Les pirates informatiques et l'IA : les enseignements à tirer de l'attaque contre ConnectWise en matière de cyber-résilience
Que révèlent les attaques visant la NASA et les agences américaines sur la sécurité des entreprises ? Rob Nidschelm, de Getronics, analyse les enseignements à tirer en matière de systèmes exposés, de détection des menaces et de réaction face à celles-ci.
Discutez avec un expert
Une cybercampagne visant de grandes institutions américaines met en évidence un défi auquel toutes les entreprises sont confrontées : les pirates peuvent se dissimuler derrière un trafic Internet d'apparence banale, tandis que les systèmes vulnérables leur offrent des occasions de s'introduire dans les réseaux.
Dans une interview accordée à Cyber Magazine, Rob Nidschelm, responsable mondial de la sécurité opérationnelle chez Getronics, explique pourquoi il est utile de perturber l'infrastructure des attaquants — et pourquoi les entreprises doivent tout de même évaluer leur propre vulnérabilité.
Que s'est-il passé ?
Le 26 août 2026, le ministère américain de la Justice et le FBI ont annoncé la saisie de noms de domaine associés à deux plateformes de piratage, QScan et QTRouter. Les autorités américaines ont établi un lien entre ces plateformes et QTFY, un groupe lié à la Chine qui cible des infrastructures critiques et d'autres réseaux sensibles.
Dans son communiqué, le ministère de la Justice cite notamment la NASA, la Réserve fédérale et plusieurs départements du gouvernement américain parmi les cibles visées.
Le fait d'être pris pour cible ne signifie pas nécessairement qu'une organisation a été piratée. Cyber Magazine fait état d'intrusions réussies au sein de certaines institutions, tout en les distinguant des tentatives infructueuses mentionnées contre la NASA et le Sénat américain.
Comment les pirates ont dissimulé leurs agissements
Cette opération combinait des outils permettant de repérer les systèmes vulnérables et une infrastructure conçue pour dissimuler l'origine des attaques.
Selon l'avis de sécurité conjoint publié par la NSA, QScan servait à mener des opérations de reconnaissance et d'exploitation, notamment des attaques visant des appareils de l'Internet des objets (IoT) vulnérables. QTRouter associait des appareils de l'compromis à d'autres infrastructures afin de dissimuler les activités malveillantes au sein du trafic légitime.
L'avis fournit également un compte rendu détaillé d'une vulnérabilité d'Ivanti exploitée par QTFY. Le groupe a utilisé cette vulnérabilité pour accéder à des appliances Ivanti Connect Secure exposées, déployer des shells Web et s'assurer une persistance. Cela illustre comment une appliance connectée à Internet peut devenir un point d'entrée pour des activités plus étendues, en particulier lorsque les correctifs ne sont pas disponibles, sont retardés ou ne sont pas appliqués correctement.
Pour les défenseurs, la conséquence pratique est claire : un emplacement réseau apparemment familier ne suffit pas à garantir la fiabilité d'une activité.
Les perturbations offrent une opportunité aux défenseurs
Les saisies de noms de domaine ont perturbé les infrastructures dont dépendaient ces plateformes. Rob se félicite de cette perturbation, mais met en garde contre le risque de la considérer comme la fin définitive de la menace.
« Les saisies de domaines constituent une perturbation importante, car elles ont supprimé une infrastructure partagée susceptible de prendre en charge plusieurs opérateurs. »Rob Nidschelm
La réaction au sein d'une organisation reste déterminante. Les équipes de sécurité doivent déterminer si des systèmes exposés ont fait l'objet d'un accès, quelles traces historiques sont encore disponibles et si les tentatives infructueuses révèlent des failles nécessitant une attention particulière.
Trois mesures à prendre par les équipes de sécurité
Action | Ce qu'il faut vérifier |
|---|---|
Donner la priorité aux systèmes exposés | Identifiez les appareils et services connectés à Internet, vérifiez à qui ils appartiennent et contrôlez l'état de leurs mises à jour. Donnez la priorité aux vulnérabilités activement exploitées et suivez les recommandations du fournisseur en cas de suspicion de compromission. |
Consulter l'historique des activités | Examinez les journaux disponibles afin de détecter tout accès suspect, toute connexion inhabituelle et tout signe d'une compromission antérieure. Utilisez les informations pertinentes sur les menaces pour orienter l'enquête et identifier les lacunes dans les éléments de preuve. |
Analyser les tentatives infructueuses | Examinez les tentatives d'accès bloquées ou ayant échoué, ainsi que les incidents confirmés. Les tentatives répétées peuvent révéler quels systèmes les attaquants tentent d'explorer et où une enquête ou une protection supplémentaire est nécessaire. |
Ces mesures permettent de relier les informations sur les cybermenaces à des mesures concrètes de détection et d'intervention. Ces informations gagnent en utilité lorsque les équipes peuvent les mettre en perspective avec leurs propres systèmes et agir en fonction de ce qu'elles découvrent.
Quelle leçon les organisations doivent-elles en tirer ?
Une intervention réussie ne garantit pas pour autant que tous les environnements concernés soient sécurisés. Les organisations doivent toujours évaluer les risques d'exposition, enquêter sur les activités suspectes et s'assurer que les constatations en matière de sécurité donnent lieu à des mesures concrètes.
Pour les responsables de la sécurité, trois questions constituent un bon point de départ :
- Sait-on quels systèmes connectés à Internet pourraient constituer un point d'entrée ?
- Peut-on analyser l'activité qui a eu lieu avant la dernière alerte ?
- À qui revient la décision d'enquêter, de maîtriser la situation et de remédier au problème ?
Lisez l'article complet du Cyber Magazine pour en savoir plus sur cette campagne et découvrir le point de vue de Rob.
À propos de l'auteur
Rob Nidschelm
Responsable mondial de la sécurité opérationnelle
Rob Nidschelm dirige les équipes mondiales chargées de la sécurité opérationnelle chez Getronics, dont les missions couvrent les opérations de sécurité, la gestion des identités et des accès privilégiés, le renseignement sur les menaces, l'ingénierie de sécurité et la réponse aux incidents. Actif dans le domaine de la cybersécurité depuis 2005, il aide les organisations à concilier stratégie de sécurité, mesures de contrôle concrètes, responsabilité clairement définie et résilience opérationnelle.
www.linkedin.com/in/robnid/
