Le système d’exploitation mobile GrapheneOS, connu pour ses positions franches sur la sécurité, fera très probablement l’impasse sur les Pixel 11. La faute, selon les développeurs, à un choix inopportun de Google : l’absence de prise en charge de la Memory Tagging Extension, une fonction de sécurité utilisée abondamment dans le système.
Le 29 août, la fondation GrapheneOS a annoncé sur X, Bluesky et Mastodon qu’elle avait en sa possession un portage partiel de son système sur les Pixel 11 de Google, les derniers smartphones de l’entreprise. La fondation explique que ce portage a été réalisé en une semaine, mais le travail s’était arrêté. Les développeurs ont indiqué être bloqués, faute de support de la Memory Tagging Extension, ou MTE.
Celle-ci est une fonction de marquage de la mémoire proposée par le jeu d’instructions ARM. Elle associe une étiquette aléatoire à chaque zone de mémoire allouée. Si un accès mémoire présente une étiquette qui ne correspond pas, le système détecte une violation. Dans ce cas, selon les choix faits dans le système, le processus est immédiatement interrompu. Cette fonction est utilisée pour bloquer les éventuelles attaques dirigées contre la mémoire, dans l’idée de renforcer l’intégrité du système.
Le cas des Pixel 11
Dans le cas de GrapheneOS, le système s’appuie lourdement sur la MTE. Une position très différente de Google. La firme a intégré la fonction dès la puce Tensor G3 du Pixel en octobre 2023, mais elle s’en sert peu. Sur les Pixel, la MTE n’est en effet utilisée que dans les fonctions de « protection avancée », optionnelles. Il s’agit pour rappel du fameux mode conseillé à certains profils spécifiques (activistes, personnalités politiques, journalistes, etc.) qui élève le niveau général de sécurité en réduisant la surface d’attaque, au prix de certaines fonctions. Ce mode est apparu dans Android 16 en réponse à Apple, qui avait dégainé la première dans ce domaine.
Dans GrapheneOS, l’emploi de la MTE est systémique, aussi bien dans le noyau que dans les processus. Apple possède ici aussi un équivalent, baptisé Memory Integrity Enforcement (MIE), mais l’ajout est plus récent (iPhone 17 et Mac équipés d’une puce M5 au moins). La fondation indique à ce sujet que le MIE d’Apple est une « implémentation de haute qualité de MTE », même si elle n’est pas utilisée par défaut par les applications installées par l’utilisateur, à moins qu’elles aient opté spécifiquement pour cette protection.
Le choix de Google interroge, d’autant que l’entreprise ne s’est pas exprimée publiquement sur le sujet. Les Pixel 11 ont pourtant plusieurs arguments sur la sécurité, dont la puce Titan M3 pour améliorer la protection contre l’extraction de données à l’état verrouillé avant premier déverrouillage. On y trouve aussi une vérification post-quantique du démarrage (basée sur ML-DSA) ou encore un remplacement du sous-système IMS Samsung Shannon par une implémentation AOSP (Android Open Source Project).
Il reste 55% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Plus d'une centaine d'entreprises tech, dont les principaux laboratoires d'IA, viennent de publier une lettre ouverte appelant à une mobilisation mondiale contre les cyberattaques assistées par IA. Une démarche qui tient autant de l'alerte que de l'auto-diagnostic.
Les États-Unis ont annoncé avoir démantelé plusieurs plateformes d’un groupe de pirates qu’ils associent à la Chine. Ces outils ont permis au groupe QTFY d’obfusquer ses attaques contre plusieurs agences fédérales états-uniennes comme la NASA, la Réserve fédérale et même des ministères.
« Parmi les victimes des intrusions informatiques perpétrées par le groupe QTFY figurent l’Agence spatiale américaine (NASA), la Réserve fédérale, le département de l’Énergie, le département de la Justice, le département de la Santé et des Services sociaux, les Instituts nationaux de la santé (NIH) et le Sénat américain », a annoncé tout simplement le département de la Justice (DoJ) des États-Unis dans un communiqué.
Celui-ci qualifie sans détour QTFY comme un groupe de pirates financé par l’État chinois et précise même qu’ils sont employés par l’entreprise Nanjing Xinjiuwei Network Technology basée en Chine.
QTFY avait mis en place une infrastructure permettant de découvrir plus facilement des cibles et de se dissimuler derrière un réseau ORB (Operational Relay Box) pour opérer des attaques. Dans un document [PDF], le FBI et la NSA listent plusieurs activités de QTFY qu’ils ont pu détecter dans cette enquête.
Les deux agences remontent jusqu’à mai 2018 avec un audit de vulnérabilité au sein du département américain de l’Énergie et une « tentative infructueuse d’accès au réseau ». Mais d’autres événements semblent plus problématiques. Ainsi, elles recensent l’exploitation d’une vulnérabilité sur le VPN Pulse Secure du département de la Justice, de la Réserve fédérale et de la NASA en aout 2019.
Les outils de QTFY ont aussi permis l’utilisation, en septembre 2024, de failles zero-day dans l’Appliance Cloud Services de trois laboratoires du département de l’Énergie, du National Institute of Health (NIH) et de la Health Resources and Services Administration, ainsi que d’ « un fabricant américain de dispositifs de sécurité ». Ce dernier n’est pas nommé, mais Ivanti avait émis des bulletins correspondant aux failles exploitées en ce même mois de septembre 2024. Et les attaques ont continué jusqu’en 2026 où les outils de QTFY ont été utilisés pour scanner les systèmes des élections des États-Unis, sans succès selon les deux agences.
Les autorités états-uniennes ont collaboré sur le sujet avec Black Lotus, le laboratoire de cybersécurité de Lumen Technologies. Celui-ci a publié une longue analyse des outils mis en place par QTFY.
Des outils d’automatisation de la création de réseaux d’appareils piratés
Black Lotus explique que QTFY utilisait notamment quatre outils nommés QScan, Fast Labyrinth, QTRouter et QTProxy. Les deux plus importants sont QTrouter et Qscan.
Le premier sert de réseau d’obfuscation et permet donc de masquer l’origine d’une attaque. Black Lotus explique que QTFY a industrialisé la création de réseaux ORB (Operational Relay Box). Les ORB sont semblables à des réseaux de robots (botnets) sauf qu’ils sont décentralisés et ont des couches d’obfuscation plus efficaces. Cette industrialisation, QTFY l’a mise en place en « en exploitant une faille structurelle unique dans les architectures commerciales de contournement d’Internet : l’écosystème réseau chinois « Airport » ».
Selon Black Lotus, ces outils existant seulement en Chine y sont utilisés pour contourner le fameux « Great Firewall ». QTFY les utilise pour avoir une masse de machines de départ importante pour ses réseaux ORB.
Le second outil, Qscan, permet automatiquement de rechercher des appareils IoT cibles partout sur Internet, de les analyser, de les infecter et enfin de les ajouter au réseau de QTrouter.
Comme l’explique le document du FBI et de la NSA, « cela permet aux acteurs affiliés à QTFY de se fondre parmi les utilisateurs légitimes lorsqu’ils ciblent des organisations victimes ». Ce document ajoute que le réseau de QTrouter est composé de routeurs utilisant le logiciel OpenWRT modifié et s’authentifiant auprès de serveurs d’administration pointés par les URL « www.qtproxy[.]xyz » et « securelink.qtproxy[.]xyz ». « Les nœuds de QTRouter comprennent des adresses IP de services de proxy commerciaux (notamment un service de proxy appelé Fastlink), des adresses IP d’Alibaba Cloud et des appareils IoT compromis », ajoutent les deux agences de renseignement.
Elles ajoutent que QTFY a développé et maintenu, avec ces outils, au moins trois plateformes de gestion de botnets et d’appareils IoT corrompus.
La Chine s’offusque des accusations
Interrogée par Reuters, l’ambassade de Chine à Washington a affirmé ne pas être au courant des détails mentionnés dans la déclaration du ministère américain de la Justice et a ajouté que « le gouvernement chinois s’oppose fermement à toutes les formes de cyberattaques et les combat conformément à la loi ».
« Les États-Unis se servent des questions de cybersécurité pour “diffamer ou discréditer la Chine” », a-t-elle ajouté. L’ambassade a affirmé enfin que la Chine « s’oppose à ce que les États-Unis étendent à outrance la notion de sécurité nationale et s’en servent comme prétexte pour imposer des restrictions discriminatoires aux entreprises chinoises, et qu’elle défendra fermement les droits et intérêts légitimes de ces dernières ».
L’entreprise chinoise mise en cause par les autorités américaines, Nanjing Xinjiuwei Network Technology, n’a pas répondu aux demandes de l’agence de presse britannique.
Les États-Unis ont annoncé avoir démantelé plusieurs plateformes d’un groupe de pirates qu’ils associent à la Chine. Ces outils ont permis au groupe QTFY d’obfusquer ses attaques contre plusieurs agences fédérales états-uniennes comme la NASA, la Réserve fédérale et même des ministères.
« Parmi les victimes des intrusions informatiques perpétrées par le groupe QTFY figurent l’Agence spatiale américaine (NASA), la Réserve fédérale, le département de l’Énergie, le département de la Justice, le département de la Santé et des Services sociaux, les Instituts nationaux de la santé (NIH) et le Sénat américain », a annoncé tout simplement le département de la Justice (DoJ) des États-Unis dans un communiqué.
Celui-ci qualifie sans détour QTFY comme un groupe de pirates financé par l’État chinois et précise même qu’ils sont employés par l’entreprise Nanjing Xinjiuwei Network Technology basée en Chine.
QTFY avait mis en place une infrastructure permettant de découvrir plus facilement des cibles et de se dissimuler derrière un réseau ORB (Operational Relay Box) pour opérer des attaques. Dans un document [PDF], le FBI et la NSA listent plusieurs activités de QTFY qu’ils ont pu détecter dans cette enquête.
Les deux agences remontent jusqu’à mai 2018 avec un audit de vulnérabilité au sein du département américain de l’Énergie et une « tentative infructueuse d’accès au réseau ». Mais d’autres événements semblent plus problématiques. Ainsi, elles recensent l’exploitation d’une vulnérabilité sur le VPN Pulse Secure du département de la Justice, de la Réserve fédérale et de la NASA en aout 2019.
Les outils de QTFY ont aussi permis l’utilisation, en septembre 2024, de failles zero-day dans l’Appliance Cloud Services de trois laboratoires du département de l’Énergie, du National Institute of Health (NIH) et de la Health Resources and Services Administration, ainsi que d’ « un fabricant américain de dispositifs de sécurité ». Ce dernier n’est pas nommé, mais Ivanti avait émis des bulletins correspondant aux failles exploitées en ce même mois de septembre 2024. Et les attaques ont continué jusqu’en 2026 où les outils de QTFY ont été utilisés pour scanner les systèmes des élections des États-Unis, sans succès selon les deux agences.
Les autorités états-uniennes ont collaboré sur le sujet avec Black Lotus, le laboratoire de cybersécurité de Lumen Technologies. Celui-ci a publié une longue analyse des outils mis en place par QTFY.
Des outils d’automatisation de la création de réseaux d’appareils piratés
Black Lotus explique que QTFY utilisait notamment quatre outils nommés QScan, Fast Labyrinth, QTRouter et QTProxy. Les deux plus importants sont QTrouter et Qscan.
Le premier sert de réseau d’obfuscation et permet donc de masquer l’origine d’une attaque. Black Lotus explique que QTFY a industrialisé la création de réseaux ORB (Operational Relay Box). Les ORB sont semblables à des réseaux de robots (botnets) sauf qu’ils sont décentralisés et ont des couches d’obfuscation plus efficaces. Cette industrialisation, QTFY l’a mise en place en « en exploitant une faille structurelle unique dans les architectures commerciales de contournement d’Internet : l’écosystème réseau chinois « Airport » ».
Selon Black Lotus, ces outils existant seulement en Chine y sont utilisés pour contourner le fameux « Great Firewall ». QTFY les utilise pour avoir une masse de machines de départ importante pour ses réseaux ORB.
Le second outil, Qscan, permet automatiquement de rechercher des appareils IoT cibles partout sur Internet, de les analyser, de les infecter et enfin de les ajouter au réseau de QTrouter.
Comme l’explique le document du FBI et de la NSA, « cela permet aux acteurs affiliés à QTFY de se fondre parmi les utilisateurs légitimes lorsqu’ils ciblent des organisations victimes ». Ce document ajoute que le réseau de QTrouter est composé de routeurs utilisant le logiciel OpenWRT modifié et s’authentifiant auprès de serveurs d’administration pointés par les URL « www.qtproxy[.]xyz » et « securelink.qtproxy[.]xyz ». « Les nœuds de QTRouter comprennent des adresses IP de services de proxy commerciaux (notamment un service de proxy appelé Fastlink), des adresses IP d’Alibaba Cloud et des appareils IoT compromis », ajoutent les deux agences de renseignement.
Elles ajoutent que QTFY a développé et maintenu, avec ces outils, au moins trois plateformes de gestion de botnets et d’appareils IoT corrompus.
La Chine s’offusque des accusations
Interrogée par Reuters, l’ambassade de Chine à Washington a affirmé ne pas être au courant des détails mentionnés dans la déclaration du ministère américain de la Justice et a ajouté que « le gouvernement chinois s’oppose fermement à toutes les formes de cyberattaques et les combat conformément à la loi ».
« Les États-Unis se servent des questions de cybersécurité pour “diffamer ou discréditer la Chine” », a-t-elle ajouté. L’ambassade a affirmé enfin que la Chine « s’oppose à ce que les États-Unis étendent à outrance la notion de sécurité nationale et s’en servent comme prétexte pour imposer des restrictions discriminatoires aux entreprises chinoises, et qu’elle défendra fermement les droits et intérêts légitimes de ces dernières ».
L’entreprise chinoise mise en cause par les autorités américaines, Nanjing Xinjiuwei Network Technology, n’a pas répondu aux demandes de l’agence de presse britannique.
Ring veut renforcer la confidentialité de ses sonnettes et caméras connectées, sans sacrifier pour autant toutes ses fonctions de traitement infonuagique des images. La filiale d’Amazon va déployer TAKE, un nouveau chiffrement par défaut qui limite l’accès de ses serveurs aux clés vidéo. Un exercice d’équilibriste délicat pour une entreprise régulièrement sous le feu des critiques sur le terrain de la vie privée.
Les utilisateurs des sonnettes Ring auront très bientôt le choix entre le chiffrement de bout en bout (E2EE) pour leurs vidéos et un chiffrement moins radical mais plus sécurisé que le modèle par défaut qui existe aujourd’hui. TAKE, pour « Throw Away the Key Encryption », sera le chiffrement par défaut pour tous les clients Ring dans le monde. Le déploiement débutera en septembre.
Un cloud qui verrouille
Actuellement, Ring procède au chiffrement des vidéos au repos et en transit : les données sont protégées contre l’interception réseau et l’accès direct au stockage, mais ce n’est pas au niveau du chiffrement de bout en bout. Ring peut ainsi toujours disposer des clés de déchiffrement pour le traitement de certaines vidéos.
Image : Ring
Depuis 2021, la filiale d’Amazon propose également, en option, le chiffrement E2EE. Dans ce cas, Ring ne peut pas accéder aux vidéos captées par les sonnettes et stockées sur ses serveurs ; seul l’utilisateur est en mesure de consulter ces vidéos. C’est une protection à double tour qui a l’inconvénient de bloquer des fonctions comme la recherche vidéo et leur description, l’accès vidéo sur le site web de Ring, la chronologie des événements, la fonction de visages familiers, ou encore le partage des appareils avec d’autres utilisateurs.
Ring tente donc un entre-deux avec TAKE. Comme avec le chiffrement E2EE, les vidéos sont chiffrées avec des clés qui changent régulièrement ; la grosse différence ici, c’est que Ring conserve temporairement une copie des clés, déverrouillée et gérée dans une enclave sécurisée (AWS Nitro Enclaves). L’accès à ces clés n’est possible que lorsque l’utilisateur a besoin de telle ou telle fonction. Après leur utilisation, la copie des clés est détruite au bout de 24 heures (« Throw Away the Key Encryption », donc).
Quand un traitement cloud est nécessaire sur une ancienne vidéo, l’app Ring peut renvoyer temporairement les clés au service en ligne, uniquement sur ordre de l’utilisateur. Ring ne peut pas récupérer ces clés de sa propre initiative. Amazon tente une analogie pour expliquer simplement le nouveau protocole :
« Imaginez des clés de maison. L’entreprise qui a fabriqué votre serrure ne garde pas de double de la clé. Vous pouvez confier un double à un proche ou à un membre de votre famille en qui vous avez entièrement confiance. Et si un artisan doit réparer votre évier, vous lui prêtez une clé seulement le temps nécessaire pour faire le travail, puis vous la récupérez. TAKE fonctionne de la même manière : vous détenez la clé principale de vos vidéos, et c’est vous qui décidez qui peut accéder à un double, et dans quel but. Vous gardez le contrôle de vos clés et de vos vidéos ; c’est aussi simple que cela. »
Deux chiffrements, une même base
Le livre blanc publié par Ring donne des éléments techniques d’explication (PDF). TAKE et E2EE reposent sur la même base cryptographique, le protocole MLS (Messaging Layer Security), conçu pour gérer le chiffrement au sein d’un groupe d’appareils.
Un groupe MLS est attaché à chaque caméra Ring, qui réunit les appareils autorisés à lire les vidéos de ce groupe. Un appareil ajouté ou retiré de ce groupe le fait basculer dans une nouvelle « époque » cryptographique avec de nouvelles clés, ce qui empêche un ancien appareil de déchiffrer les futures vidéos.
Image : Ring
La différence principale entre TAKE et E2EE tient surtout à la composition du groupe. Ring ajoute un « membre cloud » au groupe MLS de la caméra, ce qui lui permet d’obtenir temporairement les clés nécessaires aux fonctions dans le nuage, comme l’analyse vidéo et certains traitements (avec des limites, comme la fenêtre de 24 heures). En mode E2EE, les clés restent uniquement côté client sur les appareils autorisés de l’utilisateur. Ring peut toujours stocker et transmettre les vidéos chiffrées, mais il ne pourra pas les déchiffrer.
Les utilisateurs Ring conservent la possibilité d’activer le chiffrement de bout en bout s’ils le souhaitent. Le fabricant marche sur des œufs, il a été au cœur de plusieurs controverses ces derniers temps. En février par exemple, il a dû annuler un partenariat avec Flock Safety, une société actuellement en pleine tempête pour ses technologies de surveillance.
En juin, Amazon faisait l’objet d’une plainte aux États-Unis liée à la fonction Visages familiers de Ring. Le plaignant, qui cherche à obtenir le statut de recours collectif, affirme que la fonction conserve les images de passants sans leur consentement.
Ring veut renforcer la confidentialité de ses sonnettes et caméras connectées, sans sacrifier pour autant toutes ses fonctions de traitement infonuagique des images. La filiale d’Amazon va déployer TAKE, un nouveau chiffrement par défaut qui limite l’accès de ses serveurs aux clés vidéo. Un exercice d’équilibriste délicat pour une entreprise régulièrement sous le feu des critiques sur le terrain de la vie privée.
Les utilisateurs des sonnettes Ring auront très bientôt le choix entre le chiffrement de bout en bout (E2EE) pour leurs vidéos et un chiffrement moins radical mais plus sécurisé que le modèle par défaut qui existe aujourd’hui. TAKE, pour « Throw Away the Key Encryption », sera le chiffrement par défaut pour tous les clients Ring dans le monde. Le déploiement débutera en septembre.
Un cloud qui verrouille
Actuellement, Ring procède au chiffrement des vidéos au repos et en transit : les données sont protégées contre l’interception réseau et l’accès direct au stockage, mais ce n’est pas au niveau du chiffrement de bout en bout. Ring peut ainsi toujours disposer des clés de déchiffrement pour le traitement de certaines vidéos.
Image : Ring
Depuis 2021, la filiale d’Amazon propose également, en option, le chiffrement E2EE. Dans ce cas, Ring ne peut pas accéder aux vidéos captées par les sonnettes et stockées sur ses serveurs ; seul l’utilisateur est en mesure de consulter ces vidéos. C’est une protection à double tour qui a l’inconvénient de bloquer des fonctions comme la recherche vidéo et leur description, l’accès vidéo sur le site web de Ring, la chronologie des événements, la fonction de visages familiers, ou encore le partage des appareils avec d’autres utilisateurs.
Ring tente donc un entre-deux avec TAKE. Comme avec le chiffrement E2EE, les vidéos sont chiffrées avec des clés qui changent régulièrement ; la grosse différence ici, c’est que Ring conserve temporairement une copie des clés, déverrouillée et gérée dans une enclave sécurisée (AWS Nitro Enclaves). L’accès à ces clés n’est possible que lorsque l’utilisateur a besoin de telle ou telle fonction. Après leur utilisation, la copie des clés est détruite au bout de 24 heures (« Throw Away the Key Encryption », donc).
Quand un traitement cloud est nécessaire sur une ancienne vidéo, l’app Ring peut renvoyer temporairement les clés au service en ligne, uniquement sur ordre de l’utilisateur. Ring ne peut pas récupérer ces clés de sa propre initiative. Amazon tente une analogie pour expliquer simplement le nouveau protocole :
« Imaginez des clés de maison. L’entreprise qui a fabriqué votre serrure ne garde pas de double de la clé. Vous pouvez confier un double à un proche ou à un membre de votre famille en qui vous avez entièrement confiance. Et si un artisan doit réparer votre évier, vous lui prêtez une clé seulement le temps nécessaire pour faire le travail, puis vous la récupérez. TAKE fonctionne de la même manière : vous détenez la clé principale de vos vidéos, et c’est vous qui décidez qui peut accéder à un double, et dans quel but. Vous gardez le contrôle de vos clés et de vos vidéos ; c’est aussi simple que cela. »
Deux chiffrements, une même base
Le livre blanc publié par Ring donne des éléments techniques d’explication (PDF). TAKE et E2EE reposent sur la même base cryptographique, le protocole MLS (Messaging Layer Security), conçu pour gérer le chiffrement au sein d’un groupe d’appareils.
Un groupe MLS est attaché à chaque caméra Ring, qui réunit les appareils autorisés à lire les vidéos de ce groupe. Un appareil ajouté ou retiré de ce groupe le fait basculer dans une nouvelle « époque » cryptographique avec de nouvelles clés, ce qui empêche un ancien appareil de déchiffrer les futures vidéos.
Image : Ring
La différence principale entre TAKE et E2EE tient surtout à la composition du groupe. Ring ajoute un « membre cloud » au groupe MLS de la caméra, ce qui lui permet d’obtenir temporairement les clés nécessaires aux fonctions dans le nuage, comme l’analyse vidéo et certains traitements (avec des limites, comme la fenêtre de 24 heures). En mode E2EE, les clés restent uniquement côté client sur les appareils autorisés de l’utilisateur. Ring peut toujours stocker et transmettre les vidéos chiffrées, mais il ne pourra pas les déchiffrer.
Les utilisateurs Ring conservent la possibilité d’activer le chiffrement de bout en bout s’ils le souhaitent. Le fabricant marche sur des œufs, il a été au cœur de plusieurs controverses ces derniers temps. En février par exemple, il a dû annuler un partenariat avec Flock Safety, une société actuellement en pleine tempête pour ses technologies de surveillance.
En juin, Amazon faisait l’objet d’une plainte aux États-Unis liée à la fonction Visages familiers de Ring. Le plaignant, qui cherche à obtenir le statut de recours collectif, affirme que la fonction conserve les images de passants sans leur consentement.
WhatsApp renforce la protection de ses utilisateurs avec plusieurs nouveautés : clés d'accès multiples, vérification en deux étapes plus robuste, et davantage de contexte sur les appels inconnus.
La mutuelle Solimut, qui revendique 535 000 adhérents, a indiqué lundi avoir identifié « une cyberattaque ayant entrainé une violation de données personnelles en début de journée ce dimanche 23 août 2026 ». Sur son site, elle indique que ses équipes ont rapidement mis un terme à l’intrusion, et s’attellent désormais à « inventorier de façon précise le périmètre touché ».
Solimut affirme par ailleurs avoir déjà notifié la cyberattaque auprès de l’Autorité de contrôle prudentiel et de résolution (ACPR), et se préparer à en faire de même auprès de la CNIL « dans les délais attendus ». Elle promet par ailleurs qu’une communication plus précise sera adressée à ses adhérents une fois les investigations menées à leur terme. En attendant, elle invite « les adhérentes et les adhérents à être prudents dans les prochains jours sur les sollicitations qu’ils pourraient recevoir en cas de prises de contact par mail ou par téléphone d’entités externes à la mutuelle ».
L’avertissement prend la forme d’une annonce affichée en popup sur le site de Solimut – capture d’écran Next
Ce message fait suite à la publication, samedi 22 août, d’une annonce proposant à la vente un jeu de données extrait des systèmes de Solimut. D’après cette revendication, le lot répertorierait des informations relatives à 1,2 million d’assurés, dont plus d’un million de bulletins de salaire et quelque 770 000 comptes bancaires.
Le compte X qui se revendique du pseudonyme ZeroBytes, impliqué dans le récent trio d’attaques sur les systèmes de la DGFiP, a publiquement interpellé Solimut dimanche 23 août, évoquant une injection SQL ayant « permis l’extraction de 4 401 062 lignes, dont 779 750 IBAN et 1 366 638 NIR ».
La mutuelle Solimut, qui revendique 535 000 adhérents, a indiqué lundi avoir identifié « une cyberattaque ayant entrainé une violation de données personnelles en début de journée ce dimanche 23 août 2026 ». Sur son site, elle indique que ses équipes ont rapidement mis un terme à l’intrusion, et s’attellent désormais à « inventorier de façon précise le périmètre touché ».
Solimut affirme par ailleurs avoir déjà notifié la cyberattaque auprès de l’Autorité de contrôle prudentiel et de résolution (ACPR), et se préparer à en faire de même auprès de la CNIL « dans les délais attendus ». Elle promet par ailleurs qu’une communication plus précise sera adressée à ses adhérents une fois les investigations menées à leur terme. En attendant, elle invite « les adhérentes et les adhérents à être prudents dans les prochains jours sur les sollicitations qu’ils pourraient recevoir en cas de prises de contact par mail ou par téléphone d’entités externes à la mutuelle ».
L’avertissement prend la forme d’une annonce affichée en popup sur le site de Solimut – capture d’écran Next
Ce message fait suite à la publication, samedi 22 août, d’une annonce proposant à la vente un jeu de données extrait des systèmes de Solimut. D’après cette revendication, le lot répertorierait des informations relatives à 1,2 million d’assurés, dont plus d’un million de bulletins de salaire et quelque 770 000 comptes bancaires.
Le compte X qui se revendique du pseudonyme ZeroBytes, impliqué dans le récent trio d’attaques sur les systèmes de la DGFiP, a publiquement interpellé Solimut dimanche 23 août, évoquant une injection SQL ayant « permis l’extraction de 4 401 062 lignes, dont 779 750 IBAN et 1 366 638 NIR ».
On a quand même atteint un niveau record de "Plus rien à foutre des fuites" et surtout "Plus aucune sanction vu que la CNIL a Aquaponey, alors pourquoi se faire chier ?"
Et ça jusqu'aux plus hauts services de l'état (Les impôts, l'ANTS, l'éducation nationale...)
Vous vous souvenez de l'«obligation de sécuriser votre connexion Wifi» sinon HADOPI vous tapait sur les doigts ? hahahaha... (Permalink)
Ils ne savaient pas que c'était possible, alors ils l'ont fait
L’enquête de l’Office anticybercriminalité (OFAC) sur le piratage de fichiers du ministère de l’Intérieur révèle qu’il a commencé par la compromission de l’ordinateur personnel d’un fonctionnaire du ministère de… l’Agriculture. Le ou les auteurs de l’intrusion ont ensuite passé deux mois et demi à farfouiller leurs systèmes respectifs, parvenant à franchir près d’une dizaine de lignes de défense en profondeur, avant de réussir à exfiltrer 96 fichiers policiers… auxquels ils n’auraient initialement jamais pensé pouvoir accéder.
Fin décembre, Le Canard enchaîné révélait que le « fric-frac informatique du ministère de l’Intérieur » avait duré du dimanche 9 novembre au jeudi 4 décembre, soit 26 jours, « une très longue journée portes ouvertes ». « C’est la consultation compulsive – le week-end et la nuit – de ce listing ultra-sensible qui a déclenché l’alerte », soulignait le caneton.
D’après un bilan du ministère de l’Intérieur, que le Canard avait pu consulter, « les dégâts sont bien plus importants qu’annoncé : 37 serveurs de messagerie sur 250 ont été compromis, et 14 fichiers de police ont été visités, dont celui des personnes recherchées, qui contient notamment les fichés S ».
Il expliquait que l’intrusion aurait été facilitée du fait que « nombre de poulets se tamponnent le coquillard de la sécurité informatique ». Pour se connecter au système de Circulation Hiérarchisée des Enregistrements Opérationnels de la Police Sécurisés (CHEOPS), le portail permettant d’accéder aux fichiers de la police et de la gendarmerie, il faut normalement utiliser sa carte professionnelle, dotée d’une puce, ainsi qu’un code à quatre chiffres.
Or, « les poulets, moins disciplinés que les pandores, utilisent à tort et à travers un système de secours sans carte, reposant sur le seul identifiant et un code à six chiffres », qu’un policier aurait partagé en clair dans un e-mail auquel le pirate avait pu accéder.
Un cleptogiciel commercialisé entre 300 et 500 $ par mois
L’enquête de l’Office anticybercriminalité (OFAC) de la police judiciaire, que Le Monde a pu consulter, révèle une intrusion autrement plus complexe qui, à défaut d’être particulièrement sophistiquée, montre que les pirates ont passé deux mois et demi à errer dans un labyrinthe de systèmes informatiques interconnectés, et dû franchir de nombreuses défenses en profondeur avant de pouvoir parvenir aux fichiers qu’ils avaient exfiltrés.
La compromission du ministère de l’Intérieur remonte en réalité à un fonctionnaire du ministère de l’Agriculture, surnommé « patient zéro de l’attaque » par les enquêteurs. Dans la soirée du 19 septembre 2025, l’intéressé consulta sa boîte mail professionnelle, depuis son domicile dijonnais, sur son ordinateur personnel.
L’article du Monde laisse entendre qu’il aurait alors cliqué sur un lien adressé à son e-mail professionnel, le conduisant « sur un faux site proposant le téléchargement de logiciels d’édition musicale ». L’article ne précise pas s’il en avait téléchargé un ou s’il s’était contenté de visiter le site, reste que son ordinateur personnel fut contaminé par l’ « infostealer » (« cleptogiciel » en français) Rhadamanthys.
Le journaliste Valéry Rieß-Marchive, rédacteur en chef du MagIT, et l’un des meilleurs observateurs français des arcanes de ce type de cyberattaques, relève sur LinkedIn et sur X que la mention du nom du cleptogiciel utilisé est « rare et ce n’est pas anodin » : le détournement de comptes légitimes suite au passage de tels infostealers, « c’est classique. L’établir est plus rare. Beaucoup plus rare. »
Il émet l’hypothèse selon laquelle cette mention serait potentiellement liée au fait qu’Europol avait annoncé le démantèlement de l’infrastructure de Rhadamanthys, en novembre dernier, dans le cadre d’Endgame, une opération de grande envergure visant à démanteler les botnets et infrastructures criminelles qui y sont associées.
Valéry Rieß-Marchive précisait dans l’article qu’il y avait alors consacré que Rhadamanthys « était proposé avec de multiples plugins et commercialisé entre 300 et 500 $ par mois, payables en cryptopépettes ». À défaut de savoir si les auteurs du piratage du ministère de l’Intérieur étaient eux-mêmes clients de Rhadamanthys, ou s’ils avaient acheté à l’un de ses utilisateurs et/ou revendeurs les données liées au « patient zéro de l’attaque », cette dernière reposait donc aussi sur toute une chaîne logistique, en matière de cyberdélinquance, allant bien au-delà d’un simple piratage de login et mot de passe.
« Une faille sur un outil interne accessible depuis un simple navigateur web »
L’article du Monde ne précise pas si les antivirus et autres systèmes de sécurité du ministère de l’Agriculture auraient pu bloquer l’installation de cet infostealer sur l’ordinateur professionnel du fonctionnaire, mais il est loisible de le penser.
« Quand l’ordinateur personnel d’un collaborateur devient le vecteur d’attaque, le rebond vers le réseau professionnel est désormais quasi immédiat », remarque de son côté Henri d’Agrain, délégué général du Cigref (ex-club informatique des grandes entreprises françaises), en réponse à Valéry Rieß-Marchive.
Le cleptogiciel a ensuite permis aux pirates d’accéder au Google Drive du « patient zéro de l’attaque », où il avait stocké son certificat d’authentification au VPN du ministère, ce qui, là aussi, n’aurait pas dû se produire : une chose est de pouvoir accéder à son email professionnel depuis son ordinateur personnel, une autre est de stocker dans un espace personnel un certificat de sécurité professionnel.
Disposant de « droits particulièrement élevés » en raison de ses fonctions, l’accès au compte du fonctionnaire permit aux pirates de naviguer « durant des semaines » sur les réseaux du ministère de l’Agriculture, et d’y découvrir, le 9 novembre, « une passerelle informatique menant jusqu’aux réseaux du ministère de l’Intérieur ».
Ils y évoluèrent ensuite « durant presque un mois », afin de « se familiariser avec l’architecture des systèmes informatiques du ministère, en particulier des serveurs de la direction générale de la police nationale », avant que leurs consultations compulsives de fichiers, le soir et la nuit, ne soient détectées par le centre de cyberdéfense de Beauvau.
Ils avaient pour cela dû passer outre deux nouvelles « défenses en profondeur ». D’abord en identifiant « une faille sur un outil interne accessible depuis un simple navigateur web », qui permit aux pirates de « prendre possession de comptes de gestionnaires e-mail de différentes directions interrégionales de la police », puis d’ « activer la réinitialisation des mots de passe d’agents du ministère, en particulier d’enquêteurs de police ».
La consultation des messageries piratées leur permit, dans un second temps, de trouver dans des pièces jointes des certificats d’authentification permettant de se connecter au VPN du ministère de l’Intérieur, « avec les mots de passe associés dans le corps de texte ».
C’est uniquement à ce stade, et donc après avoir franchi au moins huit niveaux de défenses en profondeur que, « grâce aux données dérobées, les intrus pénètrent sur le très sensible portail CHEOPS, la boîte à outils des policiers et gendarmes », résume Le Monde.
Dans un précédent article, nous relevions que les pirates avaient certes partagé une capture d’écran du portail d’accès à CHEOPS, mais sans que l’on sache s’ils y avaient réellement pu y accéder, soit via une carte professionnelle compromise, soit par identifiant/mot de passe.
Les pirates ciblent la France (ou le font croire) pour se venger
L’article du Monde rapporte que les pirates accédèrent ensuite au fichier des personnes recherchées (FPR) ainsi qu’au traitement des antécédents judiciaires (TAJ), « sans avoir besoin de carte professionnelle sécurisée », mais sans non plus que l’on sache, comme l’avançait Le Canard Enchaîné, s’ils seraient passés par « un système de secours sans carte, reposant sur le seul identifiant et un code à six chiffres ». Reste qu’ils n’en avaient pas moins franchi un neuvième palier.
L’intrusion, signalée le 5 décembre, sera suivie le 17 décembre par l’interpellation d’un suspect de 23 ans, qui « a répété qu’il n’était pas l’auteur du piratage, expliquant avoir seulement fourni le serveur ayant permis aux véritables hackeurs, toujours dans la nature, d’agir », précise Le Monde, « mais à la demande des auteurs du piratage, qui auraient exercé sur lui des pressions », et dont il ne connaîtrait que les pseudonymes.
S’il se définit comme « autodidacte » en informatique, il avait déjà été condamné en 2025 à un an de prison avec sursis dans une affaire de cyberescroquerie, et est en attente de procès dans un dossier de « swatting », « deux affaires pour lesquelles il est suspecté d’avoir fourni les moyens techniques à des complices », écrit Le Monde.
Les pirates se seraient plus particulièrement intéressés, via le FPR, à trois profils de jeunes majeurs, « dont l’un est recherché par la brigade de lutte contre la cybercriminalité de la Préfecture de police de Paris », souligne Le Monde. Ils ont également recherché des noms, prénoms et pseudonymes dans le TAJ, « dont ceux, là encore, d’un jeune homme connu pour son implication dans une affaire d’atteintes à un système automatisé de traitement de données ».
Selon les chiffres fournis par le ministre de l’Intérieur lors de son audition par la commission des lois du Sénat en janvier, rappelle Le Monde, le ou les assaillants ont exfiltré 23 fiches et 3 000 « éléments de sommaires » (sortes de résumé, émanant du FPR), 72 fiches, plusieurs dizaines de milliers de sommaires provenant du TAJ, ainsi qu’une fiche Interpol.
Le rapport de l’OFAC révèle également que les pirates « sont également parvenus à consulter le contenu de plusieurs procédures judiciaires en cours », sans que Le Monde précise là non plus s’ils auraient pour cela franchi une dixième ligne de défense en profondeur, ou s’ils y avaient eu accès via l’un des comptes compromis, sinon que plusieurs de ces procédures judiciaires portaient elles-mêmes sur des enquêtes cyber :
« Au moins trois d’entre elles portent sur des faits de cybercriminalité et sont diligentées par les services de police de l’Office anti-cybercriminalité, en charge du piratage de l’intérieur, et de la brigade de lutte contre la cybercriminalité de la Préfecture de police, dont l’une a été ouverte en 2025. »
« Les suspects ont-ils voulu se renseigner sur des investigations les visant ou visant leur communauté ? » s’interroge Le Monde, qui souligne que « pour l’heure, la piste privilégiée est que l’attaque constituait une opération de représailles à l’arrestation, en juin 2025, de membres présumés du groupe cybercriminel ShinyHunters ».
Dans le portrait-type que nous consacrions aux pirates auteurs d’attaques de ce type interpellés par les autorités ces derniers mois, nous rappelions que dans son rapport annuel sur la cybercriminalité, le commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI) soulignait en effet que l’interpellation de plusieurs Français, à la demande du FBI ou par les autorités françaises, membres présumés du groupe de pirates ShinyHunters, aurait incité plusieurs pirates à s’attaquer aux institutions, administrations, organisations, fédérations, associations et entreprises françaises, pour se venger.
Ce qui explique aussi, en partie, la succession de piratages improprement qualifiés de « fuites de données » auxquels nous assistons depuis l’an passé. L’enquête de l’OFAC révèle enfin qu’il s’agirait également d’une cyberattaque opportuniste, et que ses auteurs ne cherchaient pas, initialement, à s’attaquer au ministère de l’Intérieur, et encore moins à pouvoir en extraire des fichiers policiers.
Ils ne savaient pas que c'était possible, alors ils l'ont fait
L’enquête de l’Office anticybercriminalité (OFAC) sur le piratage de fichiers du ministère de l’Intérieur révèle qu’il a commencé par la compromission de l’ordinateur personnel d’un fonctionnaire du ministère de… l’Agriculture. Le ou les auteurs de l’intrusion ont ensuite passé deux mois et demi à farfouiller leurs systèmes respectifs, parvenant à franchir près d’une dizaine de lignes de défense en profondeur, avant de réussir à exfiltrer 96 fichiers policiers… auxquels ils n’auraient initialement jamais pensé pouvoir accéder.
Fin décembre, Le Canard enchaîné révélait que le « fric-frac informatique du ministère de l’Intérieur » avait duré du dimanche 9 novembre au jeudi 4 décembre, soit 26 jours, « une très longue journée portes ouvertes ». « C’est la consultation compulsive – le week-end et la nuit – de ce listing ultra-sensible qui a déclenché l’alerte », soulignait le caneton.
D’après un bilan du ministère de l’Intérieur, que le Canard avait pu consulter, « les dégâts sont bien plus importants qu’annoncé : 37 serveurs de messagerie sur 250 ont été compromis, et 14 fichiers de police ont été visités, dont celui des personnes recherchées, qui contient notamment les fichés S ».
Il expliquait que l’intrusion aurait été facilitée du fait que « nombre de poulets se tamponnent le coquillard de la sécurité informatique ». Pour se connecter au système de Circulation Hiérarchisée des Enregistrements Opérationnels de la Police Sécurisés (CHEOPS), le portail permettant d’accéder aux fichiers de la police et de la gendarmerie, il faut normalement utiliser sa carte professionnelle, dotée d’une puce, ainsi qu’un code à quatre chiffres.
Or, « les poulets, moins disciplinés que les pandores, utilisent à tort et à travers un système de secours sans carte, reposant sur le seul identifiant et un code à six chiffres », qu’un policier aurait partagé en clair dans un e-mail auquel le pirate avait pu accéder.
Un cleptogiciel commercialisé entre 300 et 500 $ par mois
L’enquête de l’Office anticybercriminalité (OFAC) de la police judiciaire, que Le Monde a pu consulter, révèle une intrusion autrement plus complexe qui, à défaut d’être particulièrement sophistiquée, montre que les pirates ont passé deux mois et demi à errer dans un labyrinthe de systèmes informatiques interconnectés, et dû franchir de nombreuses défenses en profondeur avant de pouvoir parvenir aux fichiers qu’ils avaient exfiltrés.
La compromission du ministère de l’Intérieur remonte en réalité à un fonctionnaire du ministère de l’Agriculture, surnommé « patient zéro de l’attaque » par les enquêteurs. Dans la soirée du 19 septembre 2025, l’intéressé consulta sa boîte mail professionnelle, depuis son domicile dijonnais, sur son ordinateur personnel.
L’article du Monde laisse entendre qu’il aurait alors cliqué sur un lien adressé à son e-mail professionnel, le conduisant « sur un faux site proposant le téléchargement de logiciels d’édition musicale ». L’article ne précise pas s’il en avait téléchargé un ou s’il s’était contenté de visiter le site, reste que son ordinateur personnel fut contaminé par l’ « infostealer » (« cleptogiciel » en français) Rhadamanthys.
Le journaliste Valéry Rieß-Marchive, rédacteur en chef du MagIT, et l’un des meilleurs observateurs français des arcanes de ce type de cyberattaques, relève sur LinkedIn et sur X que la mention du nom du cleptogiciel utilisé est « rare et ce n’est pas anodin » : le détournement de comptes légitimes suite au passage de tels infostealers, « c’est classique. L’établir est plus rare. Beaucoup plus rare. »
Il émet l’hypothèse selon laquelle cette mention serait potentiellement liée au fait qu’Europol avait annoncé le démantèlement de l’infrastructure de Rhadamanthys, en novembre dernier, dans le cadre d’Endgame, une opération de grande envergure visant à démanteler les botnets et infrastructures criminelles qui y sont associées.
Valéry Rieß-Marchive précisait dans l’article qu’il y avait alors consacré que Rhadamanthys « était proposé avec de multiples plugins et commercialisé entre 300 et 500 $ par mois, payables en cryptopépettes ». À défaut de savoir si les auteurs du piratage du ministère de l’Intérieur étaient eux-mêmes clients de Rhadamanthys, ou s’ils avaient acheté à l’un de ses utilisateurs et/ou revendeurs les données liées au « patient zéro de l’attaque », cette dernière reposait donc aussi sur toute une chaîne logistique, en matière de cyberdélinquance, allant bien au-delà d’un simple piratage de login et mot de passe.
« Une faille sur un outil interne accessible depuis un simple navigateur web »
L’article du Monde ne précise pas si les antivirus et autres systèmes de sécurité du ministère de l’Agriculture auraient pu bloquer l’installation de cet infostealer sur l’ordinateur professionnel du fonctionnaire, mais il est loisible de le penser.
« Quand l’ordinateur personnel d’un collaborateur devient le vecteur d’attaque, le rebond vers le réseau professionnel est désormais quasi immédiat », remarque de son côté Henri d’Agrain, délégué général du Cigref (ex-club informatique des grandes entreprises françaises), en réponse à Valéry Rieß-Marchive.
Il reste 53% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
L’équipe Rust a signalé jeudi une attaque visant un crate très populaire, arrayref. Elle a permis, pendant un peu plus d’une heure, de distribuer des composants vérolés vraisemblablement destinés à la récupération de mots de passe sur les machines des utilisateurs finaux. L’incident, rapidement contenu, s’inscrit dans une longue liste d’attaques visant la chaîne d’approvisionnement.
L’équipe en charge de la maintenance du langage Rust et de ses composants a alerté jeudi 20 août d’une attaque visant arrayref, un crate (l’unité de compilation de base, qui se présente soit sous forme de binaires, soit comme une bibliothèque) très courant.
Pour ce faire, les auteurs ont réussi à publier sur crates.io, le registre de paquets Rust, un composant baptisé proc-macro1. Il contenait un build script (code qui s’exécute à la compilation) ayant pour objet de déclencher le téléchargement d’une charge malveillante de type infostealer (vol de données).
Une charge calculée pour extraire des données
Pour favoriser la diffusion de leur attaque (dont le nom est une forme de typosquatting d’un autre crate légitime, proc-macro2), les attaquants ont réussi à modifier le crate arrayref pour que leur charge soit appelée lors de l’utilisation de ce dernier. Ils ont également piégé de la même façon d’autres composants courants (internment, append-only-vec).
D’après l’équipe Rust, la fenêtre de diffusion s’est heureusement révélée limitée, suite à une alerte rapidement formulée par les chercheurs de Nextron Systems. Elle estime ainsi que les composants vérolés sont restés en ligne entre 90 et 107 minutes : un laps de temps trop court pour permettre une propagation à grande échelle, mais tout de même suffisamment long pour que des développeurs aient pu être touchés.
« Nous vous recommandons de vérifier vos dépendances locales pour vous assurer que ces crates n’ont pas été téléchargées », déclare ainsi l’équipe Rust, qui invite à vérifier le contenu du dossier ~/.cargo/registry/cache pour y débusquer les éventuelles versions vérolées.
Deux chercheurs de l’entreprise de cybersécurité Wiz (passée aux mains de Google en mars 2026) ont détaillé le contenu exact de la charge malveillante. Lancée donc dès la compilation, elle a vocation à reconstruire une URL de destination pour l’envoi de données volées, désactiver la validation d’un certificat TLS et ainsi autoriser le contrôle et commande à distance (C2).
Elle télécharge ensuite un composant spécifique à l’OS et à l’architecture de la machine et lance ce dernier, qui commence ensuite à extraire des informations, en s’intéressant notamment aux identifiants stockés au niveau du navigateur. Il s’installe par ailleurs de façon persistante, soit via le registre Windows, soit au moyen de LaunchAgent (macOS) ou systemd (Linux).
Le compte d’un mainteneur compromis
Les attaquants n’ont probablement pas choisi leur cible au hasard. Le crate arrayref compte en effet la bagatelle de 245 millions de téléchargements, et il est utilisé comme dépendance dans 400 autres crates populaires, utilisés notamment sur les chaînes de blocs Ethereum et Solana, associées à des cryptomonnaies bien connues.
La subtilité ici réside dans le fait que le crate arrayref ne comportait en tant que tel aucun code malveillant, notent les chercheurs de Step Security : c’est simplement son fichier de dépendances qui était modifié.
La version corrompue, arrayref@0.3.10, semble avoir été publiée depuis le compte d’un mainteneur Rust historique, et non des moindres puisqu’il s’agirait de l’auteur du crate initial, initialement publié il y a 15 ans. « Nous ne pensons pas que l’auteur d’arrayref agisse de manière malveillante, mais son ordinateur ou ses identifiants sont probablement compromis, et nous essayons de le contacter », indique l’équipe Rust.
Dans la foulée de la publication, les attaquants ont yanké (retiré) les versions 0.3.5 à 0.3.9 du crate arrayref pour que les développeurs soient enclins à lancer cargo update, la commande de mise à jour censée précisément les protéger lorsque leur environnement exploite une version obsolète (et donc potentiellement vulnérable) d’un composant.
L’attaque a donné lieu à la publication, vendredi, d’une CVE (2026 - 77651) qualifiée de critique avec un score de 9,8.
Pour Wiz, le mode opératoire et une adresse IP détectée par l’une des victimes de l’attaque rappellent directement de précédentes attaques sur la chaîne d’approvisionnement (supply chain) telles que celles menées ces derniers mois contre Trivy, Axios et npm.
L’équipe Rust a signalé jeudi une attaque visant un crate très populaire, arrayref. Elle a permis, pendant un peu plus d’une heure, de distribuer des composants vérolés vraisemblablement destinés à la récupération de mots de passe sur les machines des utilisateurs finaux. L’incident, rapidement contenu, s’inscrit dans une longue liste d’attaques visant la chaîne d’approvisionnement.
L’équipe en charge de la maintenance du langage Rust et de ses composants a alerté jeudi 20 août d’une attaque visant arrayref, un crate (l’unité de compilation de base, qui se présente soit sous forme de binaires, soit comme une bibliothèque) très courant.
Pour ce faire, les auteurs ont réussi à publier sur crates.io, le registre de paquets Rust, un composant baptisé proc-macro1. Il contenait un build script (code qui s’exécute à la compilation) ayant pour objet de déclencher le téléchargement d’une charge malveillante de type infostealer (vol de données).
Une charge calculée pour extraire des données
Pour favoriser la diffusion de leur attaque (dont le nom est une forme de typosquatting d’un autre crate légitime, proc-macro2), les attaquants ont réussi à modifier le crate arrayref pour que leur charge soit appelée lors de l’utilisation de ce dernier. Ils ont également piégé de la même façon d’autres composants courants (internment, append-only-vec).
D’après l’équipe Rust, la fenêtre de diffusion s’est heureusement révélée limitée, suite à une alerte rapidement formulée par les chercheurs de Nextron Systems. Elle estime ainsi que les composants vérolés sont restés en ligne entre 90 et 107 minutes : un laps de temps trop court pour permettre une propagation à grande échelle, mais tout de même suffisamment long pour que des développeurs aient pu être touchés.
« Nous vous recommandons de vérifier vos dépendances locales pour vous assurer que ces crates n’ont pas été téléchargées », déclare ainsi l’équipe Rust, qui invite à vérifier le contenu du dossier ~/.cargo/registry/cache pour y débusquer les éventuelles versions vérolées.
Deux chercheurs de l’entreprise de cybersécurité Wiz (passée aux mains de Google en mars 2026) ont détaillé le contenu exact de la charge malveillante. Lancée donc dès la compilation, elle a vocation à reconstruire une URL de destination pour l’envoi de données volées, désactiver la validation d’un certificat TLS et ainsi autoriser le contrôle et commande à distance (C2).
Elle télécharge ensuite un composant spécifique à l’OS et à l’architecture de la machine et lance ce dernier, qui commence ensuite à extraire des informations, en s’intéressant notamment aux identifiants stockés au niveau du navigateur. Il s’installe par ailleurs de façon persistante, soit via le registre Windows, soit au moyen de LaunchAgent (macOS) ou systemd (Linux).
Le compte d’un mainteneur compromis
Les attaquants n’ont probablement pas choisi leur cible au hasard. Le crate arrayref compte en effet la bagatelle de 245 millions de téléchargements, et il est utilisé comme dépendance dans 400 autres crates populaires, utilisés notamment sur les chaînes de blocs Ethereum et Solana, associées à des cryptomonnaies bien connues.
La subtilité ici réside dans le fait que le crate arrayref ne comportait en tant que tel aucun code malveillant, notent les chercheurs de Step Security : c’est simplement son fichier de dépendances qui était modifié.
La version corrompue, arrayref@0.3.10, semble avoir été publiée depuis le compte d’un mainteneur Rust historique, et non des moindres puisqu’il s’agirait de l’auteur du crate initial, initialement publié il y a 15 ans. « Nous ne pensons pas que l’auteur d’arrayref agisse de manière malveillante, mais son ordinateur ou ses identifiants sont probablement compromis, et nous essayons de le contacter », indique l’équipe Rust.
Dans la foulée de la publication, les attaquants ont yanké (retiré) les versions 0.3.5 à 0.3.9 du crate arrayref pour que les développeurs soient enclins à lancer cargo update, la commande de mise à jour censée précisément les protéger lorsque leur environnement exploite une version obsolète (et donc potentiellement vulnérable) d’un composant.
L’attaque a donné lieu à la publication, vendredi, d’une CVE (2026 - 77651) qualifiée de critique avec un score de 9,8.
Pour Wiz, le mode opératoire et une adresse IP détectée par l’une des victimes de l’attaque rappellent directement de précédentes attaques sur la chaîne d’approvisionnement (supply chain) telles que celles menées ces derniers mois contre Trivy, Axios et npm.
L’Institut de recherche pour le développement (IRD) a annoncé ce mardi 18 aout à son personnel, via une lettre en PDF que Next a pu se procurer, qu’une « intrusion d’origine externe dans son système d’information » a eu lieu cet été. Ce piratage a conduit, selon la PDG de l’institut, Valérie Verdier, qui signe ce courrier, « à l’exposition des données de 7 500 personnes ».
Ce chiffre est particulièrement frappant lorsqu’on le compare au nombre d’agents travaillant pour l’organisme. En effet, le rapport d’activité de l’IRD de 2025 publié en juin dernier indique que l’organisme compte 2 249 agents.
Dans ce courrier, la responsable fait la liste des données qui ont été exposées :
« vos données d’identification : nom, prénom(s), sexe, nationalité, date et lieu de naissance ;
vos données relatives à la vie personnelle : adresse postale et numéro de téléphone personnels ;
vos données relatives à la vie professionnelle : matricule agent, rattachement administratif, affectation géographique, statut, corps, grade, poste, niveau, échelon, emploi, discipline, adresse électronique professionnelle, numéro de téléphone pofessionnel ;
votre numéro de sécurité sociale ».
Toujours selon le document, l’incident aurait été détecté par l’IRD le 24 juillet. C’est le 6 aout que l’enquête menée en interne a permis d’établir que ces données ont été exposées. Néanmoins, « à ce stade, nous ne sommes pas en mesure de confirmer que ces données aient été exfiltrées », précise la lettre.
Valérie Verdier ajoute que son organisme de recherche a « immédiatement engagé des investigations afin d’en déterminer l’origine, l’étendue et les conséquences. Elle assure que « les mesures nécessaires pour contenir l’incident, sécuriser les systèmes concernés et rétablir progressivement les services ont été appliquées depuis cette date ».
La direction explique que la « situation est susceptible d’entraîner notamment des risques de piratage de compte, d’usurpation d’identité ou de fraude ».
Elle assure aussi avoir signalé l’incident aux autorités compétentes, porté plainte et mis en place une cellule de crise. De façon pratique, elle signale avoir mis à l’isolement des serveurs informatiques concernés afin de limiter les risques et travailler en coopération avec l’ANSSI, le CERT RENATER, le Centre opérationnel de la sécurité des systèmes d’information (COSSI) et le fonctionnaire de sécurité des systèmes d’information (FSSI).
L’IRD vient aussi de publier un communiqué plus succinct.
Ce n’est pas la première institution de recherche française à subir un incident de ce genre cette année. En effet, le CNRS a fait part en février dernier d’une fuite de données concernant les personnels recrutés avant le 1/1/2007.
L’Institut de recherche pour le développement (IRD) a annoncé ce mardi 18 aout à son personnel, via une lettre en PDF que Next a pu se procurer, qu’une « intrusion d’origine externe dans son système d’information » a eu lieu cet été. Ce piratage a conduit, selon la PDG de l’institut, Valérie Verdier, qui signe ce courrier, « à l’exposition des données de 7 500 personnes ».
Ce chiffre est particulièrement frappant lorsqu’on le compare au nombre d’agents travaillant pour l’organisme. En effet, le rapport d’activité de l’IRD de 2025 publié en juin dernier indique que l’organisme compte 2 249 agents.
Dans ce courrier, la responsable fait la liste des données qui ont été exposées :
« vos données d’identification : nom, prénom(s), sexe, nationalité, date et lieu de naissance ;
vos données relatives à la vie personnelle : adresse postale et numéro de téléphone personnels ;
vos données relatives à la vie professionnelle : matricule agent, rattachement administratif, affectation géographique, statut, corps, grade, poste, niveau, échelon, emploi, discipline, adresse électronique professionnelle, numéro de téléphone pofessionnel ;
votre numéro de sécurité sociale ».
Toujours selon le document, l’incident aurait été détecté par l’IRD le 24 juillet. C’est le 6 aout que l’enquête menée en interne a permis d’établir que ces données ont été exposées. Néanmoins, « à ce stade, nous ne sommes pas en mesure de confirmer que ces données aient été exfiltrées », précise la lettre.
Valérie Verdier ajoute que son organisme de recherche a « immédiatement engagé des investigations afin d’en déterminer l’origine, l’étendue et les conséquences. Elle assure que « les mesures nécessaires pour contenir l’incident, sécuriser les systèmes concernés et rétablir progressivement les services ont été appliquées depuis cette date ».
La direction explique que la « situation est susceptible d’entraîner notamment des risques de piratage de compte, d’usurpation d’identité ou de fraude ».
Elle assure aussi avoir signalé l’incident aux autorités compétentes, porté plainte et mis en place une cellule de crise. De façon pratique, elle signale avoir mis à l’isolement des serveurs informatiques concernés afin de limiter les risques et travailler en coopération avec l’ANSSI, le CERT RENATER, le Centre opérationnel de la sécurité des systèmes d’information (COSSI) et le fonctionnaire de sécurité des systèmes d’information (FSSI).
L’IRD vient aussi de publier un communiqué plus succinct.
Ce n’est pas la première institution de recherche française à subir un incident de ce genre cette année. En effet, le CNRS a fait part en février dernier d’une fuite de données concernant les personnels recrutés avant le 1/1/2007.
À chaque jour sa fuite de données, ou presque. SFR a prévenu jeudi 20 août ses clients qu’un « incident de sécurité » avait été détecté le 2 juillet. Il a touché un outil de gestion d’analyse des raccordements fibre, qui a entraîné un accès non autorisé à des données : nom, prénom, civilité, adresse, numéro de téléphone mobile, identifiant de contrat et des données techniques liées à la ligne.
Illustration : Flock
Le groupe de pirates ZeroBytes a revendiqué l’attaque, rapporte FrenchBreaches qui publie le message de l’opérateur. Ces derniers ne sont pas inconnus des services : c’est à eux que l’on doit aussi l’attaque de la plateforme du fisc. Dans le cas de SFR, 2,1 millions de clients seraient potentiellement concernées.
L’entreprise a désactivé le compte utilisé pour accéder à l’outil, bloqué les adresses IP à l’origine de l’accès non autorisé, et continue de surveiller ces adresses. Les mesures de sécurité des systèmes ont été renforcés. La CNIL a également été notifiée, et une plainte déposée auprès du Procureur de la République.
Les données en fuite pourraient alimenter des campagnes de hameçonnage. Un escroc pourrait se présenter comme un représentant de SFR pour pousser les clients contactés à communiquer des informations confidentielles ou effectuer un paiement.
À chaque jour sa fuite de données, ou presque. SFR a prévenu jeudi 20 août ses clients qu’un « incident de sécurité » avait été détecté le 2 juillet. Il a touché un outil de gestion d’analyse des raccordements fibre, qui a entraîné un accès non autorisé à des données : nom, prénom, civilité, adresse, numéro de téléphone mobile, identifiant de contrat et des données techniques liées à la ligne.
Illustration : Flock
Le groupe de pirates ZeroBytes a revendiqué l’attaque, rapporte FrenchBreaches qui publie le message de l’opérateur. Ces derniers ne sont pas inconnus des services : c’est à eux que l’on doit aussi l’attaque de la plateforme du fisc. Dans le cas de SFR, 2,1 millions de clients seraient potentiellement concernées.
L’entreprise a désactivé le compte utilisé pour accéder à l’outil, bloqué les adresses IP à l’origine de l’accès non autorisé, et continue de surveiller ces adresses. Les mesures de sécurité des systèmes ont été renforcés. La CNIL a également été notifiée, et une plainte déposée auprès du Procureur de la République.
Les données en fuite pourraient alimenter des campagnes de hameçonnage. Un escroc pourrait se présenter comme un représentant de SFR pour pousser les clients contactés à communiquer des informations confidentielles ou effectuer un paiement.
Ayant permis plus de 6 000 arrestations, la saisie de 900M d’euros et de 270 tonnes de drogues, le piratage du cryptophone Encrochat reposait sur un logiciel espion « secret défense » développé par la DGSI. Il avait en fait été bidouillé à partir d’un logiciel open source et d’un exploit téléchargés sur GitHub. Il reposait aussi sur une faille « zero day » identifiée par Google comme étant exploitée par le logiciel espion Pegasus de NSO, révèle une enquête de Computer Weekly.
MàJ, 23 août : quatre chercheurs en cryptographie et cybersécurité (Martin R. Albrecht, Sunoo Park, Michael A. Specter et Douglas Stebila), ont par ailleurs publié un preprint, « A Real-World Law-Enforcement Hack: The Case of Encrochat ». Présenté comme « le compte rendu public le plus détaillé à ce jour sur l’infrastructure d’Encrochat et la manière dont elle a été compromise », il n’évoque pas, cela dit, la rétro-ingénierie d’Invasys ni donc le recours à la vulnérabilité « Bad Blinder » exploitée par NSO et découverte par le Project Zero de Google, révélées par l’enquête de Computer Weekly.
Le 2 juillet 2020, Europol et Eurojust annonçaient que la gendarmerie nationale française avait réussi à pirater et démanteler EncroChat, « un réseau téléphonique chiffré largement utilisé par les réseaux criminels » dénombrant 60 000 clients, a priori fortunés. Ses terminaux sécurisés étaient en effet vendus la bagatelle de 1 000 euros, auxquels il fallait ajouter 1 500 euros d’abonnement, à renouveler tous les 6 mois.
Initiée en 2017, l’enquête avait mobilisé 60 enquêteurs réunis en France dans une « cellule Emma 95 », et permis plusieurs centaines d’arrestations un peu partout en Europe. Trois ans plus tard, Europol se félicitait du fait que cette opération avait permis l’arrestation de 6 558 personnes dans le monde entier (dont 197 « high value targets »), la saisie de 740 millions d’euros de cash et le gel de 154,1 millions d’euros sous forme d’actifs ou de comptes bancaires, 164,4 tonnes de cannabis, 103,5 de cocaïne, 3,3 d’héroïne, 30,5 millions de comprimés de drogues chimiques, 971 véhicules, 923 armes (plus 21 750 cartouches et 68 explosifs), 271 domaines ou maisons, 83 bateaux et 40 avions.
Europol ne précisait pas combien de personnes avaient alors été condamnées, mais celles qui l’avaient été totalisaient alors une durée cumulée de 7 134 années de prison. Europol précisait également que 35 % des affaires relevaient du crime organisé, 33 du trafic de drogue, 14 du blanchiment d’argent, 12 de projets de meurtres, et 6 de trafic d’armes.
À l’époque, la gendarmerie n’avait pas détaillé son modus operandi, reconnaissant toutefois avoir eu recours à trois « dispositifs techniques », dont deux couverts par le « secret défense ». La loi d’orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI) de 2010 autorise en effet la « captation de données informatiques, une technique spéciale d’enquête prévue par le droit français » afin de « contourner l’obstacle du chiffrement et ainsi d’accéder à des données informatiques de manière invisible pour l’utilisateur ».
Les journalistes d’investigation Bill Goodwin et Duncan Campbell (un ancien hacker radio connu pour avoir révélé l’existence du GCHQ et du programme anglo-saxon Echelon de surveillance satellite des communications) viennent néanmoins de révéler, dans Computer Weekly (CW) qu’à la demande de la justice britannique, une entreprise de cybersécurité tchèque a réussi, par rétro-ingénierie, à reconstituer le logiciel espion.
Il aurait été développé par le « service technique national de captation judiciaire » (STNCJ), un service à compétence nationale rattaché au directeur technique de la direction générale de la sécurité intérieure (DGSI), créé en 2018 et chargé de la conception, de la centralisation et de la mise en œuvre de dispositifs techniques permettant l’activation à distance d’un appareil électronique, qui sont cela dit couvertes par le secret de la défense nationale.
Une peine de 30 ans de prison, et plusieurs millions d’euros d’amendes
Encrochat aurait été développé par Paul Kursky, un Canadien d’une cinquantaine d’années vivant en République dominicaine. D’après The Globe and Mail, il y avait été arrêté en 2022, avant d’être extradé en février 2024 en France, où, mis en examen pour une quinzaine de chefs d’accusation, il encourt une peine de 30 ans de prison, et plusieurs millions d’euros d’amendes.
[Communiqué de presse] L’un des principaux dirigeants de la structure #EncroChat a été remis à la France le 02/02/24 à la suite d'un important travail de coopération avec @Eurojust et les autorités dominicaines. Mis en examen, il a été placé en détention provisoire par le JLD. https://t.co/9JAuQ7tqwjpic.twitter.com/mGFeRS24i5
— Samuel Finielz, procureur de Lille (@ProcureurLille) February 7, 2024
CW révèle pour sa part qu’en 2014, Kursky expliqua à l’un de ses partenaires avoir mis au point une « solution de sécurité » pour les smartphones Android, « à partir de plusieurs projets open source », dont Off-the-Record Messaging, le précurseur des messageries chiffrées, Guardian ROM, une version sécurisée d’Android développée par le Guardian Project, un collectif de développeurs œuvrant pour « les militants, les journalistes et les utilisateurs lambda qui accordent de l’importance à la vie privée et à la sécurité ».
L’idée était de flasher un smartphone de sorte qu’il dispose d’une zone de stockage chiffrée dotée de son propre système d’exploitation, activable à partir d’une combinaison de touches spéciales offrant à ses utilisateurs la possibilité de nier de façon plausible (« déni plausible », ou « plausible deniability » en anglais) le fait qu’il s’agisse en réalité d’un « cryptophone ».
L’abonnement coûtait 1 000 $ pour 6 mois, pour un téléphone qui, ironise CW, « pouvait parfois prendre en charge des appels téléphoniques », mais servait surtout à stocker des notes, échanger des messages et images avec des utilisateurs identifiables non via leurs noms ou n° de téléphones, mais via des pseudonymes « choisis au hasard ». Leurs échanges étaient en outre automatiquement effacés au bout de 14 jours, ou dans un délai fixé par leurs expéditeurs.
Le smartphone pouvait également être effacé à distance par le revendeur ou le service d’assistance, et proposait plusieurs fonctionnalités visant à assurer « garantir l’anonymat » de ses utilisateurs, dont un code PIN spécifique destiné à la suppression immédiate de toutes les données sur l’appareil, et la suppression de toutes les données en cas de saisies consécutives d’un mauvais mot de passe.
Une rétro-ingénierie de 70 % du logiciel espion des hackers de la DGSI
Il reste 63% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Connexion
