Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Cyber-attaque, Cybersécurité

Sécurité électorale : le rôle de la CISA fragilisé par le retrait du soutien fédéral

La CISA a terminé son examen interne sur la sécurité électorale, mais refuse de rendre ses conclusions publiques. Cette décision suscite des inquiétudes parmi les responsables locaux qui craignent une fragilisation des infrastructures électorales face aux cybermenaces.

L’Agence de cybersécurité et de sécurité des infrastructures (CISA) a récemment terminé un examen interne sur la sécurité électorale. Cependant, elle a décidé de ne pas publier les résultats, invoquant la nature confidentielle du document. Cette décision intervient dans un contexte de tension croissante, alors que le ministère de la Sécurité intérieure (DHS) a récemment mis fin au financement du Centre d’analyse et de partage d’informations sur l’infrastructure électorale (EI-ISAC), géré par le Center for Internet Security (CIS). Cette coupure budgétaire prive de nombreux États et collectivités locales de services essentiels en matière de cybersécurité, augmentant ainsi leur vulnérabilité face aux menaces potentielles. Les responsables électoraux locaux s’inquiètent du manque de soutien fédéral à l’approche des prochaines élections, ce qui pourrait compromettre la sécurité et l’intégrité du processus démocratique.

L’Agence de cybersécurité et de sécurité des infrastructures (CISA) a récemment terminé une évaluation interne sur la sécurité électorale, mais a choisi de ne pas en dévoiler les conclusions. Cette décision, confirmée cette semaine par un porte-parole de l’agence, soulève des inquiétudes profondes chez les responsables électoraux à travers le pays. Alors que le paysage électoral américain est marqué par une augmentation constante des menaces cybernétiques, la décision de la CISA de conserver cette évaluation comme un document confidentiel est perçue par beaucoup comme un manque de transparence qui pourrait affaiblir la capacité des juridictions locales à se défendre contre d’éventuelles attaques.

Un porte-parole de la CISA a déclaré que ce rapport est destiné à orienter les futures stratégies de l’agence en matière de protection des infrastructures critiques, mais qu’il ne sera pas rendu public. Cette déclaration a immédiatement suscité une réaction de la part des responsables électoraux et des experts en cybersécurité, qui estiment que le manque de transparence pourrait avoir des conséquences graves à l’approche des élections.

Tim Harper, analyste politique senior pour le Centre pour la démocratie et la technologie, a critiqué cette décision en affirmant que sans un accès clair aux résultats de cette évaluation, les responsables électoraux ne sauront pas quelles menaces spécifiques sont susceptibles de peser sur eux ni quelles stratégies de défense adopter. Selon lui, la CISA joue un rôle central dans la protection du processus démocratique, et le fait de priver les administrations locales d’informations cruciales pourrait nuire à la sécurité globale des élections.

La décision de la CISA de garder ces conclusions secrètes intervient dans un contexte particulièrement délicat. Les menaces contre les infrastructures électorales ont augmenté de manière significative au cours des quatre dernières années, avec une multiplication des cyberattaques, des campagnes de désinformation et des tentatives d’influence étrangère. Les juridictions locales, qui manquent souvent de ressources techniques et de personnel spécialisé, comptaient sur l’expertise et le soutien logistique de la CISA pour combler ces lacunes. Cette absence de transparence risque de creuser un fossé supplémentaire entre le gouvernement fédéral et les administrations locales, alors que la coopération entre ces deux niveaux est cruciale pour assurer la sécurité du processus électoral.

Le retrait du soutien fédéral au CIS met en péril la sécurité des élections

La fin de la coopération entre le ministère de la Sécurité intérieure (DHS) et le Center for Internet Security (CIS) a accentué la vulnérabilité des infrastructures électorales. Le CIS gérait jusqu’ici le Centre d’analyse et de partage d’informations sur l’infrastructure électorale (EI-ISAC), un programme essentiel de surveillance et de réponse aux cyberattaques. Depuis sa création en 2018, l’EI-ISAC fournissait un soutien technique de premier plan aux juridictions électorales locales, notamment grâce à la mise en place des capteurs Albert, des dispositifs capables de détecter les tentatives d’intrusion en temps réel.

La décision du DHS de mettre fin au financement du CIS a été officialisée dans une note interne datée du 14 février. Selon ce document, le département estimait que l’EI-ISAC ne correspondait plus aux objectifs stratégiques du DHS. Cette rupture de financement a eu un effet immédiat : la majorité des États sont désormais interdits, pour des raisons légales, de continuer à utiliser les services de l’EI-ISAC. Cette situation place les autorités locales dans une position délicate, les obligeant à chercher des solutions alternatives souvent plus coûteuses et moins fiables.

Scott McDonell, greffier du comté de Dane dans le Wisconsin, a exprimé sa frustration face à cette situation. Il a expliqué que son comté s’appuyait fortement sur le capteur Albert fourni par le CIS pour surveiller son réseau informatique en continu. Ce dispositif permettait de détecter immédiatement toute tentative d’intrusion et de lancer une réponse rapide pour limiter les dégâts. Désormais privé de ce soutien, McDonell envisage de faire appel à un fournisseur privé pour remplacer le capteur Albert, mais le coût de cette alternative représente un défi budgétaire majeur.

Le problème ne se limite pas à la cybersécurité. Le CIS fournissait également une assistance technique précieuse aux responsables électoraux, en organisant des sessions de formation et en partageant des renseignements actualisés sur les menaces en cours. Wesley Wilcox, superviseur des élections dans le comté de Marion en Floride, a rappelé que l’EI-ISAC jouait un rôle essentiel en créant une « salle de situation » qui permettait de coordonner la réponse des différentes juridictions en cas d’attaque à grande échelle. La fin de ce soutien stratégique laisse un vide difficile à combler, surtout à l’approche des élections.

Ce retrait du soutien fédéral risque également d’exacerber les inégalités entre les juridictions électorales. Les grandes villes et les États les mieux financés pourront sans doute trouver des solutions alternatives, mais les comtés ruraux et les petites municipalités, qui dépendent largement de l’aide fédérale, risquent de se retrouver sans défense face à une menace grandissante. Le modèle de sécurité électorale américain, basé sur une coopération entre le gouvernement fédéral et les administrations locales, est désormais remis en question.

Une situation critique à l’approche des élections ?

La perte de soutien fédéral survient à un moment particulièrement critique. Les menaces pesant sur les infrastructures électorales américaines sont en constante évolution. Les cyberattaques sont de plus en plus sophistiquées et ciblées. Les services de renseignement américains ont déjà signalé une augmentation des tentatives d’ingérence étrangère dans le processus électoral, et les attaques par rançongiciel contre les systèmes informatiques locaux sont devenues monnaie courante.

L’absence de soutien fédéral pourrait également nuire à la capacité des juridictions locales à répondre efficacement aux menaces physiques. La CISA avait joué un rôle clé ces dernières années en aidant les autorités locales à renforcer la sécurité physique des bureaux de vote et en formant le personnel électoral à gérer les situations de crise. En l’absence de ces ressources, les administrations locales risquent de se retrouver mal préparées face à une situation d’urgence.

Tim Harper a mis en garde contre le risque d’une réaction en chaîne : si une attaque venait à perturber le processus électoral dans une juridiction locale, le manque de soutien technique et logistique pourrait rapidement se transformer en une crise nationale. Selon lui, la transparence est la clé pour éviter ce scénario. Il exhorte la CISA à publier son évaluation interne et à rétablir un dialogue ouvert avec les responsables électoraux.

La pression monte également du côté des associations professionnelles. Le mois dernier, l’Association nationale des secrétaires d’État a adressé une lettre à la secrétaire du DHS, Kristi Noem, pour lui demander de rétablir le financement du CIS et de maintenir le soutien technique aux juridictions locales. Les responsables électoraux estiment que le gouvernement fédéral a une responsabilité directe dans la protection du processus démocratique, et que priver les juridictions locales de ce soutien revient à affaiblir la résilience du système électoral dans son ensemble.

La sécurité des élections américaines repose sur une coopération étroite entre le gouvernement fédéral, les États et les autorités locales. Le retrait du soutien fédéral et le manque de transparence de la CISA créent un climat d’incertitude qui pourrait avoir des répercussions profondes sur la confiance des électeurs. Si ces problèmes ne sont pas rapidement résolus, les prochaines élections pourraient se dérouler dans un contexte de vulnérabilité accrue, avec un risque réel d’ingérence et de perturbation du processus électoral.

Le retrait du soutien fédéral à la cybersécurité électorale laisse les juridictions locales vulnérables à des attaques sophistiquées et à une désinformation croissante.

La décision de la CISA de garder son rapport interne confidentiel prive les responsables électoraux de renseignements stratégiques essentiels pour assurer la sécurité des élections.

Cybersécurité, Entreprise

Arnaque au faux ransomware : des lettres physiques ciblent les cadres dirigeants​

Des escrocs envoient des lettres physiques à des cadres dirigeants, prétendant appartenir au groupe de ransomware BianLian, pour extorquer des rançons allant jusqu’à 500 000 dollars.​

Une nouvelle escroquerie cible les cadres dirigeants en leur envoyant des lettres physiques prétendant provenir du groupe de ransomware BianLian. Ces lettres affirment que des données sensibles ont été volées et menacent de les publier si une rançon, payable en Bitcoin, n’est pas versée dans les dix jours. Les montants exigés varient entre 250 000 et 500 000 dollars. Les autorités américaines, notamment le FBI et la Cybersecurity and Infrastructure Security Agency (CISA), alertent sur cette menace et recommandent aux entreprises de rester vigilantes face à cette tentative d’extorsion.​

Un mode opératoire inédit

Contrairement aux méthodes traditionnelles des cybercriminels qui privilégient les courriels ou les messages électroniques pour leurs tentatives d’extorsion, cette arnaque se distingue par l’utilisation de lettres physiques envoyées par la poste. Les enveloppes, marquées « Time Sensitive Read Immediately » (Lecture urgente), sont adressées directement aux cadres supérieurs, souvent à leurs domiciles personnels ou professionnels. Elles contiennent une lettre prétendant que le groupe « BianLian » a infiltré le réseau de l’organisation et a dérobé des milliers de fichiers sensibles. La menace est claire : si une rançon n’est pas payée en Bitcoin dans un délai de dix jours, les données seront publiées sur des sites de fuite associés à BianLian. ​

Des indices révélateurs d’une escroquerie

Plusieurs éléments laissent penser que ces lettres sont l’œuvre d’escrocs usurpant l’identité du véritable groupe BianLian. Tout d’abord, les lettres contiennent une adresse de retour basée à Boston, Massachusetts, ce qui est inhabituel pour un groupe de ransomware généralement associé à des acteurs internationaux. De plus, aucune preuve concrète de vol de données n’est fournie dans les lettres, et aucun moyen de contacter les auteurs pour négocier n’est mentionné, ce qui est contraire aux pratiques habituelles des groupes de ransomware. Les autorités n’ont pas identifié de lien entre les expéditeurs de ces lettres et le groupe BianLian connu. ​

Cibles privilégiées et montants exigés

Les lettres ont principalement été envoyées à des cadres du secteur de la santé aux États-Unis, avec des demandes de rançon variant entre 150 000 et 500 000 dollars. Dans certains cas, les lettres incluent un mot de passe compromis dans la section « How did this happen? » (Comment cela est-il arrivé ?), probablement pour ajouter de la crédibilité à leur revendication. Cependant, aucune activité indicative d’une intrusion par ransomware n’a été détectée dans les organisations ciblées, ce qui suggère que cette campagne vise à exploiter la peur pour inciter les organisations à payer une rançon pour une intrusion qui n’a jamais eu lieu. ​

Les lettres contiennent une adresse de retour basée à Boston, Massachusetts, ce qui est inhabituel pour un groupe de ransomware généralement associé à des acteurs internationaux.​

Recommandations des autorités

Il est recommandé aux entreprises de prendre les mesures suivantes pour se protéger contre cette escroquerie :​

Sensibilisation interne : Informer les cadres et les employés de l’existence de cette arnaque afin qu’ils soient vigilants s’ils reçoivent de telles lettres.​

Vérification des systèmes : S’assurer que les défenses du réseau sont à jour et qu’aucune activité malveillante n’est en cours.​

Signalement : En cas de réception d’une telle lettre, contacter immédiatement les autorités de votre pays (Police Nationale, Etc.).​

Les autorités insistent sur l’importance de ne pas céder à la panique et de ne pas effectuer de paiement sans avoir vérifié la véracité des allégations. Il est essentiel de suivre les protocoles de réponse aux incidents et de collaborer avec les forces de l’ordre pour gérer la situation de manière appropriée. ​

Le véritable groupe BianLian

Le groupe BianLian est un développeur de ransomware et un groupe cybercriminel spécialisé dans l’extorsion de données, probablement basé en Russie. Depuis juin 2022, le FBI a observé que le groupe BianLian a affecté des organisations dans plusieurs secteurs d’infrastructures critiques aux États-Unis.

En Australie, l’ACSC a observé que le groupe BianLian cible principalement des entreprises privées, y compris une organisation d’infrastructure critique. Le groupe BianLian employait initialement un modèle de double extorsion dans lequel ils exfiltraient des fichiers financiers, clients, commerciaux, techniques et personnels à des fins de levier et chiffraient les systèmes des victimes. En 2023, le FBI a observé que le groupe BianLian s’est principalement orienté vers l’extorsion basée sur l’exfiltration, laissant les systèmes des victimes intacts. ​

Cette nouvelle méthode d’escroquerie souligne l’ingéniosité des cybercriminels pour exploiter la peur et l’urgence chez leurs victimes. Le Social Engineering (Ingénierie sociale), une méthode qui est vieille comme le monde est plus efficace encore grâce au numérique. Il est crucial pour les organisations de rester informées des menaces émergentes et de renforcer les protocoles de sécurité. La vigilance, la sensibilisation et la collaboration avec les autorités sont essentielles pour contrer ces tentatives d’extorsion.

Cybersécurité, Mise à jour, Patch

vulnérabilité initialement localisée, désormais mondiale !

Une vulnérabilité critique affectant les scripts PHP, connue sous le nom de CVE-2024-4577, est devenue une menace à l’échelle mondiale, obligeant les défenseurs de la cybersécurité à agir rapidement. Découverte initialement dans le cadre d’attaques ciblant des organisations japonaises, cette faille est désormais exploitée dans plusieurs régions du monde, ont averti les experts en cybersécurité de GreyNoise et Cisco Talos.

Une vulnérabilité initialement localisée, désormais mondiale

La faille CVE-2024-4577 affecte une configuration spécifique appelée PHP-CGI, utilisée pour exécuter des scripts PHP sur des serveurs Web. Détectée pour la première fois au Japon en janvier 2025, elle a été rapidement exploitée par des attaquants cherchant à voler des identifiants d’accès et à établir une présence persistante dans les systèmes compromis.

Dans un rapport publié jeudi, l’équipe de Cisco Talos a révélé que les attaques initiales visaient principalement des organisations japonaises. L’objectif apparent des attaquants était non seulement de voler des identifiants d’accès, mais aussi de s’implanter durablement dans les systèmes ciblés, ouvrant la voie à de futures intrusions et compromissions.

Cependant, ce qui semblait être une campagne de piratage localisée s’est rapidement transformé en une menace mondiale. Vendredi, GreyNoise, une société spécialisée dans le renseignement sur les menaces, a publié un rapport alarmant indiquant que l’exploitation de cette faille s’est étendue à d’autres régions du globe. Des tentatives d’attaques ont été détectées aux États-Unis, à Singapour, au Japon et dans plusieurs autres pays tout au long du mois de janvier 2025.

Un correctif disponible, mais une menace persistante

Le correctif pour cette vulnérabilité a été publié à l’été 2024, mais de nombreuses entreprises n’ont pas encore mis à jour leurs systèmes, laissant un large éventail de cibles potentielles à la merci des attaquants.

La faille CVE-2024-4577 permet une exécution de code à distance (RCE), ce qui signifie que les pirates peuvent prendre le contrôle d’un serveur vulnérable, exécuter des commandes arbitraires et, potentiellement, compromettre l’ensemble du réseau.

GreyNoise a identifié 79 méthodes connues pour exploiter cette faille, soulignant la complexité et la diversité des vecteurs d’attaque. Les chercheurs ont également détecté une augmentation des tentatives d’attaques utilisant cette faille dans le cadre de campagnes coordonnées.

« L’ampleur de l’exploitation de CVE-2024-4577 dépasse de loin nos prévisions initiales », a déclaré un chercheur de GreyNoise. « Les attaquants utilisent des outils sophistiqués, y compris des cadres d’attaque avancés et des serveurs de commande et de contrôle (C2), ce qui laisse penser qu’il s’agit d’une campagne bien organisée. »

Une menace bien plus complexe qu’un simple vol d’identifiants

Selon Cisco Talos, l’attaquant à l’origine des premières attaques au Japon utilisait un serveur de commande et de contrôle (C2) pour déployer une suite complète d’outils malveillants. Cette approche suggère que les motivations vont au-delà du simple vol d’identifiants.

Le serveur C2 permet de contrôler à distance les systèmes compromis, d’exécuter des commandes, d’installer des malwares et de lancer de nouvelles attaques. Les chercheurs craignent que cette faille ne soit utilisée pour installer des backdoors (portes dérobées) et déployer des logiciels espions sur des cibles stratégiques, comme des infrastructures critiques ou des institutions financières.

« Cela ne ressemble pas à une simple campagne d’espionnage économique », a ajouté un chercheur de Cisco Talos. « L’ampleur des outils utilisés et la persistance démontrée par les attaquants laissent penser à une opération à caractère géopolitique. »

Une attaque documentée depuis plusieurs mois

La vulnérabilité CVE-2024-4577 avait déjà été signalée en août 2024 par des chercheurs de Symantec, après avoir été exploitée contre une université de Taiwan. Peu de temps après la publication du correctif, les attaquants avaient testé la faille contre plusieurs cibles en Asie, avant d’étendre leurs opérations à une échelle mondiale.

GreyNoise a également constaté une augmentation notable du trafic lié à cette faille à partir de la fin décembre 2024, avec des pics d’activité importants début janvier 2025. Cette chronologie suggère que les attaquants ont pu peaufiner leurs outils et leurs méthodes avant de lancer une campagne d’envergure mondiale.

L’appel à une action immédiate

Face à cette menace croissante, GreyNoise et Cisco Talos appellent les entreprises et les administrateurs système à une mise à jour immédiate de leurs serveurs PHP.

« Les organisations qui utilisent PHP-CGI doivent immédiatement vérifier leur configuration et installer les derniers correctifs de sécurité », a déclaré GreyNoise dans son rapport. « Le temps presse : chaque heure qui passe sans correction augmente le risque d’une compromission. »

Les chercheurs recommandent également une surveillance renforcée du trafic réseau pour détecter les comportements suspects associés à l’exploitation de CVE-2024-4577. La mise en place de pare-feu et de systèmes de détection d’intrusion (IDS) pourrait également permettre de contenir la menace.

Cisco Talos a également suggéré que les entreprises désactivent la configuration PHP-CGI si elle n’est pas strictement nécessaire, une mesure qui pourrait réduire considérablement la surface d’attaque.

Une faille symptomatique de la fragilité du web

Ce nouvel incident met une fois de plus en lumière la fragilité des infrastructures web face à des menaces sophistiquées. Le langage PHP, créé il y a près de trois décennies, est l’un des piliers du développement web, mais il est aussi une cible privilégiée en raison de son adoption massive et de la complexité de sa gestion.

Pour les experts, cette vulnérabilité souligne le besoin urgent de renforcer les pratiques de sécurité autour des technologies web historiques. Si la faille CVE-2024-4577 est corrigée rapidement, la menace pourrait être contenue. Dans le cas contraire, elle pourrait devenir le point de départ d’une vague d’attaques sans précédent.

Face à une exploitation déjà mondiale, une action rapide s’impose. Les défenseurs de la cybersécurité sont désormais engagés dans une véritable course contre la montre pour éviter que cette vulnérabilité ne soit utilisée dans des attaques de grande ampleur.

Cybersécurité, Securite informatique

Une nouvelle menace sur Android : le virus EvilLoader cible les comptes Telegram

EvilLoader menace les utilisateurs d’Android en ciblant leurs comptes Telegram. Ce logiciel malveillant, déguisé en fichier vidéo, permet aux pirates de prendre le contrôle des appareils infectés et de voler des données confidentielles.

Les utilisateurs d’Android font face à une nouvelle menace sérieuse avec l’apparition du virus EvilLoader. Ce logiciel malveillant utilise une méthode d’infection sournoise en se faisant passer pour une mise à jour légitime de Telegram ou un lecteur multimédia. Lorsqu’un utilisateur tente d’ouvrir un fichier vidéo piégé, une erreur s’affiche, suggérant d’installer une mise à jour. Si l’utilisateur accepte, le virus s’installe discrètement sur l’appareil, donnant ainsi aux pirates un accès total aux données personnelles et aux messages Telegram. Ce type d’attaque s’appuie sur la confiance des utilisateurs envers des plateformes sécurisées comme Telegram, rendant la menace encore plus dangereuse. EvilLoader met en lumière une stratégie d’attaque psychologique qui n’est pas nouvelle, mais un Social Engineering efficace, exploitant la curiosité et le sentiment d’urgence des victimes.

Un virus sournois qui cible les utilisateurs de Telegram

Le virus EvilLoader fonctionne selon un schéma d’attaque bien rodé [Voir vidéo]. Les pirates diffusent des fichiers vidéo corrompus en utilisant des canaux Telegram ou en se faisant passer pour des contacts de confiance. L’utilisateur reçoit un fichier vidéo accompagné d’un message engageant, l’incitant à ouvrir le fichier. Dès qu’il tente de le lancer, une erreur s’affiche, expliquant que le fichier ne peut pas être lu sans une mise à jour de Telegram ou sans l’installation d’un lecteur multimédia. Ce message est conçu pour paraître crédible et pousse l’utilisateur à agir rapidement, créant un sentiment d’urgence qui réduit la méfiance.

Si l’utilisateur télécharge la mise à jour suggérée, EvilLoader s’installe automatiquement sur l’appareil. Le virus prend alors le contrôle du compte Telegram de la victime, récupérant les identifiants de connexion, accédant aux messages privés et interceptant les informations échangées. Pire encore, les pirates peuvent utiliser le compte compromis pour envoyer de nouveaux fichiers malveillants aux contacts de la victime, amplifiant ainsi la portée de l’attaque. Cette capacité à se propager rapidement fait d’EvilLoader une menace particulièrement inquiétante.

Les faux bots Telegram sont souvent utilisés comme point d’entrée pour cette attaque. Les pirates créent de faux comptes se faisant passer pour des services de type « Free Telegram Premium« , promettant des fonctionnalités avancées ou des bonus gratuits. Une fois que l’utilisateur tombe dans le piège et installe le fichier malveillant, le virus s’infiltre dans le système, prenant le contrôle non seulement de Telegram mais aussi d’autres données sensibles stockées sur l’appareil.

Une attaque psychologique basée sur la manipulation

EvilLoader ne repose pas uniquement sur une faille technique, mais également sur une stratégie psychologique redoutable. Les cybercriminels exploitent plusieurs mécanismes mentaux pour pousser la victime à agir sans réfléchir. La première tactique repose sur l’appât de la nouveauté. En promettant des fonctionnalités premium ou des bonus gratuits, les pirates éveillent la curiosité de l’utilisateur, le poussant à ouvrir le fichier corrompu.

Ensuite, le message d’erreur affiché après l’ouverture du fichier joue sur le sentiment d’urgence. L’utilisateur, confronté à une panne apparente, est encouragé à réagir rapidement en installant une mise à jour. Cette pression temporelle empêche souvent une réflexion rationnelle et pousse la victime à suivre aveuglément les instructions affichées.

Enfin, la dernière clé de cette manipulation est la confiance dans Telegram. La plateforme étant reconnue pour son haut niveau de sécurité et son système de chiffrement, les utilisateurs ont tendance à accorder leur confiance à tout ce qui semble provenir de Telegram. Les pirates jouent sur cette confiance pour contourner les défenses naturelles des utilisateurs et faciliter l’installation du virus.

Comment les utilisateurs peuvent-ils se protéger ?

Pour éviter une infection par EvilLoader, il est essentiel d’adopter une approche proactive en matière de cybersécurité. Tout d’abord, il est crucial de ne jamais télécharger d’application ou de mise à jour en dehors des sources officielles. Telegram, comme toutes les grandes plateformes, propose ses mises à jour exclusivement via le Google Play Store. Installer une application depuis un fichier APK externe représente un risque majeur.

Ensuite, il est important de se méfier des fichiers reçus de contacts inconnus. Si un fichier vidéo est accompagné d’un message insistant pour une mise à jour ou une installation, il est préférable de le supprimer immédiatement. Vérifier le type de fichier peut également permettre de détecter une tentative d’infection : un fichier portant une extension inhabituelle (.exe ou .apk) envoyé via Telegram est presque toujours suspect.

L’installation d’un logiciel antivirus est également recommandée. Une solution de sécurité efficace permet de détecter les logiciels malveillants avant qu’ils ne s’installent et de bloquer les processus suspects en arrière-plan. Une analyse régulière du téléphone peut aider à repérer les fichiers ou applications malveillantes déjà installés.

Enfin, il est essentiel d’activer l’authentification à deux facteurs (2FA) sur Telegram. Cette mesure de sécurité ajoute une couche supplémentaire de protection, rendant le vol de compte beaucoup plus difficile, même si le mot de passe a été compromis. La vérification régulière de la liste des sessions actives dans les paramètres de sécurité de Telegram permet également de détecter rapidement une connexion suspecte.

Que faire en cas de compromission ?

Si votre compte Telegram a été compromis par EvilLoader, il est important d’agir rapidement pour limiter les dégâts. La première étape consiste à changer immédiatement le mot de passe de Telegram depuis un autre appareil non infecté. Cela permet de révoquer la session active du pirate.

Ensuite, il faut vérifier la liste des sessions actives dans les paramètres de sécurité de Telegram. Si des connexions suspectes apparaissent depuis des appareils ou des localisations inhabituelles, il est essentiel de les fermer immédiatement.

Il est également recommandé de supprimer le fichier malveillant téléchargé, ainsi que toutes les applications suspectes récemment installées. Une analyse complète de l’appareil à l’aide d’un logiciel antivirus est indispensable pour s’assurer qu’aucun autre fichier corrompu ne reste actif dans le système.

Chiffrement, Cybersécurité

QSDC : Une avancée majeure dans la communication quantique ?

La communication quantique aurait franchit un nouveau cap et s’impose comme une technologie clé pour l’avenir de la cybersécurité. Des chercheurs chinois auraient réussi à transmettre des données sur 104,8 km via une fibre optique, avec une vitesse stable de 2,38 Kbps (soit environ 2 380 bits par seconde, ce qui correspond à l’envoi d’un message texte d’environ 300 à 400 caractères, soit une cinquantaine de mots, chaque seconde). Cette prouesse technologique ouvre de nouvelles perspectives en matière de transmission sécurisée des informations.

Un bond technologique sans précédent ?

Des scientifiques de l’Université Tsinghua, en collaboration avec des experts de l’Académie des sciences de l’information quantique de Pékin et de l’Université de technologie de Chine du Nord, auraient accompli une percée significative dans le domaine de la communication quantique. Cette avancée s’inscrit dans un contexte de recherche intensive sur les technologies quantiques, où chaque progrès permet de repousser les limites de la transmission sécurisée des données.

En combinant des techniques innovantes avec des matériaux plus performants, les chercheurs ont pu surmonter certaines des principales contraintes, telles que la fragilité des états quantiques, les pertes de signal sur de longues distances et l’instabilité des qubits, qui entravaient jusqu’ici l’adoption à grande échelle de cette technologie. qui entravaient jusqu’ici l’adoption à grande échelle de cette technologie.

Grâce à leur nouveau protocole de communication directe quantique (QSDC), ils ont non seulement battu le record de distance pour la transmission sécurisée de données, mais ils ont également multiplié la vitesse de transmission par 4 760 par rapport à leurs travaux précédents.

Jusqu’à présent, les avancées en communication quantique étaient freinées par des limitations techniques, notamment en termes de vitesse et de stabilité. En 2021, la même équipe avait réussi à transmettre des données sur 100 km, mais à un débit extrêmement bas de 0,5 bits par seconde.

Une technologie sécurisée et efficace

Le protocole QSDC repose sur l’utilisation d’états quantiques uniques pour transmettre des informations, rendant ces dernières totalement immunisées contre toute tentative d’interception non autorisée. Contrairement aux méthodes de cryptographie traditionnelles qui nécessitent des clés de chiffrement, la communication quantique détecte immédiatement toute tentative d’espionnage, empêchant ainsi toute fuite de données.

L’un des progrès majeurs de cette nouvelle avancée est l’adoption d’une méthode de transmission unidirectionnelle. Ce procédé permet de réduire considérablement la perte d’états quantiques, garantissant ainsi une meilleure stabilité de la transmission. En parallèle, le système de codage des données a été optimisé pour minimiser l’impact du bruit, un facteur clé dans l’amélioration de la fiabilité de la communication.

« Cette avancée représente une révolution dans la protection des données, en garantissant une sécurité sans précédent aux transmissions numériques. »

Vers une adoption à grande échelle

La mise en application de cette technologie s’annonce prometteuse dans des secteurs nécessitant une protection renforcée des données. Les institutions financières, les agences gouvernementales ainsi que les systèmes d’infrastructures critiques sont les premiers candidats à bénéficier de cette avancée. Avec une transmission inviolable et fiable sur de longues distances, la communication quantique pourrait bien redéfinir les normes de sécurité numérique dans les prochaines décennies.

Le développement de réseaux de communication quantiques sécurisés s’inscrit dans une dynamique plus large d’avancées en informatique quantique. D’autres progrès notables incluent l’augmentation des capacités des processeurs quantiques, avec des entreprises comme IBM et Google développant des qubits plus stables et exploitables à grande échelle.

Le qubits, un terme étrange pour exprimer les bits quantiques, des unités fondamentales de l’information en informatique quantique, capables d’exister dans plusieurs états simultanément grâce au principe de superposition. Pour tenter de simplifier, DataSecurityBreach.fr y voir comme une pièce de monnaie qui tourne en l’air : tant qu’elle n’est pas retombée, on ne sait pas si c’est pile ou face. En informatique classique, un bit est soit un 0 soit un 1. Mais un qubit peut être les deux en même temps, ce qui lui permet de faire plusieurs calculs en parallèle et d’être bien plus puissant pour certaines tâches.

IBM a dévoilé son processeur quantique Condor à 1 121 qubits, actuellement le plus grand processeur quantique en termes de nombre de qubits, destiné à des applications de recherche avancées et à l’exploration de la tolérance aux erreurs quantiques, tandis que Google a démontré la suprématie quantique avec son processeur Sycamore, un dispositif à 53 qubits, qui a réalisé en 200 secondes un calcul qu’un superordinateur mettrait 10 000 ans à accomplir.

Google travaille également sur le processeur Bristlecone à 72 qubits, soit l’équivalent d’un immense orchestre où chaque musicien joue une note en même temps, mais avec la capacité unique d’être dans plusieurs tonalités simultanément. Il est conçu pour améliorer la correction d’erreurs quantiques et renforcer la stabilité des calculs, capable d’effectuer en 200 secondes un calcul qu’un superordinateur classique mettrait 10 000 ans à résoudre.

De plus, l’informatique quantique ouvre de nouvelles perspectives en intelligence artificielle, permettant de traiter des ensembles de données complexes avec une rapidité inégalée. Par exemple, les algorithmes quantiques pourraient révolutionner l’optimisation des réseaux de neurones, rendant l’entraînement des modèles IA des milliers de fois plus rapide. De plus, dans la découverte de nouveaux médicaments, la simulation quantique pourrait analyser instantanément des milliards de combinaisons moléculaires, accélérant ainsi le développement de traitements médicaux. Enfin, en finance, l’IA quantique pourrait améliorer la détection des fraudes en analysant d’énormes quantités de transactions en un temps record.

En cybersécurité, l’IA quantique pourrait améliorer la détection des cyberattaques en analysant en temps réel des anomalies dans le trafic réseau, rendant les menaces détectables bien plus tôt. De plus, les algorithmes de chiffrement post-quantique, combinant IA et informatique quantique, visent à créer des protocoles de sécurité résistants aux attaques des futurs ordinateurs quantiques capables de casser les méthodes de chiffrement classiques.

Toutefois, malgré ces avancées, des défis subsistent. Les systèmes quantiques sont sensibles aux perturbations extérieures, rendant leur mise en œuvre encore complexe. De plus, leur coût élevé constitue un frein à leur adoption massive. Néanmoins, les recherches actuelles visent à surmonter ces limitations pour rendre ces technologies plus accessibles et fiables à long terme. à grande échelle devient désormais une perspective réaliste. À mesure que la technologie évolue, son intégration dans les infrastructures existantes pourrait révolutionner le paysage numérique mondial.

« Une transmission 4 760 fois plus rapide qu’en 2022 ouvre la voie à des applications concrètes de la communication quantique. »

La course au quantique : Chine vs. États-Unis

Derrière ces avancées technologiques se cache une compétition féroce entre les grandes puissances mondiales. La Chine et les États-Unis se livrent une véritable course à la suprématie quantique, chacune investissant massivement dans la recherche et le développement de ces technologies révolutionnaires. Pékin avec des projets comme le satellite quantique Micius, premier satellite dédié à la communication quantique lancé en 2016, permettant des transmissions sécurisées entre la Chine et l’Autriche via l’intrication quantique et des infrastructures de communication ultra-sécurisées, comme le réseau quantique reliant Pékin à Shanghai, qui assure des communications protégées contre toute interception. De leur côté, les États-Unis, soutenus par des géants comme IBM et Google, travaillent sur des ordinateurs quantiques de plus en plus puissants et des réseaux sécurisés.

Cette rivalité technologique dépasse le cadre scientifique : elle revêt également des enjeux géopolitiques et économiques majeurs. La nation qui maîtrisera en premier la communication quantique à grande échelle pourrait redéfinir les normes de cybersécurité, de défense et de gestion des données sensibles dans le monde entier.

L’ère de la communication ultra-sécurisée est-elle sur le point de voir le jour ? Quels seront les prochains défis à surmonter avant une adoption généralisée de cette technologie ? Quels seront les prochains défis à surmonter avant une adoption généralisée de cette technologie ?

Cybersécurité, Entreprise

Le piège des fausses invitations à des réunions en ligne

Les cyberattaques ne cessent d’évoluer, exploitant des failles humaines et techniques pour infiltrer les systèmes d’information. Une nouvelle campagne de phishing, orchestrée par le groupe de hackers Storm-2372, illustre cette menace grandissante en ciblant les utilisateurs de services de messagerie comme Microsoft Teams, WhatsApp et Signal.

Depuis six mois, un stratagème sophistiqué permet à ces cybercriminels d’accéder à des ressources sensibles sans passer par l’authentification multi facteur. En envoyant de fausses invitations à des réunions en ligne, ils exploitent un mécanisme d’authentification par code d’appareil pour détourner l’accès aux fichiers, communications et mails des victimes. Cette campagne cible des gouvernements et des secteurs clés comme la défense, la santé et les télécommunications, mettant en évidence la nécessité d’un renforcement des politiques de cybersécurité.

Une méthode redoutable basée sur l’authentification par code d’appareil

Contrairement aux attaques classiques de phishing qui redirigent les utilisateurs vers des pages web frauduleuses, cette nouvelle méthode repose sur l’exploitation des processus d’authentification de plateformes légitimes. Lorsqu’un utilisateur clique sur une invitation piégée, il est dirigé vers l’interface d’authentification de son application de messagerie habituelle. On lui demande alors de renseigner un code d’appareil, une procédure qui semble anodine. Cependant, ce code active une application malveillante qui accorde un accès total aux hackers.

Ce stratagème est particulièrement pernicieux car il contourne la vigilance habituelle des utilisateurs. Il ne nécessite même pas la saisie d’un mot de passe, ce qui réduit la suspicion et accélère la compromission des comptes. Une fois l’accès obtenu, les bad hackers peuvent exploiter les ressources du compte cible de manière prolongée, même si l’utilisateur modifie son mot de passe par la suite.

Une menace mondiale pour les secteurs stratégiques

Les gouvernements et les entreprises des secteurs critiques sont en première ligne de cette vague de cyberattaques. La défense, la santé et les télécommunications constituent des cibles stratégiques en raison des données hautement sensibles qu’elles gèrent.

Les conséquences d’une intrusion peuvent être dévastatrices : espionnage industriel, perturbation des infrastructures critiques ou encore vol massif d’informations confidentielles. Cette campagne rappelle l’importance d’une politique de cybersécurité robuste et adaptée aux nouvelles techniques d’attaque.

Selon Fabien Lavabre, Directeur de la sécurité chez Tixeo, la prévention et la réaction rapide sont essentielles pour limiter l’impact de ces attaques. Il recommande plusieurs mesures clés pour renforcer la sécurité des organisations face à ces stratagèmes de phishing sophistiqués :

  • Former les utilisateurs aux nouvelles formes de phishing afin d’augmenter leur vigilance.
  • Restreindre les autorisations d’accès aux applications tierces pour limiter les risques de compromission.
  • Renforcer les contrôles d’accès et la détection des connexions suspectes afin d’intervenir rapidement en cas d’intrusion.
  • Mettre en place un processus clair pour réagir efficacement en cas de compromission d’un compte.
  • Auditer régulièrement les applications autorisées et supprimer celles qui ne sont plus utiles.

Ces recommandations visent à minimiser les risques et à garantir une meilleure résilience face aux cybermenaces qui évoluent constamment.

Storm-2372, kesako

Storm-2372 est un groupe de hackers malveillant que Microsoft pense être aligné sur les intérêts et les méthodes de la Russie. Depuis août 2024, ce groupe mène des campagnes de phishing sophistiquées ciblant divers secteurs, notamment les gouvernements, les ONG, les services informatiques, la défense, les télécommunications, la santé, l’enseignement supérieur et l’énergie, à travers l’Europe, l’Amérique du Nord, l’Afrique et le Moyen-Orient.

La technique principale utilisée par Storm-2372 est le « phishing par code d’appareil« . Cette méthode exploite le flux d’authentification par code d’appareil pour capturer les jetons d’authentification des utilisateurs, leur permettant ainsi d’accéder aux comptes ciblés et aux données associées sans nécessiter de mot de passe.

Les attaquants peuvent maintenir un accès persistant tant que ces jetons restent valides.

Les campagnes de Storm-2372 impliquent souvent l’envoi d’invitations à des réunions en ligne via des services de messagerie tels que WhatsApp, Signal et Microsoft Teams. Les victimes sont incitées à entrer un code d’appareil sur une page de connexion légitime, ce qui permet aux attaquants de capturer les jetons d’accès et de compromettre les comptes.

Pour se protéger contre de telles attaques, il est recommandé de bloquer l’utilisation du flux de code d’appareil lorsque cela est possible, de restreindre son utilisation aux appareils et réseaux de confiance via des politiques d’accès conditionnel, d’éduquer les utilisateurs sur les techniques de phishing, de mettre en œuvre une authentification multifactorielle (MFA) et d’utiliser des méthodes d’authentification résistantes au phishing.

Un avenir toujours plus complexe pour la cybersécurité ?

Alors que les cyberattaques deviennent de plus en plus sophistiquées, les organisations doivent sans cesse adapter leurs stratégies de protection. Cette campagne de phishing souligne à quel point les hackers sont capables d’exploiter les mécanismes légitimes d’authentification pour contourner les dispositifs de sécurité traditionnels. Comment les entreprises et les gouvernements pourront-ils anticiper ces menaces et s’adapter à un paysage numérique toujours plus hostile ?

Pour suivre l’actualité cybersécurité en temps réel, inscrivez-vous à la newsletter et rejoignez nos canaux WhatsApp et réseaux sociaux !

Cybersécurité, Hacking, IA

Le cyber espionnage chinois bondit de 150 %

Un rapport met en évidence une augmentation spectaculaire des cyberattaques, notamment une hausse de 150 % des activités cyber chinoises et une explosion des manipulations assistées par l’intelligence artificielle. Le paysage de la cybersécurité se complexifie dangereusement.

La menace cybernétique mondiale ne cesse de croître, portée par des acteurs étatiques et cybercriminels de plus en plus sophistiqués. Le Global Threat Report 2025 de CrowdStrike dévoile des chiffres inquiétants : une augmentation de 442 % des attaques de vishing, une montée en flèche des cyberattaques chinoises et des intrusions sans malware qui défient les solutions de sécurité traditionnelles. Face à ces nouvelles menaces, les entreprises et les gouvernements doivent revoir leurs stratégies et adopter une approche plus proactive pour anticiper les cyberattaques de demain.

L’espionnage cyber chinois atteint des sommets

Les attaques cyber chinoises ont connu une augmentation de 150 %, avec une explosion de 300 % pour les secteurs critiques comme la finance, l’industrie et les médias. En 2024, sept nouveaux groupes de pirates chinois ont été identifiés, illustrant une montée en puissance agressive des opérations d’espionnage commanditées par Pékin. Ces attaques visent avant tout l’acquisition de données sensibles et l’infiltration de réseaux stratégiques.

Cette recrudescence s’inscrit dans une tendance globale où les États-nations exploitent des cyber opérations pour asseoir leur influence géopolitique. Ces actions sont souvent menées sous le couvert de sociétés écran ou via des groupes affiliés, compliquant leur détection et leur attribution. L’espionnage économique et industriel reste une priorité pour ces cyber opérateurs qui ciblent en priorité les innovations technologiques et les secrets commerciaux.

En 2024, sept nouveaux groupes d’attaquants liés à la Chine, contribuant à une hausse de 150 % des cyberattaques d’espionnage.

L’intelligence artificielle au service des cybercriminels

L’ingénierie sociale assistée par l’IA est désormais une arme incontournable pour les cybercriminels. Le rapport met en lumière une augmentation de 442 % des attaques de vishing, où des voix synthétiques convaincantes sont utilisées pour tromper les victimes et dérober des informations sensibles. Des groupes tels que CURLY SPIDER, CHATTY SPIDER et PLUMP SPIDER ont perfectionné ces techniques pour contourner les systèmes de détection et infiltrer des réseaux sécurisés.

L’Iran, de son côté, a exploité l’IA pour identifier des vulnérabilités et développer des exploits ciblant les infrastructures critiques. Cette utilisation offensive de l’intelligence artificielle permet aux attaquants de déployer des campagnes de piratage plus efficaces et difficiles à repérer. Par ailleurs, l’essor des intrusions sans malware complique la tâche des équipes de cybersécurité : désormais, 79 % des attaques initiales ne reposent plus sur des logiciels malveillants mais sur l’exploitation d’identifiants volés.

Exergue : Le vishing a explosé de 442 % en 2024, porté par l’ingénierie sociale assistée par l’intelligence artificielle.

Une cybersécurité sous pression

Les entreprises et institutions doivent faire face à une réduction drastique des délais d’intrusion. En 2024, le temps moyen pour compromettre un système est passé à 48 minutes, avec un record de 51 secondes. Cette rapidité rend la détection et la réponse d’autant plus complexes, nécessitant une approche unifiée et en temps réel.

Les attaques internes sont également en hausse, notamment sous l’impulsion du groupe FAMOUS CHOLLIMA, lié à la Corée du Nord. En 2024, ce groupe a été impliqué dans 304 incidents de cybersécurité, dont 40 % provenaient de cybercriminels infiltrés sous de fausses identités pour accéder aux systèmes. Par ailleurs, les intrusions dans le cloud ont augmenté de 26 % en un an, les cybercriminels exploitant des comptes légitimes pour masquer leur présence et éviter la détection.

Banque, Cybersécurité, Social engineering

Les tentatives de fraude par « deepfakes » : +2137% en 3 ans

Les tentatives de fraude utilisant des deepfakes ont explosé de 2137 % en trois ans, selon une étude. Cette évolution inquiète le secteur financier, contraint de renforcer ses mesures de cybersécurité pour contrer ces usurpations d’identité sophistiquées.

Les deepfakes, ces faux contenus générés par intelligence artificielle, ne sont plus seulement une curiosité technologique. Leur utilisation à des fins frauduleuses explose, particulièrement dans le secteur financier, où les tentatives de fraude par usurpation d’identité ont bondi de 2137 % depuis trois ans. L’étude de Signicat révèle une augmentation alarmante des attaques visant à prendre le contrôle des comptes bancaires ou à manipuler les procédures d’authentification. Pourtant, seulement 22 % des institutions financières se sont équipées d’outils de détection basés sur l’IA. Face à cette menace grandissante, les entreprises doivent repenser leurs stratégies et adopter des solutions multicouches alliant biométrie, intelligence artificielle et surveillance continue pour sécuriser leurs clients et leurs opérations.

La montée en puissance des deepfakes dans la fraude financière

Les deepfakes, ces falsifications numériques ultraréalistes générées par intelligence artificielle, ont bouleversé le paysage de la fraude financière. Autrefois peu répandus, ils sont aujourd’hui l’un des types d’usurpation d’identité les plus courants. Selon l’étude, 42,5 % des tentatives de fraude détectées dans le secteur financier reposent sur l’IA. En trois ans, les deepfakes sont passés de l’ombre à la lumière, devenant une arme redoutable pour les cybercriminels. L’un des cas les plus retentissants (et publics) : cette visioconférence où seule la comptable était humaine.

Cette technologie est exploitée principalement à travers deux types d’attaques. Les attaques par présentation consistent à manipuler les systèmes de reconnaissance en utilisant des vidéos en temps réel ou des images truquées. Elles sont souvent utilisées pour tromper les processus d’authentification faciale. L’un des cas les plus connu, avec masque en silicone et visioconférence trouble, l’affaire de l’ex Ministre de la Défense Le Drian.

Les attaques par injection, plus sophistiquées, visent à insérer directement des deepfakes dans des systèmes bancaires via des logiciels malveillants, contournant ainsi les vérifications biométriques et les processus KYC (Know Your Customer).

L’évolution rapide de ces techniques met en difficulté les systèmes traditionnels de détection des fraudes, qui peinent à différencier un deepfake d’une véritable interaction humaine.

Des institutions financières en retard face à la menace

Malgré la montée en flèche des fraudes basées sur l’IA, une grande majorité des institutions financières ne disposent toujours pas d’outils de prévention adaptés. L’étude de Signicat révèle qu’à peine 22 % des entreprises du secteur financier ont intégré des solutions de détection basées sur l’intelligence artificielle. Ce retard expose les banques, fintechs et entreprises de paiement à des risques accrus, alors même que les cybercriminels perfectionnent leurs méthodes.

Le Chief Product & Marketing Officer de Signicat, Pinar Alpay, met en garde : « Il y a trois ans, les attaques par deepfake ne représentaient que 0,1 % des tentatives de fraude détectées. Aujourd’hui, elles représentent 6,5 %, soit 1 cas sur 15. Les fraudeurs exploitent des techniques que les systèmes classiques ne peuvent plus identifier. […] En combinant intelligence artificielle, biométrie et authentification renforcée, les entreprises peuvent mieux protéger leurs clients et leurs opérations« , souligne-t-elle.

L’enjeu dépasse la simple mise à jour des technologies. Il s’agit également d’éduquer les employés et les clients pour qu’ils puissent identifier les signaux d’alerte d’une fraude par deepfake et éviter d’être piégés par ces usurpations d’identité avancées.

Vers une protection multicouche face aux deepfakes

Face à cette explosion des fraudes par deepfake, une seule solution s’impose : adopter une protection multicouche. L’étude insiste sur la nécessité d’une approche combinée, intégrant plusieurs niveaux de défense pour anticiper et bloquer ces attaques sophistiquées.

DataSecuritybreach.fr recommande une approche en quatre étapes :

  1. Une évaluation précoce des risques : identifier rapidement les comportements suspects grâce à l’intelligence artificielle.
  2. Une authentification renforcée : utiliser la biométrie faciale et des méthodes de vérification d’identité avancées.
  3. Une surveillance continue : mettre en place un contrôle en temps réel pour détecter toute tentative de fraude en cours.
  4. La formation et la veille : former ses équipes et mettre en place une veille des fuites de données impactant l’entreprise, les salariés, Etc. peuvent permettre la prise de conscience active face à du Social Engineering via deepfake.

L’adoption de ces nouvelles pratiques devient urgente. Sans une réaction rapide, les entreprises risquent de devenir les victimes privilégiées d’une cybercriminalité dopée à l’IA.

L’essor des deepfakes dans la fraude financière démontre une chose : les cybercriminels ont toujours un temps d’avance sur les systèmes de protection traditionnels. Face à une augmentation vertigineuse des tentatives d’usurpation d’identité, les entreprises doivent accélérer l’intégration de solutions de cybersécurité avancées. Mais seront-elles capables d’adapter leurs systèmes assez vite pour contenir cette menace ?

Pour suivre l’actualité cybersécurité en temps réel, inscrivez-vous à la newsletter et rejoignez nos canaux WhatsApp et réseaux sociaux !

Cybersécurité, Entreprise, Social engineering

Cybermenaces 2025 : l’évolution inquiétante des attaques

L’année 2025 s’annoncerait comme un tournant décisif dans le monde de la cybersécurité. Un rapport met en évidence une escalade alarmante des cyberattaques. Cinq tendances majeures se dégagent : des extorsions plus agressives, une vulnérabilité accrue des chaînes d’approvisionnement et du cloud, une accélération des attaques, l’essor des menaces internes, et l’utilisation croissante de l’IA par les cybercriminels.

Derrière ces évolutions se cachent des groupes de cybercriminels toujours plus sophistiqués et des États-nations exploitant la technologie à des fins stratégiques. Le rapport, basé sur l’analyse de plus de 500 cyberattaques majeures en 2024, révèle une dynamique où la rapidité et la sophistication des attaques dépassent souvent la capacité de réponse des entreprises.

L’extorsion prend une nouvelle dimension : du rançongiciel à la destruction opérationnelle

Les cyberattaques par ransomware continuent d’évoluer. Les groupes criminels ne se contentent plus de chiffrer les fichiers et d’exiger une rançon. Aujourd’hui, la destruction intentionnelle des systèmes devient un levier de pression supplémentaire pour forcer les entreprises à payer. Le rapport décrit trois phases d’évolution des attaques par extorsion :

Phase 1 : le chiffrement des fichiers – Une méthode classique où les pirates bloquent l’accès aux données et réclament une rançon.
Phase 2 : l’exfiltration des données – Les hackers menacent de publier des informations sensibles en plus de bloquer l’accès.
Phase 3 : la perturbation massive des opérations – Au-delà de l’attaque numérique, les pirates suppriment des données, sabotent des infrastructures et harcèlent employés et clients.

86 % des attaques recensées en 2024 ont entraîné des interruptions opérationnelles majeures. Les rançons demandées ont augmenté de 80 %, atteignant une médiane de 1,25 million de dollars.

Chaînes d’approvisionnement et cloud : des failles de plus en plus exploitées

Le rapport de Palo Alto et de son équipe Unit42 révèle une explosion des attaques ciblant les chaînes d’approvisionnement logicielles et les environnements cloud. En 2024, 29 % des incidents concernaient des ressources cloud, et 21 % des cas ont vu des pirates perturber directement ces infrastructures.

Les cybercriminels exploitent des vulnérabilités dans les identités et accès (IAM), profitant d’erreurs de configuration et d’identifiants exposés. Dans un cas étudié par Unit 42, des attaquants ont scanné 230 millions de cibles uniques pour trouver des données sensibles mal protégées.

L’exploitation de failles dans les VPN et les applications SaaS est aussi en hausse. Des groupes comme Bling Libra et Muddled Libra s’infiltrent dans des systèmes cloud en abusant de politiques d’accès trop permissives et d’erreurs humaines, ce qui leur permet d’exfiltrer et de détruire des volumes massifs de données.

Les cyberattaques accélèrent : des heures, voire des minutes, pour réagir

L’un des constats les plus alarmants du rapport est l’accélération sans précédent des cyberattaques. Grâce à l’automatisation, aux kits de hacking prêts à l’emploi et à l’IA, les pirates peuvent compromettre un système et exfiltrer des données en moins d’une heure.

Les chiffres clés

25 % des attaques exfiltrent des données en moins de 5 heures (contre 15 heures en 2021).
19 % des attaques exfiltrent des données en moins d’une heure.
Temps médian pour l’exfiltration : 2 jours – une course contre la montre pour les défenseurs.
Un cas marquant du rapport concerne le groupe RansomHub, qui a infiltré un réseau municipal et exfiltré 500 Go de données en seulement sept heures, après avoir contourné une connexion VPN sans authentification multi-facteurs.

La montée en puissance des menaces internes : le rôle croissant des États-nations

L’année 2024 a vu une explosion des menaces internes orchestrées par des États-nations, notamment la Corée du Nord. Le nombre d’attaques de ce type a triplé, ciblant des secteurs variés comme la finance, les médias, la logistique et même des entreprises technologiques.

Le rapport détaille la tactique du groupe Wagemole, qui infiltre des entreprises via de faux employés en postes techniques sensibles. Ces agents : Exfiltrent des données sensibles. Introduisent des outils de surveillance clandestins. Altèrent du code source pour insérer des portes dérobées dans des logiciels critiques. L’utilisation de dispositifs KVM-over-IP permet également aux attaquants de prendre le contrôle de machines distantes sans être détectés par les outils de cybersécurité traditionnels.

L’IA : nouvelle arme des cybercriminels

Si l’intelligence artificielle est un atout pour les défenseurs, elle devient aussi une arme redoutable pour les attaquants. L’IA générative permet de créer des campagnes de phishing hyper réalistes ; De générer des malwares polymorphes, difficiles à détecter ; De simuler des voix et des visages pour tromper les entreprises et exécuter des attaques d’ingénierie sociale. Un test mené par Unit 42 a montré qu’un cybercriminel utilisant l’IA pouvait accélérer une attaque de 100 fois, réduisant le temps d’exfiltration de 2 jours à seulement 25 minutes.

Chiffrement, cryptage, Cybersécurité

La menace quantique sur la cryptographie et la réponse de Google Cloud

L’avancée continue de l’informatique quantique expérimentale soulève des inquiétudes quant à la sécurité des systèmes de cryptographie à clé publique les plus utilisés dans le monde. Une fois suffisamment développés, ces ordinateurs quantiques pourraient briser ces algorithmes, menaçant la confidentialité des données et l’intégrité des transactions numériques.

Depuis août 2024, les nouvelles normes de cryptographie post-quantique (PQC) du National Institute of Standards and Technology (NIST) permettent aux entreprises technologiques d’amorcer leur transition vers des solutions plus sûres. Google Cloud vient d’annoncer la prévisualisation de signatures numériques quantiquement sûres (FIPS 204/FIPS 205) dans son service Google Cloud Key Management Service (Cloud KMS) pour les clés logicielles. Cette annonce marque une étape importante dans la stratégie post-quantique de Google, qui inclut également ses modules de sécurité matérielle (Cloud HSM) et l’ensemble de son infrastructure de chiffrement.

Une stratégie post-quantique déployée sur plusieurs fronts

Dès 2016, l’entreprise a commencé à tester la PQC dans Chrome, puis en 2022, elle a commencé à l’utiliser pour protéger ses communications internes. Depuis, elle a mis en place plusieurs mesures pour renforcer ses protections, notamment dans ses serveurs de centres de données et dans les connexions entre Chrome Desktop et ses services comme Gmail et Cloud Console.

Désormais, Google Cloud KMS s’oriente vers une sécurisation totale contre les menaces quantiques. Cela inclut le support des algorithmes PQC standardisés par le NIST (FIPS 203, FIPS 204, FIPS 205 et futurs standards) en logiciel et en matériel. Cette approche vise à permettre aux clients de Google Cloud d’importer et d’échanger des clés de manière sécurisée, d’exécuter des opérations de chiffrement et de déchiffrement et de générer des signatures numériques résistantes aux futures attaques quantiques.

Une transition vers une infrastructure cryptographique transparente

Dans le but de garantir une transparence totale et une auditabilité de son code, Google mettra à disposition les implémentations logicielles de ces standards pour Cloud KMS en open source. Elles seront intégrées aux bibliothèques cryptographiques ouvertes BoringCrypto et Tink, développées par Google. Cette initiative vise à permettre aux entreprises et aux experts en sécurité d’analyser ces algorithmes et de les intégrer à leurs propres solutions de sécurité.

De plus, Google collabore activement avec les fournisseurs de modules de sécurité matérielle (HSM) et les partenaires de Google Cloud External Key Manager (EKM) afin d’assurer une migration réussie vers une cryptographie post-quantique pour tous les clients de Google Cloud.

Lancement des signatures numériques quantiquement sûres dans Cloud KMS

Une avancée majeure de cette stratégie est l’introduction des signatures numériques quantiquement sûres dans Cloud KMS. Cette nouvelle fonctionnalité permet aux clients d’utiliser l’API Cloud KMS pour signer numériquement des données et vérifier les signatures à l’aide d’algorithmes PQC standardisés par le NIST. Cette évolution est essentielle pour aider les entreprises à tester et intégrer ces nouvelles méthodes dans leurs flux de travail avant leur adoption élargie.

Les nouvelles signatures numériques de Cloud KMS offrent deux algorithmes PQC récents : ML-DSA-65 (basé sur les réseaux euclidiens, spécifié dans FIPS 204) et SLH-DSA-SHA2-128S (une signature basée sur le hachage sans état, définie dans FIPS 205). Ces signatures sont conçues pour résister aux attaques des futurs adversaires disposant d’ordinateurs quantiques capables de casser les systèmes cryptographiques classiques.

Google remplace l’authentification par SMS par un code QR plus sécurisé

Aprés le quantique, les mots de passe et la double authentification. Google prévoit de modifier son système d’authentification en deux étapes (2FA) en abandonnant l’envoi de codes par SMS au profit d’un code QR. Cette nouvelle mesure vise à renforcer la sécurité des comptes et à limiter les risques liés à l’interception des SMS.

Le système actuel repose sur l’envoi d’un code à six chiffres par SMS pour vérifier l’identité de l’utilisateur. Cependant, Google estime que ce procédé présente des failles, notamment la possibilité d’interception des SMS par des cybercriminels. Ces derniers peuvent utiliser diverses techniques comme l’attaque par SIM swapping ou le phishing pour obtenir ces codes et compromettre les comptes des utilisateurs.

Bien que la vérification en deux étapes par SMS reste préférable à une absence totale de protection, elle demeure vulnérable à des attaques sophistiquées. Google cherche donc à améliorer la protection des comptes en adoptant une méthode plus robuste.

Le code QR, une alternative plus fiable ?

L’alternative envisagée par Google repose sur l’utilisation d’un code QR. Concrètement, lorsqu’un utilisateur tente de se connecter à son compte Google sur un nouvel appareil, il devra scanner un code QR avec son smartphone. Cette approche, similaire à celle utilisée par l’application Itsme, offre plusieurs avantages : Contrairement aux SMS, les codes QR ne transitent pas par un réseau mobile potentiellement vulnérable.  Un simple scan permet une authentification rapide sans nécessité de mémoriser ou de saisir un code. L’authentification par QR nécessite un accès physique à l’appareil de l’utilisateur, ce qui complique grandement les tentatives d’usurpation.

Google et la lutte contre les faux comptes

Outre l’amélioration de la sécurité individuelle, Google espère aussi limiter la création massive de faux comptes Gmail utilisés pour envoyer du spam ou mener des campagnes de phishing. Actuellement, les criminels peuvent générer des milliers de comptes en automatisant la réception et l’insertion de codes SMS. L’utilisation d’un code QR pour valider un compte complique ces pratiques et renforce la fiabilité des comptes créés.

Pour suivre l’actualité cybersécurité en temps réel, inscrivez-vous à la newsletter et rejoignez nos canaux WhatsApp et réseaux sociaux !