Archives par mot-clé : cyberattaque

Cybersécurité, Mise à jour, Securite informatique, Téléphonie

Taïwan teste une perturbation massive de l’internet mobile

Taïwan simulera en août un fort ralentissement des réseaux 4G et 5G, afin d’éprouver ses capacités civiles et militaires face à une rupture numérique majeure.

Pour la première fois, les exercices taïwanais de résilience urbaine intégreront une dégradation volontaire de l’internet mobile. Les 10 et 13 août 2026, quatorze villes et comtés du nord et du centre verront leurs connexions 4G et 5G fortement ralenties durant trente minutes. L’objectif consiste à reproduire les effets d’une catastrophe naturelle ou d’une cyberattaque affectant les communications. Les appels vocaux, SMS et systèmes d’alerte resteront disponibles. Les autorités veulent vérifier les solutions de secours, les réflexes du public et la coordination entre administrations civiles, services d’urgence et forces armées lors d’une perturbation numérique étendue.

Un internet mobile volontairement dégradé

Le premier scénario se déroulera le 10 août, entre 14 h 30 et 15 h, dans le centre de Taïwan. Miaoli, Taichung, Changhua, Nantou, Yunlin, Chiayi ainsi que la ville de Chiayi seront concernés.

Trois jours plus tard, le 13 août, également de 14 h 30 à 15 h, le dispositif atteindra le nord de l’île. Taipei, New Taipei, Taoyuan, Keelung, Hsinchu, le comté de Hsinchu et Yilan participeront à cette simulation inédite.

Les opérateurs ne couperont pas totalement l’accès mobile. Les débits 4G et 5G seront délibérément réduits afin de reproduire une forte dégradation des communications numériques. Le téléphone classique, les SMS et le système public d’alerte doivent continuer à fonctionner.

La différence sera surtout perceptible pour les usages consommant beaucoup de données. Streaming vidéo, visioconférences, transfert de photographies, envoi de fichiers volumineux et services hébergés dans le cloud risquent de devenir difficiles, voire momentanément inutilisables.

Les connexions fixes resteront disponibles. Le Wi-Fi intérieur, les téléphones filaires, les réseaux militaires et les infrastructures dédiées utilisées par les entreprises technologiques ne doivent pas être touchés.

Les services d’urgence conserveront également leurs moyens opérationnels. Ambulances et pompiers utilisent notamment des réseaux radio distincts de l’internet mobile commercial. Les feux de circulation et les distributeurs automatiques de billets devraient eux aussi fonctionner normalement, puisqu’ils reposent sur des infrastructures séparées ou filaires.

Recevez l’actu ZATAZ sur votre téléphone. Inscription gratuite, sans pub, simple et rapide → ICI

Les paiements sans contact devraient rester possibles lorsque les terminaux des commerçants utilisent une connexion fixe. En revanche, certaines opérations réalisées exclusivement depuis un téléphone connecté en 4G ou 5G pourront rencontrer des difficultés. Les autorités citent notamment les commandes en ligne, l’envoi de documents d’identité ou encore les transactions financières en temps réel.

Les responsables recommandent donc d’éviter ces opérations pendant les trente minutes de simulation. Une connexion filaire ou un réseau Wi-Fi intérieur constituent les principales solutions de repli.

Avant le déclenchement de l’exercice, la population sera prévenue par Cell Broadcast Service, bandeaux d’information télévisés et annonces radiophoniques. Un nouveau message sera transmis au début de la perturbation. Il rappellera les moyens alternatifs disponibles, notamment les appels vocaux, les SMS, l’internet fixe et le Wi-Fi.

Une répétition face aux crises cyber et militaires

Derrière ce ralentissement contrôlé se trouve un enjeu de sécurité nationale. Un responsable taïwanais explique que des catastrophes naturelles de grande ampleur ou des cyberattaques pourraient perturber les communications. Le gouvernement souhaite donc habituer les institutions et la population à maintenir leurs échanges lorsque les réseaux mobiles deviennent moins accessibles.

Selon ce responsable, Taïwan rejoint des pratiques déjà intégrées à différents exercices internationaux. Il cite le Japon, où des scénarios cyber figurent dans des entraînements consacrés à la résilience des infrastructures. Il évoque également Ulchi Freedom Shield, exercice annuel conduit par la Corée du Sud et les États-Unis, avec des scénarios incluant brouillage GPS et cyberattaques. L’OTAN intègre aussi des perturbations GPS et des interruptions de communications dans certains exercices.

Anticipez les cybermenaces avant qu’elles ne vous atteignent avec le service de veille ZATAZ.

Le choix géographique répond également à une logique d’expérience opérationnelle. Le sud, l’est de Taïwan et les îles périphériques ont déjà subi ces dernières années de véritables interruptions de communications. Ces territoires disposent donc d’un retour d’expérience concret en matière de rétablissement.

Le nord et le centre, plus densément peuplés, deviennent cette année le terrain prioritaire. Les autorités cherchent à renforcer simultanément la préparation du public et la coordination administrative dans ces zones.

Le secrétaire général de la National Communications Commission, Wen Jun-yu, avance aussi une contrainte économique. Dans le sud, les exercices de résilience urbaine et de défense aérienne commenceront à 10 heures, alors que la Bourse de Taïwan sera ouverte. Réduire fortement l’internet mobile pendant cette période pourrait perturber les transactions boursières réalisées en temps réel depuis des téléphones.

L’exercice introduit parallèlement une évolution importante dans la gestion de crise. Pour la première fois, les réponses militaires et celles des administrations locales doivent être pleinement intégrées.

Les gouvernements locaux coordonneront ainsi les demandes d’urgence civiles et militaires. Des personnels des forces armées seront présents dans les centres locaux d’opérations afin de faciliter la circulation des informations et l’organisation des moyens.

Des exercices communs entre plusieurs juridictions sont également prévus. Kaohsiung et le comté de Pingtung travailleront ensemble, tout comme New Taipei et Yilan. Les scénarios concerneront notamment les évacuations médicales, l’allocation des ressources, les abris et les transports.

Pour Taïwan, cette perturbation contrôlée constitue donc moins un test technique qu’un exercice de continuité : maintenir l’information, les services essentiels et la coordination lorsque l’environnement numérique devient soudainement incertain.

Cybersécurité, Mise à jour, Patch, Securite informatique

L’Inde impose un rythme accéléré aux correctifs cyber


L’Inde veut réduire à douze heures le délai de correction des failles critiques exposées, face à des cyberattaques désormais accélérées par l’intelligence artificielle.

Le CERT-In, organisme indien chargé des urgences informatiques, publie un cadre de cybersécurité centré sur la rapidité de réaction. Les organisations sont invitées à corriger certaines vulnérabilités critiques dans les douze heures suivant leur détection, lorsque les conditions opérationnelles le permettent. Cette exigence répond à l’usage croissant de l’intelligence artificielle et des grands modèles de langage par les cybercriminels. Ces technologies facilitent la reconnaissance, l’analyse des failles, la création d’exploits et l’automatisation des campagnes malveillantes. Le document insiste également sur la protection des systèmes d’IA, des infrastructures cloud, des API, des identités et des chaînes d’approvisionnement logicielles.

L’intelligence artificielle raccourcit le temps d’attaque

Le nouveau cadre indien part d’un constat opérationnel : le délai séparant la découverte d’une vulnérabilité de son exploitation se contracte. Dans son document de 38 pages, le CERT-In estime que l’adoption rapide de l’intelligence artificielle et des outils d’apprentissage automatique augmente la vitesse des opérations offensives.

« L’exploitation des cybermenaces assistée par l’IA réduit le temps nécessaire aux adversaires pour identifier, exploiter et mettre en œuvre les vulnérabilités, les services exposés, les identités faibles, les API non sécurisées et les systèmes mal configurés« , indique l’agence.

Cette accélération modifie le rapport de force entre attaquants et défenseurs. Une organisation qui attend plusieurs jours avant d’appliquer un correctif peut désormais laisser une fenêtre suffisante à des groupes capables d’automatiser la reconnaissance et la préparation d’une intrusion.

Le CERT-In observe déjà l’utilisation de modèles de langage dans plusieurs étapes d’une attaque. Les cybercriminels peuvent cartographier une surface exposée, analyser des exploits, préparer des campagnes d’hameçonnage, générer du code malveillant ou automatiser leurs recherches. L’IA réduit ainsi le temps nécessaire à la préparation, tout en facilitant le contournement de certains mécanismes classiques de sécurité.

L’augmentation du risque accompagne aussi la dépendance croissante aux services cloud, aux infrastructures interconnectées, aux technologies opérationnelles et aux fournisseurs logiciels. Les plateformes intégrant des fonctions d’IA ajoutent également de nouvelles surfaces sensibles.

Ces systèmes peuvent être visés directement. Le CERT-In cite les injections d’instructions, la manipulation de modèles, les techniques de jailbreak, les fuites d’informations, l’empoisonnement des données d’entraînement, le vol de modèles et la compromission des chaînes d’orchestration. Une attaque réussie peut altérer la confidentialité, l’intégrité ou la fiabilité d’un service automatisé.

L’agence anticipe des opérations toujours plus autonomes. Les progrès de l’intelligence artificielle pourraient encore réduire les délais d’exploitation, avec des attaques capables d’enchaîner reconnaissance, sélection d’une cible et compromission. Cette perspective impose une préparation permanente, une veille active et une limitation rigoureuse des services accessibles depuis Internet.

Des délais de correction adaptés à l’exposition

Le cadre recommande aux organisations de considérer qu’une compromission reste possible, même avec des protections avancées. Cette approche impose de préparer la détection, le confinement, la restauration et la continuité des activités avant qu’un incident ne survienne.

Le CERT-In préconise également une architecture Zero Trust, fondée sur la vérification continue des utilisateurs, des équipements et des accès. Le principe du moindre privilège doit limiter les mouvements d’un attaquant après une première intrusion.

Cette stratégie repose sur plusieurs couches de défense. L’objectif consiste à réduire les points de défaillance uniques et à contenir les conséquences d’une compromission. La surveillance des vulnérabilités, la sécurité dès la conception et la protection des données doivent couvrir les applications, les infrastructures et les flux de travail utilisant l’IA.

La chaîne d’approvisionnement logicielle figure parmi les priorités. Les entreprises doivent mieux contrôler les composants tiers, les modèles d’intelligence artificielle et les dépendances techniques. Le document recommande les nomenclatures logicielles, ou SBOM, la vérification de provenance et les évaluations de sécurité.

Des simulations d’attaques, des tests d’intrusion, des audits indépendants et des analyses de vulnérabilité doivent mesurer l’efficacité réelle des dispositifs. Le CERT-In demande aussi une gouvernance formelle des usages de l’IA et une visibilité complète sur les systèmes, les connexions et les intégrations.

« Les organisations doivent mettre en œuvre des contrôles techniques multicouches, fondés sur l’analyse des risques et validés en continu afin de réduire leur exposition aux cybermenaces assistées par l’IA« , précise l’agence.

La principale évolution concerne les délais de correction. Une vulnérabilité connue, déjà exploitée, touchant un système critique accessible depuis Internet devrait être traitée sous douze heures, lorsque cela reste possible.

Une faille critique exposée depuis l’extérieur doit être corrigée sous 24 heures. Le même délai s’applique à une vulnérabilité exploitée connue affectant un système interne, sauf lorsqu’une mesure compensatoire est déployée et documentée.

Les failles critiques internes touchant des systèmes essentiels doivent être résolues sous trois jours. Les vulnérabilités de gravité élevée disposent d’un délai de cinq jours, selon leur exposition et leur impact opérationnel.

Lorsqu’aucun correctif n’existe, le CERT-In recommande des mesures temporaires. L’organisation peut isoler le système, restreindre les accès, renforcer la surveillance, désactiver une fonction vulnérable ou déployer une protection WAF et des contrôles spécifiques pour les API.

Ce calendrier resserré traduit un basculement stratégique : face à des attaquants assistés par l’IA, la vitesse de correction devient une capacité centrale de cyberdéfense et de renseignement sur la menace.

Cybersécurité, Entreprise, Espionnage Spy, Securite informatique

Cyberespionnage : les PME, PMI et TPE aussi dans le viseur des pirates

Les cyberattaques ne se limitent plus au blocage brutal des ordinateurs. De plus en plus souvent, les pirates cherchent d’abord à voler discrètement les données utiles de l’entreprise. Pour une PME, une PMI ou une TPE, le danger est clair : perdre ses fichiers clients, ses devis, ses contrats, ses plans techniques, ses accès fournisseurs ou ses informations financières peut coûter bien plus cher qu’une simple panne informatique.

Le vol de données devient plus rentable que le blocage

Pendant longtemps, les entreprises ont surtout associé les cyberattaques aux rançongiciels. Le scénario était connu : un pirate entre dans le réseau, chiffre les fichiers, bloque l’activité, puis réclame une rançon.

Ce risque existe toujours. Mais une autre menace prend de l’ampleur : le vol discret d’informations. Les attaquants cherchent à rester invisibles le plus longtemps possible. Ils observent, fouillent les dossiers, repèrent les données sensibles, puis les copient avant parfois de lancer une extorsion.

Pour une petite ou moyenne entreprise, les données ciblées peuvent être nombreuses : fichiers clients, factures, RIB, contrats, mots de passe, échanges avec les fournisseurs, plans de production, dossiers RH, documents comptables, secrets de fabrication, codes sources, fichiers de prospection ou informations commerciales. Le Service de veille et d’investigation de ZATAZ en croise malheureusement des centaines de milliers par mois !

La logique des pirates est simple. Un système bloqué peut être restauré avec des sauvegardes. Une donnée volée, elle, continue de circuler. Elle peut être revendue, utilisée pour du chantage, exploitée pour frauder des clients ou servir à attaquer un partenaire.

Les petites structures ne sont pas épargnées

Beaucoup de dirigeants de TPE ou de PME pensent encore ne pas intéresser les cybercriminels. C’est une erreur dangereuse. Une petite entreprise peut représenter une cible facile, un point d’entrée vers un grand donneur d’ordre ou une source de données exploitables rapidement.

Les pirates n’ont pas toujours besoin de techniques complexes. Un courriel piégé, un mot de passe faible, un accès distant mal protégé, une faille non corrigée, un faux site de connexion ou un prestataire compromis peuvent suffire.

Une fois dans le système, ils cherchent les accès importants : messagerie, dossiers partagés, CRM, ERP, logiciels de comptabilité, outils de facturation, espaces cloud, serveurs internes et comptes administrateurs.

Les secteurs les plus exposés ne sont pas uniquement les grands groupes. Une PME industrielle peut détenir des plans ou des procédés de fabrication. Une PMI peut posséder des informations de production ou de sous-traitance. Une agence, un cabinet ou une TPE de service peut stocker des données clients, des documents confidentiels ou des accès à des plateformes sensibles.

Le risque fournisseur est aussi majeur. Une petite structure connectée au système d’un client plus important peut devenir une porte d’entrée. Dans une chaîne économique très connectée, la sécurité d’un seul maillon faible peut fragiliser tout l’ensemble.

Protéger ses informations comme un actif vital

Face au cyberespionnage, aucune solution magique ne suffit. La première étape consiste à savoir ce qui doit être protégé. Une entreprise doit identifier ses données critiques : fichiers clients, contrats, informations bancaires, documents techniques, données RH, accès administrateurs, secrets commerciaux, dossiers de production et archives sensibles.

Ensuite, il faut limiter les accès. Tout le monde ne doit pas pouvoir consulter tous les fichiers. Les comptes à privilèges doivent être surveillés et protégés par une authentification multifacteur. Les anciens comptes, les accès inutiles et les mots de passe partagés doivent disparaître.

Les sauvegardes restent indispensables, mais elles ne protègent pas contre la fuite d’informations. Il faut aussi surveiller les comportements suspects : connexions inhabituelles, transferts massifs de fichiers, accès à des dossiers sensibles, utilisation anormale d’outils d’administration ou connexion depuis un pays inattendu.

Les PME et TPE doivent également corriger régulièrement leurs logiciels, sécuriser les accès à distance, segmenter les postes les plus sensibles et encadrer les accès des prestataires. Un fournisseur ne doit accéder qu’aux outils nécessaires, pendant une durée limitée, avec une traçabilité claire.

La formation des salariés reste un point clé. Un clic sur une fausse facture, un mot de passe saisi sur une page imitée ou un document envoyé au mauvais destinataire peut ouvrir la porte à une attaque. La sensibilisation doit être régulière, courte et concrète.

Pour les PME, PMI et TPE, la cybersécurité n’est plus seulement une affaire de pare-feu et d’antivirus. Elle touche directement la valeur de l’entreprise. Protéger ses données, c’est protéger ses clients, ses contrats, son savoir-faire, sa réputation et sa capacité à travailler demain.

Dans un contexte où les attaques deviennent plus discrètes, la veille cyber devient un outil stratégique. Elle permet d’anticiper les menaces, de repérer les signaux faibles et d’éviter que l’entreprise découvre trop tard que ses informations circulent déjà ailleurs.

Cybersécurité, Justice, Securite informatique

Phobos : le développeur clé plaide coupable aux États-Unis

Un développeur russe lié au ransomware Phobos reconnaît sa responsabilité devant la justice américaine. L’affaire révèle l’organisation interne d’un réseau criminel actif depuis plusieurs années.

Un ressortissant russe de 43 ans a plaidé coupable aux États-Unis pour son rôle central dans le ransomware Phobos. Considéré comme l’un des principaux développeurs de cette plateforme criminelle, Evgenii Ptitsyn risque jusqu’à 20 ans de prison. Les enquêteurs estiment que Phobos et sa variante 8Base ont extorqué plus de 16 million $ (14,7 millions d’euros) depuis 2019 auprès d’organisations du monde entier. L’affaire met en lumière le modèle industriel du ransomware-as-a-service, dans lequel des développeurs fournissent l’outil à des affiliés chargés de mener les attaques contre des entreprises, des établissements de santé et des institutions publiques.

Un développeur clé du ransomware Phobos face à la justice

L’un des cerveaux techniques associés au ransomware Phobos a reconnu sa culpabilité devant la justice américaine. Evgenii Ptitsyn, citoyen russe âgé de 43 ans, a admis des faits de fraude électronique mercredi devant un tribunal fédéral. Les procureurs des États-Unis le présentent comme un acteur majeur de ce réseau de cyberextorsion.

Selon l’acte d’accusation, Ptitsyn a contribué au fonctionnement du ransomware à partir de novembre 2020. Le logiciel malveillant a ensuite été utilisé pour viser plus de 1 000 organisations à travers le monde. L’enquête judiciaire décrit un dispositif structuré, mêlant développement technique, diffusion sur des forums criminels et exploitation d’un site sur le darknet destiné à exposer ou vendre les données volées.

L’homme a été arrêté en Corée du Sud avant d’être remis aux autorités américaines en novembre 2024. Sa condamnation doit être prononcée le 15 juillet. La peine maximale encourue atteint 20 ans de prison.

Les procureurs affirment que Ptitsyn occupait une position centrale dans l’écosystème Phobos. Il développait et maintenait le ransomware, puis le distribuait à des affiliés du réseau. Ces partenaires menaient les intrusions informatiques, chiffraient les systèmes des victimes et exigeaient ensuite une rançon. Une commission revenait aux opérateurs techniques pour chaque paiement obtenu.

Les investigations ont également relié Ptitsyn à plusieurs attaques précises. Parmi elles figure une intrusion contre un système scolaire public en Californie. L’établissement a payé une rançon de 300 000 $ (276 500 euros) en 2023 pour récupérer l’accès à ses données. D’autres opérations ont visé des organisations du secteur médical ainsi que plusieurs entreprises.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

YouTube
WhatsApp
Google News
Autres

S’abonner à la NewsLetter

Un réseau international démantelé progressivement

Les poursuites contre Ptitsyn s’inscrivent dans une série d’actions menées contre les groupes liés au ransomware Phobos et à sa variante 8Base. Les autorités américaines estiment que ces réseaux ont extorqué plus de 16 million $ (14,7 millions d’euros) depuis 2019.

Au cours des deux dernières années, plusieurs membres ou associés ont été arrêtés dans différentes juridictions. Un administrateur de Phobos a été interpellé en Corée du Sud en juin 2024 avant d’être extradé vers les États-Unis. En 2023, un autre acteur important a été arrêté en Italie sur la base d’un mandat d’arrêt français.

Plus récemment, une opération internationale coordonnée a visé le groupe 8Base, considéré comme un utilisateur majeur de l’infrastructure Phobos. Quatre individus soupçonnés de diriger cette organisation ont été arrêtés. Les enquêteurs les accusent d’avoir exploité une variante du ransomware pour extorquer des victimes en Europe et dans d’autres régions.

Cette opération a également conduit au démantèlement de 27 serveurs liés au réseau criminel. Les services de police ont pu prévenir plus de 400 entreprises d’attaques de ransomware en cours ou imminentes.

L’enquête a mobilisé les forces de l’ordre de 14 pays, avec le soutien d’Europol et d’Eurojust. Le Centre européen de lutte contre la cybercriminalité d’Europol a assuré un rôle de coordination entre les différentes investigations. Les analystes ont notamment partagé des renseignements, réalisé des analyses techniques et facilité les échanges entre les équipes nationales.

Près de 600 messages opérationnels ont été échangés via le réseau sécurisé SIENA, tandis que 37 réunions opérationnelles et sprints techniques ont été organisés pour faire progresser les investigations.

Repéré pour la première fois en décembre 2018, Phobos constitue l’un des ransomwares les plus persistants du paysage cybercriminel. Son succès repose sur un modèle de ransomware-as-a-service qui permet à de nombreux acteurs, même peu expérimentés, de lancer leurs propres campagnes d’extorsion.

Les services de renseignement spécialisés dans la cybersécurité considèrent aujourd’hui Phobos et 8Base parmi les groupes de ransomware les plus actifs en 2024.

L’affaire Ptitsyn illustre la stratégie des autorités consistant à cibler les développeurs et les infrastructures techniques afin d’affaiblir durablement les réseaux de cyberextorsion.

La traque judiciaire et technique des opérateurs de ransomware reste désormais un enjeu central pour le renseignement cyber international.

Communiqué de presse, Cybersécurité, Entreprise

Les Émirats bloquent une offensive cyber dite terroriste

En pleine montée des usages numériques du Ramadan, les Émirats arabes unis disent avoir stoppé une campagne coordonnée mêlant infiltration, rançongiciels et hameçonnage, avant toute rupture de services essentiels.

Le Conseil de cybersécurité des Émirats arabes unis a annoncé samedi que les défenses nationales ont déjoué des cyberattaques terroristes organisées visant l’infrastructure numérique et des secteurs vitaux. Selon l’autorité, la campagne combinait intrusion réseau, déploiement de rançongiciels et hameçonnage systématique contre des plateformes nationales. Le Conseil met en avant un tournant tactique, avec l’usage d’outils offensifs dopés à l’intelligence artificielle.

Un récit de riposte, peu de traces exploitables

les Émirats arabes unis veulent peser dans le monde de la cybersécurité. Depuis quelques années, petit à petit, ils montent en puissance. Le communiqué que vient de diffuser le CERT UEA pose un décor de crise, une attaque pensée pour déstabiliser et perturber des services essentiels, mais laisse le lecteur face à une zone grise. Le Conseil de cybersécurité décrit une opération coordonnée, avec trois briques classiques d’une campagne moderne, l’accès initial par infiltration, la pression par rançongiciel, l’industrialisation du leurre par hameçonnage. L’élément mis en avant est l’intelligence artificielle, présentée comme un accélérateur de sophistication, et comme la preuve que des organisations extrémistes s’approprient des technologies autrefois réservées à des États ou à des réseaux cybercriminels structurés.

Dans ce type d’annonce, la formulation compte autant que le contenu. Qualifier l’attaque d’« acte terroriste » rehausse le niveau politique du signal, surtout lorsqu’aucun groupe n’est nommé. Le Conseil ne précise ni secteurs touchés, ni fenêtre temporelle, ni méthode de détection, ni vecteur d’entrée, ni infrastructure réellement ciblée. Cette absence verrouille l’analyse, impossible de distinguer une action d’un groupe idéologique, un montage de faux drapeau, ou un opportunisme criminel profitant d’un contexte régional tendu. Elle empêche aussi de relier les faits à une famille de rançongiciels, à une chaîne d’hameçonnage, ou à un mode opératoire récurrent.

Le Conseil insiste, en revanche, sur la mécanique défensive, surveillance continue, blocage précoce, coopération entre fournisseurs, entités nationales et internationales, organisations spécialisées, appui sur des partenariats stratégiques et une expertise technique internationale. Derrière cette liste, un enjeu de renseignement affleure, réduire le temps entre le signal faible et la neutralisation, partager des indicateurs, couper les relais, et éviter qu’un incident technique ne se transforme en crise d’État. La priorité affichée, sécurité des personnes, protection des données personnelles, continuité des services critiques, vise autant à rassurer qu’à rappeler que la surface d’attaque d’un pays moderne est désormais indissociable de sa vie quotidienne.

 



News & Réseaux Sociaux ZATAZ

YouTube
WhatsApp
Google News
Autres
Chaque vendredi midi, recevez gratuitement les actualités de la semaine.

S’abonner à la NewsLetter ZATAZ

Ramadan, IA et pression psychologique sur les victimes

Le calendrier n’est pas neutre. L’annonce coïncide avec le début du Ramadan, période de hausse des dons et des transactions en ligne aux Émirats arabes unis et plus largement dans le monde musulman. Le Conseil appelle les résidents à redoubler de prudence, notamment lorsqu’il s’agit de dons, de partage d’informations personnelles, ou de mouvements financiers. C’est un rappel d’hygiène numérique, mais aussi une lecture de la menace, les attaquants aiment les pics saisonniers, car l’émotion et l’urgence accélèrent les clics, et réduisent la vérification.

Le texte élargit d’ailleurs le cadre, en rappelant que les périodes de célébrations religieuses sont des fenêtres propices à la fraude et à l’ingénierie sociale. Le Conseil avait déjà diffusé des recommandations sur la protection des données et la prévention de la fraude, en alertant sur le risque de vol d’identifiants et d’informations financières lorsque les paiements numériques augmentent. Dans cette logique, l’intelligence artificielle change l’échelle, elle permet de produire des messages crédibles, d’adapter les scénarios culturels, de tester rapidement des variantes, et de cibler plus finement, jusqu’à simuler un ton institutionnel ou caritatif.

L’arrière-plan régional est posé, les pays du Moyen-Orient feraient face à des attaques persistantes mêlant organisations terroristes, acteurs étatiques et cybercriminalité motivée par le profit. Les secteurs critiques cités comme à forte valeur, énergie, télécommunications, transports, services financiers, sont ceux où un incident peut créer des effets en cascade. Le Conseil souligne aussi une volumétrie déjà alarmante, « entre 90 000 et 200 000 tentatives d’intrusion ciblent chaque jour l’infrastructure des Émirats arabes unis ». La fourchette est large, mais le message est clair, l’attaque est devenue un bruit de fond permanent, automatisé, accessible, et donc plus difficile à contenir sans industrialiser la défense.

CTI • Service de veille ZATAZ
Vos données circulent peut-être déjà. Détecter. Prioriser. Corriger
  • Veille exposition / fuite / usurpation / Alertes et synthèses actionnables
  • Risque, impacts, recommandations

DÉCOUVRIR L’OUTIL CTI

Le pays met en avant des orientations de long terme, dont la cryptographie post-quantique et la coopération avec QuantumGate, plateforme nationale axée sur une cybersécurité résiliente aux attaques quantiques. Le Dr Mohammed Al Kuwaiti, responsable de la cybersécurité au sein du gouvernement des Émirats arabes unis, résume la doctrine, anticiper plutôt que subir.

Au final, l’annonce revendique une victoire défensive, mais elle laisse volontairement peu d’éléments vérifiables, signe que la bataille se joue aussi dans la maîtrise de l’information, autant que dans les journaux d’événements.

Cybersécurité, Justice, loi, Securite informatique

Les rançons échouent : 41 % des paiements de ransomware inutiles

Payer ne suffit plus : selon Hiscox, 41 % des entreprises victimes de ransomware restent paralysées malgré le versement d’une rançon et la réception d’une clé de déchiffrement.

Le rapport « Cyber Readiness Report 2025 » de l’assureur Hiscox révèle une réalité préoccupante : payer une rançon ne garantit pas la récupération des données. Sur 5 750 organisations interrogées dans sept pays, 27 % ont subi une attaque par ransomware, et 41 % des payeurs n’ont pas pu restaurer leurs systèmes malgré une clé reçue. Pire, 31 % des victimes ayant payé ont subi une nouvelle extorsion et 27 % d’entre elles ont été attaquées à nouveau. Les objets connectés (IoT) sont identifiés comme premier vecteur d’intrusion. En dépit de ce constat, 83 % des entreprises déclarent une meilleure cyber-résilience sur l’année écoulée.

Rançons inefficaces et attaques répétées

Le rapport montre que céder aux exigences des cybercriminels ne garantit pas le retour à la normale. Parmi les entreprises touchées, 60 % disent avoir récupéré une partie ou la totalité de leurs données, mais 41 % ont dû reconstruire leurs systèmes. Hiscox observe également une aggravation du phénomène : près d’un tiers des victimes ayant payé ont subi une nouvelle demande d’argent, souvent par les mêmes acteurs, et plus d’un quart ont connu une autre attaque dans les mois suivants. Le rapport conclut que « le paiement d’une rançon ne résout pas toujours le problème », rappelant la fragilité des stratégies de négociation directe avec les groupes de ransomware.

IoT, chaîne d’approvisionnement et cloud en première ligne

Les vulnérabilités des objets connectés constituent le principal point d’entrée des cyberattaques (33 %), devant celles liées à la chaîne d’approvisionnement (28 %) et aux serveurs hébergés dans le cloud (27 %). Les outils d’intelligence artificielle, utilisés sans protection suffisante, deviennent également un vecteur d’attaque initial pour 15 % des entreprises. Cette cartographie des risques confirme que l’interconnexion des systèmes multiplie les surfaces d’exposition. Les cybercriminels exploitent les failles de configuration ou de mise à jour pour obtenir un premier accès, avant de déployer des charges malveillantes chiffrant les données critiques.

Multiplication des incidents selon la taille de l’entreprise

Parmi les 5 750 organisations interrogées, 59 % ont subi au moins une cyberattaque au cours des douze derniers mois. Les grandes entreprises et celles générant plus d’un million de dollars (921 000 euros) de chiffre d’affaires sont les plus ciblées, avec une moyenne de six attaques par an, contre quatre pour les plus petites structures. Les sociétés de 50 à 249 employés enregistrent en moyenne sept incidents, contre cinq pour les structures comptant de 11 à 49 salariés. Le secteur non lucratif reste le plus exposé, avec huit attaques en moyenne par organisation, tandis que les entreprises des secteurs chimique, immobilier et médiatique signalent trois incidents par an.

Vers plus de transparence dans les paiements

Le rapport cite la nouvelle loi australienne imposant la divulgation des montants versés aux cybercriminels. Cette obligation recueille un soutien majoritaire : 71 % des répondants y sont favorables. Toutefois, 53 % estiment que les entreprises privées devraient pouvoir conserver la confidentialité de ces paiements. Ce débat illustre la tension entre transparence publique et gestion de crise opérationnelle. En dépit de la recrudescence des attaques, 83 % des organisations déclarent avoir renforcé leur posture de cybersécurité, notamment via la formation du personnel, la segmentation des réseaux et la mise en place de sauvegardes hors ligne.

Cybersécurité, Entreprise, Logiciels, Mise à jour, Patch, Wordpress

Faille critique dans King Addons : des sites WordPress pris pour cibles

En 24 heures, plus de 160 attaques ont visé le plugin King Addons pour Elementor, exposant des milliers de sites WordPress à un risque de piratage complet.

Les chercheurs en sécurité de Wordfence ont détecté une vague d’exploitations massives de la vulnérabilité CVE-2025-8489 affectant le plugin King Addons for Elementor. Ce module, utilisé sur plus de 10 000 sites WordPress, contenait une faille d’élévation de privilèges permettant à un attaquant non authentifié de créer des comptes administrateurs.

Une faille critique exploitée à grande échelle

Selon Wordfence, les premières attaques ont été observées le 1er novembre 2025, avec 162 tentatives bloquées en 24 heures. La faille provenait d’une erreur dans la gestion des rôles lors de l’inscription d’utilisateurs. En exploitant cette faille, les pirates pouvaient obtenir les droits d’administrateur, installer des extensions malveillantes, modifier le contenu ou rediriger le trafic du site. Classée 9,8 sur 10, la vulnérabilité a été jugée critique par le système CVSS.

Les versions concernées vont de 24.12.92 à 51.1.14. Le correctif a été publié dans la version 51.1.35 et confirmé stable à partir de la 51.1.37. Les administrateurs doivent impérativement effectuer la mise à jour.

Ne manquez pas nos dernières actualités sur Google Actualités. Ajoutez-nous comme source préférée sur Google. Suivez-nous

Un risque étendu pour les petites structures

King Addons, extension populaire pour Elementor, est très utilisé par les petites entreprises et les sites personnels, souvent peu surveillés. Ce profil en fait une cible idéale pour les campagnes automatisées de piratage. Les attaquants n’ont besoin d’aucune interaction préalable pour exploiter la faille, ce qui favorise la propagation rapide du code malveillant.

Les incidents signalés montrent que les sites non mis à jour peuvent être compromis en quelques minutes. Une fois le contrôle obtenu, les assaillants peuvent injecter des scripts, détourner le référencement SEO, ou héberger des malwares. Wordfence souligne que la plupart des attaques recensées sont menées depuis des infrastructures déjà utilisées pour d’autres campagnes contre des plugins vulnérables.

Réaction et recommandations

Les développeurs de King Addons ont diffusé une mise à jour corrective dès la découverte de la faille. Wordfence recommande aux utilisateurs de vérifier leur version et de renforcer la sécurité via une solution de protection applicative (WAF). Les administrateurs doivent aussi examiner les comptes récents créés sur leur site et supprimer tout utilisateur suspect.

L’incident illustre une fois encore la vulnérabilité de l’écosystème WordPress, où la sécurité repose largement sur la vigilance des webmasters. Malgré les alertes répétées, nombre de sites tardent à appliquer les correctifs, laissant un vaste champ d’action aux cybercriminels.

Cette nouvelle faille montre combien la maintenance proactive est cruciale pour l’intégrité des sites WordPress. Les campagnes d’exploitation automatisées se multiplient : combien de temps avant qu’elles visent les plateformes plus critiques ?

Boostez votre cybersécurité avec notre service de veille ZATAZ.
Alertes, surveillance et infos exclusives pour anticiper les menaces. Découvrir le service

Sources

backdoor, Cybersécurité, Entreprise, Espionnage Spy, Securite informatique

Alerte maximale : CISA redoute une exploitation massive du code source volé de F5

Une cyberattaque d’ampleur contre F5 a conduit l’agence américaine CISA à ordonner en urgence la mise à jour de tous les systèmes fédéraux vulnérables.

L’agence de cybersécurité américaine (CISA) alerte sur une menace majeure visant les réseaux fédéraux après le vol du code source et de failles non divulguées de F5 par un acteur étatique. Le gouvernement a publié une directive d’urgence obligeant toutes les agences civiles à mettre à jour leurs produits F5 d’ici le 22 octobre, afin de prévenir tout risque de compromission systémique.

Un vol stratégique du cœur technologique de F5

Le 9 août, F5 a découvert une intrusion prolongée et discrète dans ses environnements de développement, selon un rapport déposé à la SEC. L’entreprise, épaulée par CrowdStrike, Mandiant et les autorités fédérales, a confirmé que l’assaillant avait accédé au code source de sa suite BIG-IP — technologie clé utilisée pour le routage, la sécurité applicative et la gestion des accès dans les infrastructures critiques. Des informations sur des vulnérabilités encore non corrigées ont également été exfiltrées.
CISA estime que cet accès offre à l’attaquant un avantage technique majeur, lui permettant d’analyser en profondeur le code, d’identifier de nouvelles failles et de créer des exploits ciblés. L’agence craint que ces outils ne servent à s’infiltrer dans les réseaux fédéraux, voler des données sensibles et maintenir un accès persistant.

Une directive d’urgence face à un risque systémique

L’ordre fédéral impose la mise à jour immédiate de tous les équipements et logiciels F5 — physiques ou virtuels — avant le 22 octobre, et un rapport d’audit complet avant le 29. Les produits concernés incluent BIG-IP, F5OS, BIG-IP Next for Kubernetes, BIG-IQ et les clients APM.

Nick Andersen, directeur exécutif adjoint de la cybersécurité à CISA, a précisé qu’aucune compromission confirmée n’a été détectée dans les agences fédérales à ce jour, mais que des milliers d’appareils F5 sont déployés sur les réseaux gouvernementaux. L’agence prévoit des réunions d’information avec les entités locales, étatiques et privées.
Madhu Gottumukkala, directeur par intérim de CISA, a averti que la simplicité d’exploitation des failles volées « impose une action immédiate et décisive ». L’agence recommande également au secteur privé d’appliquer sans délai les correctifs, évoquant un risque de compromission « catastrophique » pour les systèmes critiques.

Une brèche surveillée, mais un adversaire inconnu

F5 affirme avoir évincé les intrus, réinitialisé ses identifiants et renforcé la supervision de ses environnements. Aucun signe de modification du code source ni de la chaîne d’approvisionnement logicielle n’a été observé, selon les validations indépendantes de NCC Group et IOActive.

L’entreprise indique ne pas connaître l’identité de l’acteur étatique responsable, mais plusieurs experts pointent des précédents impliquant des groupes affiliés à la Chine. En 2023, Mandiant avait déjà révélé que des sous-traitants du ministère chinois de la Sécurité d’État exploitaient une faille critique (CVE-2023-46747) affectant BIG-IP.

F5 a également confirmé que certains fichiers volés contenaient des informations techniques relatives à un faible pourcentage de clients. L’entreprise s’engage à notifier directement les clients concernés et à offrir à tous ses utilisateurs un abonnement gratuit au logiciel de détection Falcon EDR de CrowdStrike.

Cette attaque contre F5 illustre la vulnérabilité croissante des chaînes logicielles stratégiques. Si le vol de code source devient un levier d’espionnage à long terme, quelles contre-mesures structurelles peuvent encore garantir l’intégrité des systèmes fédéraux et industriels ?

Sources

Cybersécurité, Entreprise, Securite informatique

Cyberattaque contre Co-op : un manque à gagner de 200 millions d’euros !

Une attaque informatique au printemps a privé Co-op de 274 millions € de revenus, perturbé ses approvisionnements et exposé les données personnelles de 6,5 millions de membres.

Le distributeur britannique Co-op a révélé que la cyberattaque d’avril lui a coûté 206 M£ (274 M€) de revenus, touchant principalement son activité alimentaire. L’incident a entraîné des rayons vides, des systèmes mis hors ligne et la compromission des données de ses 6,5 millions de membres. Selon l’entreprise, les pertes directes de profit se chiffrent à 80 M£ (107 M€). L’enquête a conduit à l’arrestation de quatre personnes, dont un mineur, soupçonnés d’être liés au groupe criminel Scattered Spider. Co-op affirme avoir évité le verrouillage complet de ses systèmes grâce à une déconnexion préventive de ses réseaux, mais reste marqué par un affaiblissement de sa compétitivité face à ses rivaux.

Un réseau fragilisé par l’attaque

L’attaque a été détectée en avril. Pour limiter sa propagation, Co-op a choisi de couper volontairement ses systèmes centraux, ce qui a réduit immédiatement la disponibilité des produits en magasin. Les semaines suivantes, les clients ont constaté des rayons vides et des promotions suspendues. Le rapport semestriel précise que l’activité alimentaire a été la plus affectée. La direction a reconnu que la concurrence a profité de la situation pour capter une partie de la clientèle. Malgré la poursuite des ventes, la rentabilité a plongé, avec un manque à gagner de 80 millions de £ (107 millions €) rien que sur le premier semestre.

 

⚠️ Êtes-vous une proie facile ?⚠️  ️

Scanner de menaces ZATAZ -> identifiez vos expositions avant l’attaque✅ Scanner mes risques
Confidentiel • Instantané • Sécurisé • 100 % Made in France

Un mode opératoire attribué à Scattered Spider

Les enquêteurs soupçonnent que les attaques visant Co-op, M&S et Harrods soient reliées au groupe Scattered Spider, une constellation de jeunes pirates actifs dans l’intrusion de réseaux d’entreprises. Quatre suspects ont été arrêtés en juillet, dont un adolescent. Cette proximité entre acteurs très jeunes et attaques de grande ampleur illustre la difficulté à anticiper l’origine des menaces. Le mode opératoire évoqué s’inscrit dans la tendance des assaillants à viser simultanément plusieurs cibles commerciales, exploitant les dépendances technologiques de la distribution moderne.

Des données massivement compromises

Bien que Co-op ait évité un verrouillage complet par rançongiciel, la fuite de données a touché l’ensemble de ses 6,5 millions de membres. Les informations personnelles compromises alimentent désormais la crainte d’un usage ultérieur par des groupes criminels pour de l’usurpation d’identité ou du chantage. La direction a insisté sur le fait que les équipes ont travaillé sans relâche pour restaurer les opérations et protéger les infrastructures. Mais la perte de confiance reste un enjeu majeur. Dans un secteur où la fidélisation repose sur la sécurité perçue des systèmes de paiement et des données clients, l’atteinte est autant réputationnelle que financière.

L’affaire Co-op souligne la vulnérabilité des chaînes de distribution aux attaques coordonnées et la porosité croissante entre cybercriminalité juvénile et opérations structurées. La question demeure : jusqu’où les enseignes britanniques sont-elles capables d’anticiper de telles menaces et de protéger durablement leurs données sensibles ?

 

Rejoignez ZATAZ sur les réseaux :

Newsletter
WhatsApp
Twitter/X
LinkedIn
YouTube
Google News
Aucun spam – Désinscription en un clic – Vie privée respectée

Cyber-attaque, Cybersécurité, Entreprise, Piratage

Turla et Gamaredon, la collaboration inédite de deux APT russes

Deux cybergroupes affiliés au Kremlin ont été repérés collaborant en Ukraine, une première documentée par des chercheurs.

Pour la première fois, des chercheurs en cybersécurité observe une coopération directe entre Turla et Gamaredon, deux APT russes habituellement distincts. Selon les chercheurs, Gamaredon infecte massivement les machines en Ukraine tandis que Turla sélectionne ensuite les cibles d’intérêt, souvent riches en informations stratégiques. Cette combinaison illustre une coordination cyber offensive pilotée par le renseignement russe, avec des implications majeures pour la sécurité numérique européenne et militaire.

Une alliance inédite repérée en Ukraine

L’éditeur de solution de sécurité informatique ESET a découvert que des appareils de grande valeur en Ukraine présentaient des traces simultanées de malwares issus de Turla et Gamaredon. Dans plusieurs cas, Turla a exploité des machines déjà compromises par Gamaredon. Les chercheurs notent que cette synergie n’est pas fortuite : tous deux travaillent probablement sous l’égide du FSB, l’agence de renseignement russe.

Gamaredon est réputé pour ses attaques massives et peu discrètes. Son objectif consiste à aspirer rapidement un maximum de données sans s’embarrasser de techniques d’effacement. Turla, à l’inverse, est considéré comme l’un des groupes APT les plus sophistiqués au monde. Lié à des attaques contre le Pentagone en 2008, le ministère allemand des Affaires étrangères et l’armée française, il privilégie des cibles réduites mais hautement sensibles, en utilisant notamment l’internet par satellite pour brouiller son origine.

Des rôles complémentaires dans l’espionnage numérique

L’analyse montre que Turla a pu envoyer des commandes à des machines compromises grâce aux accès ouverts par Gamaredon. Ce scénario confirme une chaîne de collaboration où Gamaredon sert de porte d’entrée large et bruyante, tandis que Turla exploite ensuite une sélection restreinte de machines stratégiques. Cette répartition des tâches pourrait accroître l’efficacité globale des opérations du FSB dans la guerre cyber en cours contre l’Ukraine.

La stratégie de Turla repose sur la furtivité et le ciblage fin. Celle de Gamaredon repose sur la prolifération rapide et l’effet de masse. Ensemble, elles permettent à Moscou de combiner collecte massive et exploitation chirurgicale des données sensibles, un schéma rarement observé dans le cyberespace.

Il s’agit de la première preuve tangible d’une coopération directe entre les deux groupes. Ce constat éclaire un mode opératoire plus coordonné des opérations cyber russes. Les chercheurs estiment que Gamaredon compromet des centaines, voire des milliers, d’appareils en Ukraine, tandis que Turla ne s’intéresse qu’aux systèmes contenant des informations critiques.

Une telle collaboration pourrait transformer le rapport de force cyber, en rendant plus difficile la détection et la neutralisation de ces attaques. Pour l’Ukraine et ses alliés, l’enjeu devient d’identifier les passerelles créées par Gamaredon et exploitées par Turla avant qu’elles ne servent à des intrusions à haute valeur stratégique.

Cette alliance tactique entre Turla et Gamaredon illustre une industrialisation du renseignement cyber orchestrée par Moscou. La question centrale reste : jusqu’où cette coopération pourra-t-elle étendre la portée et l’efficacité des opérations russes contre les infrastructures ukrainiennes et occidentales ? (ESET Research)