Frappes militaires au Moyen-Orient : conséquences et perspectives cyber

Les récentes frappes américano-israéliennes contre des cibles iraniennes et les représailles visant des présumés soutiens à ces attaques induisent des préoccupations majeures quant à la perspective d’une escalade sur le front cyber. À ce jour, nous disposons de peu de preuves quant à des opérations cyber d’envergure orchestrées par l’Iran en riposte à ces opérations militaires. Mais cela ne signifie pas pour autant que le cyberespace est silencieux… ou qu’il le restera longtemps.

Tribune – FortiGuard Labs observe actuellement une recrudescence de l’activité cyber régionale, donnant lieu à un mix de hacktivisme sans affiliation claire, de revendications au vernis idéologique, de défaçage de sites web, d’interruption de services de diffusion d’informations et de tentatives d’intrusion opportunistes. Autant d’exactions perpétrées dans l’ombre d’un conflit cinétique.

Ce que nous avons observé lors de conflits précédents c’est que les attaques s’étendent rapidement au-delà du champ de bataille cinétique traditionnel, les acteurs visant tous les profils d’organisations, y compris celles n’ayant que peu, voire aucun, lien apparent avec les belligérants. Sont ainsi ciblés, au même titre que les systèmes militaires, les réseaux civils, d’entreprise ou transfrontaliers, ce qui exacerbe les risques à l’échelle mondiale.

État des lieux des évènements cyber

Ces derniers jours, les évènements cyber suivants ont été observés :

• Défaçage et compromission d’applications et de médias iraniens, touchant notamment BadeSaba, une application populaire de calendrier de prières
• Intrusions dans les médias et canaux de diffusion d’informations pour propager des messages à visée psychologique
• Perturbations de la connectivité Internet en Iran
• Sur Telegram, davantage de revendications d’attaques cyber visant Israël, la Jordanie, l’Afghanistan et d’autres entités régionales
• Intensification de discussions laissant présager des attaques contre le secteur des services financiers et des infrastructures critiques

Pour l’essentiel, ces événements relèvent de trois catégories : opérations d’ordre psychologique, hacktivisme et actions opportunistes tirant profit du contexte géopolitique tendu.

Pour l’heure, il n’existe aucune preuve confirmée de campagne de grande ampleur, de type wiper, menée par l’Iran, ni d’attaque massive sur des infrastructures en lien direct avec les frappes. Ceci pourrait toutefois évoluer. Historiquement, la riposte cyber iranienne à des tensions géopolitiques n’a pas toujours été immédiate, mais le potentiel de déstabilisation reste présent.

Lors de précédentes escalades militaires, les acteurs liés à l’Iran ont fait preuve de patience. Leurs intrusions sont souvent préparées en amont, mais le passage à l’action peut se faire attendre plusieurs jours, voire semaines après l’événement déclencheur. C’est souvent lorsque la vigilance retombe et que les dispositifs de défense s’assouplissent que l’attaque est lancée. Les entreprises qui interprètent l’absence de riposte immédiate comme une disparition des risques pourraient ainsi se retrouver prises au dépourvu si des activités malveillantes émergent plus tard.

Tendance marquante : le chaos, nouvel allié des cybercriminels

Un phénomène mérite une attention particulière. Les périodes de tensions géopolitiques créent un raffut que les cybercriminels, même ceux étrangers au conflit, exploitent dans leur propre intérêt. Profitant de la confusion, ils intensifient les campagnes de phishing sur des thématiques d’actualité, distillent de fausses alertes infectées de malwares et distribuent de prétendues mises à jour de sécurité, en réalité piégées. Autant de manœuvres qui prospèrent dans le désordre ambiant.

Certaines revendications récentes circulant sur Telegram semblent émaner de groupes pro-russes ou d’hacktivistes régionaux qui, historiquement, opèrent hors de toute coordination officielle iranienne. Sur le darknet, certains de ces groupes revendiquent des attaques contre des entités gouvernementales jordaniennes, israéliennes ou afghanes, sans que la véracité de leurs propos ne puisse pour l’instant être confirmée.

Les conflits génèrent un contexte qui sert de couverture à des activités malveillantes. L’attribution de ces exactions est difficile. Distinguer le vrai du faux dans les revendications, parfois anciennes ou opportunistes, devient un exercice complexe. Ce climat favorise aussi les opérations sous fausse bannière, augmentant d’autant la pression sur les équipes de défense, même en l’absence de riposte cyber structurée à grande échelle.

Des modes opératoires sous haute surveillance

En tenant compte des campagnes iraniennes précédemment observées et des dynamiques de risque sur la région, les entreprises doivent se préparer à des tactiques éprouvées, utilisées avec succès par le passé : malware destructeur (wiper) visant les institutions gouvernementales et les acteurs de l’énergie, campagnes DDoS contre les institutions financières, phishing exploitant l’actualité du conflit pour recueillir des identifiants, diffusion de fausses mises à jour mobiles et d’installateurs logiciels piégés, sans oublier les défaçages de sites web qui génèrent un buzz médiatique.

La compromission de BadeSaba illustre un point clé. Le piratage à grande échelle de notifications push suppose un accès au backend de cette application, ce qui est rarement faisable en un seul jour. La compromission semble donc avoir été préparée en amont. Même si son attribution reste incertaine, cette technique d’attaque illustre un savoir-faire moderne qui consiste à disposer d’un accès en amont, puis attendre le moment opportun pour frapper.

Les entreprises doivent se préparer dès maintenant

Le succès de nombreuses campagnes cyber géopolitiques tient souvent à des failles courantes : des retards dans le déploiement de correctifs, des identifiants réutilisés, l’absence d’authentification multifacteur (MFA), des services exposés et un contrôle d’accès défaillant. À cela s’ajoute la perception d’un conflit lointain, qui peut favoriser le relâchement des défenses. Pourtant, toute organisation est une cible potentielle, ce qui implique de mettre en place des mesures clés de protection.

• Former pour mieux se défendre : des collaborateurs sensibilisés à la cybersécurité sont mieux armés pour protéger leur entreprise, en tant que première ligne de défense face aux cybermenaces. Cette formation gagne à être complétée par des simulations réalistes de phishing pour évaluer et améliorer le niveau de préparation des collaborateurs et de leur entreprise.
• Activer la MFA pour les VPN, les accès distants et les applications SaaS : même si un identifiant ou mot de passe est compromis, volontairement ou non, l’utilisateur reste protégé en l’absence d’accès au second facteur d’authentification (code unique ou donnée biométrique).
• Cartographier et réduire la surface d’attaque : une étape essentielle est de bien connaître son environnement numérique. Cela passe par des audits pour recenser les applications, les équipements matériels et les objets connectés présents en interne, ou accessibles depuis l’extérieur. Dans cette optique, un service de gestion continue de l’exposition aux menaces (CTEM) permet d’obtenir une visibilité, depuis l’extérieur, sur les risques qui pèsent sur les organisations.
• Ériger une ligne de défense en profondeur : l’expérience le prouve, être confronté à un acte malveillant n’est qu’une question de temps. Il devient crucial d’évoluer vers une sécurité plus résiliente, capable de détecter rapidement toute menace sur l’ensemble des chemins d’attaque possibles. D’autre part, la segmentation des réseaux d’entreprise  s’impose pour contenir la portée d’une intrusion, accélérer la reprise d’activité et assurer la continuité des opérations.
• Optimiser la sauvegarde des données : une stratégie robuste de sauvegarde et de restauration garantit l’intégrité et la sécurité des informations. Il est impératif de sauvegarder fréquemment les données essentielles sur des supports cloisonnés et protégés, hors ligne. Il est tout aussi important de tester les procédures de restauration pour accélérer la reprise d’activité en cas d’attaque par ransomware ou de perte de données.
• Notifier rapidement les incidents et automatiser la gestion des correctifs : la réactivité est essentielle. En cas d’incident cyber, le réflexe doit être d’en informer sans attendre le CERT compétent ainsi que les autorités concernées. La négligence des bonnes pratiques de cybersécurité constitue l’une des principales menaces pour la sécurité et l’intégrité des réseaux. La restauration régulière des vulnérabilités est un bouclier contre toute exploitation cybercriminelle.

Nos observations montrent qu’il n’existe actuellement aucune riposte cyber iranienne confirmée de grande ampleur liée directement aux récentes opérations militaires. Cependant, FortiGuard Labs observe une intensification de l’activité cyber régionale, marquée par une recrudescence des comportements malveillants opportunistes. Dans le type de conflit actuel, la première vague d’attaque est souvent perceptible. Si une seconde vague survient, elle pourrait être plus discrète, mieux organisée et plus ciblée. Nous pouvons tous espérer le meilleur, mais la vigilance reste de mise et il est essentiel de se préparer au scénario le plus défavorable.

Les auteurs de cette tribune :

• Aamir Lakhani, Directeur international du renseignement sur les menaces et de la recherche en intelligence artificielle adversaire chez Fortinet
• Carl Windsor, Directeur de la sécurité de l’information (RSSI) chez Fortinet
• Derek Manky, Responsable de la stratégie de sécurité et vice-président mondial chargé du renseignement sur les menaces chez Fortinet