Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Cybersécurité, Securite informatique

Mora_001 : un nouveau ransomware exploite des failles Fortinet

Une nouvelle opération de ransomware nommée Mora_001 exploite deux vulnérabilités critiques dans les pare-feux Fortinet. Cette menace, liée au groupe LockBit, met en danger des infrastructures sensibles malgré la publication de correctifs.

Depuis le début de l’année, une nouvelle campagne de ransomware appelée Mora_001 inquiète les experts en cybersécurité. Le groupe exploite deux vulnérabilités majeures dans les pare-feux Fortinet, identifiées sous CVE-2024-55591 et CVE-2025-24472. La Cybersecurity and Infrastructure Security Agency (CISA) a réagi rapidement en janvier, ordonnant aux agences fédérales de corriger la première faille dans un délai d’une semaine seulement — un des délais les plus courts jamais imposés. Malgré la publication des correctifs, les attaques se multiplient. Des chercheurs ont découvert que Mora_001 utilise un ransomware baptisé SuperBlack, une variante modifiée de LockBit 3.0. Ce groupe semble maîtriser les tactiques héritées de LockBit tout en adaptant ses méthodes pour contourner les dispositifs de sécurité.

Une exploitation des failles fortinet

En janvier, la CISA a ordonné une correction immédiate de la faille CVE-2024-55591 après avoir constaté son exploitation active dans des environnements critiques. Fortinet a rapidement confirmé la vulnérabilité, avant de mettre à jour son alerte en y ajoutant CVE-2025-24472.

Les intrusions ont commencé à la fin du mois de janvier, avec une intensification notable à partir du 2 février. Mora_001 cible principalement les interfaces de gestion des pare-feux Fortigate visibles depuis internet. Une fois le système compromis, le ransomware SuperBlack est rapidement déployé.

Le groupe a adopté une stratégie d’attaque en plusieurs étapes : infiltration par exploitation des failles, prise de contrôle des pare-feux, chiffrement des fichiers critiques et exfiltration des données. Les attaquants laissent ensuite une note de rançon, exigeant une somme importante pour restaurer l’accès aux systèmes. Le groupe exploite ces failles depuis fin janvier. Les attaques ciblent des organisations qui n’ont pas appliqué les mises à jour de sécurité ou qui présentent des configurations de pare-feu vulnérables.

« Mora_001 exploite une combinaison de méthodes opportunistes et de tactiques sophistiquées héritées de LockBit. »

SuperBlack : une variante de LockBit 3.0

Le ransomware SuperBlack déployé par Mora_001 est directement inspiré de LockBit 3.0 (aussi appelé LockBit Black). Des similitudes dans la structure du chiffrement, le processus d’exfiltration des données et le contenu de la note de rançon.

La principale différence réside dans la personnalisation du code. Mora_001 a retiré toutes les références à LockBit dans la note de rançon. Les attaquants utilisent également un exécutable d’exfiltration de données sur mesure, conçu pour automatiser le transfert d’informations vers des serveurs externes.

La fuite du builder LockBit 3.0 en 2022 a permis à plusieurs groupes cybercriminels de développer leurs propres variantes de ransomware. Mora_001 semble avoir intégré des éléments techniques issus de LockBit, tout en adoptant des pratiques utilisées par d’autres groupes comme BlackCat/ALPHV.

Les méthodes employées par Mora_001 montrent une capacité d’adaptation impressionnante. Les attaquants utilisent des techniques connues tout en introduisant de nouvelles méthodes d’infiltration. Cette flexibilité rend les détections traditionnelles plus difficiles.

« Le ransomware SuperBlack combine la puissance du chiffrement de LockBit avec une nouvelle approche d’exfiltration de données. »

Des liens avec LockBit

Mora_001 ne cache pas son héritage. Les experts ont identifié plusieurs indices techniques reliant le groupe à l’écosystème LockBit. Le code du ransomware, le modèle de chiffrement et la structure des notes de rançon rappellent fortement LockBit 3.0.

Les chercheurs de Forescout estiment que Mora_001 pourrait être une cellule indépendante affiliée à LockBit, ou un groupe utilisant simplement le code du builder LockBit 3.0. L’analyse des communications entre les attaquants montre également une proximité avec des canaux utilisés par LockBit.

L’adoption de tactiques utilisées par BlackCat/ALPHV renforce la thèse d’une coopération ou d’un échange de pratiques entre ces groupes. Cette convergence des méthodes complique la réponse des équipes de cybersécurité.

Mora_001 exploite d’abord une vulnérabilité dans le pare-feu Fortinet pour obtenir un accès initial. Une fois l’accès établi, le ransomware SuperBlack est déployé. Le chiffrement des fichiers est rapide, souvent terminé en quelques minutes. Les attaquants laissent une note de rançon personnalisée et lancent le processus d’exfiltration des données vers des serveurs externes.

L’exécutable utilisé pour l’exfiltration est difficile à détecter car il masque son activité en utilisant des processus légitimes du système. Les attaquants suppriment également les journaux de sécurité pour compliquer la traçabilité. Le groupe utilise des techniques d’accès similaires à celles de LockBit, mais avec une exécution plus rapide. L’infiltration initiale est souvent indétectable jusqu’au déclenchement du processus de chiffrement.

Une menace persistante

Malgré la publication des correctifs par Fortinet, les attaques se poursuivent. Certaines organisations n’ont pas encore appliqué les mises à jour ou présentent des failles de configuration dans leurs pare-feux. DataSecurityBreach.fr recommande une correction immédiate des vulnérabilités et un renforcement des configurations de sécurité. La surveillance des accès réseau et la limitation des connexions aux interfaces de gestion sont des mesures essentielles pour réduire le risque d’attaque.

Les experts s’attendent à ce que Mora_001 adapte encore son mode opératoire dans les mois à venir. Le succès initial de cette campagne pourrait encourager d’autres groupes à adopter des tactiques similaires. Dernier point, alors que plusieurs membres importants de LockBit, comme l’un des administrateurs extradé aux USA en mars 2025, l’ombre de LockBit continue de roder sous d’autres formes !

Cybersécurité, Justice

La cybercriminalité en France en 2024 : analyse des 348 000 infractions enregistrées

En 2024, la cybercriminalité en France a atteint un niveau alarmant avec 348 000 infractions enregistrées. Les atteintes aux biens, aux personnes et aux institutions progressent.

La cybercriminalité continue de croître en France. En 2024, les services de sécurité ont recensé 348 000 crimes et délits liés au numérique, confirmant une tendance préoccupante. Si les atteintes aux biens numériques restent majoritaires, les infractions visant les personnes, les institutions et les législations spécifiques au numérique enregistrent une forte hausse. Le profil des victimes révèle des disparités notables : les femmes sont plus souvent ciblées par des atteintes aux personnes, tandis que les hommes sont davantage concernés par les infractions liées aux biens. Le recours à la plateforme Thésée pour signaler les escroqueries numériques se développe, traduisant une prise de conscience croissante du phénomène. Cette analyse met en lumière la nécessité d’adapter les dispositifs de prévention et de répression face à une cybercriminalité qui se complexifie.

Les atteintes numériques aux biens : une baisse légère mais une menace persistante

En 2024, les atteintes numériques aux biens restent la catégorie d’infractions la plus fréquente, représentant 226 300 cas. Ce chiffre marque une légère baisse de 1 % par rapport à 2023, signalant une stabilisation relative après plusieurs années de hausse.

Parmi ces infractions :

  • 50 800 plaintes ont été déposées via la plateforme Thésée, dédiée aux escroqueries numériques.
  • Les atteintes aux biens numériques incluent le vol de données bancaires, la fraude en ligne, le piratage de comptes, ainsi que les arnaques à la fausse identité.

 « 50 800 escroqueries numériques signalées via Thésée en 2024, confirmant l’ampleur du phénomène. »

Bien que la tendance globale soit à la baisse, la menace reste préoccupante en raison de la sophistication croissante des techniques utilisées par les cybercriminels. L’augmentation des méthodes de phishing (hameçonnage) et des ransomwares (logiciels de rançon) illustre cette adaptation constante des fraudeurs.

Les atteintes numériques aux personnes : une hausse inquiétante

En 2024, les atteintes numériques aux personnes ont connu une augmentation marquée de 7 %, atteignant 103 300 infractions. Ce chiffre reflète la montée des cyberharcèlements, des usurpations d’identité et des atteintes à la vie privée.

Les victimes sont majoritairement des femmes :

  • 66 % des victimes majeures sont des femmes.
  • 70 % des victimes mineures sont également des filles.

Ce déséquilibre souligne la vulnérabilité accrue des femmes face à certaines formes de violence numérique, notamment le revenge porn (diffusion non consentie d’images intimes) et le cyberharcèlement sexuel.

« Deux tiers des victimes d’atteintes numériques aux personnes sont des femmes, révélant une vulnérabilité spécifique. »

La progression constante des cyberattaques ciblant les individus appelle une réponse renforcée, notamment à travers une sensibilisation accrue des jeunes publics et un accompagnement juridique adapté.

Service de Veille ZATAZ – 96% de satisfaction

Les atteintes numériques aux institutions et aux législations spécifiques : une croissance rapide

Atteintes numériques aux institutions

Les attaques visant les institutions (administrations, entreprises publiques, collectivités) ont également progressé de 7 % en 2024, avec 1 700 infractions recensées.

  • Les attaques par déni de service (DDoS) et les intrusions dans les réseaux informatiques sont les techniques les plus employées.
  • Les attaques ayant pour objectif de déstabiliser les services publics ou de voler des données sensibles sont en augmentation.

Atteintes aux législations spécifiques

Les infractions liées aux législations numériques (non-respect du RGPD, violation des droits d’auteur, contenus illicites) progressent plus rapidement, avec une hausse de 10 % en 2024 pour atteindre 1 500 infractions.

  • La forte augmentation du nombre de personnes mises en cause pour ce type d’infractions (+41 %) illustre la complexité croissante des litiges numériques.
  • Les sanctions liées aux infractions numériques sont également en augmentation, traduisant une volonté des autorités de renforcer la réponse judiciaire face à ces délits.

Le profil des auteurs : des tendances qui se confirment

Le nombre de personnes mises en cause pour des infractions numériques progresse également :

  • +3 % pour les atteintes numériques aux biens.
  • +6 % pour les atteintes numériques aux personnes.
  • +14 % pour les atteintes numériques aux institutions (contre +30 % sur la période 2016-2023).
  • +41 % pour les infractions aux législations numériques (contre +2 % sur la période 2016-2023).

Cette hausse rapide du nombre de mises en cause montre une professionnalisation des cybercriminels, souvent organisés en réseaux. Les atteintes directement dirigées contre les infrastructures numériques (piratage, virus, attaques DDoS) ont reculé de 4 % en 2024, avec 17 100 infractions recensées. Cette baisse pourrait s’expliquer par le renforcement des dispositifs de cybersécurité déployés par les institutions publiques et les grandes entreprises. Cependant, les cybercriminels adaptent constamment leurs méthodes, rendant cette baisse potentiellement temporaire.

Type d’atteinte Nombre d’infractions (2024) Évolution par rapport à 2023 Nombre de mises en cause (2024) Évolution des mises en cause
Atteintes aux biens 226 300 -1 % +3 % Stabilité
Atteintes aux personnes 103 300 +7 % +6 % Hausse constante
Atteintes aux institutions 1 700 +7 % +14 % Ralentissement
Atteintes aux législations spécifiques 1 500 +10 % +41 % Forte hausse
ASTAD 17 100 -4 % Non communiqué —

Pour rester informé des dernières menaces numériques et des bonnes pratiques de sécurité, abonnez-vous à notre newsletter cyber et suivez-nous sur WhatsApp.

Cybersécurité, IA

DeepSeek : 12 000 Clés API Exposées — L’IA, nouvelle faille de sécurité ?

Une récente analyse a révélé qu’environ 12 000 clés API, mots de passe et jetons d’authentification ont été accidentellement exposés lors de l’entraînement du modèle d’IA de DeepSeek sur des données accessibles en ligne. Cette fuite met en évidence les risques liés à l’utilisation de données publiques pour l’entraînement des modèles d’intelligence artificielle (IA).

Une fuite de grande ampleur

L’incident concerne un jeu de données issu de Common Crawl, une bibliothèque publique qui archive des copies de pages web du monde entier. En décembre 2024, une analyse de ce jeu de données, représentant 400 téraoctets et comprenant 47,5 millions de sites et 2,67 milliards de pages, a permis d’identifier une quantité alarmante d’informations sensibles.

Les chercheurs ont découvert près de 12 000 clés API et informations d’authentification valides. Ces clés donnaient accès à des services critiques comme Amazon Web Services (AWS), Slack et Mailchimp. Une partie des informations trouvées était directement intégrée dans le code source des pages HTML, exposée sans aucune protection.

Un cas frappant concerne une clé API de WalkScore, retrouvée 57 029 fois sur 1 871 sous-domaines différents. Cette diffusion massive d’une seule clé démontre le manque de contrôle dans la gestion des informations sensibles par certaines entreprises.

Une mauvaise gestion des clés API

L’analyse a montré que 63 % des clés d’accès étaient réutilisées dans plusieurs environnements, augmentant considérablement le risque d’attaques en cascade. Si une clé compromise est utilisée sur plusieurs services, un attaquant pourrait exploiter cette faille pour pénétrer plusieurs systèmes simultanément.

Le cas de Mailchimp est particulièrement préoccupant : plus de 1 500 clés API ont été retrouvées dans le jeu de données, directement accessibles dans le code côté client. Une clé Mailchimp exposée pourrait permettre à un pirate d’envoyer des emails de phishing depuis le compte légitime d’une entreprise, augmentant ainsi le taux de réussite des attaques.

Certaines pages web contenaient même des informations de connexion root (administrateur), offrant potentiellement à un attaquant un contrôle total sur le système cible. Une telle situation pourrait entraîner des conséquences dévastatrices, comme la perte de contrôle d’une infrastructure critique.

Le problème structurel de l’entraînement des modèles d’IA

Ce type de fuite met en lumière une faille structurelle dans le développement des modèles d’IA. Les modèles comme DeepSeek sont entraînés sur de vastes ensembles de données issues d’internet, incluant des bases de code, des forums de développeurs et des bases de données publiques. Ces ensembles de données contiennent souvent, par négligence, des informations sensibles comme des clés API ou des mots de passe.

Lorsque ces modèles sont entraînés sur des données contenant des failles de sécurité, ils peuvent reproduire ces vulnérabilités dans le code généré. Certains modèles de langage, comme GitHub Copilot, sont capables de suggérer des clés API ou des mots de passe dans le code généré, simplement parce qu’ils ont été entraînés sur des données comportant ce type d’information.

Cette capacité des modèles d’IA à « imiter » les failles de sécurité pose un défi majeur. Si un modèle reproduit ces vulnérabilités dans un code déployé en production, le risque de voir des attaques ciblées se multiplier devient réel.

Un risque de propagation des failles

L’absorption de données vulnérables par des modèles d’IA soulève le risque d’une propagation des failles à grande échelle. Si un modèle d’IA intègre des clés API ou des mots de passe dans le code qu’il génère, les conséquences pourraient être catastrophiques. Un attaquant pourrait alors exploiter ce code vulnérable pour infiltrer plusieurs systèmes, ouvrant la voie à des attaques en cascade.

Un modèle d’IA entraîné sur des données contenant des failles pourrait également influencer les développeurs à adopter des pratiques risquées, simplement en générant du code qui reproduit ces vulnérabilités.

Cyber-attaque, Cybersécurité

Sécurité électorale : le rôle de la CISA fragilisé par le retrait du soutien fédéral

La CISA a terminé son examen interne sur la sécurité électorale, mais refuse de rendre ses conclusions publiques. Cette décision suscite des inquiétudes parmi les responsables locaux qui craignent une fragilisation des infrastructures électorales face aux cybermenaces.

L’Agence de cybersécurité et de sécurité des infrastructures (CISA) a récemment terminé un examen interne sur la sécurité électorale. Cependant, elle a décidé de ne pas publier les résultats, invoquant la nature confidentielle du document. Cette décision intervient dans un contexte de tension croissante, alors que le ministère de la Sécurité intérieure (DHS) a récemment mis fin au financement du Centre d’analyse et de partage d’informations sur l’infrastructure électorale (EI-ISAC), géré par le Center for Internet Security (CIS). Cette coupure budgétaire prive de nombreux États et collectivités locales de services essentiels en matière de cybersécurité, augmentant ainsi leur vulnérabilité face aux menaces potentielles. Les responsables électoraux locaux s’inquiètent du manque de soutien fédéral à l’approche des prochaines élections, ce qui pourrait compromettre la sécurité et l’intégrité du processus démocratique.

L’Agence de cybersécurité et de sécurité des infrastructures (CISA) a récemment terminé une évaluation interne sur la sécurité électorale, mais a choisi de ne pas en dévoiler les conclusions. Cette décision, confirmée cette semaine par un porte-parole de l’agence, soulève des inquiétudes profondes chez les responsables électoraux à travers le pays. Alors que le paysage électoral américain est marqué par une augmentation constante des menaces cybernétiques, la décision de la CISA de conserver cette évaluation comme un document confidentiel est perçue par beaucoup comme un manque de transparence qui pourrait affaiblir la capacité des juridictions locales à se défendre contre d’éventuelles attaques.

Un porte-parole de la CISA a déclaré que ce rapport est destiné à orienter les futures stratégies de l’agence en matière de protection des infrastructures critiques, mais qu’il ne sera pas rendu public. Cette déclaration a immédiatement suscité une réaction de la part des responsables électoraux et des experts en cybersécurité, qui estiment que le manque de transparence pourrait avoir des conséquences graves à l’approche des élections.

Tim Harper, analyste politique senior pour le Centre pour la démocratie et la technologie, a critiqué cette décision en affirmant que sans un accès clair aux résultats de cette évaluation, les responsables électoraux ne sauront pas quelles menaces spécifiques sont susceptibles de peser sur eux ni quelles stratégies de défense adopter. Selon lui, la CISA joue un rôle central dans la protection du processus démocratique, et le fait de priver les administrations locales d’informations cruciales pourrait nuire à la sécurité globale des élections.

La décision de la CISA de garder ces conclusions secrètes intervient dans un contexte particulièrement délicat. Les menaces contre les infrastructures électorales ont augmenté de manière significative au cours des quatre dernières années, avec une multiplication des cyberattaques, des campagnes de désinformation et des tentatives d’influence étrangère. Les juridictions locales, qui manquent souvent de ressources techniques et de personnel spécialisé, comptaient sur l’expertise et le soutien logistique de la CISA pour combler ces lacunes. Cette absence de transparence risque de creuser un fossé supplémentaire entre le gouvernement fédéral et les administrations locales, alors que la coopération entre ces deux niveaux est cruciale pour assurer la sécurité du processus électoral.

Le retrait du soutien fédéral au CIS met en péril la sécurité des élections

La fin de la coopération entre le ministère de la Sécurité intérieure (DHS) et le Center for Internet Security (CIS) a accentué la vulnérabilité des infrastructures électorales. Le CIS gérait jusqu’ici le Centre d’analyse et de partage d’informations sur l’infrastructure électorale (EI-ISAC), un programme essentiel de surveillance et de réponse aux cyberattaques. Depuis sa création en 2018, l’EI-ISAC fournissait un soutien technique de premier plan aux juridictions électorales locales, notamment grâce à la mise en place des capteurs Albert, des dispositifs capables de détecter les tentatives d’intrusion en temps réel.

La décision du DHS de mettre fin au financement du CIS a été officialisée dans une note interne datée du 14 février. Selon ce document, le département estimait que l’EI-ISAC ne correspondait plus aux objectifs stratégiques du DHS. Cette rupture de financement a eu un effet immédiat : la majorité des États sont désormais interdits, pour des raisons légales, de continuer à utiliser les services de l’EI-ISAC. Cette situation place les autorités locales dans une position délicate, les obligeant à chercher des solutions alternatives souvent plus coûteuses et moins fiables.

Scott McDonell, greffier du comté de Dane dans le Wisconsin, a exprimé sa frustration face à cette situation. Il a expliqué que son comté s’appuyait fortement sur le capteur Albert fourni par le CIS pour surveiller son réseau informatique en continu. Ce dispositif permettait de détecter immédiatement toute tentative d’intrusion et de lancer une réponse rapide pour limiter les dégâts. Désormais privé de ce soutien, McDonell envisage de faire appel à un fournisseur privé pour remplacer le capteur Albert, mais le coût de cette alternative représente un défi budgétaire majeur.

Le problème ne se limite pas à la cybersécurité. Le CIS fournissait également une assistance technique précieuse aux responsables électoraux, en organisant des sessions de formation et en partageant des renseignements actualisés sur les menaces en cours. Wesley Wilcox, superviseur des élections dans le comté de Marion en Floride, a rappelé que l’EI-ISAC jouait un rôle essentiel en créant une « salle de situation » qui permettait de coordonner la réponse des différentes juridictions en cas d’attaque à grande échelle. La fin de ce soutien stratégique laisse un vide difficile à combler, surtout à l’approche des élections.

Ce retrait du soutien fédéral risque également d’exacerber les inégalités entre les juridictions électorales. Les grandes villes et les États les mieux financés pourront sans doute trouver des solutions alternatives, mais les comtés ruraux et les petites municipalités, qui dépendent largement de l’aide fédérale, risquent de se retrouver sans défense face à une menace grandissante. Le modèle de sécurité électorale américain, basé sur une coopération entre le gouvernement fédéral et les administrations locales, est désormais remis en question.

Une situation critique à l’approche des élections ?

La perte de soutien fédéral survient à un moment particulièrement critique. Les menaces pesant sur les infrastructures électorales américaines sont en constante évolution. Les cyberattaques sont de plus en plus sophistiquées et ciblées. Les services de renseignement américains ont déjà signalé une augmentation des tentatives d’ingérence étrangère dans le processus électoral, et les attaques par rançongiciel contre les systèmes informatiques locaux sont devenues monnaie courante.

L’absence de soutien fédéral pourrait également nuire à la capacité des juridictions locales à répondre efficacement aux menaces physiques. La CISA avait joué un rôle clé ces dernières années en aidant les autorités locales à renforcer la sécurité physique des bureaux de vote et en formant le personnel électoral à gérer les situations de crise. En l’absence de ces ressources, les administrations locales risquent de se retrouver mal préparées face à une situation d’urgence.

Tim Harper a mis en garde contre le risque d’une réaction en chaîne : si une attaque venait à perturber le processus électoral dans une juridiction locale, le manque de soutien technique et logistique pourrait rapidement se transformer en une crise nationale. Selon lui, la transparence est la clé pour éviter ce scénario. Il exhorte la CISA à publier son évaluation interne et à rétablir un dialogue ouvert avec les responsables électoraux.

La pression monte également du côté des associations professionnelles. Le mois dernier, l’Association nationale des secrétaires d’État a adressé une lettre à la secrétaire du DHS, Kristi Noem, pour lui demander de rétablir le financement du CIS et de maintenir le soutien technique aux juridictions locales. Les responsables électoraux estiment que le gouvernement fédéral a une responsabilité directe dans la protection du processus démocratique, et que priver les juridictions locales de ce soutien revient à affaiblir la résilience du système électoral dans son ensemble.

La sécurité des élections américaines repose sur une coopération étroite entre le gouvernement fédéral, les États et les autorités locales. Le retrait du soutien fédéral et le manque de transparence de la CISA créent un climat d’incertitude qui pourrait avoir des répercussions profondes sur la confiance des électeurs. Si ces problèmes ne sont pas rapidement résolus, les prochaines élections pourraient se dérouler dans un contexte de vulnérabilité accrue, avec un risque réel d’ingérence et de perturbation du processus électoral.

Le retrait du soutien fédéral à la cybersécurité électorale laisse les juridictions locales vulnérables à des attaques sophistiquées et à une désinformation croissante.

La décision de la CISA de garder son rapport interne confidentiel prive les responsables électoraux de renseignements stratégiques essentiels pour assurer la sécurité des élections.

Cybersécurité, Entreprise

Arnaque au faux ransomware : des lettres physiques ciblent les cadres dirigeants​

Des escrocs envoient des lettres physiques à des cadres dirigeants, prétendant appartenir au groupe de ransomware BianLian, pour extorquer des rançons allant jusqu’à 500 000 dollars.​

Une nouvelle escroquerie cible les cadres dirigeants en leur envoyant des lettres physiques prétendant provenir du groupe de ransomware BianLian. Ces lettres affirment que des données sensibles ont été volées et menacent de les publier si une rançon, payable en Bitcoin, n’est pas versée dans les dix jours. Les montants exigés varient entre 250 000 et 500 000 dollars. Les autorités américaines, notamment le FBI et la Cybersecurity and Infrastructure Security Agency (CISA), alertent sur cette menace et recommandent aux entreprises de rester vigilantes face à cette tentative d’extorsion.​

Un mode opératoire inédit

Contrairement aux méthodes traditionnelles des cybercriminels qui privilégient les courriels ou les messages électroniques pour leurs tentatives d’extorsion, cette arnaque se distingue par l’utilisation de lettres physiques envoyées par la poste. Les enveloppes, marquées « Time Sensitive Read Immediately » (Lecture urgente), sont adressées directement aux cadres supérieurs, souvent à leurs domiciles personnels ou professionnels. Elles contiennent une lettre prétendant que le groupe « BianLian » a infiltré le réseau de l’organisation et a dérobé des milliers de fichiers sensibles. La menace est claire : si une rançon n’est pas payée en Bitcoin dans un délai de dix jours, les données seront publiées sur des sites de fuite associés à BianLian. ​

Des indices révélateurs d’une escroquerie

Plusieurs éléments laissent penser que ces lettres sont l’œuvre d’escrocs usurpant l’identité du véritable groupe BianLian. Tout d’abord, les lettres contiennent une adresse de retour basée à Boston, Massachusetts, ce qui est inhabituel pour un groupe de ransomware généralement associé à des acteurs internationaux. De plus, aucune preuve concrète de vol de données n’est fournie dans les lettres, et aucun moyen de contacter les auteurs pour négocier n’est mentionné, ce qui est contraire aux pratiques habituelles des groupes de ransomware. Les autorités n’ont pas identifié de lien entre les expéditeurs de ces lettres et le groupe BianLian connu. ​

Cibles privilégiées et montants exigés

Les lettres ont principalement été envoyées à des cadres du secteur de la santé aux États-Unis, avec des demandes de rançon variant entre 150 000 et 500 000 dollars. Dans certains cas, les lettres incluent un mot de passe compromis dans la section « How did this happen? » (Comment cela est-il arrivé ?), probablement pour ajouter de la crédibilité à leur revendication. Cependant, aucune activité indicative d’une intrusion par ransomware n’a été détectée dans les organisations ciblées, ce qui suggère que cette campagne vise à exploiter la peur pour inciter les organisations à payer une rançon pour une intrusion qui n’a jamais eu lieu. ​

Les lettres contiennent une adresse de retour basée à Boston, Massachusetts, ce qui est inhabituel pour un groupe de ransomware généralement associé à des acteurs internationaux.​

Recommandations des autorités

Il est recommandé aux entreprises de prendre les mesures suivantes pour se protéger contre cette escroquerie :​

Sensibilisation interne : Informer les cadres et les employés de l’existence de cette arnaque afin qu’ils soient vigilants s’ils reçoivent de telles lettres.​

Vérification des systèmes : S’assurer que les défenses du réseau sont à jour et qu’aucune activité malveillante n’est en cours.​

Signalement : En cas de réception d’une telle lettre, contacter immédiatement les autorités de votre pays (Police Nationale, Etc.).​

Les autorités insistent sur l’importance de ne pas céder à la panique et de ne pas effectuer de paiement sans avoir vérifié la véracité des allégations. Il est essentiel de suivre les protocoles de réponse aux incidents et de collaborer avec les forces de l’ordre pour gérer la situation de manière appropriée. ​

Le véritable groupe BianLian

Le groupe BianLian est un développeur de ransomware et un groupe cybercriminel spécialisé dans l’extorsion de données, probablement basé en Russie. Depuis juin 2022, le FBI a observé que le groupe BianLian a affecté des organisations dans plusieurs secteurs d’infrastructures critiques aux États-Unis.

En Australie, l’ACSC a observé que le groupe BianLian cible principalement des entreprises privées, y compris une organisation d’infrastructure critique. Le groupe BianLian employait initialement un modèle de double extorsion dans lequel ils exfiltraient des fichiers financiers, clients, commerciaux, techniques et personnels à des fins de levier et chiffraient les systèmes des victimes. En 2023, le FBI a observé que le groupe BianLian s’est principalement orienté vers l’extorsion basée sur l’exfiltration, laissant les systèmes des victimes intacts. ​

Cette nouvelle méthode d’escroquerie souligne l’ingéniosité des cybercriminels pour exploiter la peur et l’urgence chez leurs victimes. Le Social Engineering (Ingénierie sociale), une méthode qui est vieille comme le monde est plus efficace encore grâce au numérique. Il est crucial pour les organisations de rester informées des menaces émergentes et de renforcer les protocoles de sécurité. La vigilance, la sensibilisation et la collaboration avec les autorités sont essentielles pour contrer ces tentatives d’extorsion.

Cybersécurité, Mise à jour, Patch

vulnérabilité initialement localisée, désormais mondiale !

Une vulnérabilité critique affectant les scripts PHP, connue sous le nom de CVE-2024-4577, est devenue une menace à l’échelle mondiale, obligeant les défenseurs de la cybersécurité à agir rapidement. Découverte initialement dans le cadre d’attaques ciblant des organisations japonaises, cette faille est désormais exploitée dans plusieurs régions du monde, ont averti les experts en cybersécurité de GreyNoise et Cisco Talos.

Une vulnérabilité initialement localisée, désormais mondiale

La faille CVE-2024-4577 affecte une configuration spécifique appelée PHP-CGI, utilisée pour exécuter des scripts PHP sur des serveurs Web. Détectée pour la première fois au Japon en janvier 2025, elle a été rapidement exploitée par des attaquants cherchant à voler des identifiants d’accès et à établir une présence persistante dans les systèmes compromis.

Dans un rapport publié jeudi, l’équipe de Cisco Talos a révélé que les attaques initiales visaient principalement des organisations japonaises. L’objectif apparent des attaquants était non seulement de voler des identifiants d’accès, mais aussi de s’implanter durablement dans les systèmes ciblés, ouvrant la voie à de futures intrusions et compromissions.

Cependant, ce qui semblait être une campagne de piratage localisée s’est rapidement transformé en une menace mondiale. Vendredi, GreyNoise, une société spécialisée dans le renseignement sur les menaces, a publié un rapport alarmant indiquant que l’exploitation de cette faille s’est étendue à d’autres régions du globe. Des tentatives d’attaques ont été détectées aux États-Unis, à Singapour, au Japon et dans plusieurs autres pays tout au long du mois de janvier 2025.

Un correctif disponible, mais une menace persistante

Le correctif pour cette vulnérabilité a été publié à l’été 2024, mais de nombreuses entreprises n’ont pas encore mis à jour leurs systèmes, laissant un large éventail de cibles potentielles à la merci des attaquants.

La faille CVE-2024-4577 permet une exécution de code à distance (RCE), ce qui signifie que les pirates peuvent prendre le contrôle d’un serveur vulnérable, exécuter des commandes arbitraires et, potentiellement, compromettre l’ensemble du réseau.

GreyNoise a identifié 79 méthodes connues pour exploiter cette faille, soulignant la complexité et la diversité des vecteurs d’attaque. Les chercheurs ont également détecté une augmentation des tentatives d’attaques utilisant cette faille dans le cadre de campagnes coordonnées.

« L’ampleur de l’exploitation de CVE-2024-4577 dépasse de loin nos prévisions initiales », a déclaré un chercheur de GreyNoise. « Les attaquants utilisent des outils sophistiqués, y compris des cadres d’attaque avancés et des serveurs de commande et de contrôle (C2), ce qui laisse penser qu’il s’agit d’une campagne bien organisée. »

Une menace bien plus complexe qu’un simple vol d’identifiants

Selon Cisco Talos, l’attaquant à l’origine des premières attaques au Japon utilisait un serveur de commande et de contrôle (C2) pour déployer une suite complète d’outils malveillants. Cette approche suggère que les motivations vont au-delà du simple vol d’identifiants.

Le serveur C2 permet de contrôler à distance les systèmes compromis, d’exécuter des commandes, d’installer des malwares et de lancer de nouvelles attaques. Les chercheurs craignent que cette faille ne soit utilisée pour installer des backdoors (portes dérobées) et déployer des logiciels espions sur des cibles stratégiques, comme des infrastructures critiques ou des institutions financières.

« Cela ne ressemble pas à une simple campagne d’espionnage économique », a ajouté un chercheur de Cisco Talos. « L’ampleur des outils utilisés et la persistance démontrée par les attaquants laissent penser à une opération à caractère géopolitique. »

Une attaque documentée depuis plusieurs mois

La vulnérabilité CVE-2024-4577 avait déjà été signalée en août 2024 par des chercheurs de Symantec, après avoir été exploitée contre une université de Taiwan. Peu de temps après la publication du correctif, les attaquants avaient testé la faille contre plusieurs cibles en Asie, avant d’étendre leurs opérations à une échelle mondiale.

GreyNoise a également constaté une augmentation notable du trafic lié à cette faille à partir de la fin décembre 2024, avec des pics d’activité importants début janvier 2025. Cette chronologie suggère que les attaquants ont pu peaufiner leurs outils et leurs méthodes avant de lancer une campagne d’envergure mondiale.

L’appel à une action immédiate

Face à cette menace croissante, GreyNoise et Cisco Talos appellent les entreprises et les administrateurs système à une mise à jour immédiate de leurs serveurs PHP.

« Les organisations qui utilisent PHP-CGI doivent immédiatement vérifier leur configuration et installer les derniers correctifs de sécurité », a déclaré GreyNoise dans son rapport. « Le temps presse : chaque heure qui passe sans correction augmente le risque d’une compromission. »

Les chercheurs recommandent également une surveillance renforcée du trafic réseau pour détecter les comportements suspects associés à l’exploitation de CVE-2024-4577. La mise en place de pare-feu et de systèmes de détection d’intrusion (IDS) pourrait également permettre de contenir la menace.

Cisco Talos a également suggéré que les entreprises désactivent la configuration PHP-CGI si elle n’est pas strictement nécessaire, une mesure qui pourrait réduire considérablement la surface d’attaque.

Une faille symptomatique de la fragilité du web

Ce nouvel incident met une fois de plus en lumière la fragilité des infrastructures web face à des menaces sophistiquées. Le langage PHP, créé il y a près de trois décennies, est l’un des piliers du développement web, mais il est aussi une cible privilégiée en raison de son adoption massive et de la complexité de sa gestion.

Pour les experts, cette vulnérabilité souligne le besoin urgent de renforcer les pratiques de sécurité autour des technologies web historiques. Si la faille CVE-2024-4577 est corrigée rapidement, la menace pourrait être contenue. Dans le cas contraire, elle pourrait devenir le point de départ d’une vague d’attaques sans précédent.

Face à une exploitation déjà mondiale, une action rapide s’impose. Les défenseurs de la cybersécurité sont désormais engagés dans une véritable course contre la montre pour éviter que cette vulnérabilité ne soit utilisée dans des attaques de grande ampleur.

Cybersécurité, Securite informatique

Une nouvelle menace sur Android : le virus EvilLoader cible les comptes Telegram

EvilLoader menace les utilisateurs d’Android en ciblant leurs comptes Telegram. Ce logiciel malveillant, déguisé en fichier vidéo, permet aux pirates de prendre le contrôle des appareils infectés et de voler des données confidentielles.

Les utilisateurs d’Android font face à une nouvelle menace sérieuse avec l’apparition du virus EvilLoader. Ce logiciel malveillant utilise une méthode d’infection sournoise en se faisant passer pour une mise à jour légitime de Telegram ou un lecteur multimédia. Lorsqu’un utilisateur tente d’ouvrir un fichier vidéo piégé, une erreur s’affiche, suggérant d’installer une mise à jour. Si l’utilisateur accepte, le virus s’installe discrètement sur l’appareil, donnant ainsi aux pirates un accès total aux données personnelles et aux messages Telegram. Ce type d’attaque s’appuie sur la confiance des utilisateurs envers des plateformes sécurisées comme Telegram, rendant la menace encore plus dangereuse. EvilLoader met en lumière une stratégie d’attaque psychologique qui n’est pas nouvelle, mais un Social Engineering efficace, exploitant la curiosité et le sentiment d’urgence des victimes.

Un virus sournois qui cible les utilisateurs de Telegram

Le virus EvilLoader fonctionne selon un schéma d’attaque bien rodé [Voir vidéo]. Les pirates diffusent des fichiers vidéo corrompus en utilisant des canaux Telegram ou en se faisant passer pour des contacts de confiance. L’utilisateur reçoit un fichier vidéo accompagné d’un message engageant, l’incitant à ouvrir le fichier. Dès qu’il tente de le lancer, une erreur s’affiche, expliquant que le fichier ne peut pas être lu sans une mise à jour de Telegram ou sans l’installation d’un lecteur multimédia. Ce message est conçu pour paraître crédible et pousse l’utilisateur à agir rapidement, créant un sentiment d’urgence qui réduit la méfiance.

Si l’utilisateur télécharge la mise à jour suggérée, EvilLoader s’installe automatiquement sur l’appareil. Le virus prend alors le contrôle du compte Telegram de la victime, récupérant les identifiants de connexion, accédant aux messages privés et interceptant les informations échangées. Pire encore, les pirates peuvent utiliser le compte compromis pour envoyer de nouveaux fichiers malveillants aux contacts de la victime, amplifiant ainsi la portée de l’attaque. Cette capacité à se propager rapidement fait d’EvilLoader une menace particulièrement inquiétante.

Les faux bots Telegram sont souvent utilisés comme point d’entrée pour cette attaque. Les pirates créent de faux comptes se faisant passer pour des services de type « Free Telegram Premium« , promettant des fonctionnalités avancées ou des bonus gratuits. Une fois que l’utilisateur tombe dans le piège et installe le fichier malveillant, le virus s’infiltre dans le système, prenant le contrôle non seulement de Telegram mais aussi d’autres données sensibles stockées sur l’appareil.

Une attaque psychologique basée sur la manipulation

EvilLoader ne repose pas uniquement sur une faille technique, mais également sur une stratégie psychologique redoutable. Les cybercriminels exploitent plusieurs mécanismes mentaux pour pousser la victime à agir sans réfléchir. La première tactique repose sur l’appât de la nouveauté. En promettant des fonctionnalités premium ou des bonus gratuits, les pirates éveillent la curiosité de l’utilisateur, le poussant à ouvrir le fichier corrompu.

Ensuite, le message d’erreur affiché après l’ouverture du fichier joue sur le sentiment d’urgence. L’utilisateur, confronté à une panne apparente, est encouragé à réagir rapidement en installant une mise à jour. Cette pression temporelle empêche souvent une réflexion rationnelle et pousse la victime à suivre aveuglément les instructions affichées.

Enfin, la dernière clé de cette manipulation est la confiance dans Telegram. La plateforme étant reconnue pour son haut niveau de sécurité et son système de chiffrement, les utilisateurs ont tendance à accorder leur confiance à tout ce qui semble provenir de Telegram. Les pirates jouent sur cette confiance pour contourner les défenses naturelles des utilisateurs et faciliter l’installation du virus.

Comment les utilisateurs peuvent-ils se protéger ?

Pour éviter une infection par EvilLoader, il est essentiel d’adopter une approche proactive en matière de cybersécurité. Tout d’abord, il est crucial de ne jamais télécharger d’application ou de mise à jour en dehors des sources officielles. Telegram, comme toutes les grandes plateformes, propose ses mises à jour exclusivement via le Google Play Store. Installer une application depuis un fichier APK externe représente un risque majeur.

Ensuite, il est important de se méfier des fichiers reçus de contacts inconnus. Si un fichier vidéo est accompagné d’un message insistant pour une mise à jour ou une installation, il est préférable de le supprimer immédiatement. Vérifier le type de fichier peut également permettre de détecter une tentative d’infection : un fichier portant une extension inhabituelle (.exe ou .apk) envoyé via Telegram est presque toujours suspect.

L’installation d’un logiciel antivirus est également recommandée. Une solution de sécurité efficace permet de détecter les logiciels malveillants avant qu’ils ne s’installent et de bloquer les processus suspects en arrière-plan. Une analyse régulière du téléphone peut aider à repérer les fichiers ou applications malveillantes déjà installés.

Enfin, il est essentiel d’activer l’authentification à deux facteurs (2FA) sur Telegram. Cette mesure de sécurité ajoute une couche supplémentaire de protection, rendant le vol de compte beaucoup plus difficile, même si le mot de passe a été compromis. La vérification régulière de la liste des sessions actives dans les paramètres de sécurité de Telegram permet également de détecter rapidement une connexion suspecte.

Que faire en cas de compromission ?

Si votre compte Telegram a été compromis par EvilLoader, il est important d’agir rapidement pour limiter les dégâts. La première étape consiste à changer immédiatement le mot de passe de Telegram depuis un autre appareil non infecté. Cela permet de révoquer la session active du pirate.

Ensuite, il faut vérifier la liste des sessions actives dans les paramètres de sécurité de Telegram. Si des connexions suspectes apparaissent depuis des appareils ou des localisations inhabituelles, il est essentiel de les fermer immédiatement.

Il est également recommandé de supprimer le fichier malveillant téléchargé, ainsi que toutes les applications suspectes récemment installées. Une analyse complète de l’appareil à l’aide d’un logiciel antivirus est indispensable pour s’assurer qu’aucun autre fichier corrompu ne reste actif dans le système.

Chiffrement, Cybersécurité

QSDC : Une avancée majeure dans la communication quantique ?

La communication quantique aurait franchit un nouveau cap et s’impose comme une technologie clé pour l’avenir de la cybersécurité. Des chercheurs chinois auraient réussi à transmettre des données sur 104,8 km via une fibre optique, avec une vitesse stable de 2,38 Kbps (soit environ 2 380 bits par seconde, ce qui correspond à l’envoi d’un message texte d’environ 300 à 400 caractères, soit une cinquantaine de mots, chaque seconde). Cette prouesse technologique ouvre de nouvelles perspectives en matière de transmission sécurisée des informations.

Un bond technologique sans précédent ?

Des scientifiques de l’Université Tsinghua, en collaboration avec des experts de l’Académie des sciences de l’information quantique de Pékin et de l’Université de technologie de Chine du Nord, auraient accompli une percée significative dans le domaine de la communication quantique. Cette avancée s’inscrit dans un contexte de recherche intensive sur les technologies quantiques, où chaque progrès permet de repousser les limites de la transmission sécurisée des données.

En combinant des techniques innovantes avec des matériaux plus performants, les chercheurs ont pu surmonter certaines des principales contraintes, telles que la fragilité des états quantiques, les pertes de signal sur de longues distances et l’instabilité des qubits, qui entravaient jusqu’ici l’adoption à grande échelle de cette technologie. qui entravaient jusqu’ici l’adoption à grande échelle de cette technologie.

Grâce à leur nouveau protocole de communication directe quantique (QSDC), ils ont non seulement battu le record de distance pour la transmission sécurisée de données, mais ils ont également multiplié la vitesse de transmission par 4 760 par rapport à leurs travaux précédents.

Jusqu’à présent, les avancées en communication quantique étaient freinées par des limitations techniques, notamment en termes de vitesse et de stabilité. En 2021, la même équipe avait réussi à transmettre des données sur 100 km, mais à un débit extrêmement bas de 0,5 bits par seconde.

Une technologie sécurisée et efficace

Le protocole QSDC repose sur l’utilisation d’états quantiques uniques pour transmettre des informations, rendant ces dernières totalement immunisées contre toute tentative d’interception non autorisée. Contrairement aux méthodes de cryptographie traditionnelles qui nécessitent des clés de chiffrement, la communication quantique détecte immédiatement toute tentative d’espionnage, empêchant ainsi toute fuite de données.

L’un des progrès majeurs de cette nouvelle avancée est l’adoption d’une méthode de transmission unidirectionnelle. Ce procédé permet de réduire considérablement la perte d’états quantiques, garantissant ainsi une meilleure stabilité de la transmission. En parallèle, le système de codage des données a été optimisé pour minimiser l’impact du bruit, un facteur clé dans l’amélioration de la fiabilité de la communication.

« Cette avancée représente une révolution dans la protection des données, en garantissant une sécurité sans précédent aux transmissions numériques. »

Vers une adoption à grande échelle

La mise en application de cette technologie s’annonce prometteuse dans des secteurs nécessitant une protection renforcée des données. Les institutions financières, les agences gouvernementales ainsi que les systèmes d’infrastructures critiques sont les premiers candidats à bénéficier de cette avancée. Avec une transmission inviolable et fiable sur de longues distances, la communication quantique pourrait bien redéfinir les normes de sécurité numérique dans les prochaines décennies.

Le développement de réseaux de communication quantiques sécurisés s’inscrit dans une dynamique plus large d’avancées en informatique quantique. D’autres progrès notables incluent l’augmentation des capacités des processeurs quantiques, avec des entreprises comme IBM et Google développant des qubits plus stables et exploitables à grande échelle.

Le qubits, un terme étrange pour exprimer les bits quantiques, des unités fondamentales de l’information en informatique quantique, capables d’exister dans plusieurs états simultanément grâce au principe de superposition. Pour tenter de simplifier, DataSecurityBreach.fr y voir comme une pièce de monnaie qui tourne en l’air : tant qu’elle n’est pas retombée, on ne sait pas si c’est pile ou face. En informatique classique, un bit est soit un 0 soit un 1. Mais un qubit peut être les deux en même temps, ce qui lui permet de faire plusieurs calculs en parallèle et d’être bien plus puissant pour certaines tâches.

IBM a dévoilé son processeur quantique Condor à 1 121 qubits, actuellement le plus grand processeur quantique en termes de nombre de qubits, destiné à des applications de recherche avancées et à l’exploration de la tolérance aux erreurs quantiques, tandis que Google a démontré la suprématie quantique avec son processeur Sycamore, un dispositif à 53 qubits, qui a réalisé en 200 secondes un calcul qu’un superordinateur mettrait 10 000 ans à accomplir.

Google travaille également sur le processeur Bristlecone à 72 qubits, soit l’équivalent d’un immense orchestre où chaque musicien joue une note en même temps, mais avec la capacité unique d’être dans plusieurs tonalités simultanément. Il est conçu pour améliorer la correction d’erreurs quantiques et renforcer la stabilité des calculs, capable d’effectuer en 200 secondes un calcul qu’un superordinateur classique mettrait 10 000 ans à résoudre.

De plus, l’informatique quantique ouvre de nouvelles perspectives en intelligence artificielle, permettant de traiter des ensembles de données complexes avec une rapidité inégalée. Par exemple, les algorithmes quantiques pourraient révolutionner l’optimisation des réseaux de neurones, rendant l’entraînement des modèles IA des milliers de fois plus rapide. De plus, dans la découverte de nouveaux médicaments, la simulation quantique pourrait analyser instantanément des milliards de combinaisons moléculaires, accélérant ainsi le développement de traitements médicaux. Enfin, en finance, l’IA quantique pourrait améliorer la détection des fraudes en analysant d’énormes quantités de transactions en un temps record.

En cybersécurité, l’IA quantique pourrait améliorer la détection des cyberattaques en analysant en temps réel des anomalies dans le trafic réseau, rendant les menaces détectables bien plus tôt. De plus, les algorithmes de chiffrement post-quantique, combinant IA et informatique quantique, visent à créer des protocoles de sécurité résistants aux attaques des futurs ordinateurs quantiques capables de casser les méthodes de chiffrement classiques.

Toutefois, malgré ces avancées, des défis subsistent. Les systèmes quantiques sont sensibles aux perturbations extérieures, rendant leur mise en œuvre encore complexe. De plus, leur coût élevé constitue un frein à leur adoption massive. Néanmoins, les recherches actuelles visent à surmonter ces limitations pour rendre ces technologies plus accessibles et fiables à long terme. à grande échelle devient désormais une perspective réaliste. À mesure que la technologie évolue, son intégration dans les infrastructures existantes pourrait révolutionner le paysage numérique mondial.

« Une transmission 4 760 fois plus rapide qu’en 2022 ouvre la voie à des applications concrètes de la communication quantique. »

La course au quantique : Chine vs. États-Unis

Derrière ces avancées technologiques se cache une compétition féroce entre les grandes puissances mondiales. La Chine et les États-Unis se livrent une véritable course à la suprématie quantique, chacune investissant massivement dans la recherche et le développement de ces technologies révolutionnaires. Pékin avec des projets comme le satellite quantique Micius, premier satellite dédié à la communication quantique lancé en 2016, permettant des transmissions sécurisées entre la Chine et l’Autriche via l’intrication quantique et des infrastructures de communication ultra-sécurisées, comme le réseau quantique reliant Pékin à Shanghai, qui assure des communications protégées contre toute interception. De leur côté, les États-Unis, soutenus par des géants comme IBM et Google, travaillent sur des ordinateurs quantiques de plus en plus puissants et des réseaux sécurisés.

Cette rivalité technologique dépasse le cadre scientifique : elle revêt également des enjeux géopolitiques et économiques majeurs. La nation qui maîtrisera en premier la communication quantique à grande échelle pourrait redéfinir les normes de cybersécurité, de défense et de gestion des données sensibles dans le monde entier.

L’ère de la communication ultra-sécurisée est-elle sur le point de voir le jour ? Quels seront les prochains défis à surmonter avant une adoption généralisée de cette technologie ? Quels seront les prochains défis à surmonter avant une adoption généralisée de cette technologie ?

Cybersécurité, Entreprise

Le piège des fausses invitations à des réunions en ligne

Les cyberattaques ne cessent d’évoluer, exploitant des failles humaines et techniques pour infiltrer les systèmes d’information. Une nouvelle campagne de phishing, orchestrée par le groupe de hackers Storm-2372, illustre cette menace grandissante en ciblant les utilisateurs de services de messagerie comme Microsoft Teams, WhatsApp et Signal.

Depuis six mois, un stratagème sophistiqué permet à ces cybercriminels d’accéder à des ressources sensibles sans passer par l’authentification multi facteur. En envoyant de fausses invitations à des réunions en ligne, ils exploitent un mécanisme d’authentification par code d’appareil pour détourner l’accès aux fichiers, communications et mails des victimes. Cette campagne cible des gouvernements et des secteurs clés comme la défense, la santé et les télécommunications, mettant en évidence la nécessité d’un renforcement des politiques de cybersécurité.

Une méthode redoutable basée sur l’authentification par code d’appareil

Contrairement aux attaques classiques de phishing qui redirigent les utilisateurs vers des pages web frauduleuses, cette nouvelle méthode repose sur l’exploitation des processus d’authentification de plateformes légitimes. Lorsqu’un utilisateur clique sur une invitation piégée, il est dirigé vers l’interface d’authentification de son application de messagerie habituelle. On lui demande alors de renseigner un code d’appareil, une procédure qui semble anodine. Cependant, ce code active une application malveillante qui accorde un accès total aux hackers.

Ce stratagème est particulièrement pernicieux car il contourne la vigilance habituelle des utilisateurs. Il ne nécessite même pas la saisie d’un mot de passe, ce qui réduit la suspicion et accélère la compromission des comptes. Une fois l’accès obtenu, les bad hackers peuvent exploiter les ressources du compte cible de manière prolongée, même si l’utilisateur modifie son mot de passe par la suite.

Une menace mondiale pour les secteurs stratégiques

Les gouvernements et les entreprises des secteurs critiques sont en première ligne de cette vague de cyberattaques. La défense, la santé et les télécommunications constituent des cibles stratégiques en raison des données hautement sensibles qu’elles gèrent.

Les conséquences d’une intrusion peuvent être dévastatrices : espionnage industriel, perturbation des infrastructures critiques ou encore vol massif d’informations confidentielles. Cette campagne rappelle l’importance d’une politique de cybersécurité robuste et adaptée aux nouvelles techniques d’attaque.

Selon Fabien Lavabre, Directeur de la sécurité chez Tixeo, la prévention et la réaction rapide sont essentielles pour limiter l’impact de ces attaques. Il recommande plusieurs mesures clés pour renforcer la sécurité des organisations face à ces stratagèmes de phishing sophistiqués :

  • Former les utilisateurs aux nouvelles formes de phishing afin d’augmenter leur vigilance.
  • Restreindre les autorisations d’accès aux applications tierces pour limiter les risques de compromission.
  • Renforcer les contrôles d’accès et la détection des connexions suspectes afin d’intervenir rapidement en cas d’intrusion.
  • Mettre en place un processus clair pour réagir efficacement en cas de compromission d’un compte.
  • Auditer régulièrement les applications autorisées et supprimer celles qui ne sont plus utiles.

Ces recommandations visent à minimiser les risques et à garantir une meilleure résilience face aux cybermenaces qui évoluent constamment.

Storm-2372, kesako

Storm-2372 est un groupe de hackers malveillant que Microsoft pense être aligné sur les intérêts et les méthodes de la Russie. Depuis août 2024, ce groupe mène des campagnes de phishing sophistiquées ciblant divers secteurs, notamment les gouvernements, les ONG, les services informatiques, la défense, les télécommunications, la santé, l’enseignement supérieur et l’énergie, à travers l’Europe, l’Amérique du Nord, l’Afrique et le Moyen-Orient.

La technique principale utilisée par Storm-2372 est le « phishing par code d’appareil« . Cette méthode exploite le flux d’authentification par code d’appareil pour capturer les jetons d’authentification des utilisateurs, leur permettant ainsi d’accéder aux comptes ciblés et aux données associées sans nécessiter de mot de passe.

Les attaquants peuvent maintenir un accès persistant tant que ces jetons restent valides.

Les campagnes de Storm-2372 impliquent souvent l’envoi d’invitations à des réunions en ligne via des services de messagerie tels que WhatsApp, Signal et Microsoft Teams. Les victimes sont incitées à entrer un code d’appareil sur une page de connexion légitime, ce qui permet aux attaquants de capturer les jetons d’accès et de compromettre les comptes.

Pour se protéger contre de telles attaques, il est recommandé de bloquer l’utilisation du flux de code d’appareil lorsque cela est possible, de restreindre son utilisation aux appareils et réseaux de confiance via des politiques d’accès conditionnel, d’éduquer les utilisateurs sur les techniques de phishing, de mettre en œuvre une authentification multifactorielle (MFA) et d’utiliser des méthodes d’authentification résistantes au phishing.

Un avenir toujours plus complexe pour la cybersécurité ?

Alors que les cyberattaques deviennent de plus en plus sophistiquées, les organisations doivent sans cesse adapter leurs stratégies de protection. Cette campagne de phishing souligne à quel point les hackers sont capables d’exploiter les mécanismes légitimes d’authentification pour contourner les dispositifs de sécurité traditionnels. Comment les entreprises et les gouvernements pourront-ils anticiper ces menaces et s’adapter à un paysage numérique toujours plus hostile ?

Pour suivre l’actualité cybersécurité en temps réel, inscrivez-vous à la newsletter et rejoignez nos canaux WhatsApp et réseaux sociaux !

Cybersécurité, Hacking, IA

Le cyber espionnage chinois bondit de 150 %

Un rapport met en évidence une augmentation spectaculaire des cyberattaques, notamment une hausse de 150 % des activités cyber chinoises et une explosion des manipulations assistées par l’intelligence artificielle. Le paysage de la cybersécurité se complexifie dangereusement.

La menace cybernétique mondiale ne cesse de croître, portée par des acteurs étatiques et cybercriminels de plus en plus sophistiqués. Le Global Threat Report 2025 de CrowdStrike dévoile des chiffres inquiétants : une augmentation de 442 % des attaques de vishing, une montée en flèche des cyberattaques chinoises et des intrusions sans malware qui défient les solutions de sécurité traditionnelles. Face à ces nouvelles menaces, les entreprises et les gouvernements doivent revoir leurs stratégies et adopter une approche plus proactive pour anticiper les cyberattaques de demain.

L’espionnage cyber chinois atteint des sommets

Les attaques cyber chinoises ont connu une augmentation de 150 %, avec une explosion de 300 % pour les secteurs critiques comme la finance, l’industrie et les médias. En 2024, sept nouveaux groupes de pirates chinois ont été identifiés, illustrant une montée en puissance agressive des opérations d’espionnage commanditées par Pékin. Ces attaques visent avant tout l’acquisition de données sensibles et l’infiltration de réseaux stratégiques.

Cette recrudescence s’inscrit dans une tendance globale où les États-nations exploitent des cyber opérations pour asseoir leur influence géopolitique. Ces actions sont souvent menées sous le couvert de sociétés écran ou via des groupes affiliés, compliquant leur détection et leur attribution. L’espionnage économique et industriel reste une priorité pour ces cyber opérateurs qui ciblent en priorité les innovations technologiques et les secrets commerciaux.

En 2024, sept nouveaux groupes d’attaquants liés à la Chine, contribuant à une hausse de 150 % des cyberattaques d’espionnage.

L’intelligence artificielle au service des cybercriminels

L’ingénierie sociale assistée par l’IA est désormais une arme incontournable pour les cybercriminels. Le rapport met en lumière une augmentation de 442 % des attaques de vishing, où des voix synthétiques convaincantes sont utilisées pour tromper les victimes et dérober des informations sensibles. Des groupes tels que CURLY SPIDER, CHATTY SPIDER et PLUMP SPIDER ont perfectionné ces techniques pour contourner les systèmes de détection et infiltrer des réseaux sécurisés.

L’Iran, de son côté, a exploité l’IA pour identifier des vulnérabilités et développer des exploits ciblant les infrastructures critiques. Cette utilisation offensive de l’intelligence artificielle permet aux attaquants de déployer des campagnes de piratage plus efficaces et difficiles à repérer. Par ailleurs, l’essor des intrusions sans malware complique la tâche des équipes de cybersécurité : désormais, 79 % des attaques initiales ne reposent plus sur des logiciels malveillants mais sur l’exploitation d’identifiants volés.

Exergue : Le vishing a explosé de 442 % en 2024, porté par l’ingénierie sociale assistée par l’intelligence artificielle.

Une cybersécurité sous pression

Les entreprises et institutions doivent faire face à une réduction drastique des délais d’intrusion. En 2024, le temps moyen pour compromettre un système est passé à 48 minutes, avec un record de 51 secondes. Cette rapidité rend la détection et la réponse d’autant plus complexes, nécessitant une approche unifiée et en temps réel.

Les attaques internes sont également en hausse, notamment sous l’impulsion du groupe FAMOUS CHOLLIMA, lié à la Corée du Nord. En 2024, ce groupe a été impliqué dans 304 incidents de cybersécurité, dont 40 % provenaient de cybercriminels infiltrés sous de fausses identités pour accéder aux systèmes. Par ailleurs, les intrusions dans le cloud ont augmenté de 26 % en un an, les cybercriminels exploitant des comptes légitimes pour masquer leur présence et éviter la détection.