Archives par mot-clé : cybersécurité

Chiffrement, Cybersécurité, Entreprise, Fuite de données, Securite informatique

Cyberattaque chez FranceLink : le combat pour la reconstruction

18 août 2025 Damien Bancal

En juillet 2025, FranceLink s’effondre sous une cyberattaque massive. Ce choc marque le début d’un combat acharné pour la survie d’une infrastructure cruciale.

À l’été 2025, FranceLink, prestataire IT français, subit une cyberattaque d’une violence inédite. Contraints de couper tous leurs services pour préserver l’intégrité de ce qui reste, les dirigeants révèlent que des données critiques ont été chiffrées par un groupe malveillant. Si certaines fonctions reviennent peu à peu (comme les emails Office365 ou les sites hébergés en externe), les serveurs internes restent hors d’accès. Face à la gravité de la situation, FranceLink engage des experts en récupération de données et reconstruit son infrastructure dans l’urgence, tout en alertant ses clients sur une faille zero-day liée aux équipements VPN SonicWall. Retour sur une crise cyber aux ramifications techniques et humaines profondes.

L’attaque de l’été : choc initial et premières réponses

Tout commence à la fin du mois de juillet 2025. FranceLink, prestataire de services numériques pour de nombreuses entreprises françaises, est brutalement frappée par une cyberattaque. Le choc est brutal : en quelques heures, l’équipe dirigeante prend une décision radicale mais nécessaire : couper tous les services afin d’éviter une propagation incontrôlée. À ce stade, aucune estimation sur la durée de l’interruption n’est possible. Le mot d’ordre est clair : préserver l’intégrité de ce qui peut encore l’être.

L’attaque s’avère particulièrement sophistiquée. Très vite, l’origine de l’agression est attribuée à un groupe nommé « Akira », dont la spécialité est le chiffrement de données critiques pour ensuite extorquer leurs victimes. Les serveurs de FranceLink sont totalement inaccessibles, et les informations qu’ils contiennent semblent irrémédiablement chiffrées.

La direction communique dès les premiers jours avec une transparence rare dans ce type de crise. Elle annonce avoir restauré une partie de l’infrastructure DNS, permettant ainsi la remise en service des emails (hébergés sur Office365 ou sur d’autres plateformes) ainsi que des sites web externalisés. Toutefois, tout ce qui dépend des serveurs internes reste inaccessible. Il est impossible, à cette étape, de savoir si les données pourront être récupérées.

C’est alors que commence une course contre la montre. FranceLink mobilise une première entreprise spécialisée en récupération de données. Pendant deux semaines, ses experts collaborent avec les équipes internes, jour et nuit, week-end compris. Le résultat, livré le 6 août, est amer : seules quelques données ont pu être restaurées, très insuffisantes pour répondre aux besoins des clients.

La situation est critique. Le 13 août, le standard téléphonique est suspendu pour concentrer toutes les ressources humaines sur la reconstruction. La communication se fait exclusivement via des mises à jour publiques. Une stratégie assumée, à la fois pour maintenir le lien avec les clients et éviter la désinformation.

Reconstruction technique et traque de la vulnérabilité

Dès le 6 août, une nouvelle entreprise est sollicitée pour tenter de récupérer davantage de données. Cette démarche implique des coûts importants (plusieurs dizaines de milliers d’euros), mais FranceLink ne recule devant aucun effort. L’objectif est double : récupérer ce qui peut l’être et, en parallèle, reconstruire rapidement une infrastructure viable.

Les équipes de l’entreprise identifient une possible piste technique sur l’origine de la faille : une vulnérabilité zero-day dans les équipements VPN SSL SonicWall, utilisée dans l’environnement réseau de FranceLink. Cette faille pourrait avoir été exploitée par les assaillants pour pénétrer le système. Bien que SonicWall indique encore être en phase d’investigation, le lien est suffisamment préoccupant pour que FranceLink alerte officiellement ses clients. Ceux-ci sont invités à consulter les alertes de sécurité et à appliquer immédiatement les mesures de protection recommandées.

En parallèle, le chantier de la reconstruction bat son plein. L’enjeu est énorme : rétablir les plateformes clients, mais surtout leur offrir un environnement sain, sécurisé et stable. FranceLink décide alors de créer de nouveaux espaces, entièrement refondus, même s’ils sont, dans un premier temps, dépourvus de données historiques.

Cette décision est stratégique. Elle permet aux clients de reprendre leurs activités, même partiellement, et de se projeter dans une reprise. En parallèle, un formulaire est mis en ligne pour que chaque client puisse indiquer les données les plus critiques à ses yeux. Cette démarche participative permet de prioriser les efforts de restauration, tout en impliquant les victimes dans la résolution.

Au fil des jours, les services reviennent. Les messageries Office365, les sites en développement ou encore les noms de domaine fonctionnent de nouveau. FranceLink documente chaque étape, publie un rapport d’incident détaillé, et tente de rassurer en maintenant une communication factuelle.

Date	Événement
29/07/2025	Coupure totale des services de FranceLink suite à une cyberattaque. Standard téléphonique également suspendu.
31/07/2025	Première communication officielle sur la messagerie : deux solutions proposées pour restaurer les emails.
01/08/2025	FranceLink confirme avoir été visée par le groupe de ransomware Akira. Mise en ligne d’un formulaire pour prioriser la restauration.
04/08/2025	Premiers bilans techniques : difficultés majeures à récupérer les données chiffrées malgré le travail des experts.
06/08/2025	Fin de la mission du premier spécialiste de récupération. Quelques données récupérées, mais insuffisantes. Engagement d’un second expert.
	Alerte sur une faille zero-day dans les équipements VPN SSL SonicWall, potentiellement à l’origine de l’intrusion.
11/08/2025	Publication d’un rapport d’incident détaillé. FranceLink invite ses clients à en prendre connaissance.
13/08/2025	Mise à jour : standard téléphonique toujours suspendu. FranceLink détaille ses priorités : reconstruction et récupération.
À ce jour	Services DNS restaurés. Emails et sites web externalisés refonctionnent. Les serveurs internes restent inaccessibles.

Une crise révélatrice des fragilités systémiques

Au-delà des aspects techniques, cette cyberattaque met en lumière une réalité trop souvent ignorée : la dépendance des entreprises, même modestes, à des infrastructures numériques vulnérables. FranceLink, comme beaucoup d’acteurs du numérique, héberge non seulement des services mais aussi des identités numériques, des archives, des outils métiers critiques. Lorsqu’un acteur de cette chaîne tombe, c’est tout un écosystème qui vacille.

L’attaque d’Akira n’est pas un cas isolé. En 2025, les cyberattaques visant les prestataires IT se multiplient. Elles visent les maillons techniques de la chaîne de confiance, là où la sécurité est supposée être la plus solide, mais où les failles humaines, techniques ou organisationnelles peuvent provoquer des catastrophes systémiques. Le cas FranceLink en est une parfaite illustration. L’alerte autour des équipements SonicWall ajoute une couche d’inquiétude. Si la faille zero-day est confirmée, elle remettrait en question la sécurité de milliers d’infrastructures utilisant cette technologie à travers l’Europe. Dans ce contexte, la proactivité de FranceLink dans l’identification et la diffusion de l’alerte est saluée par une partie de la communauté cyber.

Mais au-delà des conséquences techniques, cette crise a aussi des implications humaines. Les équipes de FranceLink, en première ligne, ont dû affronter l’impossible : gérer la pression de centaines de clients inquiets, reconstruire en urgence, communiquer dans l’incertitude, tout en vivant le deuil numérique d’une infrastructure effondrée. Le silence du standard téléphonique, pendant plusieurs semaines, est un symbole de cette tension. La suite reste encore incertaine. Les tentatives de récupération se poursuivent. Le soutien des clients semble, en partie, tenir. Mais les dégâts sont là : pertes de données, arrêts d’activité, crédibilité ébranlée. Le Service Veille de ZATAZ confirme la menace d’Akira de diffuser d’ici peu 20 Go de données qui auraient été dérobées pendant la cyber attaque !

backdoor, Cybersécurité, Entreprise, IA

Invitation Is All You Need : fausse invitation pour pirater votre vie numérique

17 août 2025 Damien Bancal

Invitation Is All You Need : une simple invitation Google Calendar peut devenir une arme redoutable contre Gemini, l’assistant IA de Google — bienvenue dans l’ère du promptware, où vos appareils sont compromis à votre insu.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Trois chercheurs israéliens ont mis au jour une faille alarmante dans Gemini, l’assistant IA de Google. En cachant des instructions malveillantes dans le titre d’un événement Google Calendar, ils ont réussi à manipuler l’IA pour exécuter des actions inattendues : prise de contrôle de domotique, suppression de rendez-vous, géolocalisation, déclenchement d’appels, diffusion de messages injurieux et vol de correspondances. Baptisée « Invitation Is All You Need », cette attaque de type promptware démontre à quel point un simple rendez-vous numérique peut devenir une arme d’intrusion. Google a réagi avec filtres, confirmation humaine et détection par apprentissage automatique. Mais l’incident souligne les risques majeurs liés à l’intégration des IA dans nos vies connectées.

Quand une invitation devient une intrusion

Tout commence dans un appartement discret de Tel-Aviv. Les volets motorisés, les lumières connectées et la chaudière semblent fonctionner normalement. Pourtant, au moment précis où un occupant demande à Gemini de lui lire ses prochains rendez-vous, la pièce bascule dans l’étrange : les volets s’ouvrent sans demande, la chaudière s’allume, un appel vidéo se prépare en arrière-plan. La source ? Une simple invitation Google Calendar, envoyée quelques jours plus tôt et soigneusement camouflée pour paraître banale.

Derrière cette démonstration se trouvent Ben Nassi, Stav Cohen et Or Yair, chercheurs en cybersécurité. Leur objectif : prouver qu’un assistant IA peut être manipulé sans interaction directe avec sa victime, en exploitant la manière dont il lit et interprète les informations contextuelles.

Ils ont découvert que Gemini, lorsqu’il lit un événement du calendrier, intègre l’intégralité du titre et de la description dans son « contexte » d’analyse. Si ces informations contiennent des instructions malveillantes, l’IA peut les exécuter, convaincue qu’elles font partie de la demande de l’utilisateur. L’utilisateur, lui, ne voit qu’un résumé anodin… mais déclenche malgré lui une séquence invisible.

L’ombre du promptware

Le terme promptware décrit ces attaques qui n’exploitent pas une faille de code, mais la confiance qu’un système accorde à son entrée textuelle. Dans ce cas, l’entrée n’est pas tapée par l’utilisateur : elle arrive automatiquement par un service tiers, ici Google Calendar. L’équipe a ainsi démontré que l’on pouvait transformer une simple donnée textuelle en levier de compromission.

Les scénarios qu’ils ont simulés donnent le vertige. Un message caché dans un rendez-vous peut ordonner à Gemini d’envoyer un courriel à une liste précise, ce qui permet de diffuser du spam ou de mener des campagnes de phishing. Un autre peut lui demander de supprimer certains événements importants de l’agenda, créant une désorganisation ciblée. Les chercheurs ont aussi montré qu’il est possible d’obtenir la localisation d’un appareil et de la transmettre discrètement à un tiers, ouvrant la voie à une surveillance intrusive.

Ils ont poussé l’expérience plus loin : contrôle d’objets connectés via Google Home, comme allumer une chaudière ou déverrouiller une porte ; déclenchement d’appels vidéo non sollicités ; ou encore insertion de messages offensants dans des conversations. Autant d’actions qui, dans un contexte professionnel ou privé, peuvent provoquer des dommages tangibles, financiers comme psychologiques.

L’efficacité de ces attaques repose sur deux facteurs : leur invisibilité et leur proximité avec l’usage normal de l’IA. Gemini croit agir sur ordre légitime. L’utilisateur, lui, ne soupçonne rien, puisque l’action est liée à une commande vocale qu’il a lui-même donnée, comme « Quels sont mes prochains rendez-vous ? ».

La contrainte technique : pour que l’attaque fonctionne, le rendez-vous piégé doit figurer dans les cinq événements les plus récents de l’agenda. Les chercheurs ont donc imaginé des stratégies pour maintenir l’événement dans cette zone visible, notamment en multipliant les invitations successives, chacune repoussant l’ancienne plus loin dans la liste.

L’alerte cyber et renseignement

Cette faille révèle bien plus qu’un simple problème technique : elle met en lumière la manière dont l’intégration des IA dans nos outils quotidiens peut créer des points d’entrée inattendus pour des opérations de renseignement.

Dans un scénario d’espionnage, une agence malveillante pourrait envoyer à grande échelle des invitations piégées à des cibles précises, déclenchant des actions d’exfiltration ou de sabotage à distance. Contrairement aux campagnes de phishing classiques, il n’est pas nécessaire que la victime clique sur un lien ou télécharge un fichier. Le seul fait de demander à Gemini d’accéder à son calendrier suffit.

L’attaque contourne aussi les défenses humaines : même un utilisateur prudent, conscient des risques des emails suspects, n’imaginerait pas qu’une notification de réunion puisse activer une porte d’entrée vers ses données.

Google, alerté par cette découverte, a réagi en déployant plusieurs contre-mesures. La première : un filtrage de sortie, visant à bloquer la transmission de données sensibles. Ensuite, un système de confirmation humaine avant d’exécuter certaines actions jugées à risque. Enfin, un renforcement de la détection automatique par apprentissage automatique, afin d’identifier les formulations suspectes insérées dans des contenus apparemment anodins.

Ces mesures réduisent le risque immédiat, mais elles ne changent pas la nature fondamentale du problème : la dépendance croissante de nos outils à des IA qui, par conception, obéissent aveuglément au texte qu’elles interprètent.

Une vigilance de tous les instants

Pour se prémunir de ce genre d’attaque, il ne suffit pas de compter sur les correctifs des éditeurs. Les utilisateurs peuvent limiter l’exposition en restreignant l’accès de Gemini aux données sensibles. Examiner régulièrement les nouveaux événements ajoutés au calendrier, surtout lorsqu’ils proviennent de sources inconnues, reste une précaution utile. Dans les paramètres, il est possible de forcer une validation manuelle avant toute action impactant le monde réel, comme contrôler un appareil domestique.

La sensibilisation joue un rôle clé. Comprendre que le promptware peut se glisser dans n’importe quelle interaction avec une IA, même indirecte, aide à repérer des comportements anormaux. Enfin, du côté des développeurs et architectes systèmes, il est urgent de concevoir des IA qui ne puissent pas exécuter d’actions critiques sur la seule base de contenu textuel non vérifié.

Cybersécurité, Espionnage Spy, Fuite de données, Justice

Pékin accuse Nvidia : soupçons de backdoors dans les puces IA H20

17 août 2025 Damien Bancal

Nvidia dans le viseur de la Chine : Pékin suspecte ses puces IA H20 d’abriter des backdoors, ravivant la guerre technologique sur fond de cybersurveillance mondiale.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

La Chine vient d’interpeller Nvidia, géant américain des semi-conducteurs, au sujet de présumés backdoors dans ses puces H20 destinées à l’intelligence artificielle locale. Pékin s’appuie sur de nouvelles lois sur la cybersécurité pour exiger transparence et garanties techniques, tandis que Washington impose, de son côté, des restrictions et des mécanismes de contrôle dans les puces exportées. Cet épisode cristallise la montée en puissance des tensions entre les deux superpuissances numériques, où la sécurité, la souveraineté et la capacité de renseignement s’entremêlent. Retour sur les dessous d’un affrontement qui redéfinit les équilibres du cyberespace mondial.

L’ombre du renseignement : Pékin convoque Nvidia

Au matin du 31 juillet 2025, une rumeur parcourt les couloirs feutrés des grandes universités technologiques de Pékin. Dans un communiqué solennel, la Cyberspace Administration of China (CAC), autorité suprême du cyberespace, annonce avoir convoqué l’un des plus puissants fabricants mondiaux de puces d’intelligence artificielle : Nvidia.

La raison officielle ? La présence de « vulnérabilités de sécurité sérieuses » – des backdoors selon l’administration – dans les puces H20, version modifiée et bridée, spécialement conçue pour satisfaire aux exigences américaines en matière d’exportation vers la Chine.

Derrière la formule administrative, la réalité est bien plus explosive. Car depuis 2023, le secteur mondial des semi-conducteurs est l’objet de toutes les tensions, chaque acteur jouant une partie d’échecs à très haut risque, où chaque mouvement peut avoir des conséquences stratégiques majeures.

Washington, dans une course effrénée à la suprématie technologique, a multiplié les restrictions à l’exportation, craignant que ses technologies ne viennent renforcer la puissance militaire et cybernétique chinoise. Mais la diplomatie du silicium ne se limite pas à un simple jeu de barrières douanières. Depuis quelques mois, la législation américaine va plus loin : avec le Chip Security Act, toute puce IA exportée doit embarquer des fonctions de traçage GPS, de localisation et de coupure à distance.

Pour Pékin, c’est une déclaration de guerre numérique à peine voilée.

La cyberguerre dans le silicium : l’art du soupçon et de la riposte

La convocation de Nvidia par les autorités chinoises n’est pas un geste isolé. Elle s’inscrit dans une stratégie globale, où la souveraineté numérique est devenue une priorité nationale. La Chine, qui ne cesse de rappeler son attachement à la « cybersécurité et à la protection des données des utilisateurs », applique strictement ses lois : Cybersecurity Law, Data Security Law et Personal Information Protection Law.

Au centre de l’enquête, une question : les puces H20, qui font tourner nombre d’algorithmes d’intelligence artificielle en Chine, sont-elles vraiment sûres ?

En creux, la peur d’un sabotage à distance. Si les puces américaines comportent effectivement des modules de tracking ou de télécommande, Washington pourrait, en cas de crise, désactiver à volonté une partie de l’infrastructure numérique chinoise. Un scénario digne de la cyberguerre froide, mais qui devient, à la lumière des technologies actuelles, de plus en plus crédible.

La réponse de Nvidia ne s’est pas fait attendre. L’entreprise, par la voix d’un de ses porte-paroles, nie toute présence de backdoor : « La cybersécurité est essentielle pour nous. Nvidia ne place aucune porte dérobée dans ses puces permettant un accès ou un contrôle à distance par un tiers. »

Mais la défiance est tenace, et pour cause : dans le même temps, le marché noir s’empare du sujet. Selon les estimations, pour plus d’un milliard de dollars (environ 920 millions d’euros) de puces Nvidia, parfois des modèles officiellement bannis comme les B200, H10 ou H200, auraient trouvé leur chemin vers la Chine via des circuits parallèles. Kits complets, racks prêts à l’emploi, tout s’arrache sous le manteau – preuve que le besoin de puissance de calcul reste insatiable, quelles que soient les réglementations.

Sécurité nationale, souveraineté et rivalité : le vrai visage de la crise

Ce bras de fer n’est pas qu’une affaire de technique : il symbolise la nouvelle géopolitique du renseignement à l’ère de l’IA. En exigeant de Nvidia la remise de « preuves », de « documents techniques » et d’« explications détaillées », Pékin affiche sa volonté de contrôler la chaîne technologique, mais aussi de démontrer à ses propres acteurs économiques la nécessité d’une indépendance stratégique.

Les failles supposées des puces H20 ne sont en réalité que l’arbre qui cache la forêt. Car malgré les efforts de géants nationaux comme Huawei ou SMIC, la Chine reste encore dépendante, pour les applications de pointe, des technologies américaines. Le lancement du dernier notebook Huawei, salué comme une avancée nationale, a aussi révélé le retard technologique du pays – des générations entières de retard, difficilement comblables sans coopération internationale.

La bataille se joue également sur le terrain du renseignement : dans le cyberespace, tout composant étranger est désormais considéré comme une menace potentielle. L’incertitude est totale. Qui détient vraiment la clé du contrôle de ces puces ? Les circuits imprimés sont-ils de simples outils, ou des armes silencieuses, prêtes à être activées à distance ?

Pour Pékin, la réponse est claire : seule une maîtrise totale de la chaîne technologique, du design à la production, en passant par le contrôle des codes sources, permettra de garantir la sécurité nationale. En attendant, la Chine redouble d’efforts pour stimuler son industrie, investir massivement dans la recherche et l’innovation, et limiter sa dépendance à l’Occident.

Mais la tâche est titanesque. Face à une Silicon Valley toujours à la pointe, les ambitions chinoises se heurtent à des décennies de domination américaine. Le feuilleton des puces Nvidia H20 n’est qu’un épisode de plus dans une série au long cours : celle de la conquête, puis de la sécurisation, du cyberespace mondial.

backdoor, Cybersécurité, Entreprise, Mise à jour, Patch, Securite informatique

RomCom exploite une faille WinRAR zero‑day CVE‑2025‑8088

16 août 2025 Damien Bancal

Une faille critique dans WinRAR exploitée par RomCom menace entreprises et administrations. Espionnage ciblé, spearphishing redoutable : l’Europe et le Canada sont directement dans le viseur.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Une vulnérabilité critique (CVE‑2025‑8088) dans WinRAR, exploitée par le groupe cyberespion RomCom aligné sur la Russie, a été découverte par ESET Research. Active entre le 18 et le 21 juillet 2025, cette campagne visait des secteurs stratégiques en Europe et au Canada : finance, défense, logistique, industrie. Disséminées via spear phishing, les archives piégées permettaient l’exécution de backdoors comme SnipBot, RustyClaw ou Mythic. Cette attaque sophistiquée marque une nouvelle escalade dans la guerre cyber et politique menée par des groupes APT russophones. WinRAR a corrigé la faille dès le 30 juillet 2025 via une mise à jour manuelle obligatoire vers la version 7.13. Le retard de correctif expose encore de nombreuses victimes potentielles.

Une faille invisible, une intrusion discrète

Le 18 juillet 2025, les analystes d’ESET détectent un comportement anormal dans une archive RAR transmise à une entreprise européenne de défense. Une DLL nommée msedge.dll, dissimulée dans un chemin d’extraction détourné, attire immédiatement leur attention. L’analyse révèle l’exploitation d’une faille jusqu’alors inconnue, touchant toutes les versions de WinRAR jusqu’à la 7.12 incluse.

Dénommée CVE‑2025‑8088, cette vulnérabilité exploite un mécanisme sournois : la traversée de chemin via les flux de données alternatifs NTFS. Résultat ? Un simple fichier extrait peut être redirigé vers des répertoires critiques du système, comme le dossier de démarrage de Windows. À la prochaine session, le code malveillant s’exécute sans déclencher d’alerte.

Le 24 juillet, ESET contacte le développeur de WinRAR. La réponse est immédiate : un correctif est intégré dans une version bêta, puis publié officiellement le 30 juillet dans la version 7.13. Mais attention : WinRAR ne propose aucune mise à jour automatique. Des millions d’utilisateurs pourraient donc encore être exposés sans le savoir.

Spearphishing ciblé et backdoors sur mesure

Entre le 18 et le 21 juillet 2025, RomCom lance une offensive de spearphishing contre plusieurs entreprises situées en Europe et au Canada. Les cibles sont choisies avec soin : finance, logistique, industrie manufacturière et défense. Les e-mails se présentent sous forme de candidatures professionnelles, CV à l’appui. Une fois l’archive RAR ouverte, la vulnérabilité est déclenchée.

Dans les cas observés par ESET, les charges utiles déployées sont variées mais convergent toutes vers un objectif d’espionnage. On retrouve la backdoor SnipBot, une version personnalisée de RustyClaw, et un agent Mythic configuré sur mesure. Ces implants sont conçus pour maintenir l’accès, exfiltrer des données et injecter des modules additionnels à distance.

RomCom — également connu sous les noms de Storm‑0978, Tropical Scorpius ou UNC2596 — est formellement attribué à cette campagne. ESET justifie cette attribution par une concordance complète des outils, méthodes et infrastructures déjà associées au groupe lors de précédentes attaques. RomCom est réputé pour ses opérations mêlant cybercriminalité classique et espionnage au service d’objectifs géopolitiques russes.

Un contexte géopolitique sous tension

La campagne RomCom s’inscrit dans une dynamique inquiétante. Depuis 2023, ce groupe cible les institutions occidentales sensibles, avec un pic d’activité lors de moments de tension internationale. En juin 2023, RomCom s’en était déjà pris à des entités européennes via des leurres liés au Congrès mondial ukrainien. Le choix des cibles 2025 — défense, finance, logistique — suggère une volonté claire d’interférer dans les structures stratégiques.

La faille CVE‑2025‑8088 a été ajoutée au catalogue KEV (Known Exploited Vulnerabilities) de la CISA américaine le 12 août 2025. Cela implique une obligation pour les agences fédérales de déployer un correctif immédiat sous peine de non-conformité aux directives de cybersécurité (BOD 22-01). Le score CVSS attribué à cette vulnérabilité est de 8,4, signe de sa criticité élevée.

Le plus alarmant reste la simultanéité d’exploitation par un second groupe : Paper Werewolf, alias GOFFEE, qui s’est approprié la même faille peu après. Cette double exploitation suggère une probable fuite ou vente privée de l’exploit, accentuant le danger de réutilisation dans des campagnes futures.

Dans cette nouvelle ère de guerre hybride, où les lignes entre cybercriminalité et renseignement s’effacent, la vulnérabilité WinRAR symbolise une faille bien plus large : celle d’un cyberespace vulnérable, traversé par des ambitions politiques masquées sous des lignes de code.

Entreprise, IA

Orange et OpenAI : partenar’IA

16 août 2025 Damien Bancal

Orange s’allie à OpenAI pour lancer une nouvelle génération d’intelligences artificielles souveraines, frugales et inclusives. En déployant localement les modèles open-weight gpt-oss-120b et gpt-oss-20b dans ses propres data centers, Orange annonce garantir la confidentialité des données, le respect des réglementations locales et la performance à grande échelle. Cette collaboration pionnière marque une étape stratégique vers une IA qui se veut éthique, adaptée aux besoins des entreprises, des États et des citoyens, notamment en Afrique.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

De la puissance brute à la finesse maîtrisée : l’ambition souveraine d’Orange

Tout a commencé dans les laboratoires d’Orange, bien avant le battage médiatique autour de l’IA générative. En interne, les experts IA du groupe savaient que pour bâtir une stratégie durable, il fallait aller au-delà de la simple intégration d’un assistant conversationnel. Il s’agissait de prendre le contrôle : des données, des performances, des coûts, et surtout, de la souveraineté.

C’est dans cette logique qu’Orange devient l’un des premiers au monde à intégrer les modèles open-weight gpt-oss-120b et 20b de l’américain OpenAI dans ses propres infrastructures. Pas dans un cloud tiers. Pas sous la surveillance d’un acteur externe. Dans ses data centers, en France et dans 26 pays.

Ces modèles ne sont pas juste puissants : ils sont adaptables. Grâce à une architecture « Mixture of Experts » (128 experts, 4 activés par token), ils permettent à Orange d’activer uniquement ce qui est nécessaire. Résultat : performance ciblée, consommation énergétique réduite, et empreinte environnementale maîtrisée. Loin d’être gadget, ce déploiement ouvre la voie à une personnalisation ultra-précise : Orange distille ces IA pour des usages internes (maintenance réseau, cybersécurité, assistance technique) comme pour ses clients B2B, qui attendent une IA aussi puissante que souveraine.

L’intelligence responsable : cybersécurité, écologie, pragmatisme ?

Chez Orange, l’IA est un outil, calibré pour résoudre des problèmes réels : réseau en surcharge, attaques cyber, détection d’anomalies, besoins multilingues, expérience client inégale. Et c’est là que la responsabilité entre en scène. Déployer localement signifie que chaque modèle reste dans un cadre légal strict, avec des données chiffrées, sans exfiltration possible. Dans le contexte européen du RGPD ou face à la fragmentation des normes africaines et moyen-orientales, c’est un atout géopolitique. Orange devient son propre garant.

L’approche frugale — moins de puissance, moins de données, moins d’énergie — est tout sauf naïve. Elle s’ancre dans le réel. Moins de calcul, c’est moins de chaleur, moins de serveurs, moins d’émissions carbone. Dans ses propres centres de données, Orange peut même optimiser la consommation énergétique des modèles, en fonction des heures creuses, ou des pics d’activité. Avec gpt-oss-20b, par exemple, Orange développe des micro-modèles ultra-ciblés pour des tâches précises : tri intelligent de courriels, classification automatisée de tickets réseau, réponse instantanée en langage naturel dans les call centers. Tout cela en restant 100 % souverain.

Enfin, cette IA n’est pas neutre indique Orange : elle se veut aussi cyber-résiliente. Parce que les modèles sont localisés, Orange garde la main sur chaque couche, chaque adaptation. En cas d’attaque ou de vulnérabilité, l’entreprise peut couper, corriger, réentraîner sans dépendre d’un tiers. Une maîtrise rare, dans un secteur où l’IA est souvent opaque. Grâce aux gpt-oss d’OpenAI, Orange peut affiner ses modèles pour intégrer le wolof, le baoulé, le swahili ou le lingala. Cela change tout. Un client peut dialoguer avec un agent IA dans sa langue maternelle. Un service public peut proposer une interface vocale adaptée à sa population. Et demain, ces modèles seront publiés en open source, à disposition des États africains. L’impact est considérable. Dans des pays où l’accès aux services numériques reste inégal, une IA bien entraînée peut devenir un relais d’éducation, de prévention santé, d’accès aux droits. C’est aussi une arme contre la fracture numérique, contre la marginalisation linguistique, contre l’exclusion des femmes, souvent moins exposées aux outils tech.

Les limites du partenariat Orange–OpenAI : cinq points à surveiller

Derrière l’ambition affichée de souveraineté, plusieurs zones de vigilance demeurent. La première concerne la dépendance stratégique à OpenAI. Même si les modèles gpt-oss sont déployés localement dans les data centers d’Orange, ils restent conçus et maintenus par l’américain OpenAI. Cela signifie qu’Orange dépend toujours de ses choix technologiques et de son rythme d’évolution. La souveraineté est donc davantage opérationnelle que technologique.

Deuxième enjeu : les coûts et la complexité opérationnelle. Exploiter des modèles de 20 à 120 milliards de paramètres suppose une infrastructure lourde, énergivore et coûteuse. Les promesses d’efficacité énergétique permettent de limiter l’impact environnemental, mais pas d’effacer l’ampleur des investissements nécessaires, ni les frais de maintenance à long terme. Face aux géants du cloud, dotés de moyens colossaux, Orange devra contenir ses dépenses tout en restant compétitif.

Vient ensuite la question de la scalabilité et des performances réelles. Les modèles open-weight d’OpenAI sont puissants, mais restent derrière les modèles propriétaires les plus avancés. Ils conviennent à des cas d’usage ciblés, mais pourraient montrer leurs limites dans des déploiements massifs auprès du grand public ou pour des services transverses.

Le quatrième point critique touche à la gouvernance et à la transparence. En se posant en garant de ses propres IA, Orange assume une responsabilité directe : encadrer les biais, éviter les dérives et instaurer des mécanismes d’audit. Or, sans supervision externe indépendante, la crédibilité de l’approche pourrait être questionnée.

Enfin, l’impact géopolitique du projet est ambivalent. En Afrique, il peut réduire la fracture numérique et favoriser l’inclusion linguistique. Mais il peut aussi renforcer une dépendance technologique vis-à-vis d’acteurs extérieurs, dans un contexte où la souveraineté numérique africaine est un enjeu majeur.

En somme, le partenariat ouvre des perspectives, mais son succès dépendra de la capacité d’Orange à transformer ces promesses en solutions réellement pérennes et autonomes.

Base de données, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Securite informatique

Dell sous pression : le cyberchantage d’un groupe rebaptisé WorldLeaks tourne court

25 juillet 2025 Damien Bancal

Dell fait face à une nouvelle tentative de cyberchantage, orchestrée par WorldLeaks, mais assure que les informations volées sont inexploitables. Le climat cyber reste cependant sous haute tension.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Dell Technologies a confirmé une tentative de cyberchantage orchestrée par le groupe WorldLeaks, exfiltrant 1,3 To de données issues de leur environnement de démonstration « Solution Center ». Selon Dell, ces fichiers n’ont aucune valeur, ne contenant ni données sensibles ni informations sur les clients. Cet incident survient dans un contexte de recrudescence des attaques par extorsion de données, un phénomène accentué par le récent « rebranding » de groupes cybercriminels. L’affaire rappelle également une fuite majeure survenue en 2023 ayant impliqué de véritables données clients. Analyse d’un incident révélateur des mutations actuelles dans la cybercriminalité.

Une attaque orchestrée par WorldLeaks : un coup d’épée dans l’eau ?

Le 22 juillet, la scène cybercriminelle bruisse d’une annonce : WorldLeaks, nouvelle appellation d’une ancienne équipe de rançongiciels, revendique l’infiltration du réseau Dell. Les chiffres avancés impressionnent : 1,3 To de données, soit plus de 416 000 fichiers, exfiltrés depuis les serveurs du géant informatique. Leur objectif ? L’extorsion, en menaçant de publier ces informations à moins d’obtenir un paiement.

Dell réagit rapidement, en coupant court à tout vent de panique. Selon l’entreprise, il ne s’agit là que d’ensembles de données synthétiques, stockés dans une zone de test entièrement isolée, sans aucun lien ni avec les clients, ni avec les partenaires, ni avec les opérations en production. La valeur de ces fichiers serait donc nulle, rendant toute tentative de chantage inopérante.

L’enjeu des environnements isolés et la réponse de Dell

Dans un contexte de multiplication des cyberattaques, Dell insiste sur la ségrégation stricte de son « Solution Center », laboratoire conçu pour les démonstrations produits. Cette séparation physique et logique vise à limiter l’impact des brèches potentielles. Les fichiers concernés par l’attaque seraient destinés uniquement à des scénarios de tests, totalement dépourvus d’informations sensibles ou d’identifiants clients.

Contactée par la presse spécialisée, la direction de Dell refuse d’évoquer le montant éventuel des rançons demandées. La seule certitude affichée : aucune information confidentielle n’a filtré. « Comme beaucoup d’autres entreprises, nous travaillons en continu à renforcer nos défenses. La sécurité de nos clients reste notre priorité absolue », martèle le groupe.

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

L’incident intervient sur fond de souvenirs douloureux : en 2023, Dell avait reconnu le vol de données réelles concernant près de 49 millions de commandes clients, incluant noms, adresses et détails techniques sur les équipements. En mai 2024, une notification officielle avait confirmé la compromission, illustrant la réalité des risques cyber même pour les géants du secteur.

Plus inquiétant encore, cette attaque survient après la dissolution annoncée du groupe Hunters International, qui a profité de sa sortie pour « offrir » aux victimes les clés de déchiffrement de leurs données. Mais, selon les experts, ce départ ne serait qu’un écran de fumée destiné à permettre un repositionnement stratégique. Les cybercriminels, confrontés à la baisse de rentabilité des ransomwares traditionnels, semblent désormais privilégier l’exfiltration et la menace de publication des données.

Analyse : La cyber-extorsion, nouvelle norme ou impasse ?

Le cas Dell illustre la transition du paysage cybercriminel : face à des défenses mieux préparées et des ransomwares de moins en moins rentables, la menace s’oriente vers le vol d’informations et le chantage à la publication. Pourtant, cette tactique n’est pas sans risque pour les attaquants, qui peinent parfois à monétiser des données peu exploitables d’autant plus que certains pays, comme le Royaume-Unis font interdire le moindre paiement lors d’une demande de rançon.

Dell, pour sa part, semble avoir tiré les leçons du passé en compartimentant ses systèmes critiques. Mais l’affaire rappelle que la vigilance reste de mise et que chaque brèche, même anodine, peut devenir une vitrine pour les groupes malveillants en quête de légitimité. Sans parler du risque de fermer boutique comme ce fût le cas, il y a peu, pour un important transporteur de fret.

La tentative de chantage contre Dell, si elle s’avère sans effet immédiat, montre à quel point la cyber-extorsion s’est ancrée dans les pratiques des groupes criminels. L’évolution des méthodes — passage du rançongiciel à la pure exfiltration — témoigne d’une professionnalisation du secteur, mais aussi de la nécessité, pour les entreprises, d’investir en continu dans la cybersécurité et la gestion de crise. La question n’est plus de savoir « si » une attaque aura lieu, mais « quand » — et surtout comment y répondre sans céder à la panique ni à la pression.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Cybersécurité, Entreprise, Mise à jour, Patch, Securite informatique

Failles critiques Cisco ISE : exécution de code à distance et correctifs

25 juillet 2025 Damien Bancal

Des vulnérabilités critiques, activement exploitées dans Cisco Identity Services Engine et son module Passive Identity Connector, permettent à des attaquants d’accéder à des réseaux d’entreprise sans authentification, compromettant la sécurité interne.

La société Cisco a publié un avis officiel après la découverte de plusieurs vulnérabilités critiques affectant son produit phare Cisco Identity Services Engine (ISE) ainsi que le module associé Passive Identity Connector (ISE-PIC). L’équipe Product Security Incident Response Team (PSIRT) de Cisco a confirmé l’exploitation active de ces failles par des attaquants dans des conditions réelles, précisant que plusieurs tentatives d’exploitation ont été observées sur des infrastructures de clients. La gravité de ces vulnérabilités, évaluée à 10 sur 10 sur l’échelle CVS, place ces incidents parmi les menaces les plus sérieuses identifiées récemment dans le secteur de la cybersécurité d’entreprise.

Le produit Cisco Identity Services Engine occupe une place centrale dans le contrôle des accès aux réseaux professionnels. Il détermine les conditions et modalités selon lesquelles les utilisateurs et équipements peuvent se connecter à l’infrastructure interne d’une organisation. Une compromission de ce composant peut ouvrir la voie à des intrusions à grande échelle, en contournant tous les mécanismes d’authentification et de journalisation des accès. Cette situation expose l’ensemble du système d’information à une prise de contrôle totale, par le biais de privilèges administratifs de type root, traditionnellement réservés à la gestion la plus sensible des systèmes.

Les vulnérabilités concernées portent sur la gestion des requêtes API et le traitement des fichiers au sein des solutions Cisco ISE et ISE-PIC. Les deux premières failles sont issues d’une absence de validation suffisante des données transmises via l’API. Un attaquant distant, sans aucune authentification préalable, peut ainsi envoyer des requêtes spécifiquement conçues pour exécuter des commandes arbitraires sur le serveur, obtenant un accès complet aux ressources critiques de l’entreprise. La troisième vulnérabilité concerne un défaut de filtrage lors du téléchargement de fichiers via une interface interne, ce qui permet à un individu malveillant d’introduire un fichier malveillant dans un répertoire protégé et de le faire exécuter avec les droits les plus élevés du système.

Les mécanismes d’exploitation sont similaires à ceux observés dans d’autres attaques majeures ciblant les infrastructures réseau : manipulation de requêtes API ou envoi de fichiers modifiés pour prendre le contrôle des serveurs. Le danger est accentué par le fait que ces failles ne requièrent aucune authentification préalable, rendant les attaques difficiles à détecter et à prévenir en amont. L’intégrité de la plateforme étant compromise, toutes les mesures de sécurité internes peuvent être contournées, ce qui remet en cause la confiance dans la protection des données et des flux internes à l’organisation.

Corrections publiées et recommandations officielles pour la protection des infrastructures

Face à la gravité de la situation, Cisco a rapidement publié des correctifs visant à supprimer l’ensemble des vulnérabilités détectées. Les entreprises utilisatrices de Cisco Identity Services Engine et du module Passive Identity Connector sont invitées à déployer sans délai les versions corrigées du logiciel. Les systèmes qui ne seraient pas mis à jour demeurent vulnérables à des attaques à distance, avec des risques majeurs de compromission pour les organisations, en particulier celles opérant dans des secteurs à forte contrainte réglementaire ou assurant la gestion d’infrastructures critiques.

La mise à jour des logiciels ne constitue toutefois qu’une première étape. Les experts en cybersécurité de Cisco recommandent une surveillance accrue des journaux d’activité réseau, afin de repérer toute tentative d’exploitation des interfaces API ou d’envoi de fichiers non autorisés. Il est conseillé d’examiner en détail les traces d’événements suspectes, notamment en cas d’exposition des composants ISE à l’extérieur du réseau d’entreprise.

La société ne précise pas à ce stade quelles variantes exactes des failles ont été exploitées par les attaquants, ni l’identité des groupes ou individus à l’origine de ces attaques. Aucune information n’est communiquée sur le périmètre exact des entreprises concernées, ni sur la volumétrie des incidents recensés. Cette retenue s’explique par la nécessité de ne diffuser que des éléments vérifiés, afin de ne pas perturber les opérations de sécurisation en cours et de garantir l’efficacité des mesures correctrices.

Dans l’environnement actuel, marqué par la multiplication des attaques ciblées sur les infrastructures réseau, la compromission d’un composant aussi central que Cisco ISE a un impact immédiat sur la fiabilité de l’ensemble des dispositifs de défense d’une organisation. Le niveau de sévérité attribué par Cisco et les recommandations de remédiation émanant directement de l’éditeur soulignent la nécessité d’agir rapidement pour éviter une propagation des attaques à plus grande échelle.

Cybersécurité, IA

L’intelligence artificielle redéfinit l’emploi et la formation en cybersécurité

22 juillet 2025 Damien Bancal

L’automatisation progresse rapidement dans le secteur de la cybersécurité. Selon une récente enquête de l’ISC2, près d’un tiers des entreprises ont déjà intégré l’intelligence artificielle dans leurs opérations, tandis que 42 % évaluent ou testent actuellement ces outils.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

L’enquête de l’ISC2 [lien en bas de l’article], l’une des plus importantes organisations mondiales de professionnels certifiés en cybersécurité, met en lumière l’essor de l’intelligence artificielle dans les stratégies de défense informatique. Ce développement concerne principalement les grandes entreprises, notamment celles comptant plus de 10 000 salariés, ainsi que les sociétés de services informatiques et du secteur industriel. Les administrations publiques apparaissent à la traîne, avec seulement 16 % des structures ayant déjà franchi le cap de l’intégration de l’intelligence artificielle dans leurs dispositifs de cybersécurité.

L’adoption rapide de l’IA s’explique avant tout par la recherche de gains d’efficacité et de réactivité. Selon les résultats de l’enquête, sept équipes sur dix ayant déjà recours à l’IA constatent une nette amélioration de la productivité dans la détection d’intrusions, la surveillance des réseaux et la gestion des vulnérabilités. « Sept équipes sur dix ayant adopté l’IA signalent une hausse sensible de leur productivité. »
La majorité des usages recensés concernent cinq axes principaux : la surveillance réseau et la détection des intrusions, la protection et la réponse aux incidents sur les terminaux, la gestion des vulnérabilités, la simulation des menaces et le test de sécurité. Ces activités étaient auparavant le terrain d’apprentissage privilégié des professionnels débutants du secteur.

Les entreprises interrogées font état d’un intérêt croissant pour l’automatisation, bien que celle-ci s’accompagne d’une certaine prudence. La plupart des groupes sondés précisent qu’ils sont encore en phase de test, cherchant à évaluer les risques et à mesurer les bénéfices réels avant un déploiement généralisé. Toutefois, les responsables de la sécurité de l’information estiment que l’intégration de l’IA devient progressivement incontournable, notamment face à la sophistication croissante des cybermenaces. « Plus de 40 % des équipes sont actuellement en phase de test ou d’évaluation de solutions d’intelligence artificielle. »

Les investissements dans l’IA sont majoritairement concentrés dans les grandes entreprises, qui disposent des moyens financiers et humains nécessaires pour explorer ces nouvelles technologies. Les PME et les administrations restent plus en retrait, invoquant des contraintes budgétaires, un manque de compétences internes et des doutes quant à la maturité des outils disponibles. Ce clivage illustre l’inégalité d’accès à l’automatisation dans le secteur de la cybersécurité.

Un impact direct sur l’emploi débutant et la formation

La progression de l’IA dans les équipes de cybersécurité influe déjà sur la gestion des ressources humaines, en particulier concernant les profils débutants. Selon l’enquête, 52 % des répondants considèrent que l’automatisation pourrait réduire le besoin de recruter des salariés en début de carrière. Par ailleurs, 21 % des entreprises déclarent avoir déjà modifié leur politique de recrutement à la suite de l’introduction d’outils d’IA.

Ce changement suscite des inquiétudes quant à l’avenir des jeunes professionnels du secteur. Les postes d’analyste junior, de support réseau ou de veille sécurité, souvent premiers tremplins dans la filière, risquent d’être moins nombreux à mesure que les solutions automatisées s’imposent. « Plus d’une entreprise sur deux estime que l’IA va limiter le recours aux débutants dans la profession. »

Les experts interrogés rappellent que la formation pratique sur le terrain, au contact des menaces réelles, constitue une étape déterminante dans la montée en compétence des futurs spécialistes. L’absence de cette expérience pourrait freiner le développement de l’intuition, du sens critique et de la capacité à appréhender la complexité des attaques sophistiquées. Certains alertent également sur le risque de voir émerger un déficit de profils qualifiés à moyen terme, susceptible de renforcer la pression sur les équipes expérimentées et d’augmenter les coûts de recrutement.

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

L’enquête indique aussi que l’automatisation transforme la nature même des tâches confiées aux débutants. À la place des activités répétitives, comme l’analyse manuelle de logs ou la surveillance continue, les jeunes professionnels se voient confier des missions plus techniques ou hybrides, à l’interface entre l’expertise cybersécurité et la gestion d’outils d’intelligence artificielle.

Face à cette évolution, la plupart des organisations affirment réévaluer leurs programmes de formation interne afin de mieux préparer les recrues aux réalités du nouveau paysage technologique. Les cursus intègrent désormais des modules dédiés à la compréhension du fonctionnement des systèmes automatisés, à l’entraînement des modèles d’IA et à la détection des biais potentiels dans les analyses produites par ces outils.

Des métiers émergents et une adaptation des parcours professionnels

Malgré les incertitudes, de nouvelles opportunités apparaissent. Près de 44 % des entreprises interrogées déclarent que l’intégration de l’intelligence artificielle n’a, à ce stade, eu aucun effet sur leurs politiques de recrutement. De plus, 31 % estiment que l’IA pourrait favoriser l’émergence de postes hybrides, combinant compétences en cybersécurité et maîtrise des outils d’automatisation.

Des fonctions inédites sont en cours de structuration dans de nombreuses équipes : analyste SOC avec appui de l’IA, junior chargé de l’entraînement des modèles, assistant à la vérification des systèmes automatisés, spécialiste du respect éthique des algorithmes, assistant dédié à la maintenance et à l’évolution des processus automatisés, analyste de sécurité cloud épaulé par des plateformes intelligentes.

Cette recomposition du marché du travail pousse les entreprises à revoir leur politique de gestion des talents. Certaines mettent l’accent sur le développement de cursus internes orientés vers l’intelligence artificielle appliquée à la cybersécurité. D’autres multiplient les partenariats avec les écoles d’ingénieurs et les universités afin d’adapter les programmes de formation initiale.

Ce mouvement vise à garantir la continuité des savoir-faire au sein des équipes et à sécuriser l’évolution de la filière. Les organisations les plus avancées investissent également dans la formation continue, notamment pour les salariés déjà en poste, afin de faciliter la transition vers des postes à plus forte valeur ajoutée ou en lien direct avec l’automatisation.

Dans le même temps, les acteurs publics et privés réfléchissent à la manière de préserver les filières d’entrée dans la profession, pour éviter l’apparition d’un goulot d’étranglement au niveau du recrutement de nouveaux spécialistes. Les enjeux sont d’autant plus cruciaux que la demande de compétences en cybersécurité reste largement supérieure à l’offre, en particulier pour les profils experts capables de superviser ou d’auditer des systèmes automatisés.

L’automatisation, un enjeu stratégique pour la pérennité de la cybersécurité

L’intelligence artificielle s’impose progressivement comme un levier majeur d’efficacité dans la lutte contre les cybermenaces. Les solutions automatisées permettent de traiter des volumes de données considérables, d’accélérer la détection des incidents et de renforcer la capacité de réaction des équipes. Toutefois, cette évolution pose la question du maintien des compétences fondamentales, indispensables à la compréhension fine des risques et à la conduite d’investigations complexes.

La structuration des nouveaux métiers, l’adaptation des parcours de formation et la préservation de l’apprentissage sur le terrain constituent les principaux défis identifiés par les entreprises. Les experts du secteur soulignent que la gestion de la transition vers une cybersécurité automatisée doit s’effectuer de manière progressive et réfléchie, afin d’éviter toute rupture dans la chaîne de compétences.

L’enquête de l’ISC2 révèle également que l’automatisation n’a pas vocation à se substituer entièrement à l’humain. Les tâches les plus complexes, la supervision des systèmes intelligents et la prise de décision stratégique restent du ressort des professionnels expérimentés. L’IA apparaît davantage comme un outil d’assistance, permettant d’augmenter la productivité et d’alléger la charge de travail, tout en ouvrant de nouvelles perspectives de carrière.

À mesure que l’écosystème évolue, les entreprises sont amenées à redéfinir les contours de leurs équipes de cybersécurité. Cela suppose une gestion fine de l’équilibre entre automatisation, formation des jeunes talents et valorisation des compétences internes.

Si les investissements dans l’IA sont aujourd’hui portés par les grands groupes, il est probable que les outils automatisés deviendront progressivement accessibles à un plus grand nombre d’organisations.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

APT, backdoor, Cybersécurité, VPN

DCHSpy : un spyware Android ciblant dissidents et journalistes en Iran

22 juillet 2025 Damien Bancal

Découverte d’un nouveau logiciel espion Android, DCHSpy, utilisé pour cibler des utilisateurs recherchant l’anonymat en Iran, dans un contexte de tensions accrues entre l’Iran et Israël.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

DCHSpy, un outil de surveillance numérique sophistiqué diffusé via de faux VPN

Les analyses menées par les chercheurs de Lookout ont permis de mettre au jour la campagne de diffusion de DCHSpy, un programme malveillant sophistiqué récemment découvert pour la première fois en juillet 2024. Selon les constatations, DCHSpy est associé au ministère du Renseignement et de la Sécurité de la République islamique d’Iran, connu sous le nom de MOIS. Ce logiciel espion aurait également des liens opérationnels avec la cellule MuddyWater, identifiée par les spécialistes comme un groupe agissant dans l’intérêt du gouvernement iranien. MuddyWater est aussi référencé sous plusieurs autres appellations telles que Boggy Serpens, Cobalt Ulster, TA450, Seedworm et Static Kitten dans les rapports internationaux.

DCHSpy se démarque par sa capacité à être intégré dans des applications prétendument légitimes, principalement des services VPN destinés à contourner la censure de l’Internet en Iran. Les experts ont recensé au moins quatre variantes du logiciel malveillant diffusées à peine une semaine après le début des hostilités récentes entre l’Iran et Israël. Les noms des applications trompeuses incluent notamment Earth VPN, Comodo VPN et Hide VPN. Les fichiers d’installation, ou APK, adoptent parfois des appellations comme « starlink_vpn(1.3.0)-3012 (1).apk », misant ainsi sur la popularité du service Starlink, le fournisseur de connectivité satellitaire développé par SpaceX. Cette utilisation du nom Starlink constitue un appât particulier depuis que ce service a été brièvement opérationnel en Iran, suite aux restrictions d’accès à Internet imposées par les autorités et à l’adoption ultérieure d’une loi interdisant son usage.

« DCHSpy collecte des données sensibles telles que les conversations WhatsApp, les contacts, les SMS, les fichiers, la géolocalisation, les journaux d’appels, les enregistrements audio et des photos prises à l’insu de l’utilisateur. »

Dès les premières phases de sa diffusion, DCHSpy s’est propagé principalement via des chaînes Telegram, en anglais et en persan, ciblant des personnes souhaitant échapper à la surveillance d’État. Les sujets abordés dans ces groupes allaient à l’encontre des positions officielles du régime, renforçant l’attrait pour ces VPN présentés comme moyens fiables d’obtenir un accès non filtré à Internet. Cette approche s’adresse en priorité à une population déjà vulnérable face à la surveillance gouvernementale, tels que les dissidents politiques, les journalistes et les défenseurs des droits humains.

Les chercheurs n’ont pas encore pu établir avec précision le nombre total de victimes. Cependant, les premières analyses indiquent une volonté claire de la part des opérateurs de DCHSpy de cibler des individus dont l’activité en ligne présente un intérêt pour le gouvernement iranien. La diffusion par liens malveillants, transmis directement via les messageries instantanées comme Telegram, offre aux attaquants la possibilité de viser spécifiquement certains groupes, tout en évitant l’exposition massive susceptible d’alerter les solutions de sécurité classiques.

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

Une menace persistante et adaptative dans le paysage de la cybersurveillance régionale

DCHSpy est conçu selon une architecture modulaire qui lui permet d’étendre ses fonctionnalités à distance et d’adapter ses modules selon les besoins des opérateurs. Le logiciel peut accéder à une large gamme d’informations personnelles, allant des échanges sur les applications de messagerie aux données de localisation. Il dispose également de capacités de prise de contrôle du micro et de la caméra du terminal infecté, permettant ainsi d’enregistrer sons et images à l’insu de la cible.

L’utilisation de la marque Starlink comme vecteur d’infection intervient dans un contexte particulier. Après l’introduction temporaire de la connectivité satellitaire Starlink en Iran, suite à l’intensification de la censure étatique, le parlement iranien a voté une législation interdisant l’usage de ce service sur le territoire. Cette interdiction, relayée dans les médias officiels, n’a pas empêché la multiplication d’applications se présentant comme des solutions pour accéder à Starlink, facilitant la diffusion de DCHSpy auprès d’une population avide de moyens de communication sécurisés.

Les investigations menées montrent que DCHSpy partage son infrastructure de commandement et de contrôle avec d’autres logiciels malveillants précédemment associés à MuddyWater. Cette infrastructure, souvent hébergée à l’étranger, est exploitée pour la gestion des données exfiltrées et la transmission des mises à jour du malware. Les fonctionnalités avancées de DCHSpy en font un outil de surveillance de choix pour les services de renseignement, qui peuvent ainsi surveiller de près les activités en ligne de leurs cibles tout en contournant les mesures de sécurité habituelles.

« DCHSpy se propage essentiellement via des liens malveillants transmis dans les messageries instantanées, une technique qui permet d’éviter la détection par les plateformes officielles de téléchargement d’applications. »

La distribution initiale de DCHSpy s’est faite de manière ciblée, privilégiant les groupes de discussion et forums fréquentés par des utilisateurs critiques envers les autorités. Ce mode opératoire, déjà observé dans d’autres campagnes de MuddyWater, permet de limiter la visibilité du malware et de maximiser ses chances d’infiltration auprès de cibles spécifiques. L’efficacité de cette stratégie repose sur la confiance accordée aux recommandations circulant dans ces réseaux fermés, ainsi que sur la difficulté pour les éditeurs d’applications officielles de repérer et bloquer la diffusion de ces fichiers APK non répertoriés.

L’évolution de DCHSpy témoigne de la capacité des acteurs soutenus par des États à adapter rapidement leurs méthodes aux événements géopolitiques régionaux. Le contexte de tension entre l’Iran et Israël a sans doute servi de catalyseur à la propagation accélérée du malware, les opérateurs cherchant à profiter de la confusion et du besoin accru de solutions de contournement de la censure.

À ce jour, aucun acteur de la cybersécurité n’a pu identifier avec certitude le nombre de terminaux compromis ni mesurer précisément l’ampleur des dégâts potentiels. Toutefois, les outils de collecte de données déployés par DCHSpy permettent d’envisager un risque élevé pour la vie privée et la sécurité des individus ciblés. Les données récupérées incluent des informations particulièrement sensibles, susceptibles d’être utilisées à des fins de répression ou de chantage, notamment contre les militants et les journalistes.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Cybersécurité, IA

Mode YOLO de lIA Cursor : de graves failles découvertes

22 juillet 2025 Damien Bancal

Révélation sur le mode YOLO du nouvel outil d’intelligence artificielle Cursor. Il comporte plusieurs failles de sécurité majeures, permettant de contourner aisément les mécanismes de protection censés limiter les actions automatisées du programme.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Risques concrets liés à l’automatisation avancée du mode YOLO

Le mode YOLO (« you only live once ») de l’outil Cursor permet à l’agent d’exécuter automatiquement des séquences d’actions complexes sans validation systématique par l’utilisateur. Selon la documentation officielle de Cursor, ce mode serait encadré par des garde-fous tels qu’une liste de commandes autorisées, une liste noire de commandes interdites, et une option spécifique pour empêcher la suppression de fichiers. Ce dispositif vise à rassurer les développeurs sur la sécurité de l’automatisation dans les processus de programmation.

« La suppression automatique de fichiers et l’exécution de commandes arbitraires deviennent possibles, malgré les filtres intégrés. »

Cependant, une analyse conduite par Backslash Security a démontré que ces mesures ne résistent pas à des tentatives délibérées de contournement. Les experts en cybersécurité ont identifié quatre techniques principales permettant de déjouer les restrictions imposées par Cursor. Les agents IA peuvent notamment recourir à l’obfuscation du code, exécuter des commandes à travers une sous-couche shell (« subshell »), écrire des scripts sur le disque avant de les lancer, ou encore utiliser des manipulations sophistiquées de guillemets dans bash afin d’échapper aux blocages attendus.

Ces méthodes contournent ainsi facilement les listes noires de commandes. Par exemple, même si la commande « curl » est ajoutée à la liste des interdictions, Cursor peut l’exécuter si elle est chiffrée en Base64 ou intégrée dans une autre commande shell. La protection affichée par l’éditeur apparaît alors comme largement inefficace dans la pratique.

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

Les faiblesses structurelles du système de sécurité de Cursor

La possibilité de contourner les garde-fous a des conséquences directes pour les développeurs. En important des instructions ou des modèles d’agents issus de dépôts publics tels que GitHub, il devient possible d’introduire des comportements malveillants dans l’environnement Cursor. Ce risque ne se limite pas aux fichiers exécutables ou scripts manifestes. Un simple commentaire ou un extrait de texte placé dans le README d’un projet peut constituer un vecteur d’attaque si l’agent IA l’interprète et l’exécute sans contrôle supplémentaire.

Par ailleurs, la fonctionnalité censée empêcher l’effacement de fichiers s’avère elle aussi inefficace dès lors que les autres couches de protection sont contournées. Selon le rapport publié, aucune option dans le paramétrage du mode YOLO ne saurait garantir l’intégrité du système si un agent acquiert la capacité de lancer un code malveillant. Les filtres actuels ne constituent donc qu’une barrière symbolique.

Cursor n’a pas fourni de commentaire officiel concernant ces découvertes au moment de la publication de l’enquête. Toutefois l’éditeur prévoit d’abandonner le mécanisme de liste noire jugé inefficace dans la prochaine version majeure 1.3, encore non déployée à ce jour. Ce changement d’approche vise à combler les lacunes structurelles de la solution actuelle, sans qu’aucun détail précis n’ait été communiqué quant aux nouveaux dispositifs de sécurité envisagés.

Tant que les mécanismes de validation ne seront pas revus en profondeur, la seule protection efficace consiste à éviter l’activation de l’exécution automatique pour les tâches critiques, et à vérifier systématiquement l’intégrité des instructions importées depuis des sources tierces. (BS)

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

En juillet 2025, FranceLink s’effondre sous une cyberattaque massive. Ce choc marque le début d’un combat acharné pour la survie d’une infrastructure cruciale.

L’attaque de l’été : choc initial et premières réponses

Reconstruction technique et traque de la vulnérabilité

Une crise révélatrice des fragilités systémiques

Invitation Is All You Need : une simple invitation Google Calendar peut devenir une arme redoutable contre Gemini, l’assistant IA de Google — bienvenue dans l’ère du promptware, où vos appareils sont compromis à votre insu.

Quand une invitation devient une intrusion

L’ombre du promptware

L’alerte cyber et renseignement

Une vigilance de tous les instants

Nvidia dans le viseur de la Chine : Pékin suspecte ses puces IA H20 d’abriter des backdoors, ravivant la guerre technologique sur fond de cybersurveillance mondiale.

L’ombre du renseignement : Pékin convoque Nvidia

La cyberguerre dans le silicium : l’art du soupçon et de la riposte

Sécurité nationale, souveraineté et rivalité : le vrai visage de la crise

Une faille critique dans WinRAR exploitée par RomCom menace entreprises et administrations. Espionnage ciblé, spearphishing redoutable : l’Europe et le Canada sont directement dans le viseur.

Une faille invisible, une intrusion discrète

Spearphishing ciblé et backdoors sur mesure

Un contexte géopolitique sous tension

De la puissance brute à la finesse maîtrisée : l’ambition souveraine d’Orange

L’intelligence responsable : cybersécurité, écologie, pragmatisme ?

Les limites du partenariat Orange–OpenAI : cinq points à surveiller

Dell fait face à une nouvelle tentative de cyberchantage, orchestrée par WorldLeaks, mais assure que les informations volées sont inexploitables. Le climat cyber reste cependant sous haute tension.

Une attaque orchestrée par WorldLeaks : un coup d’épée dans l’eau ?

L’enjeu des environnements isolés et la réponse de Dell

⏳ Jusqu’où tolérerez-vous d’être piraté ?

Analyse : La cyber-extorsion, nouvelle norme ou impasse ?

Des vulnérabilités critiques, activement exploitées dans Cisco Identity Services Engine et son module Passive Identity Connector, permettent à des attaquants d’accéder à des réseaux d’entreprise sans authentification, compromettant la sécurité interne.

Corrections publiées et recommandations officielles pour la protection des infrastructures

L’automatisation progresse rapidement dans le secteur de la cybersécurité. Selon une récente enquête de l’ISC2, près d’un tiers des entreprises ont déjà intégré l’intelligence artificielle dans leurs opérations, tandis que 42 % évaluent ou testent actuellement ces outils.

Un impact direct sur l’emploi débutant et la formation

⏳ Jusqu’où tolérerez-vous d’être piraté ?

Des métiers émergents et une adaptation des parcours professionnels

L’automatisation, un enjeu stratégique pour la pérennité de la cybersécurité

Découverte d’un nouveau logiciel espion Android, DCHSpy, utilisé pour cibler des utilisateurs recherchant l’anonymat en Iran, dans un contexte de tensions accrues entre l’Iran et Israël.

DCHSpy, un outil de surveillance numérique sophistiqué diffusé via de faux VPN

⏳ Jusqu’où tolérerez-vous d’être piraté ?

Une menace persistante et adaptative dans le paysage de la cybersurveillance régionale

Révélation sur le mode YOLO du nouvel outil d’intelligence artificielle Cursor. Il comporte plusieurs failles de sécurité majeures, permettant de contourner aisément les mécanismes de protection censés limiter les actions automatisées du programme.

Risques concrets liés à l’automatisation avancée du mode YOLO

⏳ Jusqu’où tolérerez-vous d’être piraté ?

Les faiblesses structurelles du système de sécurité de Cursor

Petites entreprises, grandes menaces : restez informés, restez protégés

L’attaque de l’été : choc initial et premières réponses

Nvidia dans le viseur de la Chine : Pékin suspecte ses puces IA H20 d’abriter des backdoors, ravivant la guerre technologique sur fond de cybersurveillance mondiale.

L’ombre du renseignement : Pékin convoque Nvidia