Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Le Royaume-Uni frappe Xinbi, plaque tournante crypto

Londres vise Xinbi, une plateforme chinoise de cryptomonnaies accusée d’alimenter fraude industrielle, blanchiment et exploitation forcée, en ciblant cette fois l’infrastructure financière qui soutient les réseaux criminels.

Le Royaume-Uni a placé Xinbi sous sanctions au titre de son régime international de défense des droits humains. La plateforme d’échange en langue chinoise est accusée d’avoir facilité des escroqueries massives en ligne et d’avoir profité de centres frauduleux en Asie du Sud-Est. Il s’agit du premier État à frapper directement cette interface crypto, présentée comme un maillon central d’un écosystème mêlant fraude sentimentale, arnaques à l’investissement, blanchiment et commerce de données volées. L’enjeu dépasse une entreprise isolée. Londres cherche désormais à couper les flux, à perturber les circuits de paiement et à affaiblir la logistique financière qui permet à ces réseaux transnationaux de survivre.

Une sanction pensée pour casser l’ossature financière

La décision britannique ne vise pas seulement une plateforme de plus dans l’univers opaque des cryptomonnaies. Elle cherche un point de pression précis, celui qui permet à des réseaux criminels d’encaisser, de déplacer et de recycler l’argent issu d’escroqueries mondiales. Dans sa désignation officielle, le gouvernement britannique affirme que Xinbi a « permis et tiré profit du fonctionnement de centres d’escroquerie en Asie du Sud-Est ». L’accusation est lourde, car elle place la plateforme au croisement de la fraude numérique et des violations graves des droits fondamentaux.

Stephen Doughty, ministre britannique chargé de l’Europe, de l’Amérique du Nord et des Territoires d’outre-mer, a résumé l’objectif politique de cette mesure. « Nos sanctions d’aujourd’hui envoient un message clair : nous ne permettrons pas que les Britanniques soient victimes de ces escroqueries odieuses ni ne tolérerons les violations flagrantes des droits de l’homme perpétrées dans ces centres d’escroquerie », a-t-il déclaré. Puis il a ajouté : « Nous devons maintenir la pression sur l’argent sale et ceux qui en profitent. »

Le ministère britannique des Affaires étrangères précise que le traitement imposé aux personnes présentes dans ces centres constitue une violation grave du droit à ne pas subir de traitements cruels, inhumains ou dégradants, ainsi que du droit à ne pas être réduit en esclavage, maintenu en servitude ou forcé à travailler. Le cadrage est essentiel. Londres ne présente pas Xinbi comme un simple intermédiaire technique, mais comme une pièce utile à une économie criminelle appuyée sur la contrainte humaine.

Le rapport de Chainalysis renforce cette lecture. La société décrit Xinbi comme un « nœud clé » d’un écosystème crypto vaste et structuré. La plateforme aurait traité plus de 19,9 milliards de dollars entre 2021 et 2025, soit environ 18,3 milliards d’euros, estimation obtenue sur une base indicative de 1 dollar pour 0,92 euro. Elle aurait agi comme une place de marché sous séquestre, mettant en relation des vendeurs de services illicites. Autrement dit, il ne s’agirait pas seulement d’un canal de transaction, mais d’une infrastructure de confiance au service d’activités clandestines.

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

 

Cambodge, travail forcé et logique industrielle de l’arnaque

L’un des points les plus sensibles du dossier concerne le parc n° 8, un complexe d’escroquerie à l’échelle industrielle au Cambodge. Le gouvernement britannique va plus loin et le présente comme la plus grande installation de ce type dans le pays, avec une capacité de 20 000 travailleurs sous contrat. Cette mention change l’échelle du récit. On ne parle plus d’escrocs dispersés derrière des écrans, mais de structures quasi industrielles, organisées comme des sites de production où l’arnaque devient une activité rationalisée.

La désignation de Xinbi souligne précisément son soutien à cet ensemble. En parallèle, Londres a sanctionné Legend Innovation Co, l’exploitant du parc n° 8, ainsi que deux responsables, Thet Li et Hu Xiaowei. Tous sont présentés comme liés au Prince Group, conglomérat décrit comme étant derrière de nombreux complexes comparables dans cet empire de l’escroquerie. Ici, le signal envoyé par les autorités est limpide : il ne suffit plus de poursuivre les exécutants, il faut remonter les chaînes de commandement, les opérateurs logistiques et les outils financiers.

Le nom de Chen Zhi, fondateur du Prince Group, apparaît dans cette mécanique. Selon les éléments fournis, il a été inculpé par des procureurs américains pour blanchiment d’argent en octobre dernier. Son entreprise est accusée d’avoir administré au Cambodge des complexes où des travailleurs et des victimes de traite étaient contraints de mener des escroqueries en ligne et de voler des milliards de dollars à des personnes situées aux États-Unis, en Europe et en Chine. Le texte précise aussi que Zhi a été arrêté au Cambodge en début d’année avant d’être extradé vers la Chine.

L’intérêt stratégique de la décision britannique tient à son angle. L’objectif affiché est d’isoler Xinbi « de l’écosystème crypto légitime », afin de perturber fortement ses opérations en réduisant sa capacité à envoyer et recevoir des transactions en cryptomonnaie. C’est une approche de renseignement financier autant qu’un geste diplomatique. Au lieu de ne viser que des individus, les autorités cherchent à casser la colonne vertébrale des réseaux, c’est-à-dire leurs moyens de circulation monétaire, leurs passerelles de paiement et leurs circuits de blanchiment.

Intesa Sanpaolo sanctionnée pour faille interne

En Italie, un accès illicite aux données de 3 573 clients vaut à Intesa Sanpaolo une lourde sanction, révélatrice d’un angle mort critique dans la surveillance interne.

L’autorité italienne de protection des données a infligé à Intesa Sanpaolo SpA une amende de 36 millions $ (31,8 millions d’euros) après la découverte d’accès injustifiés aux informations bancaires de 3 573 clients entre février 2022 et avril 2024. Le régulateur évoque de graves insuffisances dans la sécurité des données personnelles, liées à des mesures techniques et organisationnelles inadaptées. L’affaire, déclenchée après une fuite de données signalée en juillet 2024, met en lumière un défaut de détection interne, des contrôles jugés trop faibles et une gestion contestée des notifications adressées aux personnes concernées. Plusieurs clients visés étaient en outre considérés comme sensibles ou à haut risque.

Une fuite interne qui expose les failles de contrôle

L’affaire frappe l’une des plus grandes institutions financières italiennes au cœur de sa fonction la plus sensible : la protection des données bancaires. Lundi, l’Autorité italienne de protection des données a annoncé une sanction de 36 millions $ (31,8 millions d’euros) contre Intesa Sanpaolo SpA. En cause, des consultations indues d’informations bancaires concernant plus de 3 500 clients, sur une période de plus de deux ans.

Le dossier a débuté avec une fuite de données rendue publique par la banque en juillet 2024. L’enquête ouverte dans la foulée a permis d’établir qu’un salarié avait accédé, sans motif légitime, aux données de 3 573 clients entre février 2022 et avril 2024. Ce seul calendrier suffit à montrer l’ampleur du problème : il ne s’agit pas d’un incident ponctuel, ni d’une erreur isolée détectée rapidement, mais d’un accès prolongé, répété, et resté invisible durant une période exceptionnellement longue.

Le régulateur décrit des « graves lacunes en matière de sécurité des données personnelles, dues à l’inadéquation des mesures techniques et organisationnelles adoptées ». La formule est lourde de sens. Elle vise à la fois l’architecture de sécurité, les procédures de contrôle, et la gouvernance qui encadre l’accès aux informations les plus sensibles. Dans le secteur bancaire, cet empilement de protections est censé empêcher qu’un employé puisse consulter librement des comptes sans alerte immédiate. Or, selon l’autorité, ce garde-fou n’a pas tenu.

Le communiqué du régulateur insiste sur un point déterminant pour toute analyse cyber : les accès non autorisés n’ont pas été repérés par les systèmes de contrôle interne. Autrement dit, le risque ne vient pas seulement de l’acte fautif d’un employé. Il découle aussi d’une incapacité structurelle à voir, qualifier et interrompre un comportement anormal. Dans une logique de sécurité, l’échec est donc double : la prévention n’a pas suffi, la détection non plus.

Le modèle opérationnel de la banque est lui aussi explicitement mis en cause. Selon l’autorité, les opérateurs pouvaient interroger de manière exhaustive l’ensemble de la clientèle, sans que ce pouvoir soit compensé par des mécanismes aptes à prévenir ou identifier les abus. Cette remarque dépasse le cas individuel. Elle révèle un problème de conception, où l’accessibilité interne aux données l’emporte sur le cloisonnement, alors même que ce type d’exposition crée un risque évident d’espionnage économique, de surveillance ciblée ou d’exploitation de renseignements sensibles.

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

Des clients sensibles et une réponse jugée insuffisante

Le régulateur souligne un autre aspect particulièrement sensible : parmi les personnes concernées figuraient des clients considérés comme « à haut risque », dont des personnalités publiques bien connues. Ce détail change la portée du dossier. Lorsqu’une banque gère des profils exposés, la protection attendue ne relève plus seulement de la conformité de base. Elle touche à la prévention de scénarios plus critiques, où les données financières peuvent alimenter des pressions, des atteintes à la vie privée, des campagnes d’influence ou des opérations de ciblage.

L’autorité estime justement qu’Intesa Sanpaolo aurait dû appliquer à ces comptes des contrôles renforcés. Cette appréciation est centrale. Elle montre que le régulateur ne raisonne pas seulement en nombre de victimes, mais aussi en niveau de sensibilité des informations compromises. Dans une lecture renseignement, la valeur d’une donnée dépend du profil qu’elle concerne, du contexte dans lequel elle est consultée, et de l’usage potentiel qui peut en être fait. L’absence de vigilance supplémentaire pour des clients à risque alourdit donc mécaniquement la gravité du dossier.

L’enquête ne s’est pas arrêtée aux seuls accès illicites. D’autres irrégularités ont été constatées dans la manière dont la banque a géré l’incident après sa découverte. Selon le communiqué, les notifications adressées aux clients concernés étaient incomplètes et envoyées hors des délais prévus par la loi. Là encore, le sujet va au-delà d’un manquement procédural. Dans une crise de données, la qualité de l’information transmise aux victimes est un indicateur direct de maturité. Prévenir tard, ou prévenir partiellement, laisse les personnes exposées sans capacité immédiate d’évaluation ou de réaction.

Intesa Sanpaolo n’a pas souhaité commenter, son porte-parole ayant refusé toute déclaration. Le silence public de l’établissement ne modifie pas les éléments retenus par l’autorité, qui précise avoir calibré l’amende selon plusieurs critères : la gravité des faits, leur durée, le nombre de clients touchés et la manière dont le problème a été traité après sa découverte. Cette méthode de calcul ancre la sanction dans une logique cumulative, où chaque défaillance renforce l’autre.

Au total, cette affaire montre qu’en matière bancaire, la menace interne reste l’un des angles morts les plus dangereux lorsque les droits d’accès sont trop larges et les contrôles trop faibles.

Telegram face à une faille critique encore opaque

Une vulnérabilité critique signalée sur Telegram alerte déjà le secteur cyber, sans preuve d’exploitation active à ce stade, mais avec un niveau de gravité suffisant pour inquiéter chercheurs et défenseurs.

Telegram est confronté à une nouvelle vulnérabilité critique référencée ZDI-CAN-30207, notée 9,8 sur 10 selon l’échelle CVSS. La faille a été inscrite dans la base de la Zero Day Initiative, avec un signalement à l’éditeur daté du 26 mars 2026 et une échéance de divulgation publique fixée au 24 juillet 2026. Aucun détail technique n’a encore été publié, ce qui interdit toute conclusion sérieuse sur un éventuel scénario de compromission à grande échelle. En revanche, les éléments déjà visibles, notamment le vecteur d’attaque annoncé, décrivent un risque potentiellement majeur pour la sécurité de la messagerie et pour la surface d’exposition de ses utilisateurs. Telegram refute le probléme.

Une alerte majeure, mais encore sans mode opératoire public

Les développeurs de Telegram ont désormais une pression claire : corriger rapidement une faille classée comme critique avant que la fenêtre de divulgation ne s’ouvre davantage. La vulnérabilité est identifiée sous la référence ZDI-CAN-30207 dans la liste de la Zero Day Initiative. Selon les informations rendues publiques, elle a été transmise à l’éditeur le 26 mars 2026. La date limite prévue pour une divulgation publique a été arrêtée au 24 juillet 2026.

À ce stade, le point le plus important tient précisément à ce qui manque. Aucun détail technique n’a encore été révélé. La Zero Day Initiative suit habituellement une logique de retenue sur ce type de dossier tant qu’un correctif n’a pas été publié par le fournisseur concerné. Cette pratique vise à éviter qu’une vulnérabilité grave ne soit transformée en guide d’exploitation avant que l’éditeur ait eu le temps de réagir. Dans le cas présent, cela signifie qu’il est impossible d’affirmer avec sérieux qu’un « piratage total » de Telegram serait déjà en cours, ou que des attaques massives exploiteraient la faille à grande échelle.

Cette prudence est essentielle. Dans l’écosystème cyber, les failles critiques attirent immédiatement les surinterprétations. Or, les seules données confirmées publiquement sont l’existence d’une vulnérabilité jugée critique, son inscription dans la base ZDI, l’identité du chercheur et le calendrier de divulgation. Tout le reste relève, pour l’instant, de l’hypothèse. D’un point de vue journalistique comme d’un point de vue renseignement, cette nuance compte. Une faille non documentée n’est pas une attaque constatée. Une note de gravité très élevée n’est pas, à elle seule, la preuve d’une compromission effective.

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

Cela ne réduit pourtant en rien le niveau d’alerte. Le score CVSS de 9,8 sur 10 place d’emblée cette découverte dans la catégorie des vulnérabilités les plus préoccupantes. Une telle note ne garantit pas, à elle seule, l’ampleur du risque réel, mais elle indique qu’au regard des critères standards d’évaluation, le potentiel d’exploitation est jugé extrêmement sérieux. Pour Telegram, l’enjeu est donc double : préserver sa crédibilité technique et éviter qu’un silence trop long ne laisse se développer des spéculations plus dommageables encore que la faille elle-même.

Telegram a une version différente des faits. Le service de presse de la messagerie a indiqué sur le réseau social X qu’une telle vulnérabilité n’existe tout simplement pas. Selon les représentants de Telegram, le chercheur a affirmé à tort qu’un « autocollant » contenant un code malveillant aurait pu être utilisé pour l’attaque.

Le score CVSS dessine un scénario de risque maximal

Le niveau d’inquiétude provient surtout du vecteur associé à la fiche : AV:N/AC:L/PR:N/UI:N. Traduit en langage opérationnel, cela décrit une attaque réalisable à distance, de faible complexité, ne nécessitant ni privilèges préalables, ni intervention de l’utilisateur. C’est ce point qui donne à l’alerte sa portée stratégique. Si cette évaluation est confirmée lors de la publication d’un rapport complet, la faille pourrait faire partie des scénarios les plus dangereux pour une plateforme de communication.

Une vulnérabilité exploitable par le réseau, sans action de la cible, modifie immédiatement la grille de lecture défensive. Elle évoque un modèle d’attaque dans lequel l’utilisateur ne clique sur rien, n’installe rien et n’accorde aucun droit particulier, mais peut néanmoins être exposé. Dans l’univers du renseignement numérique, ce type de caractéristique est observé avec la plus grande attention, car il réduit fortement les barrières opérationnelles pour un acteur malveillant. Cela intéresse autant la cybercriminalité que les opérations plus ciblées, dès lors qu’un outil de communication concentre des échanges sensibles, des métadonnées et des identifiants de relation.

Il faut toutefois rester rigoureux. Le vecteur seul ne raconte pas tout. Sans description technique, impossible de savoir si la faille touche le client, le serveur, une fonction précise, une bibliothèque, un mécanisme de traitement de contenu ou une architecture plus profonde. Impossible aussi de savoir quelles versions sont concernées, quelles conditions exactes sont requises, ou si des mécanismes de mitigation existent déjà de manière partielle. Le risque est donc potentiellement extrême, mais son périmètre concret reste encore inconnu.

La stratégie cyber de Trump muscle l’offensive américaine

La Maison-Blanche présente une doctrine cyber offensive, articulée autour de six axes, pour durcir la réponse américaine face aux États hostiles, aux groupes criminels et aux opérations d’influence.

Publié en mars 2026, « President Trump’s Cyber Strategy for America » expose la vision de l’administration Trump pour le cyberespace américain. Le document lie sécurité numérique, puissance économique, compétitivité technologique et liberté d’expression. Il insiste sur une réponse plus directe face aux cyberattaques, aux réseaux criminels, aux opérations d’espionnage et aux technologies étrangères jugées intrusives. La stratégie s’appuie sur six piliers : modeler le comportement adverse, alléger la régulation, moderniser les réseaux fédéraux, protéger les infrastructures critiques, préserver l’avantage technologique américain et renforcer les compétences. L’ensemble dessine une doctrine de puissance qui associe cyberdéfense, capacités offensives, industrie, diplomatie et souveraineté technologique.

Une doctrine de confrontation assumée

Le document publié par la Maison-Blanche présente le cyberespace comme un champ décisif de la puissance américaine, au même titre que la finance, l’innovation, l’industrie ou l’outil militaire. Dès les premières pages (il n’y a que sept, dont deux images !), l’administration affirme que les États-Unis doivent y rester sans rival, en s’appuyant à la fois sur la supériorité technologique du pays, ses capacités gouvernementales et l’appui du secteur privé. La logique est claire : il ne s’agit pas seulement de protéger les réseaux, mais de garantir une position dominante, une doctrine cyber dans un environnement numérique perçu comme central pour la sécurité nationale et la prospérité.

Le texte insiste sur l’aggravation des menaces. Les adversaires étatiques, les cybercriminels et les dispositifs d’influence sont décrits comme des acteurs capables de perturber des services essentiels, de renchérir le coût des biens courants et de viser directement les ménages, les petites entreprises, les agriculteurs, les soignants ou encore les personnes âgées. La santé, la banque, l’approvisionnement alimentaire et le traitement de l’eau sont explicitement cités parmi les secteurs exposés. Dans cette lecture, la menace cyber ne relève plus d’un problème technique isolé : elle touche le fonctionnement quotidien du pays.

L’administration Trump se démarque aussi par le ton employé. Le document rejette les « mesures partielles » et les stratégies jugées ambiguës des administrations précédentes. Il promet des réponses rapides, délibérées et proactives, sans limitation au seul domaine numérique. Cette formule est importante : elle signifie que la réponse américaine à une menace cyber peut mobiliser l’ensemble des instruments de puissance, au-delà du seul cadre technique. La stratégie revendique en outre l’usage conjoint de capacités défensives et offensives, avec une volonté affichée d’éroder les moyens des adversaires avant même qu’ils ne compromettent les réseaux américains.

Le texte cite plusieurs actions comme illustration de cette posture, notamment la destruction de réseaux d’escroquerie en ligne, la saisie de $15 billion liés à des fonds volés, le soutien à une opération contre les infrastructures nucléaires iraniennes et l’aveuglement d’adversaires lors d’une opération militaire visant Nicolas Maduro. Au-delà de ces exemples, la stratégie veut surtout transmettre un signal : toute attaque contre les intérêts américains est présentée comme risquée pour ses auteurs. Espionnage en ligne, propagande destructive, opérations d’influence et « subversion culturelle » figurent parmi les cibles annoncées de cette politique de contre-attaque.

Six piliers pour l’État, l’industrie et les technologies critiques

La mise en œuvre repose sur six piliers. Le premier vise à « modeler le comportement adverse ». Il prévoit le recours à l’ensemble des moyens cyber de l’État fédéral, mais aussi des incitations destinées au secteur privé pour identifier et perturber les réseaux ennemis. La lutte contre la cybercriminalité, le vol de propriété intellectuelle, les infrastructures criminelles et les refuges financiers y occupe une place centrale. La stratégie place également la question idéologique au cœur du combat numérique, en promettant de contrer les technologies autoritaires de surveillance et de répression.

Le deuxième pilier porte sur la régulation. La Maison-Blanche défend une approche dite de « bon sens », conçue pour réduire les charges de conformité, clarifier la responsabilité et mieux aligner régulateurs et industriels. Dans le même mouvement, le texte affirme vouloir préserver le droit à la vie privée des Américains et de leurs données. Cette articulation entre dérégulation, agilité industrielle et protection des données constitue l’un des équilibres politiques revendiqués par le document.

Les troisième et quatrième piliers concernent le cœur régalien. Pour les réseaux fédéraux, l’administration veut accélérer la modernisation et la résilience via les meilleures pratiques de cybersécurité, le chiffrement post-quantique, l’architecture zero trust, la transition vers le cloud et l’usage de solutions cyber dopées à l’IA. Pour les infrastructures critiques, la priorité porte sur le durcissement des chaînes d’approvisionnement, la réduction de la dépendance envers des fournisseurs adverses et la capacité de rétablissement rapide après incident. L’énergie, la finance, les télécommunications, les centres de données, l’eau et les hôpitaux figurent parmi les secteurs explicitement visés.

Les deux derniers piliers prolongent cette logique par la technologie et les compétences. La stratégie entend protéger l’avantage intellectuel américain, soutenir la sécurité des cryptomonnaies et des technologies blockchain, promouvoir le post-quantique et le calcul quantique sécurisé, mais aussi défendre l’ensemble de la pile technologique de l’IA, y compris les centres de données, les modèles et les infrastructures. Le texte évoque aussi l’adoption rapide d’outils cyber fondés sur l’IA, y compris l’agentic AI, pour détecter, détourner et tromper les acteurs malveillants. Enfin, la Maison-Blanche présente la main-d’œuvre cyber comme un actif stratégique et veut fluidifier les passerelles entre universités, écoles techniques, entreprises, capital-risque, administration et armée afin de bâtir un vivier plus large et mieux aligné sur les besoins nationaux.

Cette stratégie place ainsi le cyber au croisement de la dissuasion, de l’influence, de la sécurité économique et de la gouvernance technologique, avec en toile de fond une compétition mondiale pour le contrôle des standards numériques.

Incident de sécurité chez Wikimedia via un ver JavaScript

Un code JavaScript auto-propagateur a perturbé plusieurs projets Wikimedia, en modifiant des scripts utilisateurs et en corrompant des pages Meta-Wiki, avant d’être neutralisé par les équipes techniques.

La Fondation Wikimedia a été confrontée à un incident de sécurité impliquant un ver JavaScript capable de se répliquer via les mécanismes de personnalisation de MediaWiki. Selon les éléments rendus publics, le code malveillant a touché des scripts utilisateurs, altéré des pages Meta-Wiki et conduit les ingénieurs à suspendre temporairement les modifications sur l’ensemble des projets par mesure de précaution. L’épisode, resté actif 23 minutes d’après la Fondation, n’aurait pas affecté Wikipédia elle-même ni provoqué de fuite de données. L’affaire met néanmoins en lumière un point sensible : l’exécution de code utilisateur dans l’environnement d’édition, au croisement de la sécurité applicative, des privilèges éditoriaux et de la gouvernance technique des plateformes collaboratives.

Un déclenchement via les scripts utilisateurs de MediaWiki

L’alerte est venue de contributeurs qui ont signalé sur Village Pump, l’espace d’assistance technique, des modifications automatisées massives. D’après leurs constats, des scripts cachés et du contenu indésirable avaient été ajoutés à des pages choisies de manière aléatoire. Face à cette activité anormale, la Fondation Wikimedia a restreint temporairement les modifications sur tous les projets, le temps de contenir l’incident.

Les premiers éléments techniques pointent vers un script malveillant hébergé sur Wikipédia en russe, à l’emplacement User:Ololoshka562/test.js. Le fichier, mis en ligne pour la première fois en mars 2024, avait déjà été lié à des outils employés lors d’autres attaques visant des projets Wikipédia. D’après les informations issues du suivi Phabricator, l’incident a commencé avec l’exécution de ce script. En examinant l’historique des modifications, les journalistes de Bleeping Computer ont ensuite relevé que ce code avait été lancé la semaine précédente par un employé de Wikimedia dans le cadre de tests portant sur les fonctionnalités liées aux scripts utilisateurs. À ce stade, il n’est pas établi si cette exécution relevait d’un geste intentionnel, d’une erreur de manipulation ou de l’usage d’un compte compromis.

Le fonctionnement du ver reposait sur une mécanique élémentaire, mais redoutablement efficace dans un environnement collaboratif. MediaWiki autorise en effet l’usage de fichiers JavaScript globaux et personnalisés, notamment MediaWiki:Common.js et User:<nom_utilisateur>/common.js. Ces scripts sont exécutés dans le navigateur des éditeurs afin d’adapter l’interface, d’automatiser certaines tâches ou d’ajouter des fonctions sur mesure. Une fois chargé dans le navigateur d’un utilisateur connecté, test.js tentait de modifier deux cibles en parallèle.

Au niveau du compte, il remplaçait common.js par un chargeur chargé d’appeler automatiquement test.js à chaque consultation du wiki. Autrement dit, l’infection persistait dès qu’un utilisateur touché revenait sur la plateforme. Au niveau du site, si la victime disposait de privilèges suffisants, le ver modifiait MediaWiki:Common.js, un fichier global exécuté pour tous les éditeurs concernés. Dans ce scénario, la propagation devenait immédiatement plus large, car le code malveillant s’insérait au cœur même de la couche de personnalisation commune.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

Meta-Wiki touché, restauration engagée et audit renforcé

Le ver ne se contentait pas d’assurer sa diffusion. Il appelait aussi une page aléatoire via Special:Random, puis y injectait une image ainsi qu’un chargeur JavaScript invisible. Ce dernier récupérait un script externe depuis le domaine basemetrika[.]ru. Cette dimension externe accroît l’intérêt de l’incident pour les observateurs de la cybersécurité : au-delà d’une simple dégradation interne, le mécanisme ouvrait une chaîne d’exécution capable d’introduire un contenu distant dans des pages du wiki, avec un effet potentiel sur l’intégrité éditoriale et la confiance accordée à l’environnement.

Selon les estimations citées par les journalistes, environ 3 996 pages ont été modifiées, tandis que les fichiers common.js d’environ 85 utilisateurs ont été remplacés. Le volume exact des suppressions de pages n’est pas connu. La Fondation Wikimedia a depuis annulé les modifications apportées à plusieurs fichiers common.js d’utilisateurs. Les pages altérées ont été masquées et n’apparaissent plus dans l’historique des modifications. Après la suppression du code injecté, l’édition a pu reprendre.

La Fondation affirme que le code malveillant n’est resté actif que 23 minutes. Durant cette période, il aurait modifié et supprimé du contenu uniquement sur Meta-Wiki, avant restauration des données. L’organisation précise qu’aucun signe d’attaque visant Wikipédia elle-même n’a été observé et qu’aucune fuite de données n’a été détectée. Dans sa déclaration, elle explique que son personnel menait un audit de sécurité du code utilisateur sur Wikipédia, et que du code jusque-là inactif a été exécuté puis rapidement identifié comme malveillant. Par précaution, la modification sur Wikipédia et sur d’autres projets Wikimedia a été suspendue le temps d’éliminer ce code et de sécuriser l’environnement.

Cet épisode illustre une zone de risque connue des plateformes extensibles : les fonctions de personnalisation, utiles à l’exploitation quotidienne, peuvent aussi devenir des vecteurs de propagation lorsqu’un script hostile bénéficie d’une exécution légitime dans le navigateur d’un utilisateur connecté. Le fait qu’un simple chargement puisse conduire à la réécriture de scripts utilisateurs, puis éventuellement d’un fichier global, montre combien la frontière entre assistance à l’édition et surface d’attaque peut se réduire. Wikimedia indique désormais déployer des mesures de sécurité supplémentaires pour limiter le risque de récidive.

Au-delà du rétablissement du service, l’incident rappelle que la sécurité des plateformes collaboratives dépend aussi du contrôle du code client, des privilèges d’édition et de la capacité à détecter rapidement une propagation interne avant qu’elle ne devienne un problème de gouvernance numérique.

TriZetto : 3,4 millions de patients touchés

Une faille chez TriZetto Provider Solutions, filiale de Cognizant, a exposé des données de santé sensibles de plus de 3,4 millions de patients via un portail web.

TriZetto Provider Solutions, filiale de Cognizant spécialisée dans les technologies de la santé, a subi une fuite de données ayant concerné plus de 3,4 millions de patients. L’incident touche un portail web utilisé par des professionnels de santé et remonte, selon l’enquête, à un accès non autorisé apparu dès novembre 2024. Les informations potentiellement compromises incluent des données d’identité, d’assurance et de santé. Aucune donnée financière n’aurait été affectée et aucun cas de fraude ou d’usurpation d’identité n’a été signalé à ce stade. L’entreprise dit avoir mobilisé des experts en cybersécurité, prévenu les autorités compétentes et renforcé ses mesures de protection après la découverte des faits.

Un portail au cœur d’un incident de longue durée

La faille révélée chez TriZetto Provider Solutions met en lumière la sensibilité extrême des infrastructures numériques qui irriguent l’administration du système de santé. L’entreprise développe et fournit des logiciels ainsi que des services destinés aux cabinets médicaux, aux hôpitaux et aux assureurs. Ses outils couvrent notamment la facturation, la gestion du cycle de revenus, le traitement des demandes de remboursement et différents flux de travail administratifs utilisés à grande échelle dans le secteur.

C’est dans ce contexte qu’une activité suspecte a été détectée le 2 octobre 2025 sur un portail web exploité pour les professionnels de santé. L’enquête engagée ensuite a établi qu’une personne non autorisée avait pu accéder, dès novembre 2024, à des dossiers liés à des transactions de vérification d’éligibilité à l’assurance. Le décalage entre le début présumé de l’intrusion et sa détection souligne la difficulté persistante à identifier rapidement des accès illicites dans des environnements fortement interconnectés, où transitent des données administratives et médicales à grande échelle.

TriZetto indique avoir alors missionné des experts en cybersécurité, alerté les autorités compétentes et entamé le processus d’information des professionnels de santé concernés à partir de décembre 2025. Aucun groupe de pirates informatiques n’a, à ce jour, revendiqué l’attaque. En l’état, les éléments communiqués ne permettent donc pas d’attribuer publiquement l’opération ni d’en préciser le mode opératoire au-delà de l’accès non autorisé constaté.

L’entreprise a ensuite précisé qu’aux alentours du 28 novembre 2025, elle avait établi que la faille pouvait avoir exposé des données personnelles et de santé. Le volume annoncé, supérieur à 3,4 millions de patients, confère à l’incident une portée significative dans un domaine où la donnée de santé, croisée avec des identifiants administratifs, présente une valeur particulière.

 

 

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

Des données identifiantes et médicales exposées

Le contenu de la notification transmise au bureau du procureur général du Maine détaille la nature des informations susceptibles d’avoir été compromises. La lettre indique : « Aux alentours du 28 novembre 2025, TPS a constaté que les données compromises pouvaient inclure votre nom, votre adresse, votre date de naissance, votre numéro de sécurité sociale, votre numéro d’assurance maladie (qui, pour certaines personnes, peut correspondre à un identifiant de bénéficiaire de Medicare), le nom de votre professionnel de santé, le nom de votre assureur, les informations concernant votre assuré principal, ainsi que d’autres informations démographiques, de santé et d’assurance maladie. »

Cet inventaire montre que la fuite ne se limite pas à des données de contact. Elle concerne aussi des éléments à fort pouvoir d’identification, comme le numéro de sécurité sociale, ainsi que des informations directement liées à la prise en charge médicale et à la couverture d’assurance. Dans l’écosystème de la santé, ce type de combinaison peut exposer les personnes concernées à des risques durables, qu’il s’agisse d’atteintes à la vie privée, d’usages frauduleux ou de tentatives d’ingénierie sociale fondées sur des données crédibles.

TriZetto affirme en revanche qu’aucune carte de paiement, aucun compte bancaire et aucune autre information financière n’ont été touchés. La notification ajoute également : « Cet incident n’a affecté aucune carte de paiement, aucun compte bancaire ni aucune autre information financière. À ce jour, nous n’avons connaissance d’aucun cas d’usurpation d’identité ou de fraude lié à l’utilisation des informations des personnes concernées, y compris les vôtres. » À ce stade, l’entreprise dit donc n’avoir observé ni exploitation frauduleuse avérée ni signalement d’usurpation d’identité en lien avec cette compromission.

Après la découverte de l’incident, TriZetto indique avoir déployé des mesures de sécurité supplémentaires pour mieux protéger ses systèmes et ses services. L’entreprise propose aussi, pendant 12 mois et à titre gratuit, un dispositif de protection d’identité comprenant la surveillance du crédit, des rapports de crédit et des alertes de score de crédit, dans une fenêtre d’inscription limitée. Une assistance proactive en matière de fraude est également annoncée via Kroll, société spécialisée dans la protection d’identité et la résolution des problèmes liés à la fraude.

Même en l’absence de fraude constatée à ce jour, les personnes potentiellement touchées sont invitées à surveiller leurs relevés bancaires, à suivre leurs rapports de solvabilité et à signaler rapidement toute activité suspecte à leur banque ou à leur établissement financier. Une ligne d’assistance dédiée a par ailleurs été mise en place. Au-delà de la gestion immédiate des victimes, cet incident rappelle que les portails administratifs du secteur de la santé sont devenus des surfaces d’exposition critiques, à la croisée de la protection des données, de la cybersécurité et de la gouvernance des flux sensibles.

Ancien pilote américain accusé d’avoir formé l’armée chinoise

Un ancien officier décoré de l’US Air Force est accusé aux États-Unis d’avoir préparé une formation militaire pour des pilotes chinois, avec l’appui d’un pirate informatique lié à des opérations d’espionnage industriel.

Les autorités américaines ont arrêté Gerald Eddie Brown, ancien major de l’US Air Force, soupçonné d’avoir conspiré avec un pirate informatique chinois pour former des pilotes de chasse de l’Armée populaire de libération. L’enquête révèle un projet structuré visant à transférer un savoir-faire militaire sensible vers la Chine. Le dossier implique Stephen Su Bin, déjà condamné pour avoir piraté des entreprises de défense américaines et dérobé des données classifiées sur des programmes militaires. L’affaire illustre les stratégies d’acquisition technologique de Pékin, mêlant cyberespionnage, recrutement d’experts occidentaux et exploitation d’anciens militaires disposant d’une expertise critique.

Un ancien pilote au cœur d’un projet de formation militaire

Les procureurs fédéraux américains accusent Gerald Eddie Brown, 65 ans, d’avoir participé à un projet destiné à transmettre des compétences militaires sensibles à la Chine. L’ancien officier a été arrêté jeudi à Jeffersonville, dans l’Indiana, après plusieurs années passées en Chine où il aurait fourni une formation aéronautique à des pilotes militaires.

Les documents judiciaires indiquent que Brown a servi plus de vingt ans dans l’US Air Force. Après avoir quitté l’armée en 1996 avec le grade de major, il a poursuivi sa carrière dans l’aviation civile comme pilote de fret. Il a également occupé des fonctions dans deux entreprises américaines liées au secteur de la défense.

Selon l’acte d’accusation, il aurait commencé en 2023 des discussions visant à former des pilotes de la Force aérienne de l’Armée populaire de libération, la PLAAF. Les autorités américaines estiment que cette activité relevait d’un transfert d’expertise militaire sensible vers une puissance étrangère.

Le projet prévoyait notamment la transmission de compétences liées au combat aérien et aux opérations militaires. Brown aurait exprimé clairement son intention de former des pilotes chinois à ces techniques.

En décembre 2023, il se rend en Chine. Sur place, il rencontre des responsables chinois et leur présente son parcours professionnel. Les enquêteurs affirment qu’il est resté dans le pays près de trois ans avant de revenir aux États-Unis ce mois-ci, moment choisi par les autorités pour procéder à son arrestation.

Une affaire liée à un pirate impliqué dans l’espionnage industriel

L’enquête américaine souligne un élément central du dossier. Le contrat de formation aurait été négocié avec l’aide d’un complice de Stephen Su Bin, ressortissant chinois déjà condamné pour cyberespionnage.

Su Bin dirigeait une société de technologies aéronautiques installée au Canada. Entre 2008 et 2014, il est accusé d’avoir mené des intrusions informatiques contre plusieurs entreprises de défense américaines. Les autorités américaines affirment que ces opérations visaient à récupérer des informations sensibles pour le gouvernement chinois.

En 2016, Su Bin a reconnu avoir piraté un sous-traitant militaire américain. L’enquête a établi qu’il avait dérobé des données militaires sensibles et des informations soumises aux règles américaines de contrôle des exportations.

Un épisode particulièrement documenté concerne l’avion de transport militaire C-17. Le pirate informatique avait pénétré les serveurs de Boeing pour accéder à des fichiers techniques relatifs à cet appareil. Les documents récupérés avaient ensuite été transmis par courrier électronique à des responsables chinois.

Pour ces faits, Su Bin a été condamné à quatre ans de prison et son entreprise a été sanctionnée.

Les procureurs affirment que Brown a collaboré avec ce réseau afin de finaliser l’accord de formation. Selon l’accusation, l’ancien officier n’avait pas obtenu l’autorisation obligatoire du Département d’État pour fournir une expertise militaire à une armée étrangère.

Cette obligation relève de la réglementation américaine sur le trafic international d’armes, connue sous le nom d’International Traffic in Arms Regulations, ou ITAR. Elle encadre strictement l’exportation de technologies et de connaissances militaires.

Les responsables du FBI et du ministère de la Justice présentent l’affaire comme un exemple de stratégie chinoise visant à exploiter l’expertise occidentale.

Roman Rozhavsky, directeur adjoint de la division de contre-espionnage du FBI, estime que Brown « a trahi son pays en formant des pilotes chinois à combattre ceux qu’il avait juré de protéger ».

John Eisenberg, procureur général adjoint chargé de la sécurité nationale, souligne que la formation d’une armée étrangère par un citoyen américain reste illégale sans licence officielle délivrée par le Département d’État.

L’affaire illustre la convergence entre cyberespionnage, recrutement d’experts militaires et transferts de compétences stratégiques dans la compétition technologique entre Washington et Pékin.

Dans le domaine du renseignement, ces dossiers démontrent comment la Chine combine piratage informatique et captation de savoir-faire humain pour accélérer la modernisation de ses forces armées.

Prince Group : 62 inculpations dans une vaste fraude en ligne

À Taïwan, la justice frappe un réseau international lié au groupe Prince. Les procureurs accusent l’organisation d’avoir orchestré une gigantesque fraude numérique et un système de blanchiment à l’échelle mondiale.

Le parquet du district de Taipei a inculpé 62 personnes et 13 entreprises pour leur rôle présumé dans les activités criminelles du groupe Prince, une organisation accusée d’avoir organisé des escroqueries en ligne massives en Asie. Les enquêteurs estiment que ce réseau, lié à des complexes installés au Cambodge, a permis de soutirer des milliards de dollars à des victimes en Occident et en Chine. Les autorités taïwanaises affirment que plus de 339 million $ (312,7 millions d’euros) ont été blanchis via Taïwan. L’affaire illustre l’industrialisation des cyberescroqueries internationales et les circuits financiers complexes utilisés pour dissimuler l’origine des fonds.

Un réseau mondial d’escroqueries et de blanchiment

Le parquet du district de Taipei a annoncé l’inculpation de 62 individus ainsi que de 13 sociétés pour leur implication présumée dans un vaste système d’escroquerie en ligne lié au groupe Prince. L’enquête, ouverte en octobre dernier, fait suite à des poursuites engagées aux États-Unis contre Chen Zhi, fondateur du groupe, pour blanchiment d’argent.

Selon les procureurs taïwanais, l’organisation aurait exploité des centaines de complexes au Cambodge. Ces installations servaient de centres d’escroquerie numérique où des travailleurs, souvent victimes de trafic d’êtres humains, étaient contraints de mener des opérations frauduleuses à grande échelle. Les escroqueries visaient principalement des victimes aux États-Unis, en Europe et en Chine.

Chen Zhi a été arrêté au Cambodge plus tôt dans l’année avant d’être extradé vers la Chine. Les autorités taïwanaises ont toutefois poursuivi leur propre enquête sur les activités financières du réseau sur leur territoire.

Les investigations indiquent que des acteurs liés au groupe Prince ont blanchi au moins 339 million $ (312,7 millions d’euros) à Taïwan. Les fonds auraient ensuite servi à acquérir des biens de grande valeur. Les procureurs évoquent l’achat de 24 propriétés, de 35 véhicules et d’autres actifs estimés à environ 1,7 million $. Au total, les autorités taïwanaises ont saisi environ 174 million $ (160,5 millions d’euros) en espèces et en biens.

Les enquêteurs décrivent une structure financière particulièrement complexe. D’après le parquet, le groupe Prince contrôlait près de 250 sociétés offshore réparties dans 18 pays. Ces entités détenaient 453 comptes financiers nationaux et internationaux. Des contrats commerciaux fictifs entre ces sociétés auraient permis de dissimuler les flux financiers et de recycler l’argent issu des escroqueries via différents circuits de change.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

Cyberescroquerie industrielle et coopération internationale

L’enquête menée par les autorités taïwanaises a conduit à plusieurs arrestations et mises en détention. Neuf personnes considérées comme des figures importantes du réseau ont été placées en détention. Soixante-treize autres suspects ont été libérés sous caution après plusieurs mois d’investigation.

Parmi les personnes inculpées figurent Chen Zhi ainsi que plusieurs collaborateurs soupçonnés d’avoir enfreint la législation taïwanaise sur le crime organisé, le blanchiment d’argent et diverses infractions financières. Les suspects détenus incluent des ressortissants cambodgiens ainsi que des individus originaires de Singapour, de Chine, de Malaisie et d’autres pays.

Les autorités américaines avaient déjà accusé le groupe Prince de tirer profit d’activités criminelles variées. Selon le département du Trésor des États-Unis, l’organisation aurait bénéficié de jeux d’argent illégaux en ligne, d’extorsion sexuelle et de blanchiment d’argent. Les enquêteurs évoquent également des opérations impliquant trafic d’êtres humains, torture et exploitation de travailleurs contraints d’opérer des réseaux d’escroquerie.

Les activités liées à Taïwan remonteraient à 2016. Les procureurs affirment que Chen Zhi avait chargé deux collaborateurs, Wang Tang et Zhang Yao, de gérer depuis Taipei plusieurs opérations de jeux clandestins et de blanchiment. L’enquête a révélé un vaste réseau de sociétés écrans et de comptes bancaires dans différentes juridictions, notamment les îles Marshall, les Seychelles, l’île de Man, le Japon et la Thaïlande.

Les suspects auraient également tenté de dissimuler leurs gains illicites en investissant dans des biens de luxe, notamment des maisons haut de gamme, des voitures prestigieuses et des articles de luxe.

Dans certains cas considérés comme mineurs, 24 personnes poursuivies pour infractions liées aux jeux d’argent ont reconnu les faits. Les procureurs ont suspendu les poursuites après leurs aveux et l’expression de remords.

Au niveau international, plusieurs mesures ont déjà visé l’organisation. Les autorités américaines et britanniques ont imposé des sanctions au groupe Prince. Le département de la Justice des États-Unis affirme avoir saisi environ 15 milliard $ (13,8 milliards d’euros) en bitcoins sur des comptes associés à Chen Zhi.

Les escroqueries orchestrées par ce réseau reposaient sur différentes méthodes, notamment les arnaques sentimentales et les fraudes financières. Ces opérations auraient généré des milliards de dollars en ciblant principalement des victimes occidentales.

L’ampleur de ces activités a provoqué une forte pression internationale sur le Cambodge, accusé d’abriter de nombreux complexes de cyberescroquerie. Après l’arrestation de Chen Zhi, plusieurs installations ont été désertées dans un climat chaotique. Des victimes de trafic d’êtres humains et des travailleurs contraints ont quitté ces sites et se sont rendus dans des ambassades pour demander assistance.

Cette affaire met en lumière la dimension industrielle des escroqueries numériques transnationales et la nécessité d’une coopération renforcée entre services de renseignement financier et unités de cybercriminalité.

Phobos : le développeur clé plaide coupable aux États-Unis

Un développeur russe lié au ransomware Phobos reconnaît sa responsabilité devant la justice américaine. L’affaire révèle l’organisation interne d’un réseau criminel actif depuis plusieurs années.

Un ressortissant russe de 43 ans a plaidé coupable aux États-Unis pour son rôle central dans le ransomware Phobos. Considéré comme l’un des principaux développeurs de cette plateforme criminelle, Evgenii Ptitsyn risque jusqu’à 20 ans de prison. Les enquêteurs estiment que Phobos et sa variante 8Base ont extorqué plus de 16 million $ (14,7 millions d’euros) depuis 2019 auprès d’organisations du monde entier. L’affaire met en lumière le modèle industriel du ransomware-as-a-service, dans lequel des développeurs fournissent l’outil à des affiliés chargés de mener les attaques contre des entreprises, des établissements de santé et des institutions publiques.

Un développeur clé du ransomware Phobos face à la justice

L’un des cerveaux techniques associés au ransomware Phobos a reconnu sa culpabilité devant la justice américaine. Evgenii Ptitsyn, citoyen russe âgé de 43 ans, a admis des faits de fraude électronique mercredi devant un tribunal fédéral. Les procureurs des États-Unis le présentent comme un acteur majeur de ce réseau de cyberextorsion.

Selon l’acte d’accusation, Ptitsyn a contribué au fonctionnement du ransomware à partir de novembre 2020. Le logiciel malveillant a ensuite été utilisé pour viser plus de 1 000 organisations à travers le monde. L’enquête judiciaire décrit un dispositif structuré, mêlant développement technique, diffusion sur des forums criminels et exploitation d’un site sur le darknet destiné à exposer ou vendre les données volées.

L’homme a été arrêté en Corée du Sud avant d’être remis aux autorités américaines en novembre 2024. Sa condamnation doit être prononcée le 15 juillet. La peine maximale encourue atteint 20 ans de prison.

Les procureurs affirment que Ptitsyn occupait une position centrale dans l’écosystème Phobos. Il développait et maintenait le ransomware, puis le distribuait à des affiliés du réseau. Ces partenaires menaient les intrusions informatiques, chiffraient les systèmes des victimes et exigeaient ensuite une rançon. Une commission revenait aux opérateurs techniques pour chaque paiement obtenu.

Les investigations ont également relié Ptitsyn à plusieurs attaques précises. Parmi elles figure une intrusion contre un système scolaire public en Californie. L’établissement a payé une rançon de 300 000 $ (276 500 euros) en 2023 pour récupérer l’accès à ses données. D’autres opérations ont visé des organisations du secteur médical ainsi que plusieurs entreprises.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

Un réseau international démantelé progressivement

Les poursuites contre Ptitsyn s’inscrivent dans une série d’actions menées contre les groupes liés au ransomware Phobos et à sa variante 8Base. Les autorités américaines estiment que ces réseaux ont extorqué plus de 16 million $ (14,7 millions d’euros) depuis 2019.

Au cours des deux dernières années, plusieurs membres ou associés ont été arrêtés dans différentes juridictions. Un administrateur de Phobos a été interpellé en Corée du Sud en juin 2024 avant d’être extradé vers les États-Unis. En 2023, un autre acteur important a été arrêté en Italie sur la base d’un mandat d’arrêt français.

Plus récemment, une opération internationale coordonnée a visé le groupe 8Base, considéré comme un utilisateur majeur de l’infrastructure Phobos. Quatre individus soupçonnés de diriger cette organisation ont été arrêtés. Les enquêteurs les accusent d’avoir exploité une variante du ransomware pour extorquer des victimes en Europe et dans d’autres régions.

Cette opération a également conduit au démantèlement de 27 serveurs liés au réseau criminel. Les services de police ont pu prévenir plus de 400 entreprises d’attaques de ransomware en cours ou imminentes.

L’enquête a mobilisé les forces de l’ordre de 14 pays, avec le soutien d’Europol et d’Eurojust. Le Centre européen de lutte contre la cybercriminalité d’Europol a assuré un rôle de coordination entre les différentes investigations. Les analystes ont notamment partagé des renseignements, réalisé des analyses techniques et facilité les échanges entre les équipes nationales.

Près de 600 messages opérationnels ont été échangés via le réseau sécurisé SIENA, tandis que 37 réunions opérationnelles et sprints techniques ont été organisés pour faire progresser les investigations.

Repéré pour la première fois en décembre 2018, Phobos constitue l’un des ransomwares les plus persistants du paysage cybercriminel. Son succès repose sur un modèle de ransomware-as-a-service qui permet à de nombreux acteurs, même peu expérimentés, de lancer leurs propres campagnes d’extorsion.

Les services de renseignement spécialisés dans la cybersécurité considèrent aujourd’hui Phobos et 8Base parmi les groupes de ransomware les plus actifs en 2024.

L’affaire Ptitsyn illustre la stratégie des autorités consistant à cibler les développeurs et les infrastructures techniques afin d’affaiblir durablement les réseaux de cyberextorsion.

La traque judiciaire et technique des opérateurs de ransomware reste désormais un enjeu central pour le renseignement cyber international.

Cyberfraude : Washington prépare un fonds pour les victimes

La Maison Blanche veut répondre à l’explosion mondiale des escroqueries numériques. Un décret présidentiel prévoit indemnisation des victimes et offensive coordonnée contre les réseaux criminels transnationaux.

La cyberfraude représente désormais une menace économique majeure pour les États-Unis. Chaque année, des escroqueries en ligne dérobent des milliards de dollars aux particuliers américains. Face à cette situation, l’administration Trump a publié un décret présidentiel ordonnant une réponse coordonnée de l’ensemble du gouvernement. Objectif affiché : démanteler les organisations criminelles transnationales à l’origine de ces arnaques et créer un mécanisme d’indemnisation pour les victimes. Le texte prévoit la mobilisation de plusieurs ministères, l’exploitation des capacités du secteur privé de cybersécurité et une pression diplomatique accrue contre les États accusés d’héberger ou de tolérer ces réseaux.

Un plan fédéral contre l’économie mondiale de la cyberfraude

Le décret présidentiel publié vendredi fixe un calendrier précis à plusieurs agences fédérales. Elles disposent de 120 jours pour produire un plan d’action détaillant les mesures destinées à prévenir, perturber, enquêter et démanteler les organisations criminelles transnationales impliquées dans la cybercriminalité.

Ce plan doit notamment viser les réseaux opérant des centres d’escroquerie, souvent situés hors du territoire américain. Ces structures sont spécialisées dans les arnaques financières numériques, allant de faux investissements à des escroqueries sentimentales. Selon le FBI, ces dispositifs criminels soutirent environ 12,5 milliards $ par an aux citoyens américains, soit environ 11,5 milliards d’euros.

Le décret prévoit également la création d’une cellule opérationnelle au sein du National Coordination Center. Cette unité doit centraliser les efforts fédéraux contre ces organisations criminelles. Elle rassemblera plusieurs administrations : Département d’État, Trésor, Défense, Sécurité intérieure et Justice.

La Maison Blanche souligne que l’objectif consiste à améliorer la circulation du renseignement, la coordination opérationnelle et la rapidité de réaction entre institutions. Le dispositif doit également rester aligné sur les cadres juridiques déjà utilisés par les autorités américaines pour lutter contre les cybermenaces provenant de juridictions étrangères.

Le secteur privé pourrait être mobilisé dans ce dispositif. Les entreprises spécialisées en cybersécurité disposent de capacités techniques et de renseignement sur les menaces qui peuvent aider à attribuer les attaques, suivre les infrastructures criminelles et perturber les opérations des acteurs malveillants.

L’administration américaine considère ces activités comme un phénomène structuré et transnational. Rançongiciels, logiciels malveillants, hameçonnage, chantage sexuel, usurpation d’identité ou fraude financière constituent les principales techniques utilisées par ces groupes.

Washington estime que certains régimes étrangers offrent un soutien implicite ou direct à ces réseaux criminels. Selon la Maison Blanche, ces activités alimentent une économie clandestine mêlant fraude numérique, coercition, travail forcé et parfois traite d’êtres humains.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

Vers un mécanisme d’indemnisation des victimes

Le décret introduit également un élément inédit dans la stratégie américaine contre la cybercriminalité : un programme d’indemnisation des victimes.

Dans un délai de 90 jours, l’administration devra définir un mécanisme permettant de restituer aux victimes une partie des fonds récupérés lors des opérations judiciaires. Les montants proviendront d’actifs saisis, confisqués ou récupérés auprès des organisations criminelles responsables de ces escroqueries numériques.

Cette approche repose sur un constat simple. Les autorités américaines récupèrent régulièrement des sommes importantes lors d’enquêtes internationales, mais les modalités de redistribution restent souvent floues pour les victimes.

La semaine précédant l’annonce, les autorités ont saisi plus de 2 millions $ (1,84 million d’euros) auprès d’escrocs égyptiens. L’année précédente, le ministère de la Justice avait également annoncé la saisie d’environ 15 milliards $ en bitcoins, soit près de 13,8 milliards d’euros, sur des comptes liés selon l’accusation au dirigeant d’un conglomérat cambodgien suspecté d’avoir dirigé un vaste empire d’escroquerie.

Nicole Tisdale, ancienne responsable du Conseil de sécurité nationale à la Maison Blanche, estime que le décret marque un changement stratégique. Elle souligne que la cybercriminalité ignore les frontières juridiques alors que les réponses institutionnelles restent souvent fragmentées.

Selon elle, le texte impose explicitement une coordination de l’ensemble de l’appareil fédéral autour d’un objectif commun : protéger les victimes et renforcer la réponse opérationnelle.

Le décret prévoit également des mesures de pression diplomatique contre les pays accusés d’abriter ces réseaux criminels. Les outils envisagés incluent la réduction de l’aide étrangère, l’application de sanctions ciblées, des restrictions de visas ou encore des sanctions commerciales. Le texte mentionne aussi l’expulsion immédiate de responsables ou diplomates étrangers considérés comme complices.

Le directeur national de la cybersécurité, Sean Cairncross, a expliqué que la publication du décret coïncidait volontairement avec la nouvelle stratégie nationale de cybersécurité. L’objectif consiste à mobiliser l’ensemble des instruments de puissance américains, y compris la diplomatie.

Le Département d’État devra ainsi développer une stratégie diplomatique pour pousser les gouvernements étrangers à agir contre les centres d’escroquerie présents sur leur territoire.

Dans cette logique, le ministère de la Justice prévoit d’augmenter les arrestations et les procédures d’extradition visant les responsables de ces réseaux criminels.

L’enjeu dépasse la simple cyberdéfense. Pour Washington, il s’agit désormais de s’attaquer à une industrie criminelle mondialisée dont l’infrastructure numérique constitue l’un des piliers.

La bataille contre la cyberfraude devient ainsi un dossier mêlant renseignement, diplomatie et guerre économique numérique.