Ils ne savaient pas que c'était possible, alors ils l'ont fait

L’enquête de l’Office anticybercriminalité (OFAC) sur le piratage de fichiers du ministère de l’Intérieur révèle qu’il a commencé par la compromission de l’ordinateur personnel d’un fonctionnaire du ministère de… l’Agriculture. Le ou les auteurs de l’intrusion ont ensuite passé deux mois et demi à farfouiller leurs systèmes respectifs, parvenant à franchir près d’une dizaine de lignes de défense en profondeur, avant de réussir à exfiltrer 96 fichiers policiers… auxquels ils n’auraient initialement jamais pensé pouvoir accéder.

Fin décembre, Le Canard enchaîné révélait que le « fric-frac informatique du ministère de l’Intérieur » avait duré du dimanche 9 novembre au jeudi 4 décembre, soit 26 jours, « une très longue journée portes ouvertes ». « C’est la consultation compulsive – le week-end et la nuit – de ce listing ultra-sensible qui a déclenché l’alerte », soulignait le caneton.

D’après un bilan du ministère de l’Intérieur, que le Canard avait pu consulter, « les dégâts sont bien plus importants qu’annoncé : 37 serveurs de messagerie sur 250 ont été compromis, et 14 fichiers de police ont été visités, dont celui des personnes recherchées, qui contient notamment les fichés S ».

Il expliquait que l’intrusion aurait été facilitée du fait que « nombre de poulets se tamponnent le coquillard de la sécurité informatique ». Pour se connecter au système de Circulation Hiérarchisée des Enregistrements Opérationnels de la Police Sécurisés (CHEOPS), le portail permettant d’accéder aux fichiers de la police et de la gendarmerie, il faut normalement utiliser sa carte professionnelle, dotée d’une puce, ainsi qu’un code à quatre chiffres.

Or, « les poulets, moins disciplinés que les pandores, utilisent à tort et à travers un système de secours sans carte, reposant sur le seul identifiant et un code à six chiffres », qu’un policier aurait partagé en clair dans un e-mail auquel le pirate avait pu accéder.

• TAJ : le pirate a eu accès pendant 26 jours à 14 fichiers policiers et dérobé 120 fiches

Un cleptogiciel commercialisé entre 300 et 500 $ par mois

L’enquête de l’Office anticybercriminalité (OFAC) de la police judiciaire, que Le Monde a pu consulter, révèle une intrusion autrement plus complexe qui, à défaut d’être particulièrement sophistiquée, montre que les pirates ont passé deux mois et demi à errer dans un labyrinthe de systèmes informatiques interconnectés, et dû franchir de nombreuses défenses en profondeur avant de pouvoir parvenir aux fichiers qu’ils avaient exfiltrés.

La compromission du ministère de l’Intérieur remonte en réalité à un fonctionnaire du ministère de l’Agriculture, surnommé « patient zéro de l’attaque » par les enquêteurs. Dans la soirée du 19 septembre 2025, l’intéressé consulta sa boîte mail professionnelle, depuis son domicile dijonnais, sur son ordinateur personnel.

L’article du Monde laisse entendre qu’il aurait alors cliqué sur un lien adressé à son e-mail professionnel, le conduisant « sur un faux site proposant le téléchargement de logiciels d’édition musicale ». L’article ne précise pas s’il en avait téléchargé un ou s’il s’était contenté de visiter le site, reste que son ordinateur personnel fut contaminé par l’ « infostealer » (« cleptogiciel » en français) Rhadamanthys.

Le journaliste Valéry Rieß-Marchive, rédacteur en chef du MagIT, et l’un des meilleurs observateurs français des arcanes de ce type de cyberattaques, relève sur LinkedIn et sur X que la mention du nom du cleptogiciel utilisé est « rare et ce n’est pas anodin » : le détournement de comptes légitimes suite au passage de tels infostealers, « c’est classique. L’établir est plus rare. Beaucoup plus rare. »

Il émet l’hypothèse selon laquelle cette mention serait potentiellement liée au fait qu’Europol avait annoncé le démantèlement de l’infrastructure de Rhadamanthys, en novembre dernier, dans le cadre d’Endgame, une opération de grande envergure visant à démanteler les botnets et infrastructures criminelles qui y sont associées.

Valéry Rieß-Marchive précisait dans l’article qu’il y avait alors consacré que Rhadamanthys « était proposé avec de multiples plugins et commercialisé entre 300 et 500 $ par mois, payables en cryptopépettes ». À défaut de savoir si les auteurs du piratage du ministère de l’Intérieur étaient eux-mêmes clients de Rhadamanthys, ou s’ils avaient acheté à l’un de ses utilisateurs et/ou revendeurs les données liées au « patient zéro de l’attaque », cette dernière reposait donc aussi sur toute une chaîne logistique, en matière de cyberdélinquance, allant bien au-delà d’un simple piratage de login et mot de passe.

« Une faille sur un outil interne accessible depuis un simple navigateur web »

L’article du Monde ne précise pas si les antivirus et autres systèmes de sécurité du ministère de l’Agriculture auraient pu bloquer l’installation de cet infostealer sur l’ordinateur professionnel du fonctionnaire, mais il est loisible de le penser.

« Quand l’ordinateur personnel d’un collaborateur devient le vecteur d’attaque, le rebond vers le réseau professionnel est désormais quasi immédiat », remarque de son côté Henri d’Agrain, délégué général du Cigref (ex-club informatique des grandes entreprises françaises), en réponse à Valéry Rieß-Marchive.

Le cleptogiciel a ensuite permis aux pirates d’accéder au Google Drive du « patient zéro de l’attaque », où il avait stocké son certificat d’authentification au VPN du ministère, ce qui, là aussi, n’aurait pas dû se produire : une chose est de pouvoir accéder à son email professionnel depuis son ordinateur personnel, une autre est de stocker dans un espace personnel un certificat de sécurité professionnel.

Disposant de « droits particulièrement élevés » en raison de ses fonctions, l’accès au compte du fonctionnaire permit aux pirates de naviguer « durant des semaines » sur les réseaux du ministère de l’Agriculture, et d’y découvrir, le 9 novembre, « une passerelle informatique menant jusqu’aux réseaux du ministère de l’Intérieur ».

Ils y évoluèrent ensuite « durant presque un mois », afin de « se familiariser avec l’architecture des systèmes informatiques du ministère, en particulier des serveurs de la direction générale de la police nationale », avant que leurs consultations compulsives de fichiers, le soir et la nuit, ne soient détectées par le centre de cyberdéfense de Beauvau.

Ils avaient pour cela dû passer outre deux nouvelles « défenses en profondeur ». D’abord en identifiant « une faille sur un outil interne accessible depuis un simple navigateur web », qui permit aux pirates de « prendre possession de comptes de gestionnaires e-mail de différentes directions interrégionales de la police », puis d’ « activer la réinitialisation des mots de passe d’agents du ministère, en particulier d’enquêteurs de police ».

La consultation des messageries piratées leur permit, dans un second temps, de trouver dans des pièces jointes des certificats d’authentification permettant de se connecter au VPN du ministère de l’Intérieur, « avec les mots de passe associés dans le corps de texte ».

C’est uniquement à ce stade, et donc après avoir franchi au moins huit niveaux de défenses en profondeur que, « grâce aux données dérobées, les intrus pénètrent sur le très sensible portail CHEOPS, la boîte à outils des policiers et gendarmes », résume Le Monde.

Dans un précédent article, nous relevions que les pirates avaient certes partagé une capture d’écran du portail d’accès à CHEOPS, mais sans que l’on sache s’ils y avaient réellement pu y accéder, soit via une carte professionnelle compromise, soit par identifiant/mot de passe.

• Piratage du ministère de l’Intérieur : les fichiers TAJ et FPR ont bien été consultés

Les pirates ciblent la France (ou le font croire) pour se venger

L’article du Monde rapporte que les pirates accédèrent ensuite au fichier des personnes recherchées (FPR) ainsi qu’au traitement des antécédents judiciaires (TAJ), « sans avoir besoin de carte professionnelle sécurisée », mais sans non plus que l’on sache, comme l’avançait Le Canard Enchaîné, s’ils seraient passés par « un système de secours sans carte, reposant sur le seul identifiant et un code à six chiffres ». Reste qu’ils n’en avaient pas moins franchi un neuvième palier.

L’intrusion, signalée le 5 décembre, sera suivie le 17 décembre par l’interpellation d’un suspect de 23 ans, qui « a répété qu’il n’était pas l’auteur du piratage, expliquant avoir seulement fourni le serveur ayant permis aux véritables hackeurs, toujours dans la nature, d’agir », précise Le Monde, « mais à la demande des auteurs du piratage, qui auraient exercé sur lui des pressions », et dont il ne connaîtrait que les pseudonymes.

S’il se définit comme « autodidacte » en informatique, il avait déjà été condamné en 2025 à un an de prison avec sursis dans une affaire de cyberescroquerie, et est en attente de procès dans un dossier de « swatting », « deux affaires pour lesquelles il est suspecté d’avoir fourni les moyens techniques à des complices », écrit Le Monde.

Les pirates se seraient plus particulièrement intéressés, via le FPR, à trois profils de jeunes majeurs, « dont l’un est recherché par la brigade de lutte contre la cybercriminalité de la Préfecture de police de Paris », souligne Le Monde. Ils ont également recherché des noms, prénoms et pseudonymes dans le TAJ, « dont ceux, là encore, d’un jeune homme connu pour son implication dans une affaire d’atteintes à un système automatisé de traitement de données ».

Selon les chiffres fournis par le ministre de l’Intérieur lors de son audition par la commission des lois du Sénat en janvier, rappelle Le Monde, le ou les assaillants ont exfiltré 23 fiches et 3 000 « éléments de sommaires » (sortes de résumé, émanant du FPR), 72 fiches, plusieurs dizaines de milliers de sommaires provenant du TAJ, ainsi qu’une fiche Interpol.

Le rapport de l’OFAC révèle également que les pirates « sont également parvenus à consulter le contenu de plusieurs procédures judiciaires en cours », sans que Le Monde précise là non plus s’ils auraient pour cela franchi une dixième ligne de défense en profondeur, ou s’ils y avaient eu accès via l’un des comptes compromis, sinon que plusieurs de ces procédures judiciaires portaient elles-mêmes sur des enquêtes cyber :

« Au moins trois d’entre elles portent sur des faits de cybercriminalité et sont diligentées par les services de police de l’Office anti-cybercriminalité, en charge du piratage de l’intérieur, et de la brigade de lutte contre la cybercriminalité de la Préfecture de police, dont l’une a été ouverte en 2025. »

« Les suspects ont-ils voulu se renseigner sur des investigations les visant ou visant leur communauté ? » s’interroge Le Monde, qui souligne que « pour l’heure, la piste privilégiée est que l’attaque constituait une opération de représailles à l’arrestation, en juin 2025, de membres présumés du groupe cybercriminel ShinyHunters ».

Dans le portrait-type que nous consacrions aux pirates auteurs d’attaques de ce type interpellés par les autorités ces derniers mois, nous rappelions que dans son rapport annuel sur la cybercriminalité, le commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI) soulignait en effet que l’interpellation de plusieurs Français, à la demande du FBI ou par les autorités françaises, membres présumés du groupe de pirates ShinyHunters, aurait incité plusieurs pirates à s’attaquer aux institutions, administrations, organisations, fédérations, associations et entreprises françaises, pour se venger.

Ce qui explique aussi, en partie, la succession de piratages improprement qualifiés de « fuites de données » auxquels nous assistons depuis l’an passé. L’enquête de l’OFAC révèle enfin qu’il s’agirait également d’une cyberattaque opportuniste, et que ses auteurs ne cherchaient pas, initialement, à s’attaquer au ministère de l’Intérieur, et encore moins à pouvoir en extraire des fichiers policiers.

• Vols de données : les pirates ciblent la France (ou le font croire) pour se venger
• Vols de données : des pirates de moins de 25 ans, seuls dans leurs chambres

Ils ne savaient pas que c'était possible, alors ils l'ont fait

L’enquête de l’Office anticybercriminalité (OFAC) sur le piratage de fichiers du ministère de l’Intérieur révèle qu’il a commencé par la compromission de l’ordinateur personnel d’un fonctionnaire du ministère de… l’Agriculture. Le ou les auteurs de l’intrusion ont ensuite passé deux mois et demi à farfouiller leurs systèmes respectifs, parvenant à franchir près d’une dizaine de lignes de défense en profondeur, avant de réussir à exfiltrer 96 fichiers policiers… auxquels ils n’auraient initialement jamais pensé pouvoir accéder.

Fin décembre, Le Canard enchaîné révélait que le « fric-frac informatique du ministère de l’Intérieur » avait duré du dimanche 9 novembre au jeudi 4 décembre, soit 26 jours, « une très longue journée portes ouvertes ». « C’est la consultation compulsive – le week-end et la nuit – de ce listing ultra-sensible qui a déclenché l’alerte », soulignait le caneton.

D’après un bilan du ministère de l’Intérieur, que le Canard avait pu consulter, « les dégâts sont bien plus importants qu’annoncé : 37 serveurs de messagerie sur 250 ont été compromis, et 14 fichiers de police ont été visités, dont celui des personnes recherchées, qui contient notamment les fichés S ».

Il expliquait que l’intrusion aurait été facilitée du fait que « nombre de poulets se tamponnent le coquillard de la sécurité informatique ». Pour se connecter au système de Circulation Hiérarchisée des Enregistrements Opérationnels de la Police Sécurisés (CHEOPS), le portail permettant d’accéder aux fichiers de la police et de la gendarmerie, il faut normalement utiliser sa carte professionnelle, dotée d’une puce, ainsi qu’un code à quatre chiffres.

Or, « les poulets, moins disciplinés que les pandores, utilisent à tort et à travers un système de secours sans carte, reposant sur le seul identifiant et un code à six chiffres », qu’un policier aurait partagé en clair dans un e-mail auquel le pirate avait pu accéder.

• TAJ : le pirate a eu accès pendant 26 jours à 14 fichiers policiers et dérobé 120 fiches

Un cleptogiciel commercialisé entre 300 et 500 $ par mois

L’enquête de l’Office anticybercriminalité (OFAC) de la police judiciaire, que Le Monde a pu consulter, révèle une intrusion autrement plus complexe qui, à défaut d’être particulièrement sophistiquée, montre que les pirates ont passé deux mois et demi à errer dans un labyrinthe de systèmes informatiques interconnectés, et dû franchir de nombreuses défenses en profondeur avant de pouvoir parvenir aux fichiers qu’ils avaient exfiltrés.

La compromission du ministère de l’Intérieur remonte en réalité à un fonctionnaire du ministère de l’Agriculture, surnommé « patient zéro de l’attaque » par les enquêteurs. Dans la soirée du 19 septembre 2025, l’intéressé consulta sa boîte mail professionnelle, depuis son domicile dijonnais, sur son ordinateur personnel.

L’article du Monde laisse entendre qu’il aurait alors cliqué sur un lien adressé à son e-mail professionnel, le conduisant « sur un faux site proposant le téléchargement de logiciels d’édition musicale ». L’article ne précise pas s’il en avait téléchargé un ou s’il s’était contenté de visiter le site, reste que son ordinateur personnel fut contaminé par l’ « infostealer » (« cleptogiciel » en français) Rhadamanthys.

Le journaliste Valéry Rieß-Marchive, rédacteur en chef du MagIT, et l’un des meilleurs observateurs français des arcanes de ce type de cyberattaques, relève sur LinkedIn et sur X que la mention du nom du cleptogiciel utilisé est « rare et ce n’est pas anodin » : le détournement de comptes légitimes suite au passage de tels infostealers, « c’est classique. L’établir est plus rare. Beaucoup plus rare. »

Il émet l’hypothèse selon laquelle cette mention serait potentiellement liée au fait qu’Europol avait annoncé le démantèlement de l’infrastructure de Rhadamanthys, en novembre dernier, dans le cadre d’Endgame, une opération de grande envergure visant à démanteler les botnets et infrastructures criminelles qui y sont associées.

Valéry Rieß-Marchive précisait dans l’article qu’il y avait alors consacré que Rhadamanthys « était proposé avec de multiples plugins et commercialisé entre 300 et 500 $ par mois, payables en cryptopépettes ». À défaut de savoir si les auteurs du piratage du ministère de l’Intérieur étaient eux-mêmes clients de Rhadamanthys, ou s’ils avaient acheté à l’un de ses utilisateurs et/ou revendeurs les données liées au « patient zéro de l’attaque », cette dernière reposait donc aussi sur toute une chaîne logistique, en matière de cyberdélinquance, allant bien au-delà d’un simple piratage de login et mot de passe.

« Une faille sur un outil interne accessible depuis un simple navigateur web »

L’article du Monde ne précise pas si les antivirus et autres systèmes de sécurité du ministère de l’Agriculture auraient pu bloquer l’installation de cet infostealer sur l’ordinateur professionnel du fonctionnaire, mais il est loisible de le penser.

« Quand l’ordinateur personnel d’un collaborateur devient le vecteur d’attaque, le rebond vers le réseau professionnel est désormais quasi immédiat », remarque de son côté Henri d’Agrain, délégué général du Cigref (ex-club informatique des grandes entreprises françaises), en réponse à Valéry Rieß-Marchive.

De l'intérêt d'être INdépendant

L’équipe Rust a signalé jeudi une attaque visant un crate très populaire, arrayref. Elle a permis, pendant un peu plus d’une heure, de distribuer des composants vérolés vraisemblablement destinés à la récupération de mots de passe sur les machines des utilisateurs finaux. L’incident, rapidement contenu, s’inscrit dans une longue liste d’attaques visant la chaîne d’approvisionnement.

L’équipe en charge de la maintenance du langage Rust et de ses composants a alerté jeudi 20 août d’une attaque visant arrayref, un crate (l’unité de compilation de base, qui se présente soit sous forme de binaires, soit comme une bibliothèque) très courant.

Pour ce faire, les auteurs ont réussi à publier sur crates.io, le registre de paquets Rust, un composant baptisé proc-macro1. Il contenait un build script (code qui s’exécute à la compilation) ayant pour objet de déclencher le téléchargement d’une charge malveillante de type infostealer (vol de données).

Une charge calculée pour extraire des données

Pour favoriser la diffusion de leur attaque (dont le nom est une forme de typosquatting d’un autre crate légitime, proc-macro2), les attaquants ont réussi à modifier le crate arrayref pour que leur charge soit appelée lors de l’utilisation de ce dernier. Ils ont également piégé de la même façon d’autres composants courants (internment, append-only-vec).

D’après l’équipe Rust, la fenêtre de diffusion s’est heureusement révélée limitée, suite à une alerte rapidement formulée par les chercheurs de Nextron Systems. Elle estime ainsi que les composants vérolés sont restés en ligne entre 90 et 107 minutes : un laps de temps trop court pour permettre une propagation à grande échelle, mais tout de même suffisamment long pour que des développeurs aient pu être touchés.

« Nous vous recommandons de vérifier vos dépendances locales pour vous assurer que ces crates n’ont pas été téléchargées », déclare ainsi l’équipe Rust, qui invite à vérifier le contenu du dossier ~/.cargo/registry/cache pour y débusquer les éventuelles versions vérolées.

Deux chercheurs de l’entreprise de cybersécurité Wiz (passée aux mains de Google en mars 2026) ont détaillé le contenu exact de la charge malveillante. Lancée donc dès la compilation, elle a vocation à reconstruire une URL de destination pour l’envoi de données volées, désactiver la validation d’un certificat TLS et ainsi autoriser le contrôle et commande à distance (C2).

Elle télécharge ensuite un composant spécifique à l’OS et à l’architecture de la machine et lance ce dernier, qui commence ensuite à extraire des informations, en s’intéressant notamment aux identifiants stockés au niveau du navigateur. Il s’installe par ailleurs de façon persistante, soit via le registre Windows, soit au moyen de LaunchAgent (macOS) ou systemd (Linux).

Le compte d’un mainteneur compromis

Les attaquants n’ont probablement pas choisi leur cible au hasard. Le crate arrayref compte en effet la bagatelle de 245 millions de téléchargements, et il est utilisé comme dépendance dans 400 autres crates populaires, utilisés notamment sur les chaînes de blocs Ethereum et Solana, associées à des cryptomonnaies bien connues.

La subtilité ici réside dans le fait que le crate arrayref ne comportait en tant que tel aucun code malveillant, notent les chercheurs de Step Security : c’est simplement son fichier de dépendances qui était modifié.

La version corrompue, arrayref@0.3.10, semble avoir été publiée depuis le compte d’un mainteneur Rust historique, et non des moindres puisqu’il s’agirait de l’auteur du crate initial, initialement publié il y a 15 ans. « Nous ne pensons pas que l’auteur d’arrayref agisse de manière malveillante, mais son ordinateur ou ses identifiants sont probablement compromis, et nous essayons de le contacter », indique l’équipe Rust.

Dans la foulée de la publication, les attaquants ont yanké (retiré) les versions 0.3.5 à 0.3.9 du crate arrayref pour que les développeurs soient enclins à lancer cargo update, la commande de mise à jour censée précisément les protéger lorsque leur environnement exploite une version obsolète (et donc potentiellement vulnérable) d’un composant.

L’attaque a donné lieu à la publication, vendredi, d’une CVE (2026 - 77651) qualifiée de critique avec un score de 9,8.

Pour Wiz, le mode opératoire et une adresse IP détectée par l’une des victimes de l’attaque rappellent directement de précédentes attaques sur la chaîne d’approvisionnement (supply chain) telles que celles menées ces derniers mois contre Trivy, Axios et npm.

De l'intérêt d'être INdépendant

L’équipe Rust a signalé jeudi une attaque visant un crate très populaire, arrayref. Elle a permis, pendant un peu plus d’une heure, de distribuer des composants vérolés vraisemblablement destinés à la récupération de mots de passe sur les machines des utilisateurs finaux. L’incident, rapidement contenu, s’inscrit dans une longue liste d’attaques visant la chaîne d’approvisionnement.

L’équipe en charge de la maintenance du langage Rust et de ses composants a alerté jeudi 20 août d’une attaque visant arrayref, un crate (l’unité de compilation de base, qui se présente soit sous forme de binaires, soit comme une bibliothèque) très courant.

Pour ce faire, les auteurs ont réussi à publier sur crates.io, le registre de paquets Rust, un composant baptisé proc-macro1. Il contenait un build script (code qui s’exécute à la compilation) ayant pour objet de déclencher le téléchargement d’une charge malveillante de type infostealer (vol de données).

Une charge calculée pour extraire des données

Pour favoriser la diffusion de leur attaque (dont le nom est une forme de typosquatting d’un autre crate légitime, proc-macro2), les attaquants ont réussi à modifier le crate arrayref pour que leur charge soit appelée lors de l’utilisation de ce dernier. Ils ont également piégé de la même façon d’autres composants courants (internment, append-only-vec).

D’après l’équipe Rust, la fenêtre de diffusion s’est heureusement révélée limitée, suite à une alerte rapidement formulée par les chercheurs de Nextron Systems. Elle estime ainsi que les composants vérolés sont restés en ligne entre 90 et 107 minutes : un laps de temps trop court pour permettre une propagation à grande échelle, mais tout de même suffisamment long pour que des développeurs aient pu être touchés.

« Nous vous recommandons de vérifier vos dépendances locales pour vous assurer que ces crates n’ont pas été téléchargées », déclare ainsi l’équipe Rust, qui invite à vérifier le contenu du dossier ~/.cargo/registry/cache pour y débusquer les éventuelles versions vérolées.

Deux chercheurs de l’entreprise de cybersécurité Wiz (passée aux mains de Google en mars 2026) ont détaillé le contenu exact de la charge malveillante. Lancée donc dès la compilation, elle a vocation à reconstruire une URL de destination pour l’envoi de données volées, désactiver la validation d’un certificat TLS et ainsi autoriser le contrôle et commande à distance (C2).

Elle télécharge ensuite un composant spécifique à l’OS et à l’architecture de la machine et lance ce dernier, qui commence ensuite à extraire des informations, en s’intéressant notamment aux identifiants stockés au niveau du navigateur. Il s’installe par ailleurs de façon persistante, soit via le registre Windows, soit au moyen de LaunchAgent (macOS) ou systemd (Linux).

Le compte d’un mainteneur compromis

Les attaquants n’ont probablement pas choisi leur cible au hasard. Le crate arrayref compte en effet la bagatelle de 245 millions de téléchargements, et il est utilisé comme dépendance dans 400 autres crates populaires, utilisés notamment sur les chaînes de blocs Ethereum et Solana, associées à des cryptomonnaies bien connues.

La subtilité ici réside dans le fait que le crate arrayref ne comportait en tant que tel aucun code malveillant, notent les chercheurs de Step Security : c’est simplement son fichier de dépendances qui était modifié.

La version corrompue, arrayref@0.3.10, semble avoir été publiée depuis le compte d’un mainteneur Rust historique, et non des moindres puisqu’il s’agirait de l’auteur du crate initial, initialement publié il y a 15 ans. « Nous ne pensons pas que l’auteur d’arrayref agisse de manière malveillante, mais son ordinateur ou ses identifiants sont probablement compromis, et nous essayons de le contacter », indique l’équipe Rust.

Dans la foulée de la publication, les attaquants ont yanké (retiré) les versions 0.3.5 à 0.3.9 du crate arrayref pour que les développeurs soient enclins à lancer cargo update, la commande de mise à jour censée précisément les protéger lorsque leur environnement exploite une version obsolète (et donc potentiellement vulnérable) d’un composant.

L’attaque a donné lieu à la publication, vendredi, d’une CVE (2026 - 77651) qualifiée de critique avec un score de 9,8.

Pour Wiz, le mode opératoire et une adresse IP détectée par l’une des victimes de l’attaque rappellent directement de précédentes attaques sur la chaîne d’approvisionnement (supply chain) telles que celles menées ces derniers mois contre Trivy, Axios et npm.

L’Institut de recherche pour le développement (IRD) a annoncé ce mardi 18 aout à son personnel, via une lettre en PDF que Next a pu se procurer, qu’une « intrusion d’origine externe dans son système d’information » a eu lieu cet été. Ce piratage a conduit, selon la PDG de l’institut, Valérie Verdier, qui signe ce courrier, « à l’exposition des données de 7 500 personnes ».

Ce chiffre est particulièrement frappant lorsqu’on le compare au nombre d’agents travaillant pour l’organisme. En effet, le rapport d’activité de l’IRD de 2025 publié en juin dernier indique que l’organisme compte 2 249 agents.

Dans ce courrier, la responsable fait la liste des données qui ont été exposées :

• « vos données d’identification : nom, prénom(s), sexe, nationalité, date et lieu de naissance ;
• vos données relatives à la vie personnelle : adresse postale et numéro de téléphone personnels ;
• vos données relatives à la vie professionnelle : matricule agent, rattachement administratif, affectation géographique, statut, corps, grade, poste, niveau, échelon, emploi, discipline, adresse
  électronique professionnelle, numéro de téléphone pofessionnel ;
• votre numéro de sécurité sociale ».

Toujours selon le document, l’incident aurait été détecté par l’IRD le 24 juillet. C’est le 6 aout que l’enquête menée en interne a permis d’établir que ces données ont été exposées. Néanmoins, « à ce stade, nous ne sommes pas en mesure de confirmer que ces données aient été exfiltrées », précise la lettre.

Valérie Verdier ajoute que son organisme de recherche a « immédiatement engagé des investigations afin d’en déterminer l’origine, l’étendue et les conséquences. Elle assure que « les mesures nécessaires pour contenir l’incident, sécuriser les systèmes concernés et rétablir progressivement les services ont été appliquées depuis cette date ».

La direction explique que la « situation est susceptible d’entraîner notamment des risques de piratage de compte, d’usurpation d’identité ou de fraude ».

Elle assure aussi avoir signalé l’incident aux autorités compétentes, porté plainte et mis en place une cellule de crise. De façon pratique, elle signale avoir mis à l’isolement des serveurs informatiques concernés afin de limiter les risques et travailler en coopération avec l’ANSSI, le CERT RENATER, le Centre opérationnel de la sécurité des systèmes d’information (COSSI) et le fonctionnaire de sécurité des systèmes d’information (FSSI).

L’IRD vient aussi de publier un communiqué plus succinct.

Ce n’est pas la première institution de recherche française à subir un incident de ce genre cette année. En effet, le CNRS a fait part en février dernier d’une fuite de données concernant les personnels recrutés avant le 1/1/2007.

L’Institut de recherche pour le développement (IRD) a annoncé ce mardi 18 aout à son personnel, via une lettre en PDF que Next a pu se procurer, qu’une « intrusion d’origine externe dans son système d’information » a eu lieu cet été. Ce piratage a conduit, selon la PDG de l’institut, Valérie Verdier, qui signe ce courrier, « à l’exposition des données de 7 500 personnes ».

Ce chiffre est particulièrement frappant lorsqu’on le compare au nombre d’agents travaillant pour l’organisme. En effet, le rapport d’activité de l’IRD de 2025 publié en juin dernier indique que l’organisme compte 2 249 agents.

Dans ce courrier, la responsable fait la liste des données qui ont été exposées :

• « vos données d’identification : nom, prénom(s), sexe, nationalité, date et lieu de naissance ;
• vos données relatives à la vie personnelle : adresse postale et numéro de téléphone personnels ;
• vos données relatives à la vie professionnelle : matricule agent, rattachement administratif, affectation géographique, statut, corps, grade, poste, niveau, échelon, emploi, discipline, adresse
  électronique professionnelle, numéro de téléphone pofessionnel ;
• votre numéro de sécurité sociale ».

Toujours selon le document, l’incident aurait été détecté par l’IRD le 24 juillet. C’est le 6 aout que l’enquête menée en interne a permis d’établir que ces données ont été exposées. Néanmoins, « à ce stade, nous ne sommes pas en mesure de confirmer que ces données aient été exfiltrées », précise la lettre.

Valérie Verdier ajoute que son organisme de recherche a « immédiatement engagé des investigations afin d’en déterminer l’origine, l’étendue et les conséquences. Elle assure que « les mesures nécessaires pour contenir l’incident, sécuriser les systèmes concernés et rétablir progressivement les services ont été appliquées depuis cette date ».

La direction explique que la « situation est susceptible d’entraîner notamment des risques de piratage de compte, d’usurpation d’identité ou de fraude ».

Elle assure aussi avoir signalé l’incident aux autorités compétentes, porté plainte et mis en place une cellule de crise. De façon pratique, elle signale avoir mis à l’isolement des serveurs informatiques concernés afin de limiter les risques et travailler en coopération avec l’ANSSI, le CERT RENATER, le Centre opérationnel de la sécurité des systèmes d’information (COSSI) et le fonctionnaire de sécurité des systèmes d’information (FSSI).

L’IRD vient aussi de publier un communiqué plus succinct.

Ce n’est pas la première institution de recherche française à subir un incident de ce genre cette année. En effet, le CNRS a fait part en février dernier d’une fuite de données concernant les personnels recrutés avant le 1/1/2007.

À chaque jour sa fuite de données, ou presque. SFR a prévenu jeudi 20 août ses clients qu’un « incident de sécurité » avait été détecté le 2 juillet. Il a touché un outil de gestion d’analyse des raccordements fibre, qui a entraîné un accès non autorisé à des données : nom, prénom, civilité, adresse, numéro de téléphone mobile, identifiant de contrat et des données techniques liées à la ligne.

Le groupe de pirates ZeroBytes a revendiqué l’attaque, rapporte FrenchBreaches qui publie le message de l’opérateur. Ces derniers ne sont pas inconnus des services : c’est à eux que l’on doit aussi l’attaque de la plateforme du fisc. Dans le cas de SFR, 2,1 millions de clients seraient potentiellement concernées.

• Troisième fuite confirmée aux impôts, Bercy détaille sa réponse aux attaques

L’entreprise a désactivé le compte utilisé pour accéder à l’outil, bloqué les adresses IP à l’origine de l’accès non autorisé, et continue de surveiller ces adresses. Les mesures de sécurité des systèmes ont été renforcés. La CNIL a également été notifiée, et une plainte déposée auprès du Procureur de la République.

Les données en fuite pourraient alimenter des campagnes de hameçonnage. Un escroc pourrait se présenter comme un représentant de SFR pour pousser les clients contactés à communiquer des informations confidentielles ou effectuer un paiement.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

À chaque jour sa fuite de données, ou presque. SFR a prévenu jeudi 20 août ses clients qu’un « incident de sécurité » avait été détecté le 2 juillet. Il a touché un outil de gestion d’analyse des raccordements fibre, qui a entraîné un accès non autorisé à des données : nom, prénom, civilité, adresse, numéro de téléphone mobile, identifiant de contrat et des données techniques liées à la ligne.

Le groupe de pirates ZeroBytes a revendiqué l’attaque, rapporte FrenchBreaches qui publie le message de l’opérateur. Ces derniers ne sont pas inconnus des services : c’est à eux que l’on doit aussi l’attaque de la plateforme du fisc. Dans le cas de SFR, 2,1 millions de clients seraient potentiellement concernées.

• Troisième fuite confirmée aux impôts, Bercy détaille sa réponse aux attaques

L’entreprise a désactivé le compte utilisé pour accéder à l’outil, bloqué les adresses IP à l’origine de l’accès non autorisé, et continue de surveiller ces adresses. Les mesures de sécurité des systèmes ont été renforcés. La CNIL a également été notifiée, et une plainte déposée auprès du Procureur de la République.

Les données en fuite pourraient alimenter des campagnes de hameçonnage. Un escroc pourrait se présenter comme un représentant de SFR pour pousser les clients contactés à communiquer des informations confidentielles ou effectuer un paiement.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Un exploit « très peu sophistiqué »

Ayant permis plus de 6 000 arrestations, la saisie de 900M d’euros et de 270 tonnes de drogues, le piratage du cryptophone Encrochat reposait sur un logiciel espion « secret défense » développé par la DGSI. Il avait en fait été bidouillé à partir d’un logiciel open source et d’un exploit téléchargés sur GitHub. Il reposait aussi sur une faille « zero day » identifiée par Google comme étant exploitée par le logiciel espion Pegasus de NSO, révèle une enquête de Computer Weekly.

MàJ, 23 août : quatre chercheurs en cryptographie et cybersécurité (Martin R. Albrecht, Sunoo Park, Michael A. Specter et Douglas Stebila), ont par ailleurs publié un preprint, « A Real-World Law-Enforcement Hack: The Case of Encrochat ». Présenté comme « le compte rendu public le plus détaillé à ce jour sur l’infrastructure d’Encrochat et la manière dont elle a été compromise », il n’évoque pas, cela dit, la rétro-ingénierie d’Invasys ni donc le recours à la vulnérabilité « Bad Blinder » exploitée par NSO et découverte par le Project Zero de Google, révélées par l’enquête de Computer Weekly.

Le 2 juillet 2020, Europol et Eurojust annonçaient que la gendarmerie nationale française avait réussi à pirater et démanteler EncroChat, « un réseau téléphonique chiffré largement utilisé par les réseaux criminels » dénombrant 60 000 clients, a priori fortunés. Ses terminaux sécurisés étaient en effet vendus la bagatelle de 1 000 euros, auxquels il fallait ajouter 1 500 euros d’abonnement, à renouveler tous les 6 mois.

• La gendarmerie a (de nouveau) cassé des messages chiffrés

Initiée en 2017, l’enquête avait mobilisé 60 enquêteurs réunis en France dans une « cellule Emma 95 », et permis plusieurs centaines d’arrestations un peu partout en Europe. Trois ans plus tard, Europol se félicitait du fait que cette opération avait permis l’arrestation de 6 558 personnes dans le monde entier (dont 197 « high value targets »), la saisie de 740 millions d’euros de cash et le gel de 154,1 millions d’euros sous forme d’actifs ou de comptes bancaires, 164,4 tonnes de cannabis, 103,5 de cocaïne, 3,3 d’héroïne, 30,5 millions de comprimés de drogues chimiques, 971 véhicules, 923 armes (plus 21 750 cartouches et 68 explosifs), 271 domaines ou maisons, 83 bateaux et 40 avions.

Europol ne précisait pas combien de personnes avaient alors été condamnées, mais celles qui l’avaient été totalisaient alors une durée cumulée de 7 134 années de prison. Europol précisait également que 35 % des affaires relevaient du crime organisé, 33 du trafic de drogue, 14 du blanchiment d’argent, 12 de projets de meurtres, et 6 de trafic d’armes.

• Cryptophone EncroChat : 6 600 arrestations, 900 millions d’euros, 270 tonnes de drogue

À l’époque, la gendarmerie n’avait pas détaillé son modus operandi, reconnaissant toutefois avoir eu recours à trois « dispositifs techniques », dont deux couverts par le « secret défense ». La loi d’orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI) de 2010 autorise en effet la « captation de données informatiques, une technique spéciale d’enquête prévue par le droit français » afin de « contourner l’obstacle du chiffrement et ainsi d’accéder à des données informatiques de manière invisible pour l’utilisateur ».

• EncroChat : le Conseil constitutionnel valide le secret défense sur les outils de captation

Les journalistes d’investigation Bill Goodwin et Duncan Campbell (un ancien hacker radio connu pour avoir révélé l’existence du GCHQ et du programme anglo-saxon Echelon de surveillance satellite des communications) viennent néanmoins de révéler, dans Computer Weekly (CW) qu’à la demande de la justice britannique, une entreprise de cybersécurité tchèque a réussi, par rétro-ingénierie, à reconstituer le logiciel espion.

Il aurait été développé par le « service technique national de captation judiciaire » (STNCJ), un service à compétence nationale rattaché au directeur technique de la direction générale de la sécurité intérieure (DGSI), créé en 2018 et chargé de la conception, de la centralisation et de la mise en œuvre de dispositifs techniques permettant l’activation à distance d’un appareil électronique, qui sont cela dit couvertes par le secret de la défense nationale.

Une peine de 30 ans de prison, et plusieurs millions d’euros d’amendes

Encrochat aurait été développé par Paul Kursky, un Canadien d’une cinquantaine d’années vivant en République dominicaine. D’après The Globe and Mail, il y avait été arrêté en 2022, avant d’être extradé en février 2024 en France, où, mis en examen pour une quinzaine de chefs d’accusation, il encourt une peine de 30 ans de prison, et plusieurs millions d’euros d’amendes.

[Communiqué de presse] L’un des principaux dirigeants de la structure #EncroChat a été remis à la France le 02/02/24 à la suite d'un important travail de coopération avec @Eurojust et les autorités dominicaines.
Mis en examen, il a été placé en détention provisoire par le JLD. https://t.co/9JAuQ7tqwj pic.twitter.com/mGFeRS24i5

— Samuel Finielz, procureur de Lille (@ProcureurLille) February 7, 2024

CW révèle pour sa part qu’en 2014, Kursky expliqua à l’un de ses partenaires avoir mis au point une « solution de sécurité » pour les smartphones Android, « à partir de plusieurs projets open source », dont Off-the-Record Messaging, le précurseur des messageries chiffrées, Guardian ROM, une version sécurisée d’Android développée par le Guardian Project, un collectif de développeurs œuvrant pour « les militants, les journalistes et les utilisateurs lambda qui accordent de l’importance à la vie privée et à la sécurité ».

L’idée était de flasher un smartphone de sorte qu’il dispose d’une zone de stockage chiffrée dotée de son propre système d’exploitation, activable à partir d’une combinaison de touches spéciales offrant à ses utilisateurs la possibilité de nier de façon plausible (« déni plausible », ou « plausible deniability » en anglais) le fait qu’il s’agisse en réalité d’un « cryptophone ».

L’abonnement coûtait 1 000 $ pour 6 mois, pour un téléphone qui, ironise CW, « pouvait parfois prendre en charge des appels téléphoniques », mais servait surtout à stocker des notes, échanger des messages et images avec des utilisateurs identifiables non via leurs noms ou n° de téléphones, mais via des pseudonymes « choisis au hasard ». Leurs échanges étaient en outre automatiquement effacés au bout de 14 jours, ou dans un délai fixé par leurs expéditeurs.

Le smartphone pouvait également être effacé à distance par le revendeur ou le service d’assistance, et proposait plusieurs fonctionnalités visant à assurer « garantir l’anonymat » de ses utilisateurs, dont un code PIN spécifique destiné à la suppression immédiate de toutes les données sur l’appareil, et la suppression de toutes les données en cas de saisies consécutives d’un mauvais mot de passe.

Une rétro-ingénierie de 70 % du logiciel espion des hackers de la DGSI

Oups

Grâce à des failles dans le protocole de paiement sans contact et à son implémentation par VISA, il est possible d’effectuer des paiements sans contact alors que les cartes ont expiré.

Des cartes de crédits « zombies », c’est ainsi que des chercheurs de l’Université du Massachusetts Amherst qualifient certaines cartes de crédits VISA qui permettent de payer en mode sans contact alors qu’elles sont périmées.

Lorsqu’une carte de crédit arrive à péremption et qu’elle est remplacée par une nouvelle, on peut avoir tendance à se dire qu’elle est définitivement inutilisable par quiconque et s’en défaire sans trop de soucis. Mais ce n’est pas forcément le cas.

Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza ont expliqué comment ils ont réussi à passer outre cette date de péremption sur certaines cartes à la conférence Usenix qui s’est tenue à Baltimore la semaine dernière. Leur article, relu par des pairs, est en ligne sur le site de Usenix.

Ils y expliquent que les cartes qu’ils ont pu faire « revivre » ont bien toutes des dates de péremption mais que le protocole sans contact EMV créé par Europay, Mastercard et Visa (d’où son nom) et surtout son implémentation par VISA permettent de passer outre.

L’implémentation de VISA laisse particulièrement à désirer

Si vis pacem para bellum

Quatre jours après la révélation d’un triple accès illégitime au système d’information des impôts et au lendemain d’un comité interministériel de crise, les représentants de l’État prennent la parole pour expliquer la situation et rassurer… autant que faire se peut. Le ministère de l’Éducation nationale confirme par ailleurs avoir lui aussi été victime d’une intrusion et exfiltration de données fin juillet.

Article mis à jour à 18h34 avec des précisions du ministère de l’Éducation nationale sur l’ « incident de sécurité » dont il avait été victime fin juillet.

Confirmée le 14 août par la Direction générale des Finances publiques (DGFiP), la double intrusion survenue dans le système d’information des impôts a donné lieu, lundi 17 août, à un comité interministériel de crise. Mardi, les services concernés ont fait acte de contrition, et d’une transparence relative, à l’occasion d’un point presse visant à préciser la nature exacte de l’attaque, ou plutôt des attaques, ainsi que les réponses apportées. Au passage, ils ont aussi révélé qu’une troisième intrusion venait d’être détectée au niveau du portail dédié aux successions vacantes.

Trois intrusions confirmées

Amélie Verdier, directrice générale des Finances publiques, a retracé le calendrier des incidents récents, certains aspects du mode opératoire de l’attaquant, en précisant bien s’exprimer dans les limites de l’enquête en cours. « À date, nous parlons de trois fuites, de gravité et d’ampleur très différentes. Aucune d’entre elles n’a permis d’entrer dans un compte fiscal ou de récupérer des codes d’accès », a-t-elle assuré.

Les deux premières intrusions, survenues respectivement en juin et en juillet 2026, ont permis selon les services de la DGFiP de consulter et d’extraire les données de 350 000 particuliers et 250 000 professionnels, ainsi qu’un lot de données cadastrales.

Au niveau des impôts, c’est la base de données des messages échangés entre les agents du service public et les usagers qui aurait été consultée. Cette interface contient, selon Amélie Verdier, un « cartouche résumé » qui présente à l’agent les principales informations fiscales de l’usager, pour faciliter sa compréhension de la demande.

À ce niveau, l’attaque a permis de consulter et d’extraire les données de 350 000 particuliers et 250 000 professionnels. Pour les premiers, sont notamment concernées « des données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source ». Sur le volet entreprise, Bercy évoque dans sa FAQ dédiée (PDF) « des données telles que leur raison sociale ou leur SIREN ». Amélie Verdier précise toutefois que comme pour les particuliers, des messages avec l’administration ont pu être consultés, ce qui pourrait se traduire par l’exposition de données fiscales. « Les vérifications sont en cours », déclare-t-elle.

La deuxième fuite relative au cadastre concerne quant à elle des données liées aux parcelles, indique la directrice générale. Les données personnelles de 433 000 personnes seraient concernées à ce stade de l’investigation. « Ce sont des vendeurs, des acheteurs, ou des tiers tels que des notaires ou des professionnels amenés à faire des déclarations dans cette base cadastrale », indique Amélie Verdier.

Enfin, une troisième attaque vient d’être détectée et confirmée, au niveau cette fois du portail des successions vacantes, le service qui permet au détenteur d’une créance envers un défunt de vérifier s’il existe un héritier auprès duquel faire valoir ses droits. « L’attaquant a eu accès à un journal des demandes », indique la directrice générale.

Des comptes utilisateurs compromis

La DGFiP a par ailleurs confirmé que ces accès indus avaient été obtenus au moyen de comptes utilisateurs compromis, réalisés par Internet. Ces accès auraient bien été détectés, et coupés, en juin et en juillet, mais sans que l’exfiltration de données ait été confirmée à ce stade. Bercy dit avoir pris connaissance de la fuite le 12 août, via une alerte de l’ANSSI concomitante de la revendication du ou des pirates auteurs de l’attaque.

Sur la base de données du cadastre, Amélie Verdier parle de la compromission d’un compte avec double authentification. Pour ce qui concerne les échanges fiscaux qui constituent l’attaque la plus préoccupante, elle évoque une « combinaison de compromissions de comptes » qui aurait touché à la fois le profil d’un prestataire externe agréé et celui d’un agent des impôts, avec une passerelle rendue possible par une « brèche » non précisée.

Pourquoi la fuite de données n’a-t-elle pas été détectée avant la revendication, si les comptes utilisés ont bien été fermés pour cause de compromission ? Sur ce point, la DGFiP se range derrière le secret de l’enquête. Tout juste apprendra-t-on que l’attaquant « a d’abord fait des tests manuels qu’il a ensuite massifiés, en restant sous les seuils de détection », et que les investigations menées en juin et en juillet semblent s’être concentrées sur des compromissions classiques, sans envisager cette « combinaison » évoquée par la directrice générale.

Une authentification multi-facteurs généralisée d’ici la fin de l’année

Outre des excuses appuyées aux victimes, et un appel à ne pas stigmatiser les agents des impôts, la directrice des Impôts et le ministre de l’Action et des Comptes publics, David Amiel, ont logiquement assuré que la sécurité des services concernés constituait une « priorité absolue ». L’authentification forte, « déjà bien engagée » selon le ministre, devrait ainsi être généralisée à l’ensemble des agents de Bercy « d’ici la fin de l’année ».

David Amiel évoque également la généralisation des quotas d’accès aux données, la mise en place de capteurs sur tous les systèmes qui en sont encore dépourvus, et une formation cyber renforcée des agents, ainsi que la multiplication d’opérations telles que des campagnes de phishing fictives. Le ministre dit par ailleurs souhaiter un usage renforcé de l’IA à des fins d’exploration défensive. « J’ai demandé à ce qu’on se teste nous-mêmes avec des IA pour nous auto-attaquer et déceler les défaillances ». Pas un mot en revanche de la directive européenne NIS2, dont la transposition en France se fait toujours attendre.

En parallèle, c’est bien sûr l’audit confié à l’ANSSI, dont les résultats sont attendus pour septembre, qui devrait guider la marche à suivre. « Ce diagnostic complètera les enseignements des attaques passées et de la feuille de route cyber élaborée à ma demande au premier semestre », précise David Amiel. 

Quid des vulnérabilités structurelles, liées à l’ancienneté des systèmes d’information (le fameux legacy) ? Bercy affirme plancher de façon continue sur la question, et avoir encore intensifié ses efforts avec un accent particulier sur la cyber depuis son schéma directeur du numérique de 2025, mis à jour à l’été 2026.

La dette technique reste cependant conséquente, même si le rattrapage est sensible. « Notre taux de conformité a doublé depuis 2020, nous sommes passés de 25 % à un peu plus de 50 % », révèle Amélie Verdier. Elle indique par ailleurs que 100 postes sont dédiés aux sujets cyber sur les 5 300 informaticiens de Bercy. Et souligne un volume d’attaques conséquent, avec 6 972 incidents enregistrés et 57 compromissions de comptes enregistrés en 2025.

En attendant que la dette se résorbe, Bercy affirme travailler à réduire au maximum les accès distants susceptibles de favoriser des compromissions (mail ou agendas des fonctionnaires hors du réseau de Bercy par exemple). Et assure prioriser la refonte des fichiers les plus sensibles, comme le Ficoba troué en début d’année.

• Bercy informe d’une intrusion dans le Ficoba : 1,2 million de comptes exposés

Information en cours auprès des usagers

Reste à informer les usagers des services fiscaux. Bercy a annoncé lundi soir que les personnes concernées seraient contactées par mail, avec un courrier d’information reproduit ci-dessous. La campagne d’envoi de mails pour les particuliers devrait se terminer à la fin de la semaine. La communication à destination des professionnels débutera quant à elle la semaine prochaine, c’est-à-dire à partir du 24 août.

La Cnil a de son côté confirmé avoir été dûment notifiée, et prie instamment les victimes de ne plus tenter de la saisir de plaintes individuelles « sauf si vous disposez d’éléments spécifiques ou utiles aux investigations en cours ».

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Le ministère de l’Éducation nationale confirme une exfiltration de données

Le ou les pirates qui revendiquent l’attaque sur Bercy, cachés derrière le pseudo ZeroBytes, ont par ailleurs affirmé lundi soir disposer d’un jeu de données particulièrement volumineux issu des systèmes informatiques de l’Éducation nationale. Interrogé sur ce point, le général Stéphane Bajard, directeur général adjoint de l’ANSSI, indique que l’agence est engagée aux côtés des équipes du ministère pour analyser l’incident, mais ne confirme ni n’infirme la revendication.

L’entourage du ministre de l’Éducation nationale, Edouard Geffray, a cela dit confirmé à france info qu’il s’agit de l’attaque qui avait fait l’objet d’un communiqué, le 31 juillet dernier. Le ministère avait alors annoncé avoir été « victime d’une intrusion frauduleuse dans l’un de ses systèmes d’information » dans la nuit du 25 juillet 2026, « à la suite de l’usurpation d’un compte professionnel ».

Le centre opérationnel de sécurité des systèmes d’information du ministère en avait été alerté « dès le 26 juillet », et si l’accès externe au système concerné avait été suspendu « dans les heures qui ont suivi », le ministère reconnaissait que l’intrusion « a pu conduire à l’exfiltration de données à caractère personnel concernant un nombre important de ses agents » :

« Les données susceptibles d’avoir été exfiltrées concernent les agents du ministère ayant exercé en académie depuis 2001. Il s’agit d’éléments d’identité et d’informations professionnelles – statut et fonctions. Pour une partie d’entre eux s’y ajoutent des coordonnées, adresse postale et numéro de téléphone, ainsi que le numéro de sécurité sociale. Ce système d’information ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves. »

Dans un communiqué, le ministère précise avoir alors déposé plainte contre X auprès du parquet de Paris et saisi l’ANSSI, ainsi que la CNIL. « Depuis, l’ensemble des personnels susceptibles d’être concernés ont été informés individuellement », précise le communiqué :

« Des publications intervenues hier font état de la mise en ligne de ces données et revendiquent la détention de données relatives à des élèves. Le ministère poursuit ses expertises techniques afin d’établir la nature exacte et l’étendue des données exfiltrées. »

Le ministère indique par ailleurs travailler avec l’appui de l’ANSSI à un plan de renforcement de la sécurité de ses systèmes d’information, et « appelle chacun à la plus grande vigilance face aux tentatives de fraude qui suivent ce type de publication, en particulier l’hameçonnage et l’usurpation d’identité » :

« Il ne demande jamais par courriel, par téléphone ou par message les identifiants de connexion, les mots de passe ou les coordonnées bancaires. Tout message suspect doit être signalé aux autorités académiques sans y répondre ni cliquer sur les liens qu’il contient. »

Si vis pacem para bellum

Quatre jours après la révélation d’un triple accès illégitime au système d’information des impôts et au lendemain d’un comité interministériel de crise, les représentants de l’État prennent la parole pour expliquer la situation et rassurer… autant que faire se peut. Le ministère de l’Éducation nationale confirme par ailleurs avoir lui aussi été victime d’une intrusion et exfiltration de données fin juillet.

Article mis à jour à 18h34 avec des précisions du ministère de l’Éducation nationale sur l’ « incident de sécurité » dont il avait été victime fin juillet.

Confirmée le 14 août par la Direction générale des Finances publiques (DGFiP), la double intrusion survenue dans le système d’information des impôts a donné lieu, lundi 17 août, à un comité interministériel de crise. Mardi, les services concernés ont fait acte de contrition, et d’une transparence relative, à l’occasion d’un point presse visant à préciser la nature exacte de l’attaque, ou plutôt des attaques, ainsi que les réponses apportées. Au passage, ils ont aussi révélé qu’une troisième intrusion venait d’être détectée au niveau du portail dédié aux successions vacantes.

Trois intrusions confirmées

Amélie Verdier, directrice générale des Finances publiques, a retracé le calendrier des incidents récents, certains aspects du mode opératoire de l’attaquant, en précisant bien s’exprimer dans les limites de l’enquête en cours. « À date, nous parlons de trois fuites, de gravité et d’ampleur très différentes. Aucune d’entre elles n’a permis d’entrer dans un compte fiscal ou de récupérer des codes d’accès », a-t-elle assuré.

Les deux premières intrusions, survenues respectivement en juin et en juillet 2026, ont permis selon les services de la DGFiP de consulter et d’extraire les données de 350 000 particuliers et 250 000 professionnels, ainsi qu’un lot de données cadastrales.

Au niveau des impôts, c’est la base de données des messages échangés entre les agents du service public et les usagers qui aurait été consultée. Cette interface contient, selon Amélie Verdier, un « cartouche résumé » qui présente à l’agent les principales informations fiscales de l’usager, pour faciliter sa compréhension de la demande.

À ce niveau, l’attaque a permis de consulter et d’extraire les données de 350 000 particuliers et 250 000 professionnels. Pour les premiers, sont notamment concernées « des données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source ». Sur le volet entreprise, Bercy évoque dans sa FAQ dédiée (PDF) « des données telles que leur raison sociale ou leur SIREN ». Amélie Verdier précise toutefois que comme pour les particuliers, des messages avec l’administration ont pu être consultés, ce qui pourrait se traduire par l’exposition de données fiscales. « Les vérifications sont en cours », déclare-t-elle.

La deuxième fuite relative au cadastre concerne quant à elle des données liées aux parcelles, indique la directrice générale. Les données personnelles de 433 000 personnes seraient concernées à ce stade de l’investigation. « Ce sont des vendeurs, des acheteurs, ou des tiers tels que des notaires ou des professionnels amenés à faire des déclarations dans cette base cadastrale », indique Amélie Verdier.

Enfin, une troisième attaque vient d’être détectée et confirmée, au niveau cette fois du portail des successions vacantes, le service qui permet au détenteur d’une créance envers un défunt de vérifier s’il existe un héritier auprès duquel faire valoir ses droits. « L’attaquant a eu accès à un journal des demandes », indique la directrice générale.

Des comptes utilisateurs compromis

La DGFiP a par ailleurs confirmé que ces accès indus avaient été obtenus au moyen de comptes utilisateurs compromis, réalisés par Internet. Ces accès auraient bien été détectés, et coupés, en juin et en juillet, mais sans que l’exfiltration de données ait été confirmée à ce stade. Bercy dit avoir pris connaissance de la fuite le 12 août, via une alerte de l’ANSSI concomitante de la revendication du ou des pirates auteurs de l’attaque.

Sur la base de données du cadastre, Amélie Verdier parle de la compromission d’un compte avec double authentification. Pour ce qui concerne les échanges fiscaux qui constituent l’attaque la plus préoccupante, elle évoque une « combinaison de compromissions de comptes » qui aurait touché à la fois le profil d’un prestataire externe agréé et celui d’un agent des impôts, avec une passerelle rendue possible par une « brèche » non précisée.

Pourquoi la fuite de données n’a-t-elle pas été détectée avant la revendication, si les comptes utilisés ont bien été fermés pour cause de compromission ? Sur ce point, la DGFiP se range derrière le secret de l’enquête. Tout juste apprendra-t-on que l’attaquant « a d’abord fait des tests manuels qu’il a ensuite massifiés, en restant sous les seuils de détection », et que les investigations menées en juin et en juillet semblent s’être concentrées sur des compromissions classiques, sans envisager cette « combinaison » évoquée par la directrice générale.

Une authentification multi-facteurs généralisée d’ici la fin de l’année

Outre des excuses appuyées aux victimes, et un appel à ne pas stigmatiser les agents des impôts, la directrice des Impôts et le ministre de l’Action et des Comptes publics, David Amiel, ont logiquement assuré que la sécurité des services concernés constituait une « priorité absolue ». L’authentification forte, « déjà bien engagée » selon le ministre, devrait ainsi être généralisée à l’ensemble des agents de Bercy « d’ici la fin de l’année ».

David Amiel évoque également la généralisation des quotas d’accès aux données, la mise en place de capteurs sur tous les systèmes qui en sont encore dépourvus, et une formation cyber renforcée des agents, ainsi que la multiplication d’opérations telles que des campagnes de phishing fictives. Le ministre dit par ailleurs souhaiter un usage renforcé de l’IA à des fins d’exploration défensive. « J’ai demandé à ce qu’on se teste nous-mêmes avec des IA pour nous auto-attaquer et déceler les défaillances ». Pas un mot en revanche de la directive européenne NIS2, dont la transposition en France se fait toujours attendre.

En parallèle, c’est bien sûr l’audit confié à l’ANSSI, dont les résultats sont attendus pour septembre, qui devrait guider la marche à suivre. « Ce diagnostic complètera les enseignements des attaques passées et de la feuille de route cyber élaborée à ma demande au premier semestre », précise David Amiel. 

Quid des vulnérabilités structurelles, liées à l’ancienneté des systèmes d’information (le fameux legacy) ? Bercy affirme plancher de façon continue sur la question, et avoir encore intensifié ses efforts avec un accent particulier sur la cyber depuis son schéma directeur du numérique de 2025, mis à jour à l’été 2026.

La dette technique reste cependant conséquente, même si le rattrapage est sensible. « Notre taux de conformité a doublé depuis 2020, nous sommes passés de 25 % à un peu plus de 50 % », révèle Amélie Verdier. Elle indique par ailleurs que 100 postes sont dédiés aux sujets cyber sur les 5 300 informaticiens de Bercy. Et souligne un volume d’attaques conséquent, avec 6 972 incidents enregistrés et 57 compromissions de comptes enregistrés en 2025.

En attendant que la dette se résorbe, Bercy affirme travailler à réduire au maximum les accès distants susceptibles de favoriser des compromissions (mail ou agendas des fonctionnaires hors du réseau de Bercy par exemple). Et assure prioriser la refonte des fichiers les plus sensibles, comme le Ficoba troué en début d’année.

• Bercy informe d’une intrusion dans le Ficoba : 1,2 million de comptes exposés

Information en cours auprès des usagers

Reste à informer les usagers des services fiscaux. Bercy a annoncé lundi soir que les personnes concernées seraient contactées par mail, avec un courrier d’information reproduit ci-dessous. La campagne d’envoi de mails pour les particuliers devrait se terminer à la fin de la semaine. La communication à destination des professionnels débutera quant à elle la semaine prochaine, c’est-à-dire à partir du 24 août.

La Cnil a de son côté confirmé avoir été dûment notifiée, et prie instamment les victimes de ne plus tenter de la saisir de plaintes individuelles « sauf si vous disposez d’éléments spécifiques ou utiles aux investigations en cours ».

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Le ministère de l’Éducation nationale confirme une exfiltration de données

Le ou les pirates qui revendiquent l’attaque sur Bercy, cachés derrière le pseudo ZeroBytes, ont par ailleurs affirmé lundi soir disposer d’un jeu de données particulièrement volumineux issu des systèmes informatiques de l’Éducation nationale. Interrogé sur ce point, le général Stéphane Bajard, directeur général adjoint de l’ANSSI, indique que l’agence est engagée aux côtés des équipes du ministère pour analyser l’incident, mais ne confirme ni n’infirme la revendication.

L’entourage du ministre de l’Éducation nationale, Edouard Geffray, a cela dit confirmé à france info qu’il s’agit de l’attaque qui avait fait l’objet d’un communiqué, le 31 juillet dernier. Le ministère avait alors annoncé avoir été « victime d’une intrusion frauduleuse dans l’un de ses systèmes d’information » dans la nuit du 25 juillet 2026, « à la suite de l’usurpation d’un compte professionnel ».

Le centre opérationnel de sécurité des systèmes d’information du ministère en avait été alerté « dès le 26 juillet », et si l’accès externe au système concerné avait été suspendu « dans les heures qui ont suivi », le ministère reconnaissait que l’intrusion « a pu conduire à l’exfiltration de données à caractère personnel concernant un nombre important de ses agents » :

« Les données susceptibles d’avoir été exfiltrées concernent les agents du ministère ayant exercé en académie depuis 2001. Il s’agit d’éléments d’identité et d’informations professionnelles – statut et fonctions. Pour une partie d’entre eux s’y ajoutent des coordonnées, adresse postale et numéro de téléphone, ainsi que le numéro de sécurité sociale. Ce système d’information ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves. »

Dans un communiqué, le ministère précise avoir alors déposé plainte contre X auprès du parquet de Paris et saisi l’ANSSI, ainsi que la CNIL. « Depuis, l’ensemble des personnels susceptibles d’être concernés ont été informés individuellement », précise le communiqué :

« Des publications intervenues hier font état de la mise en ligne de ces données et revendiquent la détention de données relatives à des élèves. Le ministère poursuit ses expertises techniques afin d’établir la nature exacte et l’étendue des données exfiltrées. »

Le ministère indique par ailleurs travailler avec l’appui de l’ANSSI à un plan de renforcement de la sécurité de ses systèmes d’information, et « appelle chacun à la plus grande vigilance face aux tentatives de fraude qui suivent ce type de publication, en particulier l’hameçonnage et l’usurpation d’identité » :

« Il ne demande jamais par courriel, par téléphone ou par message les identifiants de connexion, les mots de passe ou les coordonnées bancaires. Tout message suspect doit être signalé aux autorités académiques sans y répondre ni cliquer sur les liens qu’il contient. »

Alors que l’envoi des notifications aux 678 000 victimes a démarré, la DGFiP dévoile l’apparence exacte de son vrai mail d’alerte. Un repère visuel essentiel pour reconnaître le message officiel et ne pas tomber dans le piège des fausses alertes qui vont suivre.

Apple continue de livrer les mises à jour de sécurité à un rythme trépidant. iOS 26.6.1 et macOS Tahoe 26.6.2, disponibles depuis ce lundi 17 août, contiennent ainsi une trentaine de correctifs. Ces mises à jour sont nécessaires : macOS 26.6.1 fournie il y a dix jours corrigeait ainsi une faille critique.

Apple avait prévenu fin juin : la cadence de distribution des mises à jour de sécurité pour ses systèmes d’exploitation allaient s’accélérer. On y est. Depuis quelques semaines, le constructeur bombarde ses utilisateurs de nouvelles versions d’iOS et de macOS, chacune charriant un lot impressionnant de correctifs.

C’est aussi le cas d’iOS 26.6.1 et iPadOS 26.6.1, disponibles depuis hier soir. Apple documente ainsi 29 failles de sécurité corrigées. La grosse majorité d’entre elles concerne WebKit, le moteur de rendu de Safari (21 CVE). Le reste se répartit entre le noyau, ImageIO, Audio, IOGPUFamily et Telephony. Une des failles les plus sérieuses concerne ImageIO : la CVE-2026-65346 permet d’exécuter du code arbitraire via le traitement d’une image spécialement trafiquée.

macOS Tahoe 26.6.2 corrige de son côté 28 CVE. C’est quasiment le même lot que pour iOS 26.6.1, exception faite de la vulnérabilité liée au composant Telephony. Signe des temps, neuf CVE sont crédités à l’équipe OpenAI Codex Security.

macOS 26.6.1 a été fournie le 6 août, une mise à jour qui elle même intervenait une semaine après macOS 26.6. Elle contient un correctif pour une faille critique dont les détails ont été révélés par le Nationaal Cyber Security Centrum (NCSC), l’équivalent néerlandais du CERT. La faille CVE-2026-65400 touche la fonction de partage d’écran de macOS qui repose sur le port 5900.

Un problème de gestion d’état permettait à un attaquant, sous certaines conditions, d’accéder à distance à un Mac sans posséder les identifiants normalement nécessaires. Le NCSC a indiqué que la vulnérabilité a été exploitée sur plusieurs machines dont le port 5900 était accessible depuis internet ; les pirates avaient obtenu un accès root leur permettant de miner du Monero. La CVE a été publiée le 7 août, et mise à jour le 12 août pour signaler une exploitation active.

Apple a bouché cette faille dans Tahoe (avec macOS 26.6.1, donc), ainsi que macOS Sonoma (macOS 14.8.9) et Séquoia (macOS 15.7.9).

Apple continue de livrer les mises à jour de sécurité à un rythme trépidant. iOS 26.6.1 et macOS Tahoe 26.6.2, disponibles depuis ce lundi 17 août, contiennent ainsi une trentaine de correctifs. Ces mises à jour sont nécessaires : macOS 26.6.1 fournie il y a dix jours corrigeait ainsi une faille critique.

Apple avait prévenu fin juin : la cadence de distribution des mises à jour de sécurité pour ses systèmes d’exploitation allaient s’accélérer. On y est. Depuis quelques semaines, le constructeur bombarde ses utilisateurs de nouvelles versions d’iOS et de macOS, chacune charriant un lot impressionnant de correctifs.

C’est aussi le cas d’iOS 26.6.1 et iPadOS 26.6.1, disponibles depuis hier soir. Apple documente ainsi 29 failles de sécurité corrigées. La grosse majorité d’entre elles concerne WebKit, le moteur de rendu de Safari (21 CVE). Le reste se répartit entre le noyau, ImageIO, Audio, IOGPUFamily et Telephony. Une des failles les plus sérieuses concerne ImageIO : la CVE-2026-65346 permet d’exécuter du code arbitraire via le traitement d’une image spécialement trafiquée.

macOS Tahoe 26.6.2 corrige de son côté 28 CVE. C’est quasiment le même lot que pour iOS 26.6.1, exception faite de la vulnérabilité liée au composant Telephony. Signe des temps, neuf CVE sont crédités à l’équipe OpenAI Codex Security.

macOS 26.6.1 a été fournie le 6 août, une mise à jour qui elle même intervenait une semaine après macOS 26.6. Elle contient un correctif pour une faille critique dont les détails ont été révélés par le Nationaal Cyber Security Centrum (NCSC), l’équivalent néerlandais du CERT. La faille CVE-2026-65400 touche la fonction de partage d’écran de macOS qui repose sur le port 5900.

Un problème de gestion d’état permettait à un attaquant, sous certaines conditions, d’accéder à distance à un Mac sans posséder les identifiants normalement nécessaires. Le NCSC a indiqué que la vulnérabilité a été exploitée sur plusieurs machines dont le port 5900 était accessible depuis internet ; les pirates avaient obtenu un accès root leur permettant de miner du Monero. La CVE a été publiée le 7 août, et mise à jour le 12 août pour signaler une exploitation active.

Apple a bouché cette faille dans Tahoe (avec macOS 26.6.1, donc), ainsi que macOS Sonoma (macOS 14.8.9) et Séquoia (macOS 15.7.9).

Pour vivre heureux, vivons isolés

Apple a envoyé une nouvelle vague de notifications de menace à des utilisateurs potentiellement visés par des logiciels espions mercenaires, dans 110 pays. Le constructeur a aussi revu sa manière de communiquer ces notifications aux victimes.

Fin 2021, Apple portait plainte contre NSO Group, une société israélienne à l’origine de Pegasus, un logiciel d’espionnage qui s’installe discrètement sur iPhone en exploitant des failles de sécurité. Dans la foulée, le constructeur informatique annonçait la mise en place d’un programme visant à prévenir des utilisateurs que leurs appareils avaient été compromis par ce type de logiciels espions.

Si les poursuites contre NSO ont finalement été abandonnées trois ans plus tard, Apple a continué d’envoyer des « notifications de menace » à des utilisateurs visés par des attaques mercenaires à travers le monde. L’entreprise a ainsi annoncé avoir alerté jeudi 13 août un certain nombre de victimes potentielles de spywares dans 110 pays. Depuis le lancement de ce programme, des notifications ont été envoyées à des utilisateurs dans plus de 150 pays.

Le groupe américain a également revu la manière dont ces notifications s’affichent : elles apparaissent sur l’iPhone de l’utilisateur, sur l’écran de verrouillage ainsi que dans les réglages. Une notification est également envoyée par email aux adresses associées aux comptes Apple de la personne (à partir de cette adresse : threat-notifications@email.apple.com). Enfin, une bannière est présente en haut de la page du compte Apple sur account.apple.com.

Cette notification ne signifie pas que l’appareil a été compromis, mais elle représente une « alerte très fiable » qui doit être prise « très au sérieux », explique Apple dans une nouvelle note d’assistance. Apple recommande vivement de se rapprocher d’équipes spécialisées en sécurité, en donnant l’exemple de l’assistance téléphonique 24/7 de l’ONG Access Now.

Apple suggère aussi d’activer le mode Isolement, qui réduit fortement la surface d’attaque en limitant ou en bloquant certaines fonctions de Messages, FaceTime, de la navigation web, des services Apple ou encore des albums partagés. Souvent, un logiciel espion s’installe après avoir touché un lien dans un message.

Des attaques très rares et très coûteuses

Tout le monde n’est pas concerné par ces attaques. En fait, très peu de personnes sont visées, « souvent des journalistes, des militants, des hommes politiques ou des diplomates », détaille Apple. Ces attaques « coûtent des millions de dollars et se produisent souvent sur une courte durée, ce qui les rend beaucoup plus difficiles à détecter et à empêcher ». Ce coût très élevé limite la portée de ces menaces, ce qui explique pourquoi elles sont « associées à des acteurs étatiques, y compris à des entreprises privées développant des logiciels espions mercenaires pour le compte de ces acteurs, par exemple Pegasus de NSO Group. »

Pour Apple, « le coût extrême, la sophistication et le caractère international des attaques via des logiciels espions mercenaires en font l’une des menaces numériques les plus avancées qui existent actuellement ». Apple ne détaille pas les enquêtes qui aboutissent aux notifications de menace, en revanche, car « cette information pourrait aider les personnes derrière ces logiciels espions mercenaires à adapter leur comportement pour éviter d’être détectés. »

Pour le grand public, Apple rappelle quelques règles simples : mettre à jour ses appareils avec les dernières mises à jour sécurité (très prolifiques actuellement), utiliser la biométrie (Touch ID, Face ID) pour protéger l’accès à un appareil, utiliser l’authentification à deux facteurs, activer la protection en cas de vol de l’appareil, utiliser des passkeys, installer des apps depuis l’App Store (attention, la boutique laisse passer tout et n’importe quoi), et surtout ne pas ouvrir des liens ou des pièces jointes envoyés par des inconnus.

Pour vivre heureux, vivons isolés

Apple a envoyé une nouvelle vague de notifications de menace à des utilisateurs potentiellement visés par des logiciels espions mercenaires, dans 110 pays. Le constructeur a aussi revu sa manière de communiquer ces notifications aux victimes.

Fin 2021, Apple portait plainte contre NSO Group, une société israélienne à l’origine de Pegasus, un logiciel d’espionnage qui s’installe discrètement sur iPhone en exploitant des failles de sécurité. Dans la foulée, le constructeur informatique annonçait la mise en place d’un programme visant à prévenir des utilisateurs que leurs appareils avaient été compromis par ce type de logiciels espions.

Si les poursuites contre NSO ont finalement été abandonnées trois ans plus tard, Apple a continué d’envoyer des « notifications de menace » à des utilisateurs visés par des attaques mercenaires à travers le monde. L’entreprise a ainsi annoncé avoir alerté jeudi 13 août un certain nombre de victimes potentielles de spywares dans 110 pays. Depuis le lancement de ce programme, des notifications ont été envoyées à des utilisateurs dans plus de 150 pays.

Le groupe américain a également revu la manière dont ces notifications s’affichent : elles apparaissent sur l’iPhone de l’utilisateur, sur l’écran de verrouillage ainsi que dans les réglages. Une notification est également envoyée par email aux adresses associées aux comptes Apple de la personne (à partir de cette adresse : threat-notifications@email.apple.com). Enfin, une bannière est présente en haut de la page du compte Apple sur account.apple.com.

Cette notification ne signifie pas que l’appareil a été compromis, mais elle représente une « alerte très fiable » qui doit être prise « très au sérieux », explique Apple dans une nouvelle note d’assistance. Apple recommande vivement de se rapprocher d’équipes spécialisées en sécurité, en donnant l’exemple de l’assistance téléphonique 24/7 de l’ONG Access Now.

Apple suggère aussi d’activer le mode Isolement, qui réduit fortement la surface d’attaque en limitant ou en bloquant certaines fonctions de Messages, FaceTime, de la navigation web, des services Apple ou encore des albums partagés. Souvent, un logiciel espion s’installe après avoir touché un lien dans un message.

Des attaques très rares et très coûteuses

Tout le monde n’est pas concerné par ces attaques. En fait, très peu de personnes sont visées, « souvent des journalistes, des militants, des hommes politiques ou des diplomates », détaille Apple. Ces attaques « coûtent des millions de dollars et se produisent souvent sur une courte durée, ce qui les rend beaucoup plus difficiles à détecter et à empêcher ». Ce coût très élevé limite la portée de ces menaces, ce qui explique pourquoi elles sont « associées à des acteurs étatiques, y compris à des entreprises privées développant des logiciels espions mercenaires pour le compte de ces acteurs, par exemple Pegasus de NSO Group. »

Pour Apple, « le coût extrême, la sophistication et le caractère international des attaques via des logiciels espions mercenaires en font l’une des menaces numériques les plus avancées qui existent actuellement ». Apple ne détaille pas les enquêtes qui aboutissent aux notifications de menace, en revanche, car « cette information pourrait aider les personnes derrière ces logiciels espions mercenaires à adapter leur comportement pour éviter d’être détectés. »

Pour le grand public, Apple rappelle quelques règles simples : mettre à jour ses appareils avec les dernières mises à jour sécurité (très prolifiques actuellement), utiliser la biométrie (Touch ID, Face ID) pour protéger l’accès à un appareil, utiliser l’authentification à deux facteurs, activer la protection en cas de vol de l’appareil, utiliser des passkeys, installer des apps depuis l’App Store (attention, la boutique laisse passer tout et n’importe quoi), et surtout ne pas ouvrir des liens ou des pièces jointes envoyés par des inconnus.