Comment les attaques étatiques changent la donne en cybersécurité

Les menaces des États-nations s’étendent, tout comme leurs capacités.

En ce moment même, les cybermenaces émanant d’États-nations gagnent du terrain. Il ne s’agit pas d’opérations d’amateurs, mais d’attaques structurées, financées et techniquement avancées lancées par des pays comme la Chine, la Russie, l’Iran et la Corée du Nord. Nous avons plus qu’assez de preuves montrant qu’il ne s’agit pas d’un bruit périphérique, mais d’un problème de premier plan pour les gouvernements et les entreprises.

Ce qui a changé récemment, c’est l’ampleur et la coordination de ces groupes. Il ne s’agit pas de violations ponctuelles et aléatoires. Les attaques d’aujourd’hui s’inscrivent dans des stratégies à long terme. Elles dépassent les frontières, allant de l’espionnage au vol financier en passant par la perturbation numérique pure et simple, l’objectif étant la déstabilisation ou le contrôle. Nombre de ces actions visent à affaiblir la confiance dans l’infrastructure ou l’économie numérique d’un pays.

Les conséquences néfastes ne se limitent pas au vol de données. Les infrastructures critiques sont touchées, les réseaux énergétiques, les chaînes d’approvisionnement, les installations d’eau. Il s’agit de systèmes fondamentaux. Lorsqu’ils sont compromis, les effets se répercutent rapidement sur la sécurité publique, la productivité économique et la défense nationale.

Du point de vue de l’entreprise, cela exige une attention particulière. Que vous dirigiez une institution financière, un éditeur de logiciels ou une plateforme logistique, vous êtes dans le collimateur, si ce n’est pas aujourd’hui, ce sera demain. La réponse n’est pas la peur, mais l’investissement. La stratégie de sécurité devrait désormais être un sujet de premier plan pour les dirigeants, et non plus seulement une responsabilité de l’informatique. La défense du périmètre est un raisonnement dépassé, la résilience doit s’appliquer à tous les éléments, des terminaux au comportement des employés en passant par les relations avec les fournisseurs.

Selon Trellix, l’une des principales sociétés de cybersécurité, les groupes nord-coréens ont représenté à eux seuls 18 % de l’ensemble des activités cybernétiques menées par les États qu’ils ont suivies au cours des six mois de l’année dernière. Il ne s’agit pas d’un comportement marginal. Il s’agit de la part la plus importante d’un seul acteur, et cela montre l’intensité de l’action.

Diriger intelligemment, c’est regarder vers l’avenir. Si nous voulons éviter d’être perturbés, nous devons devancer ceux qui ont l’intention de le faire.

La faille de F5 met en évidence l’impact réel des cyberincidents sur les résultats financiers

F5 est un important fournisseur de technologies. Lorsqu’il a admis qu’un groupe de menace chinois présumé avait infiltré ses plates-formes de développement et d’ingénierie, les implications ont été claires et immédiates. La violation ne concernait pas seulement le code ou les systèmes internes compromis. Elle a eu un impact sur la confiance des clients. Les contrats ont été suspendus. Les renouvellements ont été retardés. Cela a des conséquences réelles sur le chiffre d’affaires.

Si vous travaillez dans le domaine du service à la clientèle, la confiance est une monnaie d’échange. Dès que cette confiance est remise en question, ne serait-ce qu’indirectement, le pipeline des ventes est bloqué. F5 a prévu que la croissance pour l’exercice 2026 pourrait se situer entre 0 et 4 %, ce qui représente une chute brutale par rapport aux 9 % attendus par Wall Street. Ce n’est pas seulement un coup porté aux prévisions, c’est un coup porté à l’élan.

Le groupe de menace ne s’est pas contenté de frapper et de s’emparer, il a joué un jeu de longue haleine. L’accès aux vulnérabilités de sécurité que F5 était encore en train d’évaluer montre qu’ils ne recherchaient pas des attaques rapides, mais un effet de levier à long terme. Ce type de violation est important pour les acheteurs qui comptent sur la sécurité des fournisseurs.

Le PDG François Locoh-Donou a abordé directement cette question lors d’une conférence téléphonique sur les résultats. Il savait qu’il ne s’agissait pas seulement d’un problème technique, mais d’un problème qui s’était carrément déplacé dans la salle du conseil d’administration. Et cela soulève une question évidente : combien d’entreprises ont actuellement des angles morts similaires ?

Si vous supervisez les opérations, la croissance ou la réussite des clients et que vous n’êtes pas en contact avec vos responsables de la sécurité, vous portez un risque opérationnel qui n’est pas pris en compte. Il n’est pas compliqué de remédier à ce désalignement, mais il faut commencer par accepter que la cybersécurité n’est plus une sous-fonction, mais une stratégie.

Le groupe BlueNoroff de la Corée du Nord est passé à des cyber-attaques plus intelligentes et à plus long terme

Le groupe de menace nord-coréen connu sous le nom de BlueNoroff n’organise plus d’escroqueries rapides. Il s’agit plutôt d’une opération délibérée, disciplinée, qui attaque avec précision. Ce groupe, également appelé APT38 ou Sapphire Sleet, ne se limite plus aux systèmes faibles ou aux logiciels malveillants de base. Il est passé à un stade plus avancé, notamment en ciblant les plateformes de crypto-monnaies, les cadres de la fintech et les développeurs Web3.

Ce groupe se distingue aujourd’hui par sa patience. Leur cahier des charges comprend désormais des tactiques d’engagement à long terme. Ils établissent une relation de confiance avec leurs cibles au fil du temps. Certains se font passer pour des recruteurs, d’autres créent de faux portails d’information sur les cryptomonnaies pour attirer les victimes dans des écosystèmes qu’ils croient dignes de confiance. Ils organisent même de fausses réunions vidéo via Microsoft Teams pour donner plus de crédibilité à leurs opérations. Ce n’est pas seulement créatif, c’est aussi le signe d’une évolution vers des attaques plus gourmandes en ressources et potentiellement plus payantes.

D’après les recherches menées par Kaspersky, ces pirates mettent en place des chaînes d’infection en plusieurs étapes. Cela signifie que les logiciels malveillants ne sont pas déployés immédiatement, mais qu’ils sont soigneusement préparés. Des outils tels que le chargeur DownTroy, la porte dérobée RealTimeTroy, le logiciel malveillant de contrôle à distance CosmicDoor et le voleur d’informations d’identification SilentSiphon sont utilisés en tandem. Ils sont conçus pour rester enfouis, recueillir des renseignements et extraire des ressources numériques précieuses au moment opportun.

Si vous ou vos équipes travaillez dans le domaine des crypto-monnaies, du commerce électronique ou de la finance numérique, ce groupe cible activement votre secteur d’activité. Il ne s’agit plus seulement d’avoir de bonnes règles de pare-feu ou de détection des points d’extrémité. Vous avez besoin de mécanismes de validation autour de l’interaction humaine, en particulier dans les flux de travail d’embauche, l’intégration des fournisseurs et les engagements avec les médias.

Il ne s’agit pas d’escroqueries mineures. BlueNoroff est soutenu par un régime, et ses gains financent des priorités au niveau de l’État. C’est pourquoi les dirigeants ne peuvent pas traiter cette menace comme s’il s’agissait d’un simple problème informatique. Comprendre cette dynamique au niveau de la direction permet d’améliorer les investissements et d’accélérer l’alignement avec vos équipes chargées de l’architecture et des risques. Le coût d’une action trop tardive sera plus élevé que celui d’une action précoce.

L’infrastructure canadienne touchée par les hacktivistes, le point faible est l’OT

Le dernier avis du Canada est clair : des groupes de menace, agissant pour des raisons politiques ou idéologiques, ont pénétré dans les réseaux industriels de plusieurs secteurs. Il ne s’agit pas d’un gros titre sur la sécurité nationale que vous pouvez ignorer. Des hacktivistes ont exploité des systèmes de contrôle industriel (ICS) connectés à Internet dans des entreprises de distribution d’eau, d’énergie et de manutention de céréales. En termes simples, il s’agit de manipuler les vannes de pression dans les réseaux d’eau, de trafiquer les jauges des réservoirs dans les infrastructures énergétiques et d’interférer avec les contrôles de température dans les silos agricoles.

Ces systèmes, appelés en termes techniques automates programmables (PLC), interfaces homme-machine (HMI) et unités terminales distantes (RTU), sont désormais des points d’entrée pour les acteurs de la menace. Autrefois isolés, nombre de ces systèmes sont aujourd’hui connectés à des réseaux sans protection suffisante. C’est là que le bât blesse.

En réponse, le Centre canadien de cybersécurité a publié des orientations recommandant l’authentification multifactorielle (AMF), les réseaux privés virtuels (VPN) et des contrôles d’accès plus stricts. Il s’agit là d’enjeux de taille pour tout opérateur, mais l’écart d’adoption dans les environnements de technologie opérationnelle (OT) reste important, en particulier parmi les fournisseurs de taille moyenne et les opérateurs régionaux.

Il convient de noter que ces incidents n’ont pas été directement liés à un État-nation en particulier. Néanmoins, l’intention qui les sous-tend est claire : provoquer des perturbations, nuire à la réputation et susciter l’incertitude. Si tel est l’objectif, le modèle actuel de « cyberhygiène » dans les opérations d’infrastructure n’est pas suffisant.

Du point de vue de la suite C, il y a une responsabilité de traiter la sécurité ICS avec une urgence égale à celle des systèmes ERP, de paie ou de cloud. Il ne s’agit plus de surfaces d’attaque de niche. Ce sont des champs de bataille actifs. Si vous travaillez dans le secteur des services publics, de l’agriculture, de la logistique ou dans tout autre domaine impliquant des contrôles et des capteurs, commencez à accélérer votre visibilité sur ces actifs.

La protection des systèmes fondamentaux n’est plus une question de conformité, mais de résilience et de continuité. Le réveil a déjà eu lieu. La question est maintenant de savoir à quelle vitesse nous allons l’appliquer.

L’intrusion de l’académie iranienne Ravin révèle la fragilité des programmes informatiques soutenus par l’État

Ravin Academy, un centre de formation à la cybersécurité géré par le ministère iranien du Renseignement et de la Sécurité, vient de subir une violation de données. Il ne s’agit pas d’un simple incident technique. La violation a exposé les noms, les numéros de téléphone et les données personnelles de recrues soutenues par l’État qui suivent une formation au cyberespionnage. Les attaquants ne se sont pas contentés de compromettre des fichiers, ils ont mis en péril une filière gouvernementale de recrutement de cybercompétents opérationnels.

Cet incident a attiré l’attention car Ravin n’est pas une simple opération de formation. Fondée en 2019, elle a déjà été sanctionnée par les États-Unis, le Royaume-Uni et l’Union européenne pour ses liens directs avec des campagnes d’espionnage. Il s’agit d’individus formés à l’exécution d’opérations cybernétiques autorisées par l’État.

D’après la réponse de Ravin via Telegram, ils ont imputé la faille à des adversaires étrangers et ont fait passer le message juste avant les Olympiades nationales de la cybersécurité. Cela suggère non seulement un certain embarras, mais aussi une tentative de contrôler le récit des dégâts. Il s’agit d’un rare aveu public de la part d’une entité liée à des opérations secrètes, ce qui rend la violation particulièrement importante d’un point de vue géopolitique.

Si une institution liée à l’armature de renseignement d’un gouvernement n’est pas en mesure de sécuriser ses propres données sur site et ses dossiers de formation, elle envoie un signal, en interne et en externe, sur ses lacunes en matière de capacités. Ce type d’exposition érode la confiance entre les partenaires, introduit des incertitudes dans la coordination du renseignement et peut conduire à une déstabilisation au sein de la hiérarchie des opérations cybernétiques du pays.

Pour les dirigeants de tous les secteurs, il ne s’agit pas d’une nouvelle lointaine. Elle devrait inciter à un examen interne de la manière dont les systèmes opérationnels et de formation sensibles ou d’importance stratégique sont sécurisés. Les acteurs de la menace ne se limitent pas aux données des clients ou à la propriété intellectuelle, ils ciblent les personnes, les processus et l’infrastructure qui sous-tend les capacités stratégiques.

Les équipes dirigeantes responsables de la sécurité, des affaires juridiques et des risques devront actualiser leur méthode d’évaluation des risques d’attribution, d’autant plus que les cybermenaces ont de plus en plus de répercussions sur la politique et la réputation de l’entreprise. Lorsque les attaquants cherchent à embarrasser ou à exposer, les dommages vont au-delà de l’indisponibilité du système et remettent en cause la crédibilité stratégique. Ces conséquences sont plus difficiles à réparer. Agir tôt n’est pas seulement une question de sécurité, c’est aussi une question de gouvernance intelligente.

Principaux enseignements pour les dirigeants

• Les menaces émanant des États-nations s’intensifient rapidement : Les cyberattaques parrainées par des États sont de plus en plus sophistiquées et de plus en plus nombreuses, ciblant à la fois les entreprises, les infrastructures et les gouvernements. Les dirigeants doivent travailler en étroite collaboration avec les RSSI pour s’assurer que leur stratégie de cybersécurité tient compte de l’évolution des risques géopolitiques.
• Les cyber-attaques sont désormais directement liées aux performances financières : La violation liée à la Chine de F5 a perturbé la confiance des clients et les perspectives de revenus, ce qui montre que la confiance et la croissance à long terme des entreprises dépendent fortement de la posture de sécurité interne. Les dirigeants devraient considérer la cyber-résilience comme une protection financière essentielle.
• Les pirates nord-coréens privilégient désormais l’infiltration à long terme : BlueNoroff est passé de frappes rapides à des attaques soutenues et axées sur les relations, en particulier dans les secteurs de la cryptographie et de la fintech. Les dirigeants des industries numériques doivent renforcer la sensibilisation de leur personnel et examiner de plus près les interactions avec des tiers.
• La technologie opérationnelle est désormais une vulnérabilité de premier plan : Les attaques contre les infrastructures canadiennes ont mis en évidence des failles critiques dans les systèmes industriels en raison d’une sécurité ICS insuffisante. Les dirigeants qui supervisent les infrastructures physiques doivent considérer les environnements OT comme des actifs hautement prioritaires, et non comme des systèmes existants, et investir dans un renforcement proactif.
• Les programmes de cybersécurité soutenus par l’État sont également exposés : La violation de l’Académie Ravin en Iran a révélé des données sensibles sur le personnel, ce qui prouve que même les opérations soutenues par le gouvernement sont vulnérables. Les dirigeants devraient appliquer les mêmes normes de sécurité aux pépinières de talents internes et aux programmes de formation sensibles qu’aux systèmes externes.