DATA SECURITY BREACH

Le routeur domestique, nouvel enjeu de la guerre des accès

La décision de la FCC met en lumière une réalité connue du monde cyber : l’attaque passe souvent par les marges. Un routeur compromis permet non seulement d’observer le trafic, mais aussi de se fondre dans le décor, de conserver un accès durable et d’utiliser un réseau déjà légitime comme tremplin. C’est précisément ce que l’agence associe ici à plusieurs campagnes attribuées à des acteurs étatiques ou à des groupes offensifs.

Selon la décision de sécurité nationale, les opérateurs parrainés par un État derrière les attaques Salt Typhoon ont utilisé des routeurs étrangers compromis pour s’intégrer à certains réseaux, y maintenir un accès dans la durée et pivoter vers d’autres cibles. Cette description est importante. Elle souligne que la menace ne tient pas uniquement au sabotage ou au vol immédiat de données. Elle tient aussi à la persistance, à la discrétion et à la capacité de mouvement latéral, trois dimensions essentielles dans les opérations de renseignement.

La CISA, l’Agence de cybersécurité et de sécurité des infrastructures, a elle aussi qualifié les routeurs de « vecteur d’attaque de choix », rappelle la FCC, en citant un avis de septembre 2025. L’agence fédérale s’appuie également sur une évaluation conjointe publiée en septembre 2024 par le FBI, la Cyber National Mission Force et la National Security Agency. Ce document indiquait que des pirates avaient exploité des routeurs de fabrication étrangère pour constituer des botnets employés dans des activités malveillantes, notamment des attaques par déni de service distribué. La FCC mentionne encore une annonce de Microsoft, datée d’octobre 2024, selon laquelle des routeurs compromis fabriqués à l’étranger avaient été utilisés pour mener des attaques par pulvérisation de mots de passe contre ses clients.

TP-Link illustre choqué !

La réaction de TP-Link illustre l’onde de choc provoquée par cette décision. Dans un communiqué, l’entreprise, fondée en Chine et désormais basée en Californie, affirme que presque tous les routeurs sont fabriqués hors des États-Unis, y compris ceux d’entreprises américaines, et précise produire au Vietnam. Selon son porte-parole, l’ensemble du marché des routeurs pourrait être affecté par l’annonce de la FCC concernant les nouveaux appareils qui n’avaient pas encore été autorisés. La société dit néanmoins avoir confiance dans la sécurité de sa chaîne d’approvisionnement et se déclare favorable à cette évaluation sectorielle.

Le climat politique s’est encore tendu en février, lorsque le Texas a attaqué TP-Link Systems en justice, l’accusant d’avoir facilité le piratage d’appareils de consommateurs par le Parti communiste chinois tout en affirmant offrir un haut niveau de sécurité et de protection de la vie privée. Cette procédure ajoute une dimension contentieuse à un débat déjà dominé par les questions d’influence, d’ingérence et de dépendance technologique.

Un point mérite toutefois d’être relevé : les routeurs fabriqués aux États-Unis ne sont pas présentés comme immunisés. Le département de la Justice a indiqué en janvier 2024 que les acteurs de Volt Typhoon avaient utilisé des routeurs Cisco et Netgear arrivés en fin de support, donc privés de correctifs et de mises à jour. Autrement dit, l’origine industrielle ne résout pas à elle seule la vulnérabilité. Elle s’ajoute à un autre problème majeur, celui du cycle de vie, de la maintenance logicielle et de l’abandon de produits encore déployés sur le terrain.

En visant les routeurs étrangers, la FCC traite l’équipement domestique comme une surface de renseignement, preuve que la bataille cyber se joue désormais jusque dans les boîtiers les plus ordinaires des foyers.

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

Service de veille ZATAZ

Banque, Cybersécurité, Justice

Le Royaume-Uni frappe Xinbi, plaque tournante crypto

31 mars 2026 Damien Bancal

Londres vise Xinbi, une plateforme chinoise de cryptomonnaies accusée d’alimenter fraude industrielle, blanchiment et exploitation forcée, en ciblant cette fois l’infrastructure financière qui soutient les réseaux criminels.

Le Royaume-Uni a placé Xinbi sous sanctions au titre de son régime international de défense des droits humains. La plateforme d’échange en langue chinoise est accusée d’avoir facilité des escroqueries massives en ligne et d’avoir profité de centres frauduleux en Asie du Sud-Est. Il s’agit du premier État à frapper directement cette interface crypto, présentée comme un maillon central d’un écosystème mêlant fraude sentimentale, arnaques à l’investissement, blanchiment et commerce de données volées. L’enjeu dépasse une entreprise isolée. Londres cherche désormais à couper les flux, à perturber les circuits de paiement et à affaiblir la logistique financière qui permet à ces réseaux transnationaux de survivre.

Une sanction pensée pour casser l’ossature financière

La décision britannique ne vise pas seulement une plateforme de plus dans l’univers opaque des cryptomonnaies. Elle cherche un point de pression précis, celui qui permet à des réseaux criminels d’encaisser, de déplacer et de recycler l’argent issu d’escroqueries mondiales. Dans sa désignation officielle, le gouvernement britannique affirme que Xinbi a « permis et tiré profit du fonctionnement de centres d’escroquerie en Asie du Sud-Est ». L’accusation est lourde, car elle place la plateforme au croisement de la fraude numérique et des violations graves des droits fondamentaux.

Stephen Doughty, ministre britannique chargé de l’Europe, de l’Amérique du Nord et des Territoires d’outre-mer, a résumé l’objectif politique de cette mesure. « Nos sanctions d’aujourd’hui envoient un message clair : nous ne permettrons pas que les Britanniques soient victimes de ces escroqueries odieuses ni ne tolérerons les violations flagrantes des droits de l’homme perpétrées dans ces centres d’escroquerie », a-t-il déclaré. Puis il a ajouté : « Nous devons maintenir la pression sur l’argent sale et ceux qui en profitent. »

Le ministère britannique des Affaires étrangères précise que le traitement imposé aux personnes présentes dans ces centres constitue une violation grave du droit à ne pas subir de traitements cruels, inhumains ou dégradants, ainsi que du droit à ne pas être réduit en esclavage, maintenu en servitude ou forcé à travailler. Le cadrage est essentiel. Londres ne présente pas Xinbi comme un simple intermédiaire technique, mais comme une pièce utile à une économie criminelle appuyée sur la contrainte humaine.

Le rapport de Chainalysis renforce cette lecture. La société décrit Xinbi comme un « nœud clé » d’un écosystème crypto vaste et structuré. La plateforme aurait traité plus de 19,9 milliards de dollars entre 2021 et 2025, soit environ 18,3 milliards d’euros, estimation obtenue sur une base indicative de 1 dollar pour 0,92 euro. Elle aurait agi comme une place de marché sous séquestre, mettant en relation des vendeurs de services illicites. Autrement dit, il ne s’agirait pas seulement d’un canal de transaction, mais d’une infrastructure de confiance au service d’activités clandestines.

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

Service de veille ZATAZ

Cambodge, travail forcé et logique industrielle de l’arnaque

L’un des points les plus sensibles du dossier concerne le parc n° 8, un complexe d’escroquerie à l’échelle industrielle au Cambodge. Le gouvernement britannique va plus loin et le présente comme la plus grande installation de ce type dans le pays, avec une capacité de 20 000 travailleurs sous contrat. Cette mention change l’échelle du récit. On ne parle plus d’escrocs dispersés derrière des écrans, mais de structures quasi industrielles, organisées comme des sites de production où l’arnaque devient une activité rationalisée.

La désignation de Xinbi souligne précisément son soutien à cet ensemble. En parallèle, Londres a sanctionné Legend Innovation Co, l’exploitant du parc n° 8, ainsi que deux responsables, Thet Li et Hu Xiaowei. Tous sont présentés comme liés au Prince Group, conglomérat décrit comme étant derrière de nombreux complexes comparables dans cet empire de l’escroquerie. Ici, le signal envoyé par les autorités est limpide : il ne suffit plus de poursuivre les exécutants, il faut remonter les chaînes de commandement, les opérateurs logistiques et les outils financiers.

Le nom de Chen Zhi, fondateur du Prince Group, apparaît dans cette mécanique. Selon les éléments fournis, il a été inculpé par des procureurs américains pour blanchiment d’argent en octobre dernier. Son entreprise est accusée d’avoir administré au Cambodge des complexes où des travailleurs et des victimes de traite étaient contraints de mener des escroqueries en ligne et de voler des milliards de dollars à des personnes situées aux États-Unis, en Europe et en Chine. Le texte précise aussi que Zhi a été arrêté au Cambodge en début d’année avant d’être extradé vers la Chine.

L’intérêt stratégique de la décision britannique tient à son angle. L’objectif affiché est d’isoler Xinbi « de l’écosystème crypto légitime », afin de perturber fortement ses opérations en réduisant sa capacité à envoyer et recevoir des transactions en cryptomonnaie. C’est une approche de renseignement financier autant qu’un geste diplomatique. Au lieu de ne viser que des individus, les autorités cherchent à casser la colonne vertébrale des réseaux, c’est-à-dire leurs moyens de circulation monétaire, leurs passerelles de paiement et leurs circuits de blanchiment.

Cybersécurité, Entreprise, Fuite de données, Justice

Intesa Sanpaolo sanctionnée pour faille interne

31 mars 2026 Damien Bancal

En Italie, un accès illicite aux données de 3 573 clients vaut à Intesa Sanpaolo une lourde sanction, révélatrice d’un angle mort critique dans la surveillance interne.

L’autorité italienne de protection des données a infligé à Intesa Sanpaolo SpA une amende de 36 millions $ (31,8 millions d’euros) après la découverte d’accès injustifiés aux informations bancaires de 3 573 clients entre février 2022 et avril 2024. Le régulateur évoque de graves insuffisances dans la sécurité des données personnelles, liées à des mesures techniques et organisationnelles inadaptées. L’affaire, déclenchée après une fuite de données signalée en juillet 2024, met en lumière un défaut de détection interne, des contrôles jugés trop faibles et une gestion contestée des notifications adressées aux personnes concernées. Plusieurs clients visés étaient en outre considérés comme sensibles ou à haut risque.

Une fuite interne qui expose les failles de contrôle

L’affaire frappe l’une des plus grandes institutions financières italiennes au cœur de sa fonction la plus sensible : la protection des données bancaires. Lundi, l’Autorité italienne de protection des données a annoncé une sanction de 36 millions $ (31,8 millions d’euros) contre Intesa Sanpaolo SpA. En cause, des consultations indues d’informations bancaires concernant plus de 3 500 clients, sur une période de plus de deux ans.

Le dossier a débuté avec une fuite de données rendue publique par la banque en juillet 2024. L’enquête ouverte dans la foulée a permis d’établir qu’un salarié avait accédé, sans motif légitime, aux données de 3 573 clients entre février 2022 et avril 2024. Ce seul calendrier suffit à montrer l’ampleur du problème : il ne s’agit pas d’un incident ponctuel, ni d’une erreur isolée détectée rapidement, mais d’un accès prolongé, répété, et resté invisible durant une période exceptionnellement longue.

Le régulateur décrit des « graves lacunes en matière de sécurité des données personnelles, dues à l’inadéquation des mesures techniques et organisationnelles adoptées ». La formule est lourde de sens. Elle vise à la fois l’architecture de sécurité, les procédures de contrôle, et la gouvernance qui encadre l’accès aux informations les plus sensibles. Dans le secteur bancaire, cet empilement de protections est censé empêcher qu’un employé puisse consulter librement des comptes sans alerte immédiate. Or, selon l’autorité, ce garde-fou n’a pas tenu.

Le communiqué du régulateur insiste sur un point déterminant pour toute analyse cyber : les accès non autorisés n’ont pas été repérés par les systèmes de contrôle interne. Autrement dit, le risque ne vient pas seulement de l’acte fautif d’un employé. Il découle aussi d’une incapacité structurelle à voir, qualifier et interrompre un comportement anormal. Dans une logique de sécurité, l’échec est donc double : la prévention n’a pas suffi, la détection non plus.

Le modèle opérationnel de la banque est lui aussi explicitement mis en cause. Selon l’autorité, les opérateurs pouvaient interroger de manière exhaustive l’ensemble de la clientèle, sans que ce pouvoir soit compensé par des mécanismes aptes à prévenir ou identifier les abus. Cette remarque dépasse le cas individuel. Elle révèle un problème de conception, où l’accessibilité interne aux données l’emporte sur le cloisonnement, alors même que ce type d’exposition crée un risque évident d’espionnage économique, de surveillance ciblée ou d’exploitation de renseignements sensibles.

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

Service de veille ZATAZ

Des clients sensibles et une réponse jugée insuffisante

Le régulateur souligne un autre aspect particulièrement sensible : parmi les personnes concernées figuraient des clients considérés comme « à haut risque », dont des personnalités publiques bien connues. Ce détail change la portée du dossier. Lorsqu’une banque gère des profils exposés, la protection attendue ne relève plus seulement de la conformité de base. Elle touche à la prévention de scénarios plus critiques, où les données financières peuvent alimenter des pressions, des atteintes à la vie privée, des campagnes d’influence ou des opérations de ciblage.

L’autorité estime justement qu’Intesa Sanpaolo aurait dû appliquer à ces comptes des contrôles renforcés. Cette appréciation est centrale. Elle montre que le régulateur ne raisonne pas seulement en nombre de victimes, mais aussi en niveau de sensibilité des informations compromises. Dans une lecture renseignement, la valeur d’une donnée dépend du profil qu’elle concerne, du contexte dans lequel elle est consultée, et de l’usage potentiel qui peut en être fait. L’absence de vigilance supplémentaire pour des clients à risque alourdit donc mécaniquement la gravité du dossier.

L’enquête ne s’est pas arrêtée aux seuls accès illicites. D’autres irrégularités ont été constatées dans la manière dont la banque a géré l’incident après sa découverte. Selon le communiqué, les notifications adressées aux clients concernés étaient incomplètes et envoyées hors des délais prévus par la loi. Là encore, le sujet va au-delà d’un manquement procédural. Dans une crise de données, la qualité de l’information transmise aux victimes est un indicateur direct de maturité. Prévenir tard, ou prévenir partiellement, laisse les personnes exposées sans capacité immédiate d’évaluation ou de réaction.

Intesa Sanpaolo n’a pas souhaité commenter, son porte-parole ayant refusé toute déclaration. Le silence public de l’établissement ne modifie pas les éléments retenus par l’autorité, qui précise avoir calibré l’amende selon plusieurs critères : la gravité des faits, leur durée, le nombre de clients touchés et la manière dont le problème a été traité après sa découverte. Cette méthode de calcul ancre la sanction dans une logique cumulative, où chaque défaillance renforce l’autre.

Au total, cette affaire montre qu’en matière bancaire, la menace interne reste l’un des angles morts les plus dangereux lorsque les droits d’accès sont trop larges et les contrôles trop faibles.

Cybersécurité, Justice, loi, Securite informatique

La stratégie cyber de Trump muscle l’offensive américaine

La Maison-Blanche présente une doctrine cyber offensive, articulée autour de six axes, pour durcir la réponse américaine face aux États hostiles, aux groupes criminels et aux opérations d’influence.

Publié en mars 2026, « President Trump’s Cyber Strategy for America » expose la vision de l’administration Trump pour le cyberespace américain. Le document lie sécurité numérique, puissance économique, compétitivité technologique et liberté d’expression. Il insiste sur une réponse plus directe face aux cyberattaques, aux réseaux criminels, aux opérations d’espionnage et aux technologies étrangères jugées intrusives. La stratégie s’appuie sur six piliers : modeler le comportement adverse, alléger la régulation, moderniser les réseaux fédéraux, protéger les infrastructures critiques, préserver l’avantage technologique américain et renforcer les compétences. L’ensemble dessine une doctrine de puissance qui associe cyberdéfense, capacités offensives, industrie, diplomatie et souveraineté technologique.

Une doctrine de confrontation assumée

Le document publié par la Maison-Blanche présente le cyberespace comme un champ décisif de la puissance américaine, au même titre que la finance, l’innovation, l’industrie ou l’outil militaire. Dès les premières pages (il n’y a que sept, dont deux images !), l’administration affirme que les États-Unis doivent y rester sans rival, en s’appuyant à la fois sur la supériorité technologique du pays, ses capacités gouvernementales et l’appui du secteur privé. La logique est claire : il ne s’agit pas seulement de protéger les réseaux, mais de garantir une position dominante, une doctrine cyber dans un environnement numérique perçu comme central pour la sécurité nationale et la prospérité.

Le texte insiste sur l’aggravation des menaces. Les adversaires étatiques, les cybercriminels et les dispositifs d’influence sont décrits comme des acteurs capables de perturber des services essentiels, de renchérir le coût des biens courants et de viser directement les ménages, les petites entreprises, les agriculteurs, les soignants ou encore les personnes âgées. La santé, la banque, l’approvisionnement alimentaire et le traitement de l’eau sont explicitement cités parmi les secteurs exposés. Dans cette lecture, la menace cyber ne relève plus d’un problème technique isolé : elle touche le fonctionnement quotidien du pays.

L’administration Trump se démarque aussi par le ton employé. Le document rejette les « mesures partielles » et les stratégies jugées ambiguës des administrations précédentes. Il promet des réponses rapides, délibérées et proactives, sans limitation au seul domaine numérique. Cette formule est importante : elle signifie que la réponse américaine à une menace cyber peut mobiliser l’ensemble des instruments de puissance, au-delà du seul cadre technique. La stratégie revendique en outre l’usage conjoint de capacités défensives et offensives, avec une volonté affichée d’éroder les moyens des adversaires avant même qu’ils ne compromettent les réseaux américains.

Le texte cite plusieurs actions comme illustration de cette posture, notamment la destruction de réseaux d’escroquerie en ligne, la saisie de $15 billion liés à des fonds volés, le soutien à une opération contre les infrastructures nucléaires iraniennes et l’aveuglement d’adversaires lors d’une opération militaire visant Nicolas Maduro. Au-delà de ces exemples, la stratégie veut surtout transmettre un signal : toute attaque contre les intérêts américains est présentée comme risquée pour ses auteurs. Espionnage en ligne, propagande destructive, opérations d’influence et « subversion culturelle » figurent parmi les cibles annoncées de cette politique de contre-attaque.

Six piliers pour l’État, l’industrie et les technologies critiques

La mise en œuvre repose sur six piliers. Le premier vise à « modeler le comportement adverse ». Il prévoit le recours à l’ensemble des moyens cyber de l’État fédéral, mais aussi des incitations destinées au secteur privé pour identifier et perturber les réseaux ennemis. La lutte contre la cybercriminalité, le vol de propriété intellectuelle, les infrastructures criminelles et les refuges financiers y occupe une place centrale. La stratégie place également la question idéologique au cœur du combat numérique, en promettant de contrer les technologies autoritaires de surveillance et de répression.

Le deuxième pilier porte sur la régulation. La Maison-Blanche défend une approche dite de « bon sens », conçue pour réduire les charges de conformité, clarifier la responsabilité et mieux aligner régulateurs et industriels. Dans le même mouvement, le texte affirme vouloir préserver le droit à la vie privée des Américains et de leurs données. Cette articulation entre dérégulation, agilité industrielle et protection des données constitue l’un des équilibres politiques revendiqués par le document.

Les troisième et quatrième piliers concernent le cœur régalien. Pour les réseaux fédéraux, l’administration veut accélérer la modernisation et la résilience via les meilleures pratiques de cybersécurité, le chiffrement post-quantique, l’architecture zero trust, la transition vers le cloud et l’usage de solutions cyber dopées à l’IA. Pour les infrastructures critiques, la priorité porte sur le durcissement des chaînes d’approvisionnement, la réduction de la dépendance envers des fournisseurs adverses et la capacité de rétablissement rapide après incident. L’énergie, la finance, les télécommunications, les centres de données, l’eau et les hôpitaux figurent parmi les secteurs explicitement visés.

Les deux derniers piliers prolongent cette logique par la technologie et les compétences. La stratégie entend protéger l’avantage intellectuel américain, soutenir la sécurité des cryptomonnaies et des technologies blockchain, promouvoir le post-quantique et le calcul quantique sécurisé, mais aussi défendre l’ensemble de la pile technologique de l’IA, y compris les centres de données, les modèles et les infrastructures. Le texte évoque aussi l’adoption rapide d’outils cyber fondés sur l’IA, y compris l’agentic AI, pour détecter, détourner et tromper les acteurs malveillants. Enfin, la Maison-Blanche présente la main-d’œuvre cyber comme un actif stratégique et veut fluidifier les passerelles entre universités, écoles techniques, entreprises, capital-risque, administration et armée afin de bâtir un vivier plus large et mieux aligné sur les besoins nationaux.

Cette stratégie place ainsi le cyber au croisement de la dissuasion, de l’influence, de la sécurité économique et de la gouvernance technologique, avec en toile de fond une compétition mondiale pour le contrôle des standards numériques.

Cybersécurité, Espionnage Spy, Justice

Ancien pilote américain accusé d’avoir formé l’armée chinoise

Un ancien officier décoré de l’US Air Force est accusé aux États-Unis d’avoir préparé une formation militaire pour des pilotes chinois, avec l’appui d’un pirate informatique lié à des opérations d’espionnage industriel.

Les autorités américaines ont arrêté Gerald Eddie Brown, ancien major de l’US Air Force, soupçonné d’avoir conspiré avec un pirate informatique chinois pour former des pilotes de chasse de l’Armée populaire de libération. L’enquête révèle un projet structuré visant à transférer un savoir-faire militaire sensible vers la Chine. Le dossier implique Stephen Su Bin, déjà condamné pour avoir piraté des entreprises de défense américaines et dérobé des données classifiées sur des programmes militaires. L’affaire illustre les stratégies d’acquisition technologique de Pékin, mêlant cyberespionnage, recrutement d’experts occidentaux et exploitation d’anciens militaires disposant d’une expertise critique.

Un ancien pilote au cœur d’un projet de formation militaire

Les procureurs fédéraux américains accusent Gerald Eddie Brown, 65 ans, d’avoir participé à un projet destiné à transmettre des compétences militaires sensibles à la Chine. L’ancien officier a été arrêté jeudi à Jeffersonville, dans l’Indiana, après plusieurs années passées en Chine où il aurait fourni une formation aéronautique à des pilotes militaires.

Les documents judiciaires indiquent que Brown a servi plus de vingt ans dans l’US Air Force. Après avoir quitté l’armée en 1996 avec le grade de major, il a poursuivi sa carrière dans l’aviation civile comme pilote de fret. Il a également occupé des fonctions dans deux entreprises américaines liées au secteur de la défense.

Selon l’acte d’accusation, il aurait commencé en 2023 des discussions visant à former des pilotes de la Force aérienne de l’Armée populaire de libération, la PLAAF. Les autorités américaines estiment que cette activité relevait d’un transfert d’expertise militaire sensible vers une puissance étrangère.

Le projet prévoyait notamment la transmission de compétences liées au combat aérien et aux opérations militaires. Brown aurait exprimé clairement son intention de former des pilotes chinois à ces techniques.

En décembre 2023, il se rend en Chine. Sur place, il rencontre des responsables chinois et leur présente son parcours professionnel. Les enquêteurs affirment qu’il est resté dans le pays près de trois ans avant de revenir aux États-Unis ce mois-ci, moment choisi par les autorités pour procéder à son arrestation.

Une affaire liée à un pirate impliqué dans l’espionnage industriel

L’enquête américaine souligne un élément central du dossier. Le contrat de formation aurait été négocié avec l’aide d’un complice de Stephen Su Bin, ressortissant chinois déjà condamné pour cyberespionnage.

Su Bin dirigeait une société de technologies aéronautiques installée au Canada. Entre 2008 et 2014, il est accusé d’avoir mené des intrusions informatiques contre plusieurs entreprises de défense américaines. Les autorités américaines affirment que ces opérations visaient à récupérer des informations sensibles pour le gouvernement chinois.

En 2016, Su Bin a reconnu avoir piraté un sous-traitant militaire américain. L’enquête a établi qu’il avait dérobé des données militaires sensibles et des informations soumises aux règles américaines de contrôle des exportations.

Un épisode particulièrement documenté concerne l’avion de transport militaire C-17. Le pirate informatique avait pénétré les serveurs de Boeing pour accéder à des fichiers techniques relatifs à cet appareil. Les documents récupérés avaient ensuite été transmis par courrier électronique à des responsables chinois.

Pour ces faits, Su Bin a été condamné à quatre ans de prison et son entreprise a été sanctionnée.

Les procureurs affirment que Brown a collaboré avec ce réseau afin de finaliser l’accord de formation. Selon l’accusation, l’ancien officier n’avait pas obtenu l’autorisation obligatoire du Département d’État pour fournir une expertise militaire à une armée étrangère.

Cette obligation relève de la réglementation américaine sur le trafic international d’armes, connue sous le nom d’International Traffic in Arms Regulations, ou ITAR. Elle encadre strictement l’exportation de technologies et de connaissances militaires.

Les responsables du FBI et du ministère de la Justice présentent l’affaire comme un exemple de stratégie chinoise visant à exploiter l’expertise occidentale.

Roman Rozhavsky, directeur adjoint de la division de contre-espionnage du FBI, estime que Brown « a trahi son pays en formant des pilotes chinois à combattre ceux qu’il avait juré de protéger ».

John Eisenberg, procureur général adjoint chargé de la sécurité nationale, souligne que la formation d’une armée étrangère par un citoyen américain reste illégale sans licence officielle délivrée par le Département d’État.

L’affaire illustre la convergence entre cyberespionnage, recrutement d’experts militaires et transferts de compétences stratégiques dans la compétition technologique entre Washington et Pékin.

Dans le domaine du renseignement, ces dossiers démontrent comment la Chine combine piratage informatique et captation de savoir-faire humain pour accélérer la modernisation de ses forces armées.

Cybersécurité, Justice, Securite informatique

Phobos : le développeur clé plaide coupable aux États-Unis

Un développeur russe lié au ransomware Phobos reconnaît sa responsabilité devant la justice américaine. L’affaire révèle l’organisation interne d’un réseau criminel actif depuis plusieurs années.

Un ressortissant russe de 43 ans a plaidé coupable aux États-Unis pour son rôle central dans le ransomware Phobos. Considéré comme l’un des principaux développeurs de cette plateforme criminelle, Evgenii Ptitsyn risque jusqu’à 20 ans de prison. Les enquêteurs estiment que Phobos et sa variante 8Base ont extorqué plus de 16 million $ (14,7 millions d’euros) depuis 2019 auprès d’organisations du monde entier. L’affaire met en lumière le modèle industriel du ransomware-as-a-service, dans lequel des développeurs fournissent l’outil à des affiliés chargés de mener les attaques contre des entreprises, des établissements de santé et des institutions publiques.

Un développeur clé du ransomware Phobos face à la justice

L’un des cerveaux techniques associés au ransomware Phobos a reconnu sa culpabilité devant la justice américaine. Evgenii Ptitsyn, citoyen russe âgé de 43 ans, a admis des faits de fraude électronique mercredi devant un tribunal fédéral. Les procureurs des États-Unis le présentent comme un acteur majeur de ce réseau de cyberextorsion.

Selon l’acte d’accusation, Ptitsyn a contribué au fonctionnement du ransomware à partir de novembre 2020. Le logiciel malveillant a ensuite été utilisé pour viser plus de 1 000 organisations à travers le monde. L’enquête judiciaire décrit un dispositif structuré, mêlant développement technique, diffusion sur des forums criminels et exploitation d’un site sur le darknet destiné à exposer ou vendre les données volées.

L’homme a été arrêté en Corée du Sud avant d’être remis aux autorités américaines en novembre 2024. Sa condamnation doit être prononcée le 15 juillet. La peine maximale encourue atteint 20 ans de prison.

Les procureurs affirment que Ptitsyn occupait une position centrale dans l’écosystème Phobos. Il développait et maintenait le ransomware, puis le distribuait à des affiliés du réseau. Ces partenaires menaient les intrusions informatiques, chiffraient les systèmes des victimes et exigeaient ensuite une rançon. Une commission revenait aux opérateurs techniques pour chaque paiement obtenu.

Les investigations ont également relié Ptitsyn à plusieurs attaques précises. Parmi elles figure une intrusion contre un système scolaire public en Californie. L’établissement a payé une rançon de 300 000 $ (276 500 euros) en 2023 pour récupérer l’accès à ses données. D’autres opérations ont visé des organisations du secteur médical ainsi que plusieurs entreprises.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

YouTube

S’abonner à la NewsLetter

Un réseau international démantelé progressivement

Les poursuites contre Ptitsyn s’inscrivent dans une série d’actions menées contre les groupes liés au ransomware Phobos et à sa variante 8Base. Les autorités américaines estiment que ces réseaux ont extorqué plus de 16 million $ (14,7 millions d’euros) depuis 2019.

Au cours des deux dernières années, plusieurs membres ou associés ont été arrêtés dans différentes juridictions. Un administrateur de Phobos a été interpellé en Corée du Sud en juin 2024 avant d’être extradé vers les États-Unis. En 2023, un autre acteur important a été arrêté en Italie sur la base d’un mandat d’arrêt français.

Plus récemment, une opération internationale coordonnée a visé le groupe 8Base, considéré comme un utilisateur majeur de l’infrastructure Phobos. Quatre individus soupçonnés de diriger cette organisation ont été arrêtés. Les enquêteurs les accusent d’avoir exploité une variante du ransomware pour extorquer des victimes en Europe et dans d’autres régions.

Cette opération a également conduit au démantèlement de 27 serveurs liés au réseau criminel. Les services de police ont pu prévenir plus de 400 entreprises d’attaques de ransomware en cours ou imminentes.

L’enquête a mobilisé les forces de l’ordre de 14 pays, avec le soutien d’Europol et d’Eurojust. Le Centre européen de lutte contre la cybercriminalité d’Europol a assuré un rôle de coordination entre les différentes investigations. Les analystes ont notamment partagé des renseignements, réalisé des analyses techniques et facilité les échanges entre les équipes nationales.

Près de 600 messages opérationnels ont été échangés via le réseau sécurisé SIENA, tandis que 37 réunions opérationnelles et sprints techniques ont été organisés pour faire progresser les investigations.

Repéré pour la première fois en décembre 2018, Phobos constitue l’un des ransomwares les plus persistants du paysage cybercriminel. Son succès repose sur un modèle de ransomware-as-a-service qui permet à de nombreux acteurs, même peu expérimentés, de lancer leurs propres campagnes d’extorsion.

Les services de renseignement spécialisés dans la cybersécurité considèrent aujourd’hui Phobos et 8Base parmi les groupes de ransomware les plus actifs en 2024.

L’affaire Ptitsyn illustre la stratégie des autorités consistant à cibler les développeurs et les infrastructures techniques afin d’affaiblir durablement les réseaux de cyberextorsion.

La traque judiciaire et technique des opérateurs de ransomware reste désormais un enjeu central pour le renseignement cyber international.

Cybersécurité, Justice, loi

Cyberfraude : Washington prépare un fonds pour les victimes

La Maison Blanche veut répondre à l’explosion mondiale des escroqueries numériques. Un décret présidentiel prévoit indemnisation des victimes et offensive coordonnée contre les réseaux criminels transnationaux.

La cyberfraude représente désormais une menace économique majeure pour les États-Unis. Chaque année, des escroqueries en ligne dérobent des milliards de dollars aux particuliers américains. Face à cette situation, l’administration Trump a publié un décret présidentiel ordonnant une réponse coordonnée de l’ensemble du gouvernement. Objectif affiché : démanteler les organisations criminelles transnationales à l’origine de ces arnaques et créer un mécanisme d’indemnisation pour les victimes. Le texte prévoit la mobilisation de plusieurs ministères, l’exploitation des capacités du secteur privé de cybersécurité et une pression diplomatique accrue contre les États accusés d’héberger ou de tolérer ces réseaux.

Un plan fédéral contre l’économie mondiale de la cyberfraude

Le décret présidentiel publié vendredi fixe un calendrier précis à plusieurs agences fédérales. Elles disposent de 120 jours pour produire un plan d’action détaillant les mesures destinées à prévenir, perturber, enquêter et démanteler les organisations criminelles transnationales impliquées dans la cybercriminalité.

Ce plan doit notamment viser les réseaux opérant des centres d’escroquerie, souvent situés hors du territoire américain. Ces structures sont spécialisées dans les arnaques financières numériques, allant de faux investissements à des escroqueries sentimentales. Selon le FBI, ces dispositifs criminels soutirent environ 12,5 milliards $ par an aux citoyens américains, soit environ 11,5 milliards d’euros.

Le décret prévoit également la création d’une cellule opérationnelle au sein du National Coordination Center. Cette unité doit centraliser les efforts fédéraux contre ces organisations criminelles. Elle rassemblera plusieurs administrations : Département d’État, Trésor, Défense, Sécurité intérieure et Justice.

La Maison Blanche souligne que l’objectif consiste à améliorer la circulation du renseignement, la coordination opérationnelle et la rapidité de réaction entre institutions. Le dispositif doit également rester aligné sur les cadres juridiques déjà utilisés par les autorités américaines pour lutter contre les cybermenaces provenant de juridictions étrangères.

Le secteur privé pourrait être mobilisé dans ce dispositif. Les entreprises spécialisées en cybersécurité disposent de capacités techniques et de renseignement sur les menaces qui peuvent aider à attribuer les attaques, suivre les infrastructures criminelles et perturber les opérations des acteurs malveillants.

L’administration américaine considère ces activités comme un phénomène structuré et transnational. Rançongiciels, logiciels malveillants, hameçonnage, chantage sexuel, usurpation d’identité ou fraude financière constituent les principales techniques utilisées par ces groupes.

Washington estime que certains régimes étrangers offrent un soutien implicite ou direct à ces réseaux criminels. Selon la Maison Blanche, ces activités alimentent une économie clandestine mêlant fraude numérique, coercition, travail forcé et parfois traite d’êtres humains.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

YouTube