Archives de catégorie : Espionnage Spy

Cybersécurité, Espionnae, Espionnage Spy, IA, Securite informatique, Vie privée

Des extensions espionnent vos chats avec des IA

Laisser un commentaire

Des extensions censées protéger la vie privée ont siphonné des conversations avec des chatbots. Selon des chercheurs, plus de 8 millions d’utilisateurs ont été exposés, via une collecte activée par défaut.

D’après une enquête rapportée par The Register et une analyse de Koi Security, quatre extensions diffusées sur Chrome Web Store et Microsoft Edge Add-ons, Urban VPN Proxy, 1ClickVPN Proxy, Urban Browser Guard et Urban Ad Blocker, auraient capturé le texte de conversations menées sur des plateformes d’IA. Les services visés incluent notamment ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok et Meta AI. La collecte serait activée par un paramètre codé en dur, sans option visible pour la désactiver, l’arrêt passant par la désinstallation. Les données interceptées seraient ensuite envoyées vers des domaines liés à Urban VPN.

Quatre extensions populaires, une collecte invisible

L’histoire commence par un paradoxe : des outils présentés comme des remparts, bloqueurs de publicité, « browser guard » et VPN, se comportent comme des micros. Koi Security affirme que quatre extensions ont été conçues pour capter et transmettre le texte des interactions avec des chatbots, et que plus de 8 millions de personnes les auraient installées. Les extensions citées sont Urban VPN Proxy, 1ClickVPN Proxy, Urban Browser Guard et Urban Ad Blocker. Elles sont distribuées via les boutiques d’extensions de Chrome et d’Edge, donc dans un espace censé filtrer les comportements abusifs.

Selon Idan Dardikman, cofondateur et directeur technique de Koi, Urban VPN Proxy cible des conversations sur dix plateformes d’IA. La liste mentionnée couvre un éventail large : ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok et Meta AI figurent parmi les services nommés. L’enjeu dépasse la simple confidentialité d’un historique : une conversation avec un chatbot peut contenir des données personnelles, des questions de santé, des éléments professionnels, des secrets d’entreprise, ou des fragments d’identité. Ici, la collecte est décrite comme activée par défaut, via un paramètre de configuration intégré au code. Dardikman affirme qu’aucun réglage côté utilisateur ne permet de l’arrêter, la seule façon de stopper la collecte étant de désinstaller l’extension.

Comment l’extension intercepte vos requêtes et réponses

Le mécanisme décrit est agressif et s’appuie sur la position privilégiée d’une extension dans le navigateur. Dardikman explique qu’Urban VPN Proxy surveille les onglets et, lorsqu’un utilisateur visite une plateforme ciblée, par exemple un site de chatbot, l’extension injecte un script dédié, qualifié d’“executor”. Ce script ne se contente pas d’observer : il s’interpose sur les fonctions réseau du navigateur. Concrètement, il remplace ou enveloppe fetch() et XMLHttpRequest, les deux APIs fondamentales par lesquelles transitent les requêtes et réponses web. Résultat, chaque échange réseau sur la page passe d’abord par le code de l’extension.

Le script analyse ensuite les réponses d’API interceptées, isole le contenu conversationnel, puis prépare l’exfiltration. Le transfert interne s’effectue via window.postMessage avec un identifiant, PANELOS_MESSAGE, vers le “content script” de l’extension. Ce composant relaie ensuite les données à un service worker en arrière-plan, chargé de les envoyer sur le réseau. Les domaines cités pour la sortie sont analytics.urban-vpn.com et stats.urban-vpn.com. Dans ce schéma, l’utilisateur ne voit rien : aucune fenêtre, aucune notification, aucun indice visuel. L’extension exploite une logique simple, capter au niveau où tout transite, avant même que la page ou le service d’IA ne puisse “protéger” la conversation.

The Register précise avoir contacté Urban VPN, une société affiliée nommée BiScience, ainsi que 1ClickVPN via leurs adresses mail dédiées à la confidentialité. Les demandes auraient échoué, les messages étant revenus en erreur. Ce dossier est relié à des travaux antérieurs attribués au chercheur Wladimir Palant et à John Tuckner de Secure Annex, évoquant une collecte de données de navigation par BiScience. Selon Dardikman, l’enjeu serait désormais l’extension de cette collecte aux conversations avec des IA.

Consentement, « protection » affichée et zone grise des boutiques

Le débat se déplace alors sur le terrain de la conformité et de la gouvernance. Dardikman affirme qu’Urban VPN mentionne la collecte de données d’IA lors d’un écran de configuration et dans sa politique de confidentialité. Mais il souligne un décalage : la fiche de l’extension sur le Chrome Web Store indiquerait que les données ne sont pas vendues à des tiers en dehors de cas d’usage approuvés, et les conversations avec des IA ne seraient pas nommées explicitement. Il ajoute que le texte de consentement présenterait la surveillance comme une mesure de protection, tandis que la politique de confidentialité indiquerait une vente des données à des fins marketing.

Un point de chronologie compte, car il conditionne le consentement. Dardikman dit que les utilisateurs ayant installé Urban VPN avant juillet 2025 n’auraient jamais vu l’écran de consentement, ajouté plus tard via une mise à jour silencieuse en version 5.5.0. Il estime aussi que l’extension ne signalerait pas que la collecte se poursuit même quand le VPN n’est pas actif, ce qui change la perception de risque : l’utilisateur pense activer un service ponctuel, alors qu’une surveillance persistante serait en place.

Autre élément sensible : Urban VPN aurait obtenu un badge “Featured” sur le Chrome Web Store, ce qui implique, selon Dardikman, une revue humaine. Il en déduit un dilemme : soit la revue n’a pas vu le code collectant des conversations, y compris sur un produit d’IA de Google comme Gemini, soit elle l’a vu sans y voir de problème. Palant pointe, dans l’analyse citée, une possible faille d’interprétation de la règle « Limited Use », qui autorise des transferts de données vers des tiers dans des scénarios limités ne couvrant pas, selon cette lecture, les courtiers en données. Il avance que des acteurs malveillants peuvent invoquer des exceptions, « nécessaire au fonctionnement », ou « sécurité », en ajoutant des fonctions comme le blocage de publicités ou la navigation sécurisée. Google, selon The Register, n’a pas répondu immédiatement à une demande de commentaire.

Ce dossier rappelle que la menace ne vient pas seulement d’un site web ou d’un malware classique, mais d’un composant de confiance installé dans le navigateur, capable de regarder avant tout le monde et d’envoyer ailleurs ce qu’il voit. Côté recommandation, DataSecurityBreach.fr conseille fortement : désinstaller ces extensions et considérer que les conversations avec des IA depuis juillet 2025 ont pu être collectées.

Cybersécurité, Entreprise, Espionnage Spy, Justice

CrowdStrike sanctionne un « initié » après business pirate

Laisser un commentaire

CrowdStrike a licencié un employé accusé d’avoir transmis des informations internes à un collectif de hackers. L’affaire illustre une menace difficile à neutraliser : l’abus de confiance, parfois plus simple qu’une intrusion technique.

CrowdStrike a confirmé le licenciement d’un employé ayant divulgué des informations internes à un groupe baptisé Scattered Lapsus Hunters, présenté comme une alliance mêlant des profils liés à Scattered Spider, LAPSUS$ et ShinyHunters. Des captures d’écran publiées sur un canal Telegram public montraient un tableau de bord interne de CrowdStrike, avec des liens vers des systèmes d’entreprise, dont l’authentification unique Okta. Les attaquants ont d’abord évoqué une compromission via le prestataire Gainsight et des cookies d’authentification. CrowdStrike nie toute intrusion externe et affirme qu’il s’agissait de photos prises par l’employé. ShinyHunters aurait proposé 25 000 $ (23 000 €) pour obtenir un accès.

Une fuite « par l’intérieur » plutôt qu’une brèche technique

Le cœur du dossier est une clarification d’attribution. Le groupe a, dans un premier temps, revendiqué une compromission de CrowdStrike via une plateforme tierce, Gainsight, en affirmant avoir récupéré des cookies d’authentification. CrowdStrike répond en niant catégoriquement toute attaque externe réussie. Selon l’entreprise, les images ne démontrent pas une intrusion : ce sont des captures prises par un employé depuis son propre écran, puis divulguées.

Les captures publiées sur Telegram auraient montré l’interface d’un tableau de bord interne, avec des liens vers des systèmes de l’entreprise, dont la page d’authentification unique Okta. Même sans accès direct, ce type d’éléments peut alimenter un repérage : cartographie des outils, vocabulaire interne, chemins d’accès, et indices sur la manière dont l’organisation structure ses contrôles.

Le récit insiste sur le risque interne. CrowdStrike place ce danger au même niveau que les vulnérabilités techniques, parce qu’un initié n’a pas besoin de “casser” la sécurité pour faire sortir de l’information. Il peut simplement la copier, la photographier ou la raconter, en profitant d’un accès déjà légitime.

L’offre financière et la tactique de « super alliance »

Une enquête plus poussée, selon CrowdStrike, a établi que ShinyHunters avait offert 25 000 $ (23 000 €). Cette somme suggère une logique de recrutement : payer pour accélérer l’accès, réduire les risques d’attaque directe, et contourner des défenses techniques coûteuses à franchir.

Le groupe cité, Scattered Lapsus Hunters, est décrit comme une « super alliance » rassemblant des membres de plusieurs collectifs connus. L’intérêt de ce type de bannière, dans une opération, est d’agréger des compétences et de maximiser l’impact psychologique, tout en brouillant les responsabilités. En prétendant à une intrusion via un tiers, l’attaquant peut aussi tester la réaction publique et pousser la cible à se défendre, ce qui révèle parfois des informations supplémentaires.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

 

CrowdStrike affirme que son centre de sécurité a détecté l’anomalie à temps, que les attaquants n’ont pas réussi à établir un accès valide, et que l’événement a été rapidement contenu. L’entreprise indique que ses systèmes n’ont pas été compromis et que ses clients sont restés protégés. L’employé mis en cause a été licencié, et l’affaire a été transmise aux forces de l’ordre.

Ce passage met en avant une distinction essentielle : fuite d’information ne veut pas dire prise de contrôle. Ici, CrowdStrike sépare l’exposition, captures et éléments de connexion, d’une compromission effective de ses systèmes. Cette nuance compte, car les récits d’attaque jouent souvent sur l’ambiguïté entre “preuve de présence” et “preuve d’accès”, surtout lorsqu’une publication sur un canal public vise à créer une perception de défaillance.

Une leçon de chaîne d’approvisionnement, mais aussi de gestion RH

L’incident est rattaché à une série d’attaques récentes attribuées à ce même ensemble d’acteurs contre de grandes entreprises. Le texte souligne leur appétit pour les fournisseurs externes et prestataires, citant Salesforce et Gainsight comme exemples de surfaces privilégiées. Mais l’épisode CrowdStrike rappelle qu’un prestataire n’est pas la seule porte d’entrée : un employé peut jouer ce rôle, volontairement, sous contrainte ou contre rémunération.

Pour les organisations, le message est concret. Renforcer les défenses techniques reste indispensable, mais l’angle mort se situe souvent dans la gouvernance des accès : qui voit quoi, à quel moment, avec quelles traces, et avec quelles barrières contre l’exfiltration “banale”, photo d’écran, export, copie. La prévention passe aussi par la détection comportementale interne et par une politique claire sur les dispositifs personnels, les canaux de messagerie, et la gestion des alertes quand un salarié devient un point de risque.

Cette affaire illustre une réalité opérationnelle : l’attaquant n’a pas toujours besoin d’exploiter une faille, il peut acheter ou manipuler un accès humain, puis fabriquer un récit d’intrusion externe pour amplifier l’effet. La question, côté cyber et renseignement, est désormais de savoir comment mesurer et réduire la probabilité de trahison opportuniste, sans bloquer le travail quotidien : quelles combinaisons de contrôle d’accès, de traçabilité et de signaux RH permettent de détecter un initié avant la fuite publique ?

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Cybersécurité, Espionnage Spy, Social engineering

Réseaux sociaux professionnels, nouvelles armes d’ingérence

Utilisés pour recruter, réseauter ou lever des fonds, les réseaux sociaux professionnels deviennent aussi un terrain d’ingérence, d’escroqueries sophistiquées et de collecte discrète d’informations sensibles.

Les réseaux sociaux professionnels sont désormais centraux pour recruter, chercher un emploi ou nouer des partenariats. Mais la même mécanique de visibilité, fondée sur la mise en avant des parcours, projets et intérêts, expose chercheurs, dirigeants et salariés à des approches malveillantes. Un flash Ingérence 2025 de la DGSI détaille plusieurs scénarios concrets : faux investisseurs, mécénats imaginaires portés par des célébrités, usurpation d’identité de collaborateurs pour soutirer des informations stratégiques. Derrière ces démarches se trouvent des escrocs, des réseaux criminels ou des acteurs liés à des puissances étrangères. L’enjeu n’est plus seulement la cybersécurité technique, mais la maîtrise de son exposition numérique et la protection du renseignement économique et scientifique.

Réseaux sociaux professionnels, un angle mort de la sécurité

Les plateformes dédiées à la vie professionnelle sont devenues incontournables pour les trajectoires de carrière, la chasse de talents ou la mise en relation entre entreprises et chercheurs. Leur logique encourage toutefois à dévoiler bien plus que son simple CV, en exposant centres d’intérêt, projets, technologies maîtrisées, partenariats envisagés sans parler des égoscentricité diverses.

Cette surabondance de données en libre accès offre un terrain idéal à des acteurs malveillants. Escrocs, réseaux criminels organisés ou intermédiaires agissant pour le compte d’États étrangers peuvent y repérer des profils, cartographier des écosystèmes entiers et préparer des approches ciblées. Les informations utilisées pour bâtir le scénario de manipulation proviennent le plus souvent des contenus que la victime a elle-même publiés.

La DGSI souligne que cet usage non contrôlé des réseaux sociaux professionnels touche tous les niveaux, du jeune salarié au dirigeant d’entreprise, en passant par les chercheurs et cadres intermédiaires. Les motivations varient, mais se recoupent : escroquerie financière, déstabilisation d’une structure, captation d’informations économiques, technologiques ou scientifiques sensibles.

Le caractère dématérialisé de ces approches joue en faveur des attaquants. Une demande de connexion, un message flatteur ou une opportunité d’investissement semblent moins menaçants qu’un rendez-vous en face à face. La distance numérique atténue le sentiment de risque et abaisse la vigilance, alors même que les conséquences possibles sont lourdes : pertes financières, fuite de données, atteinte durable à la réputation.

Aux yeux de la DGSI, ces événements, souvent perçus comme des incidents isolés par ceux qui les subissent, s’inscrivent pourtant dans des stratégies plus larges. Une même campagne peut viser simultanément plusieurs chercheurs, différentes start-up d’un même secteur ou divers services au sein d’un groupe industriel, sans que chacun n’ait conscience d’être pris dans un ensemble coordonné.

L’obligation de discrétion inhérente à une recherche d’emploi ou à une discussion de partenariat complique encore la détection interne. Un salarié ou un responsable de laboratoire hésitera à alerter sa hiérarchie sur une approche ambiguë de peur de dévoiler des démarches personnelles. Ce silence crée un angle mort dont les attaquants tirent parti.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes exploitables, priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

Du faux investisseur au faux collègue, trois scénarios révélateurs

Le premier cas mis en avant par la DGSI concerne une start-up française en difficulté financière, active dans un secteur jugé sensible. Son dirigeant est approché sur un réseau social professionnel par un cabinet de conseil étranger qui se présente comme l’intermédiaire d’un fonds d’investissement. Le discours est calibré : promesse de capital, discours rassurant, vocabulaire professionnel.

Très vite, le cabinet réclame une présentation détaillée des activités de la jeune pousse, au motif d’évaluer un futur investissement. Le dirigeant, en quête de solutions, partage même un projet de nouveau produit encore en conception. Sans exiger de documents financiers solides, sans poser de questions approfondies, l’intermédiaire transmet une offre d’investissement très avantageuse pour la start-up. Cette absence de curiosité économique réelle constitue un premier signal d’alerte.

Lorsque le service juridique de l’entreprise engage une due diligence, les incohérences se multiplient. Les adresses électroniques des membres du prétendu cabinet de conseil ne correspondent pas au nom de la structure. L’identité de l’investisseur final ne peut être confirmée. Le montage financier proposé comporte, lui aussi, des zones d’ombre. La DGSI, sollicitée, confirme que ni le cabinet ni le fonds ne possèdent d’existence légale dans leurs pays d’origine et n’apparaissent dans aucune base de données officielle. Le dirigeant met immédiatement fin aux échanges, évitant à la fois une escroquerie potentielle et une exposition de ses informations sensibles.

Le deuxième scénario illustre une approche à mi-chemin entre ingénierie sociale et escroquerie classique, habillée en mécénat prestigieux. Un responsable de centre de recherche reçoit, via un réseau social professionnel, un message d’un individu se présentant comme le chargé de communication d’une célébrité internationale. Or le chercheur venait justement de publier un message signalant son intérêt pour cette personnalité, ce qui a probablement servi de déclencheur.

L’interlocuteur affirme que la célébrité souhaite financer les travaux du centre à hauteur de plusieurs millions d’euros, en cohérence avec ses engagements caritatifs. En sources ouvertes, les dons récents de cette star, relayés massivement sur les réseaux, semblent effectivement orientés vers un domaine proche de celui du laboratoire. Pour le chercheur, cette concordance entre le discours du contact et les informations publiques accroît la crédibilité du récit, au point qu’il poursuit la discussion.

Puis le scénario bascule vers un schéma d’escroquerie bien connu. Avant tout versement, le prétendu chargé de communication demande au chercheur de régler une taxe locale de plusieurs milliers d’euros, officiellement nécessaire pour débloquer le don. La DGSI, alertée, rappelle qu’il s’agit d’un mode opératoire typique des fraudes sur Internet et conseille fermement au chercheur de cesser immédiatement tout échange. Si la tentative échoue, elle révèle la capacité des attaquants à exploiter l’ego, la notoriété et l’actualité médiatique pour paraître crédibles.

Le troisième exemple met en lumière les dangers de l’usurpation d’identité interne. Dans une société développant des technologies sensibles, le dirigeant découvre sur un réseau social professionnel un profil se faisant passer pour un comptable de l’entreprise. Ce faux collaborateur tente de se connecter à un grand nombre de salariés. Grâce à un message d’alerte diffusé rapidement en interne, aucune interaction significative n’a lieu et le profil est identifié comme frauduleux.

Quelques mois plus tard, un second faux compte apparaît, cette fois encore en se présentant comme salarié de la même société. Plus discret, plus patient, ce profil parvient à engager le dialogue avec plusieurs collaborateurs sur des sujets professionnels. Un employé récemment recruté commet alors une imprudence : il communique des éléments stratégiques, notamment le calendrier de développement de certaines activités et le niveau d’avancement de technologies clés.

Le service sûreté de l’entreprise intervient pour sensibiliser ce salarié et rappeler les règles de protection de l’information. Le faux profil est signalé à l’ensemble du personnel. L’épisode illustre la fragilité particulière des nouveaux arrivants, moins familiers de la culture de sécurité de la structure, et montre qu’un simple échange en ligne peut suffire à livrer des renseignements à forte valeur ajoutée.

De la sensibilisation à la réaction, la stratégie défensive de la DGSI

Face à cette montée en puissance des approches malveillantes sur les réseaux sociaux professionnels, la DGSI insiste d’abord sur la prévention. Une hygiène numérique régulière doit être intégrée dans la culture de l’entreprise ou du laboratoire. Les services chargés de la sécurité des systèmes d’information peuvent organiser des sessions de formation internes, rappeler les bonnes pratiques et expliquer les mécanismes de l’ingénierie sociale. Les collaborateurs sont également invités à suivre les modules en ligne et le guide des bonnes pratiques proposés par l’Agence nationale de la sécurité des systèmes d’information. La DGSI, de son côté, mène des conférences de sensibilisation sur les risques numériques dans les environnements économiques et scientifiques.

La prévention passe aussi par une utilisation plus réfléchie des réseaux sociaux professionnels. La DGSI recommande d’ajuster les paramètres de confidentialité pour limiter l’accès du grand public aux informations du profil. Les personnes occupant des fonctions stratégiques doivent particulièrement éviter de publier des détails trop précis sur leurs responsabilités, leurs projets, leurs partenaires ou leurs technologies. Chaque information partagée peut, à terme, nourrir un scénario d’approche hostile.

Sur le plan opérationnel, l’identification des profils à risque devient une compétence clé. Les profils nouvellement créés, dotés de très peu de relations professionnelles et d’un parcours lacunaire ou incohérent, doivent immédiatement éveiller la méfiance. L’usage d’outils de recherche d’images inversées permet de repérer les photos issues de banques d’images ou volées à d’autres utilisateurs. Des vérifications simples sur Internet ou sur l’intranet de l’organisation peuvent aussi confirmer ou infirmer l’existence réelle d’un contact prétendument rattaché à une entité connue.

La vigilance ne doit pas se limiter au moment de la demande de connexion. Toute sollicitation d’informations, qu’elles soient personnelles ou professionnelles, doit pousser l’utilisateur à s’interroger sur l’identité et les intentions de son interlocuteur. Tant que cette identité n’est pas clairement confirmée, le téléchargement et l’ouverture de pièces jointes envoyées via ces plateformes sont à proscrire, sous peine de risquer une infection ou une fuite de données.

Même un faux profil soigneusement construit, maîtrisant les codes des réseaux professionnels, reste rarement indétectable. Il est possible de recouper sa réputation en interrogeant d’autres membres de son propre réseau ou en observant le réseau de la personne suspecte. Un premier échange par téléphone ou en visioconférence peut offrir des indices supplémentaires sur la réalité de l’interlocuteur, même si cette étape ne suffit pas toujours à lever tous les doutes.

En cas d’approche suspecte, la DGSI recommande plusieurs réflexes. Il est préférable d’ignorer une invitation plutôt que de la refuser explicitement, car une invitation laissée sans réponse empêche l’émetteur de relancer ultérieurement. Lorsqu’un faux profil est détecté, les personnes visées doivent alerter leur responsable sûreté, leur fonctionnaire de sécurité défense ou la direction. Cette remontée d’information permet de prévenir l’ensemble des collaborateurs et de repérer d’éventuels cas similaires.

Les services d’assistance des principaux réseaux sociaux professionnels disposent, selon la DGSI, de dispositifs de signalement dédiés aux faux profils et aux contenus frauduleux. Les utiliser systématiquement contribue à assainir l’écosystème numérique de l’entreprise. Enfin, lorsqu’une société ou un organisme de recherche actif dans un domaine sensible détecte une campagne ou des approches répétées, il est encouragé à prendre contact avec la DGSI via l’adresse securite-economique@interieur.gouv.fr, afin d’être accompagné dans l’analyse et la réponse à apporter.

Les réseaux sociaux professionnels concentrent désormais une part croissante du renseignement exploitable sur les organisations, leurs projets et leurs talents. Faute de maîtrise de cette exposition numérique, dirigeants, chercheurs et salariés deviennent des cibles accessibles pour des acteurs dont la frontière entre criminalité, espionnage économique et ingérence étrangère est parfois floue. La réponse ne se résume plus à la protection des systèmes d’information : elle implique une culture partagée de vigilance, un encadrement clair de ce qui peut être publié et une capacité à détecter les signaux faibles d’une approche hostile. Reste une question centrale pour les années à venir : les organisations sauront-elles traiter leurs traces numériques professionnelles comme un actif stratégique à protéger au même titre que leurs secrets industriels ?

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
LinkedIn
GNews
Autres

cyberattaque, Cybersécurité, Espionnage Spy

IDFKA, la porte dérobée en Rust qui vise les télécoms russes

IDFKA, une backdoor en Rust restée dix mois chez un sous-traitant télécom russe, révélant une opération d’espionnage à double visage.

Présentée au SOC Forum 2025, l’enquête de Solar 4RAYS détaille une opération d’espionnage visant un opérateur de télécommunications russe via un sous-traitant informatique compromis. Deux groupes, Snowy Mogwai et NGC5081, ont exploité la même brèche pour accéder aux bases de données d’abonnés et aux informations d’appels. NGC5081 a déployé une nouvelle porte dérobée, IDFKA, écrite en Rust et masquée en service légitime, qui utilise un protocole propriétaire pour échapper à la surveillance réseau. Active depuis au moins dix mois dans l’infrastructure du prestataire, cette backdoor dispose toujours d’une infrastructure de commande et de contrôle opérationnelle, maintenant le risque de nouvelles intrusions contre d’autres organisations de part le monde.

Un sous-traitant compromis et deux groupes en parallèle

L’alerte ne vient pas d’un poste de travail classique, mais d’un compte de service. Fin mai 2025, le centre opérationnel de sécurité de Solar, le JSOC, observe des commandes inhabituelles exécutées sur l’infrastructure d’un opérateur de télécommunications. Les opérations suspectes transitent par un compte technique, administré par un sous-traitant informatique. Autrement dit, l’attaque s’appuie sur un maillon tiers, intégré au cœur des processus de l’opérateur.

Lorsque les spécialistes rejoignent l’enquête, le scénario se complexifie rapidement. Ils ne découvrent pas un acteur isolé, mais deux groupes distincts présents simultanément dans le réseau du prestataire. Le premier, Snowy Mogwai, est décrit comme une équipe d’espionnage informatique asiatique déjà connue. Le second, NGC5081, apparaît comme un groupe beaucoup moins documenté, mais manifestement capable d’opérer au même niveau.

Les deux équipes partagent le même intérêt stratégique. Leur cible n’est pas le sous-traitant pour lui-même, mais les données gérées par l’opérateur de télécommunications. En compromettant l’entreprise de services informatiques, elles obtiennent un accès indirect mais privilégié aux ressources de l’opérateur, notamment aux bases d’abonnés et aux informations relatives aux appels. Cette configuration illustre un schéma désormais classique dans les opérations d’espionnage numérique : frapper l’écosystème pour approcher la cible finale.

Le fait que Snowy Mogwai et NGC5081 agissent en parallèle dans le même environnement montre aussi que la brèche n’est pas un incident opportuniste isolé. La coexistence de deux groupes dans un périmètre aussi sensible indique un intérêt durable pour les données de télécommunications et suggère que ce segment d’infrastructure est surveillé et testé par plusieurs acteurs en quête d’accès pérennes.

Pour les équipes de réponse à incident, cette superposition complique l’attribution et la remédiation. Chaque groupe dispose de ses propres outils, de ses techniques et de ses objectifs opérationnels. Il faut distinguer les traces, séparer les chaînes d’attaque, comprendre ce qui relève de Snowy Mogwai et ce qui appartient à NGC5081. C’est dans cet enchevêtrement que la nouvelle porte dérobée IDFKA est mise en lumière.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes exploitables, priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

IDFKA, une porte dérobée écrite en Rust et pensée pour durer

NGC5081 ne se contente pas d’exploiter des outils existants. Le groupe déploie deux implants de contrôle à distance, Asian Tinyshell et IDFKA. Le premier est déjà connu, le second est inédit au moment de l’intervention. L’existence d’IDFKA est révélée précisément lors des opérations de réponse à incident chez le sous-traitant, preuve que l’outil était conçu pour rester discret, voire invisible, tant qu’aucune analyse approfondie n’était menée.

IDFKA se présente comme un service légitime. Cette approche permet de s’imbriquer dans l’infrastructure sans déclencher immédiatement de suspicion. En empruntant l’apparence et les comportements d’un composant attendu du système, la backdoor se dissimule au milieu du bruit de fond habituel des services techniques. Pour les équipes de défense, cela complique la détection, qui doit s’appuyer sur des signaux faibles plutôt que sur des anomalies grossières.

La référence choisie par les développeurs n’a rien d’anodin. Le nom IDFKA évoque le célèbre code de triche IDKFA du jeu Doom, qui offrait au joueur toutes les armes et toutes les clés. L’analogie est transparente : dans l’environnement de l’opérateur, la porte dérobée vise à donner aux attaquants un accès total, à la fois aux systèmes, aux mouvements latéraux et aux données recherchées. L’outil devient une clé universelle, forgée sur mesure pour cette opération d’espionnage.

IDFKA a été développé de bout en bout par les attaquants. Cet effort de conception complète révèle un niveau de compétence élevé et une volonté de disposer d’un arsenal propriétaire, non immédiatement détectable par les signatures classiques. Le choix du langage Rust renforce cette orientation. Ce langage moderne, plus rare dans les malwares traditionnels, rend l’analyse inverse plus complexe pour de nombreuses équipes de sécurité, habituées à des implants écrits dans des langages plus répandus.

Sur le plan réseau, IDFKA ne se contente pas d’employer des protocoles ou des canaux standard. La backdoor utilise un protocole propriétaire de couche 4 sur IP, ce qui permet de rendre son trafic beaucoup moins évident pour les systèmes de surveillance. Plutôt que de se cacher derrière un protocole chiffré connu, la porte dérobée emprunte une voie moins balisée, où les outils de détection automatisée disposent de moins de repères. Cette architecture renforce sa capacité à rester en place, même dans un environnement surveillé.

Les capacités opérationnelles décrites couvrent l’ensemble du cycle d’une intrusion furtive. IDFKA permet d’exercer un contrôle à distance sur les systèmes du sous-traitant, d’assurer des déplacements latéraux au sein du réseau et de conduire une analyse approfondie de l’infrastructure. Autrement dit, la backdoor n’est pas un simple point d’appui technique, mais un véritable poste de pilotage, qui offre aux attaquants une vue d’ensemble et des leviers d’action multiples dans l’environnement compromis.

Cette backdoor a permis aux attaquants de rester infiltrés pendant au moins dix mois dans l’infrastructure du prestataire. Cette durée est directement tirée de l’analyse de l’incident, qui relie la présence d’IDFKA à des activités observées sur une période prolongée. Dix mois de présence signifient que les attaquants ont disposé du temps nécessaire pour cartographier les systèmes, affiner leurs accès et calibrer leurs actions de manière discrète, loin d’une logique d’attaque brutale.

Pilotage à distance, données d’abonnés et menace persistante

Avec IDFKA solidement ancrée dans le réseau du sous-traitant, les attaquants ont pu atteindre ce qui constitue le cœur informationnel d’un opérateur de télécommunications : les bases de données d’abonnés et les informations d’appels. Les spécialistes indiquent que ces éléments ont pu être téléchargés depuis l’infrastructure compromise. En d’autres termes, les systèmes permettant l’extraction et le transit de ces données ont été sous contrôle adverse.

Les experts n’ont pas trouvé de preuve directe de vol, mais considèrent que les données sont très probablement tombées entre les mains des attaquants. Cette conclusion repose sur un enchaînement logique : d’une part, la backdoor donne un accès durable et profond aux systèmes où ces informations sont stockées ou manipulées ; d’autre part, les attaquants ont mis en place les moyens techniques de télécharger ces éléments. L’absence de preuve explicite d’exfiltration ne suffit donc pas à écarter le scénario, car les traces peuvent être limitées ou volontairement effacées.

Pour les métiers du renseignement et de la cyberdéfense, la valeur de ces données est évidente. Les bases d’abonnés offrent une vision détaillée des identités, des coordonnées et des structures de clientèle d’un opérateur. Les informations d’appels, même sans contenu des conversations, permettent de reconstituer des graphes de communication, des habitudes de contact et des schémas de relation. Dans un cadre d’espionnage, ce type de visibilité ouvre la voie à la surveillance ciblée, au profilage et à la préparation d’opérations ultérieures.

L’un des éléments les plus préoccupants mis en avant concerne la situation actuelle d’IDFKA. Malgré la découverte de l’implant et l’enquête menée sur l’incident, l’infrastructure de commande et de contrôle de la backdoor demeure active. Autrement dit, les serveurs et mécanismes permettant de piloter IDFKA n’ont pas disparu, ce qui signifie que l’outil reste à la disposition des attaquants pour de futures campagnes.

Cette persistance transforme l’affaire étudiée au SOC Forum 2025 en cas d’école. IDFKA n’est pas seulement le vestige d’une opération passée contre un sous-traitant spécifique, mais un composant réutilisable, prêt à être redéployé contre d’autres organisations, notamment russes. Toute entreprise partageant une architecture ou une chaîne de sous-traitance comparable peut, par analogie, se retrouver exposée aux mêmes méthodes et au même outillage.

Pour les opérateurs de télécommunications, le message est clair. La surface d’attaque ne se limite plus aux frontières directes de leurs systèmes. Elle inclut l’ensemble des prestataires techniques capables d’exécuter des commandes, d’administrer des comptes de service ou de manipuler des données sensibles. Dans ce contexte, un compte géré par un sous-traitant devient un point d’entrée de choix pour des groupes d’espionnage structurés, capables de maintenir une présence discrète pendant des mois.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
LinkedIn
GNews
Autres

L’enquête montre aussi que la dynamique d’attaque ne repose plus sur un seul adversaire. La présence parallèle de Snowy Mogwai et NGC5081 rappelle que les environnements critiques peuvent intéresser plusieurs groupes, simultanément ou successivement. Chacun peut apporter ses propres outils, dont certains, comme IDFKA, sont développés sur mesure pour contourner des dispositifs de défense déjà connus. [Blog original / En russe / Restriction d’accés]

Android, backdoor, Cybersécurité, Espionnage Spy, Smartphone

Smartphone : un technique d’espionnage des Galaxy découverte

Un logiciel espion Android nommé Landfall a infecté discrètement des Galaxy depuis juillet 2024 via une faille zero-click. Samsung a corrigé la vulnérabilité en avril 2025.

Unit 42 de Palo Alto Networks a analysé Landfall, un implant Android capable d’infecter des Samsung Galaxy sans interaction utilisateur, en exploitant la CVE-2025-21042. Les attaques, actives depuis juillet 2024 et colmatées par Samsung en avril 2025, ciblent des individus précis plutôt qu’un déploiement massif. Landfall exfiltre photos, messages, contacts et appels, peut activer le micro et suivre la géolocalisation. Des échantillons soumis à VirusTotal proviennent du Maroc, d’Iran, d’Irak et de Turquie. L’infrastructure présente des similarités avec le projet Stealth Falcon, sans preuve d’attribution formelle. Les modèles S22, S23, S24 et certains Z sont explicitement référencés; Android 13 à 15 sont concernés potentiellement.

Une attaque zero-click et des victimes ciblées

Unit 42 décrit Landfall comme un implant exploiting une vulnérabilité zero-day dans le composant Galaxy, identifié sous la référence CVE-2025-21042. L’exploit repose sur l’envoi d’une image spécialement conçue. La victime n’a pas besoin d’ouvrir le fichier ni de cliquer sur un lien. L’exécution se produit de manière silencieuse à la réception du contenu. Selon les éléments partagés, Samsung n’avait pas conscience de cette exploitation avant d’appliquer un correctif en avril 2025. Les traces d’opérations remontent à juillet 2024, ce qui indique une fenêtre d’exploitation prolongée. Itai Cohen, chercheur cité par Unit 42, précise que la campagne semble axée sur des objectifs particuliers. Le mode opératoire, la sélection restreinte des cibles et la dispersion géographique des échantillons laissent penser à une logique de cyber-reconnaissance plutôt qu’à une opération de masse.

Landfall, à l’instar d’autres outils d’espionnage gouvernementaux, offre un large accès aux données du terminal. Les capacités rapportées comprennent la collecte de photos, de messages, de contacts et d’historique d’appels. L’implant peut également activer le microphone pour écouter l’environnement et suivre la position GPS. Ces fonctionnalités autorisent une observation prolongée et discrète d’une cible et la collecte de preuves audio, photo et de trafic téléphonique. Unit 42 précise que le code contient des références explicites à cinq modèles Galaxy, incluant les gammes S22, S23, S24 et certains modèles Z. Les versions d’Android mentionnées comme potentiellement affectées s’échelonnent d’Android 13 à Android 15, ce qui élargit la population de terminaux vulnérables avant la correction.

Pistes d’infrastructure et rapprochements opérationnels

L’analyse de l’infrastructure utilisée par les opérateurs révèle des recoupements notables. Certains éléments d’architecture et des patterns de déploiement présentent des similarités avec Stealth Falcon, un projet d’espionnage connu pour cibler journalistes et militants aux Émirats arabes unis. Toutefois, Unit 42 souligne l’absence de preuve formelle reliant Landfall à cet acteur spécifique. Des échantillons de l’implant ont été envoyés à VirusTotal par des utilisateurs situés au Maroc, en Iran, en Irak et en Turquie. L’équipe d’intervention turque USOM a identifié une adresse IP associée à Landfall comme malveillante, corroborant des infections probables en Turquie. Ces éléments géographiques et techniques permettent d’établir des hypothèses de ciblage régional mais n’autorisent pas une attribution définitive sans davantage de preuves opérationnelles et d’améliorations de la traçabilité des infrastructures.

Landfall illustre la menace majeure que représentent les exploits zero-click sur mobiles. L’absence d’action de l’utilisateur comme condition d’infection abaisse significativement la barrière d’entrée pour un espionnage discret et durable. Les caractéristiques de ciblage rapportées orientent l’analyse vers des opérations de renseignement numérique plutôt que vers du cybercrime opportuniste. Samsung a corrigé la faille en avril 2025 ; néanmoins, la fenêtre d’exploitation entre juillet 2024 et la mise à jour souligne l’importance d’une détection proactive, d’un durcissement des composants sensibles et d’une réponse coordonnée entre fabricants, CERT et communautés de chercheurs. À noter, selon les éléments fournis, aucune déclaration publique officielle de Samsung sur ces résultats n’a été rapportée au moment de la rédaction.

Une histoire diffusée sur Zataz signale qu’une faille zero-click dans WhatsApp a été exploitée pour installer un autre spyware appelé Graphite. Cette autre affaire illustre une tendance : l’exploitation de vecteurs zero-click dans des applications et composants de masse pour implanter des outils d’espionnage. La cooccurrence de vulnérabilités zero-click ciblant à la fois la couche système (Galaxy) et des applications de messagerie montre que les acteurs malveillants privilégient des vecteurs silencieux et à fort potentiel d’accès aux données. Cette convergence justifie une vigilance accrue autour des correctifs, des mécanismes de détection et de la sensibilisation des opérateurs nationaux de réponse aux incidents.

La persistance de campagnes zero-click soulève une question cruciale : comment renforcer, au-delà des correctifs ponctuels, la résilience des écosystèmes mobiles face à des implantations invisibles et ciblées ?

Cybersécurité, Espionnage Spy, IA, IOT, Securite informatique

L’Inde accélère sa stratégie cyber autour du CERT-In

Porté par le CERT-In, le secteur indien de la cybersécurité devient un pilier économique majeur, combinant innovation, coopération internationale et défense numérique proactive.

L’Inde affirme sa position mondiale en cybersécurité grâce au CERT-In, l’agence nationale de réponse aux incidents informatiques. Selon son directeur, le Dr Sanjay Bahl, l’écosystème indien pèse désormais 20 milliards de dollars (18,5 milliards d’euros), soutenu par 400 start-ups et 650 000 professionnels. Face à la hausse des ransomwares et des menaces alimentées par l’intelligence artificielle, l’agence mise sur l’automatisation, la formation et la coopération internationale. Le ministère de l’Électronique et des Technologies de l’information (MeitY) voit dans cette approche une clé pour bâtir une Inde numérique sûre et résiliente.

NE MANQUEZ PAS NOTRE NEWS LETTER (CHAQUE SAMEDI). INSCRIPTION

Start-ups et compétences : le moteur de la croissance

L’écosystème cyber indien s’impose comme un acteur mondial, stimulé par un réseau dense de jeunes entreprises. Plus de 400 start-ups développent aujourd’hui des solutions d’analyse forensique, de détection des menaces et de surveillance assistée par IA. Leur croissance reflète l’essor d’un marché estimé à 20 milliards de dollars (18,5 milliards d’euros).

Près de 650 000 professionnels travaillent dans la sécurité numérique, couvrant des domaines allant de l’audit à la réponse aux incidents. Selon le Dr Bahl, cette main-d’œuvre qualifiée contribue à la résilience nationale face aux cyberattaques. L’Inde, longtemps concentrée sur l’externalisation informatique, se repositionne désormais comme un fournisseur de technologies de défense numérique à haute valeur ajoutée.

Ce développement repose sur la convergence entre innovation locale et expertise publique. Les start-ups bénéficient d’un environnement réglementaire favorable et de partenariats stratégiques avec les ministères techniques. Cette synergie accélère la modernisation des infrastructures critiques et renforce la sécurité des réseaux publics et privés.

Le CERT-In, pivot de la cyberdéfense nationale

Créé sous l’autorité du ministère de l’Électronique et des Technologies de l’information, le CERT-In joue un rôle central dans la détection et la gestion des incidents. Il coordonne les réponses entre secteurs publics et privés, évalue les vulnérabilités et assure la diffusion rapide d’alertes. Le Dr Bahl décrit l’intelligence artificielle comme une « arme à double tranchant », capable d’améliorer la défense tout en offrant de nouveaux outils aux cybercriminels. Pour contrer cet effet miroir, le CERT-In intègre des algorithmes d’apprentissage automatique dans ses systèmes de surveillance afin de détecter les anomalies et d’automatiser les contre-mesures.

En 2024, l’agence a recensé 147 attaques par ransomware. Nombre d’entre elles ont été contenues grâce à la coordination et au partage d’informations en temps réel. Le CERT-In organise également des exercices de simulation de crise et soutient les enquêtes forensiques menées par les forces de l’ordre.

Cette stratégie s’appuie sur un modèle de résilience active : anticipation, réponse rapide et apprentissage post-incident. Elle positionne le CERT-In comme un point de convergence entre cybersécurité opérationnelle et diplomatie technologique.

Un modèle collaboratif au service de la résilience nationale

L’approche du CERT-In illustre une politique cyber fondée sur la coopération. Le modèle réunit agences publiques, entreprises privées, universités et partenaires étrangers. Ce maillage institutionnel, piloté par le MeitY, renforce la souveraineté numérique indienne tout en facilitant les échanges d’expertise avec les pays alliés.

La cybersécurité n’est plus perçue comme un simple enjeu technique mais comme une composante essentielle de la politique de sécurité nationale. La sensibilisation des utilisateurs, la formation des ingénieurs et l’innovation locale sont intégrées dans la stratégie globale de développement.

VEILLE ZATAZ : NOUS RECHERCHONS VOS DONNÉES PIRATÉES. DÉCOUVRIR

Toutefois, les menaces évoluent plus vite que les défenses. Les attaquants exploitent l’IA, les deepfakes et les outils automatisés pour cibler entreprises et administrations. Le CERT-In constate une augmentation des identifiants falsifiés et des campagnes d’hameçonnage sophistiquées. Le Dr Bahl insiste sur le facteur humain : la technologie seule ne suffit pas. Les capacités humaines, la veille et la coopération internationale restent indispensables pour maintenir la résilience du pays. Le MeitY continue de miser sur la régulation agile et la montée en compétence pour contrer des adversaires toujours plus inventifs.

L’Inde consolide son statut d’acteur majeur de la cybersécurité mondiale, alliant puissance technologique et coordination stratégique. Reste à savoir si cette dynamique permettra au pays d’anticiper les menaces émergentes dans un cyberespace de plus en plus instable.

Cybersécurité, Espionnage Spy, Justice

PowerSchool : un pirate de 19 ans condamné à quatre ans de prison

Un jeune Américain a été condamné à quatre ans de prison pour avoir piraté PowerSchool et tenté d’extorquer plusieurs millions de dollars à l’éditeur de logiciels éducatifs.

L’affaire PowerSchool marque l’une des plus vastes fuites de données du secteur éducatif américain. Un étudiant de 19 ans, originaire du Massachusetts, a compromis les informations personnelles de plus de 70 millions d’utilisateurs avant de réclamer une rançon de 2,9 millions $. Le tribunal fédéral l’a condamné à quatre ans d’emprisonnement, assortis d’une amende de 25 000 $ et d’une restitution de près de 14 millions $ (13 millions d’euros €). Ce piratage, d’une ampleur inédite, relance la question de la sécurité des données scolaires et des défaillances de la chaîne numérique éducative.

Une attaque d’ampleur contre l’écosystème éducatif

Matthew Lane, 19 ans, a reconnu avoir infiltré les serveurs de PowerSchool en décembre 2024 à l’aide d’identifiants volés auprès d’un prestataire de maintenance. Les enquêteurs fédéraux ont établi qu’il avait exfiltré des bases de données contenant des informations nominatives, des numéros de sécurité sociale et des dossiers médicaux concernant plus de 60 millions d’élèves et 9 millions d’enseignants. Ces données concernaient notamment le statut d’éducation spécialisée et certaines conditions médicales, rendant la fuite particulièrement sensible.

Lane a ensuite exigé le paiement de 2,9 millions $ (2,7 millions €) en cryptomonnaie pour ne pas divulguer les informations. L’entreprise a refusé de céder au chantage, mais a dû engager des frais considérables pour sécuriser ses systèmes et offrir des services de surveillance d’identité aux victimes. Selon les documents judiciaires, le coût total du piratage s’élève à plus de 14 millions $ (13 Millions €).

L’affaire a été rendue publique en janvier 2025, après la découverte de la fuite sur un forum fréquenté par des groupes de rançongiciel. Le FBI a rapidement identifié le pirate grâce aux traces laissées lors des transactions et à l’exploitation d’un portefeuille de cryptomonnaie lié à d’autres intrusions plus anciennes. Les procureurs ont décrit un individu « motivé par l’appât du gain » et disposant d’un « long historique d’activités informatiques illégales ».

Une sanction exemplaire mais mesurée

Le juge fédéral Margaret Guzman a prononcé une peine de quatre ans de prison et trois ans de surveillance d’aprés incarcération. Les procureurs demandaient sept ans d’emprisonnement, estimant que l’ampleur du préjudice justifiait une sanction plus sévère. Le tribunal a retenu la coopération de Lane et son absence de casier judiciaire comme circonstances atténuantes.

La condamnation comprend également une amende de 25 000 $ et une restitution de 14 millions $ (≈13 M €) correspondant au coût des réparations et aux compensations versées par PowerSchool. Ce montant, jugé symbolique par les victimes, illustre néanmoins la prise de conscience judiciaire face à la gravité croissante des attaques contre les infrastructures éducatives.

Du point de vue du renseignement, l’affaire met en lumière la vulnérabilité des systèmes d’information du secteur public et parapublic. Les établissements scolaires dépendent d’un écosystème de fournisseurs souvent sous-dimensionnés en matière de cybersécurité. L’exploitation d’un simple compte de prestataire a suffi à compromettre des millions de profils sensibles.

Un signal d’alerte pour la cybersécurité éducative

Le piratage PowerSchool agit comme un électrochoc pour le monde de l’ed-tech. Il démontre qu’un acteur isolé peut, avec des outils accessibles sur le web, compromettre un système national. Cet incident pourrait entraîner un renforcement des obligations de sécurité imposées aux éditeurs de logiciels éducatifs, notamment en matière de chiffrement, de segmentation réseau et de gestion des accès à privilèges.

Les données volées, très détaillées, possèdent une valeur durable sur les marchés clandestins. Contrairement à des identifiants bancaires, elles ne peuvent être facilement révoquées. Leur utilisation future à des fins de fraude ou de chantage individuel reste donc une menace. Certains États envisagent désormais de réduire la durée de conservation des dossiers scolaires et d’imposer des audits réguliers aux opérateurs privés.

Sur le plan stratégique, les services américains de renseignement économique s’inquiètent d’une possible revente de ces données à des acteurs étrangers intéressés par les profils médicaux et comportementaux d’élèves. Le lien entre espionnage de données civiles et collecte de renseignement de masse s’affirme chaque année davantage, notamment dans le champ éducatif où les plateformes concentrent une masse d’informations rarement protégée selon les standards militaires ou financiers.

Une faille révélatrice d’un écosystème fragile

Le cas PowerSchool rappelle que la chaîne d’approvisionnement logicielle demeure un point de vulnérabilité critique. Les fournisseurs intermédiaires, souvent peu surveillés, deviennent les cibles privilégiées des cybercriminels. L’incident a mis en évidence l’absence de supervision centralisée de la sécurité numérique dans l’enseignement primaire et secondaire aux États-Unis, où chaque district scolaire choisit ses propres prestataires.

Pour PowerSchool, coté en bourse et présent dans plus de 90 pays, la crise a également un coût réputationnel majeur. Le groupe a dû notifier l’ensemble de ses clients, renforcer ses protocoles d’accès et collaborer avec le FBI et la CISA (Cybersecurity and Infrastructure Security Agency). La société a déclaré avoir « pris toutes les mesures nécessaires pour prévenir toute récidive », mais l’impact sur la confiance des établissements reste considérable.

Les experts estiment que cette attaque pourrait accélérer la normalisation des pratiques de cybersécurité dans l’éducation, à l’image de ce qui existe déjà dans la santé ou la finance. Toutefois, le cas Lane démontre qu’une faille humaine — ici l’exploitation d’un compte de prestataire — peut suffire à anéantir des systèmes théoriquement conformes aux standards de sécurité.

L’affaire PowerSchool illustre une réalité inquiétante : le secteur éducatif, souvent sous-protégé, est devenu une cible stratégique pour les cybercriminels. Entre rançon, fuite de données et espionnage potentiel, les institutions scolaires devront désormais aborder la cybersécurité comme une composante essentielle de leur mission publique. Jusqu’où faudra-t-il aller pour que les données des élèves soient considérées avec la même rigueur que celles des contribuables ou des patients ?

Sources
– Reuters, Massachusetts man behind PowerSchool hacking gets 4 years in prison, 14 octobre 2025 : https://www.reuters.com/legal/government/massachusetts-man-behind-powerschool-hacking-gets-4-years-prison-2025-10-14/

backdoor, Cybersécurité, Entreprise, Espionnage Spy, Securite informatique

Alerte maximale : CISA redoute une exploitation massive du code source volé de F5

Une cyberattaque d’ampleur contre F5 a conduit l’agence américaine CISA à ordonner en urgence la mise à jour de tous les systèmes fédéraux vulnérables.

L’agence de cybersécurité américaine (CISA) alerte sur une menace majeure visant les réseaux fédéraux après le vol du code source et de failles non divulguées de F5 par un acteur étatique. Le gouvernement a publié une directive d’urgence obligeant toutes les agences civiles à mettre à jour leurs produits F5 d’ici le 22 octobre, afin de prévenir tout risque de compromission systémique.

Un vol stratégique du cœur technologique de F5

Le 9 août, F5 a découvert une intrusion prolongée et discrète dans ses environnements de développement, selon un rapport déposé à la SEC. L’entreprise, épaulée par CrowdStrike, Mandiant et les autorités fédérales, a confirmé que l’assaillant avait accédé au code source de sa suite BIG-IP — technologie clé utilisée pour le routage, la sécurité applicative et la gestion des accès dans les infrastructures critiques. Des informations sur des vulnérabilités encore non corrigées ont également été exfiltrées.
CISA estime que cet accès offre à l’attaquant un avantage technique majeur, lui permettant d’analyser en profondeur le code, d’identifier de nouvelles failles et de créer des exploits ciblés. L’agence craint que ces outils ne servent à s’infiltrer dans les réseaux fédéraux, voler des données sensibles et maintenir un accès persistant.

Une directive d’urgence face à un risque systémique

L’ordre fédéral impose la mise à jour immédiate de tous les équipements et logiciels F5 — physiques ou virtuels — avant le 22 octobre, et un rapport d’audit complet avant le 29. Les produits concernés incluent BIG-IP, F5OS, BIG-IP Next for Kubernetes, BIG-IQ et les clients APM.

Nick Andersen, directeur exécutif adjoint de la cybersécurité à CISA, a précisé qu’aucune compromission confirmée n’a été détectée dans les agences fédérales à ce jour, mais que des milliers d’appareils F5 sont déployés sur les réseaux gouvernementaux. L’agence prévoit des réunions d’information avec les entités locales, étatiques et privées.
Madhu Gottumukkala, directeur par intérim de CISA, a averti que la simplicité d’exploitation des failles volées « impose une action immédiate et décisive ». L’agence recommande également au secteur privé d’appliquer sans délai les correctifs, évoquant un risque de compromission « catastrophique » pour les systèmes critiques.

Une brèche surveillée, mais un adversaire inconnu

F5 affirme avoir évincé les intrus, réinitialisé ses identifiants et renforcé la supervision de ses environnements. Aucun signe de modification du code source ni de la chaîne d’approvisionnement logicielle n’a été observé, selon les validations indépendantes de NCC Group et IOActive.

L’entreprise indique ne pas connaître l’identité de l’acteur étatique responsable, mais plusieurs experts pointent des précédents impliquant des groupes affiliés à la Chine. En 2023, Mandiant avait déjà révélé que des sous-traitants du ministère chinois de la Sécurité d’État exploitaient une faille critique (CVE-2023-46747) affectant BIG-IP.

F5 a également confirmé que certains fichiers volés contenaient des informations techniques relatives à un faible pourcentage de clients. L’entreprise s’engage à notifier directement les clients concernés et à offrir à tous ses utilisateurs un abonnement gratuit au logiciel de détection Falcon EDR de CrowdStrike.

Cette attaque contre F5 illustre la vulnérabilité croissante des chaînes logicielles stratégiques. Si le vol de code source devient un levier d’espionnage à long terme, quelles contre-mesures structurelles peuvent encore garantir l’intégrité des systèmes fédéraux et industriels ?

Sources

Cybersécurité, Entreprise, Espionnage Spy, Fuite de données, Propriété Industrielle, Securite informatique

F5 victime d’une compromission attribuée à un acteur étatique

Un acteur lié à un État a infiltré durablement le réseau de F5 et dérobé le code source ainsi que des données de vulnérabilités de BIG-IP, exposant des risques majeurs pour la chaîne d’approvisionnement numérique mondiale.

F5, éditeur américain de solutions réseau BIG-IP, a révélé une compromission prolongée par un acteur gouvernemental sophistiqué. L’attaquant aurait accédé aux serveurs internes responsables de la création et de la distribution des mises à jour logicielles, exfiltrant du code source et des informations sur des failles non publiées. Cette intrusion, détectée le 9 août, fait peser un risque critique de compromission de la chaîne d’approvisionnement pour des milliers d’entreprises et d’agences publiques qui utilisent BIG-IP. F5 a publié 44 correctifs et fait appel à IOActive, NCC Group, Mandiant et CrowdStrike pour enquêter. Les autorités américaines et britanniques ont depuis appelé à l’application urgente des mises à jour.

Comment l’intrusion s’est déroulée

F5, basée à Seattle, a confirmé qu’un groupe agissant pour le compte d’un gouvernement non nommé avait maintenu un accès persistant à son réseau interne pendant une période prolongée. L’intrusion, découverte le 9 août puis révélée publiquement, a montré que les assaillants avaient atteint le segment critique chargé de compiler et distribuer les mises à jour de BIG-IP.

Ce périmètre de build et de diffusion représente le pivot logique d’une attaque sur la chaîne d’approvisionnement : il signe, emballe et pousse le code vers des dizaines de milliers d’appareils déployés. Les serveurs concernés, situés à la périphérie des réseaux clients, gèrent l’équilibrage de charge et assurent le rôle de pare-feu applicatif, en inspectant et chiffrant le trafic.

F5 précise que des fragments du code source de BIG-IP ont été exfiltrés. Parallèlement, les assaillants ont dérobé des informations sur des vulnérabilités découvertes par F5 mais non encore corrigées ni rendues publiques, ainsi que certains paramètres de configuration client. Ce trio d’éléments — code source, failles non divulguées et configurations — réduit considérablement le temps et les ressources nécessaires pour concevoir des attaques ciblées et échapper à la détection.

L’entreprise souligne que la compromission concernait spécifiquement l’infrastructure liée à la distribution logicielle. Si l’enquête n’a pas montré de modification du code déployé ni d’altération du processus de signature, la fuite de ce matériel sensible constitue une escalade notable du risque de compromission en cascade. En d’autres termes, un acteur doté du code et des vulnérabilités internes pourrait théoriquement produire des mises à jour falsifiées ou des attaques exploitant directement les points faibles des clients.

⚠️ Êtes-vous une proie facile ?⚠️  ️

Scanner de menaces ZATAZ -> identifiez vos expositions avant l’attaque✅ Scanner mes risques
Confidentiel • Instantané • Sécurisé • 100 % Made in France

Portée et impact technique

Les équipements BIG-IP sont présents dans 48 des 50 plus grandes entreprises mondiales. Ces appliances, situées à l’entrée du réseau, inspectent tout le trafic entrant et sortant, gèrent le chiffrement TLS et appliquent les politiques d’accès. Dans de nombreux cas, elles détiennent aussi des identifiants administratifs privilégiés et des configurations adaptées à l’architecture interne des organisations.

La fuite de ces paramètres offre à un attaquant une cartographie détaillée de cibles potentielles. Elle révèle les chemins techniques menant aux systèmes les plus sensibles situés derrière le pare-feu applicatif.

À la suite de l’incident, F5 a publié 44 correctifs. Selon l’entreprise, ces vulnérabilités étaient accessibles à l’assaillant depuis au moins août, date de détection de l’intrusion. Aucune preuve n’indique que ces failles aient été exploitées avant leur correction.

Pour confirmer cette évaluation, F5 a mandaté plusieurs sociétés spécialisées : IOActive et NCC Group ont audité les composants accessibles depuis l’extérieur et n’ont trouvé aucune faille critique non corrigée ; Mandiant et CrowdStrike ont mené des analyses forensiques internes et conclu qu’aucune donnée financière ou client n’avait été volée.

Cependant, le maintien d’un accès furtif sur une longue période, dans une infrastructure connectée à la quasi-totalité des grands réseaux mondiaux, laisse ouverte la possibilité d’opérations ultérieures ciblées. D’un point de vue technique, la possession du code source et de données de vulnérabilités accélère la production d’exploits : les flux de contrôle, la logique de validation et la gestion cryptographique deviennent visibles pour l’attaquant.

L’association avec des configurations réelles d’entreprises réduit encore l’incertitude opérationnelle. Ensemble, ces éléments offrent à un acteur étatique les moyens de conduire une attaque de chaîne logistique à large échelle, potentiellement contre des infrastructures publiques critiques. L’enjeu dépasse F5 : les équipements BIG-IP se trouvent au cœur des architectures réseau de la majorité des grandes organisations américaines et britanniques, avec des implications directes pour la sécurité nationale et économique.

Réponses, atténuation et risques persistants

F5 affirme avoir immédiatement pris des mesures correctives. L’entreprise a diffusé des mises à jour couvrant l’ensemble des failles découvertes et a collaboré avec les autorités compétentes. Les investigations externes n’ont révélé ni altération du processus de build, ni signe d’exploitation active du matériel volé.

Malgré cela, les centres nationaux de cybersécurité américains (CISA) et britanniques (NCSC) ont diffusé des alertes officielles. Ils demandent à toutes les administrations et entreprises d’inventorier leurs équipements BIG-IP et d’appliquer sans délai les mises à jour de sécurité. Les recommandations s’étendent au secteur privé, notamment dans les télécoms, la finance et les infrastructures critiques.

Ces consignes reposent sur un principe de précaution : un adversaire disposant des vulnérabilités et des configurations peut préparer des attaques ciblées à long terme. Le déploiement de correctifs réduit le risque immédiat, mais ne garantit pas l’absence de mécanismes d’accès persistants.

F5 reconnaît les limites d’une détection a posteriori. Dans des environnements complexes, il est difficile de prouver qu’aucune modification invisible ne subsiste. Cette incertitude pèse désormais sur les clients : ils doivent considérer la compromission comme un risque systémique et renforcer leur surveillance.

Les administrateurs sont invités à recenser les appliances BIG-IP installées, vérifier leurs versions logicielles et examiner les journaux d’accès pour détecter toute activité anormale. Un suivi spécifique du trafic sortant depuis ces dispositifs peut permettre d’identifier d’éventuelles communications non autorisées.

D’un point de vue renseignement, cette opération illustre la stratégie des acteurs étatiques : pénétrer la chaîne d’approvisionnement pour obtenir un effet démultiplié. En compromettant un fournisseur central, ils acquièrent un levier stratégique sur l’ensemble de ses clients. Même sans exploitation avérée, la simple possession du code et des vulnérabilités internes permet une planification offensive à grande échelle.

Les implications dépassent la sphère technique. Elles soulèvent des questions de souveraineté numérique et de dépendance vis-à-vis d’équipements étrangers au cœur des infrastructures critiques. Les autorités devront examiner comment renforcer la résilience des chaînes logicielles et instaurer des audits continus de sécurité au niveau des fournisseurs.

L’incident documenté par F5 illustre un scénario typique d’attaque de la chaîne d’approvisionnement : un accès persistant au cœur du processus de développement permet de dérober du code et des informations exploitables contre des milliers de réseaux.

Malgré l’absence d’exploitation confirmée, le risque demeure tangible : les matériaux volés peuvent faciliter des intrusions différées, difficilement détectables. La réaction de F5, entre communication rapide et audits indépendants, ne supprime pas la nécessité d’une vigilance accrue de la part des clients et des États.

Pour les opérateurs, la priorité reste claire : localiser les dispositifs BIG-IP, appliquer les correctifs et renforcer la surveillance en périphérie de réseau. Pour les équipes de renseignement et de réponse à incident, cette affaire rappelle qu’une compromission de fournisseur peut devenir une arme stratégique.

Comment les organisations concernées pourront-elles prouver l’absence de compromission secondaire chez leurs partenaires, maintenant que le code source et les données de configuration ont été exposés ?

Rejoignez nous sur les réseaux :

Newsletter
WhatsApp
Twitter/X
LinkedIn
YouTube
Google News
Aucun spam – Désinscription en un clic – Vie privée respectée
backdoor, Cybersécurité, Espionnage Spy, Justice

Caméras cachées : la CNIL inflige 100 000 € à La Samaritaine

La CNIL sanctionne La Samaritaine pour usage de caméras dissimulées dans ses réserves. Une affaire révélant les dérives technologiques en matière de surveillance interne et de protection des données.

 

Rejoignez ZATAZ sur les réseaux :

Newsletter
WhatsApp
Twitter/X
LinkedIn
YouTube
Google News
Aucun spam – Désinscription en un clic – Vie privée respectée

La Commission nationale de l’informatique et des libertés (CNIL) a infligé une amende de 100 000 € à La Samaritaine, grand magasin parisien, pour avoir utilisé des caméras cachées dans ses zones de stockage. L’autorité a estimé que ces dispositifs, dissimulés dans de faux détecteurs de fumée et capables d’enregistrer le son, violaient les règles du Règlement général sur la protection des données (RGPD). Les salariés n’avaient pas été informés de la surveillance, et aucune analyse d’impact n’avait été réalisée. Cette affaire illustre les tensions croissantes entre sécurité interne et respect des droits fondamentaux à l’ère numérique.

Une surveillance dissimulée dans les réserves du magasin

Le dossier commence par une découverte en apparence anodine. Dans les zones de stockage de La Samaritaine, rénovée et rouverte au public en 2021, des dispositifs de surveillance avaient été installés. Contrairement aux caméras classiques visibles à l’entrée ou dans les espaces de vente, celles-ci ne se repéraient pas. Elles étaient intégrées dans de faux boîtiers de détecteurs de fumée, positionnés au plafond. Leur apparence inoffensive masquait une capacité d’enregistrement vidéo et sonore.

Selon l’enquête de la CNIL, ces caméras avaient pour objectif de surveiller les flux de marchandises et les activités du personnel dans les réserves. L’enseigne n’avait toutefois pas pris les mesures nécessaires pour garantir la transparence de cette surveillance. Les salariés, directement concernés, n’avaient reçu aucune information préalable. Les visiteurs ou prestataires extérieurs qui pouvaient également pénétrer dans ces espaces n’étaient pas davantage avertis.

La CNIL a jugé que ce dispositif de surveillance constituait une atteinte au droit fondamental à la protection des données personnelles. Le caractère dissimulé des caméras accentuait la gravité de l’infraction.

 

⚠️ Êtes-vous une proie facile ?⚠️  ️

Scanner de menaces ZATAZ -> identifiez vos expositions avant l’attaque✅ Scanner mes risques
Confidentiel • Instantané • Sécurisé • 100 % Made in France

Des manquements multiples au RGPD

L’autorité de contrôle a identifié plusieurs manquements au Règlement général sur la protection des données. Le premier concerne l’absence de transparence. Toute installation de vidéosurveillance doit être signalée clairement aux personnes filmées, ce qui n’était pas le cas. Le deuxième point tient à l’absence d’analyse d’impact, pourtant obligatoire pour des dispositifs susceptibles de générer un risque élevé pour les droits et libertés des personnes. Une telle analyse aurait permis de mesurer les risques et de définir des mesures correctrices.

Le troisième manquement porte sur la proportionnalité. La CNIL estime que le recours à des caméras cachées ne peut être justifié que dans des cas exceptionnels, par exemple lors d’enquêtes ciblées et temporaires. Ici, le dispositif était permanent et concernait l’ensemble du personnel circulant dans les zones de réserve. Enfin, l’autorité a relevé un défaut de base légale, puisque le recours à ce type de surveillance ne pouvait être légitimé par une simple nécessité interne de sécurité ou de gestion.

Ces manquements cumulés ont conduit à une sanction pécuniaire significative. L’amende de 100 000 € reflète la volonté de la CNIL de rappeler aux entreprises que la vidéosurveillance, surtout lorsqu’elle est cachée, ne peut s’affranchir des règles européennes.

Un signal fort pour le monde du travail et la cybersurveillance

Au-delà de la sanction financière, l’affaire La Samaritaine envoie un signal clair. Dans le monde du travail, la surveillance technologique ne cesse de s’étendre. Capteurs, logiciels de suivi d’activité, géolocalisation : les dispositifs sont nombreux. L’installation de caméras cachées illustre une tendance inquiétante, où la frontière entre sécurité et intrusion se brouille.

La CNIL rappelle que la confiance au sein de l’entreprise repose sur la transparence. Le fait de cacher un dispositif de surveillance détruit ce principe et fragilise la relation employeur-salarié. Dans un contexte plus large, cette affaire résonne avec les enjeux de cybersurveillance. Les mêmes logiques de disproportion et d’opacité se retrouvent dans certains usages des technologies de suivi numérique.

En sanctionnant La Samaritaine, la CNIL veut montrer que les entreprises, même prestigieuses, doivent respecter les règles. La mise en conformité ne relève pas d’un simple formalisme administratif. Elle constitue une obligation légale et un garde-fou essentiel contre les abus.

Cette sanction pose une question clé : comment concilier les besoins de sécurité interne avec le respect strict des règles de transparence et de proportionnalité en matière de surveillance numérique ?

Rejoignez ZATAZ sur les réseaux :

Newsletter
WhatsApp
Twitter/X
LinkedIn
YouTube
Google News
Aucun spam – Désinscription en un clic – Vie privée respectée