En octobre 2026, le SVR russe a lancé une campagne de cyberespionnage sophistiquée visant les rouages de la défense occidentale : diplomates, décideurs militaires et acteurs engagés en Ukraine. Découverte par Sekoia le 4 novembre, cette opération révèle comment Moscou intègre le piratage informatique à sa stratégie de guerre hybride.
APT29 : le bras cyber du renseignement militaire russe
L’entreprise française de cybersécurité Sekoia attribue formellement cette campagne à APT29, groupe également connu sous les noms Midnight Blizzard et Cozy Bear. « Cette campagne a été menée par APT29, un groupe d’intrusion lié à la Russie, largement attribué au service des renseignements extérieurs russes (SVR) », précise l’analyse publiée mardi. Le SVR constitue l’un des piliers du dispositif de renseignement russe, spécialisé dans l’espionnage à l’étranger et le vol d’informations stratégiques. Contrairement aux opérations destructrices du GRU, APT29 privilégie la discrétion et la collecte de renseignements à long terme. Depuis 2022, le groupe intensifie ses opérations contre les gouvernements occidentaux soutenant l’Ukraine, transformant le cyberespionnage en composante essentielle de la guerre hybride menée par Moscou.
Ciblage stratégique : diplomates, décideurs de défense et acteurs ukrainiens
Les cibles révèlent une sélection méticuleuse orientée vers le renseignement militaire. APT29 a notamment compromis un site web usurpant l’identité du Raffles London Hotel, établissement situé face au ministère britannique de la Défense. Amaury-Jacques Garçon, analyste en cybermenace chez Sekoia, souligne que « le groupe d’intrusion a peut-être cherché à cibler des délégations diplomatiques et des invités de premier plan ». Les attaquants ont également infiltré des plateformes fréquentées par des responsables militaires ukrainiens, des diplomates occidentaux et des personnalités politiques impliquées dans le soutien à Kiev. Plusieurs milliers de personnes auraient été potentiellement exposées, selon les estimations de Sekoia. L’objectif : cartographier les réseaux d’influence, anticiper les décisions stratégiques et identifier les vulnérabilités dans le dispositif de soutien occidental à l’Ukraine.
Trois vecteurs d’infection pour contourner les défenses
L’opération repose sur une technique dite de « point d’eau » (watering hole), qui transforme des sites légitimes en pièges numériques. Les attaquants ont déployé trois vecteurs distincts. Premièrement, l’injection directe de code JavaScript malveillant dans des sites web authentiques, compromis au préalable. Deuxièmement, la création de faux domaines imitant des plateformes légitimes pour mener des attaques de l’homme du milieu. Troisièmement, entre le 27 août et le 3 septembre 2026, l’infiltration du service d’analyse web ukrainien Plerdy, permettant d’infecter simultanément tous les sites clients utilisant cet outil. La sophistication réside dans l’absence totale d’intervention utilisateur requise : aucun clic, aucun téléchargement, aucune approbation. La simple consultation d’une page infectée suffit à déclencher l’exécution du code malveillant.
L’exploitation de failles « déjà corrigées » : une stratégie d’opportunité
Sur Android, APT29 a orchestré une chaîne d’exploitation en trois étapes. D’abord, une vulnérabilité dans Chrome (versions 139 à 145) permet l’exécution de code arbitraire. Ensuite, une faille dans le pilote graphique Adreno de Qualcomm contourne les protections du système. Enfin, le malware AndroSnitch s’installe pour dérober cookies Chrome, historique de navigation, identifiants de connexion et mots de passe Wi-Fi. Sur iOS, deux vulnérabilités distinctes ont été exploitées : CVE-2024-27834 (iOS 16 à 17.4) permettant le vol de cookies, et la suite DarkSword (iOS jusqu’à 18.5) donnant accès aux messages, photos, localisation et données de santé. L’agence américaine CISA a d’ailleurs ajouté CVE-2024-27834 à son catalogue des vulnérabilités exploitées le 6 novembre, confirmant l’exploitation active. Le paradoxe : toutes ces failles avaient été corrigées par Google et Apple avant le lancement de la campagne. La stratégie du SVR cible délibérément les utilisateurs négligents quant aux mises à jour de sécurité, transformant la procrastination en vulnérabilité exploitable.
Renseignement d’intérêt militaire et avantage tactique
Les données volées constituent un trésor pour le renseignement russe. Les cookies permettent d’accéder aux comptes en ligne sans authentification, y compris aux messageries sécurisées et plateformes collaboratives gouvernementales. L’historique de navigation révèle les centres d’intérêt, les sources consultées et les réseaux fréquentés. Les mots de passe Wi-Fi donnent accès aux infrastructures réseau des cibles. Sur iOS, la capture de messages et photos expose les communications sensibles, tandis que les données de localisation permettent de tracer les déplacements de personnels militaires et diplomatiques. « Pour estimer le nombre d’utilisateurs finaux qui auraient été touchés par cette campagne, c’est un peu compliqué, ça dépend vraiment du trafic de chaque site », tempère Amaury-Jacques Garçon. Néanmoins, le ciblage précis suggère une collecte orientée vers l’avantage tactique : anticiper les livraisons d’armements, identifier les points de friction au sein de l’OTAN, cartographier les réseaux de décision occidentaux.
Recommandations pour les acteurs de la défense
Face à cette menace, les experts recommandent plusieurs mesures prioritaires. Installer systématiquement les mises à jour de sécurité dès leur publication constitue la première ligne de défense, comme détaillé dans notre article sur les protections prioritaires pour les acteurs sensibles. Utiliser des appareils dédiés aux communications sensibles, séparés des terminaux personnels, limite l’exposition. Privilégier les réseaux VPN pour les connexions depuis des lieux publics réduit les risques d’interception. Activer l’authentification à deux facteurs sur tous les comptes critiques complique l’exploitation des cookies volés. Enfin, former le personnel aux techniques d’ingénierie sociale et aux indicateurs de compromission permet de détecter précocement les tentatives d’infiltration. SecurityWeek souligne que les attaques par point d’eau resteront efficaces tant que les utilisateurs négligeront les mises à jour. Dans le contexte de guerre hybride que mène la Russie, la cyberhygiène devient un impératif stratégique pour préserver l’intégrité du renseignement occidental.
