilités bien humaines. La vigilance, la transparence et la rigueur resteront donc, toujours, les meilleurs remparts face à l’imprévu.

Et si une clé perdue [nouvelle ici] peut mettre en pause une distribution entière, comment renforcer à l’avenir la résilience des outils sur lesquels repose toute l’infrastructure numérique mondiale ?