Montrer le sommaire Cacher le sommaire
- Empoisonner le code à la source
- 58 % : la part de Pékin dans l’espionnage étatique du secteur tech
- L’ennemi qui a passé votre entretien d’embauche
- L’IA industrialise les opérations nord-coréennes
- 572 entreprises tech visées par des ransomwares en douze mois
- Ce que les entreprises françaises doivent changer dès maintenant
Un paquet logiciel présent dans des millions d’applications a failli devenir le vecteur d’une opération d’espionnage planétaire. Personne dans les équipes de développement concernées n’avait rien remarqué. Depuis des mois, des rapports de cybersécurité documentent la même réalité : la Chine et la Corée du Nord ont fait de l’écosystème logiciel mondial leur terrain d’opérations privilégié. Et leurs méthodes rendent la détection de plus en plus difficile.
Le 31 mars 2026, deux versions falsifiées de la bibliothèque JavaScript Axios ont été publiées sur npm, le principal registre mondial de paquets de code pour les développeurs web. Des identifiants de mainteneur volés ont suffi. Axios est téléchargée environ 100 millions de fois par semaine et gère les échanges de données entre applications et serveurs dans d’innombrables sites et logiciels. Personne n’avait rien vu.
Les deux versions compromises ne modifiaient pas visiblement le comportement de la bibliothèque. Elles introduisaient en silence une dépendance supplémentaire qui installait un cheval de Troie permettant un accès à distance, compatible avec Windows, macOS et Linux simultanément. Une fois déployé, ce logiciel malveillant permettait à ses opérateurs d’exécuter des commandes arbitraires sur la machine infectée, d’explorer ses fichiers et d’y maintenir un accès permanent à l’insu de l’utilisateur.
L’incident a été attribué à Stardust Chollima, un groupe lié à la Corée du Nord, avec un niveau de confiance qualifié de « modéré » par les équipes qui ont analysé l’attaque. Deux éléments ont orienté cette attribution : le déploiement de variantes actualisées d’un logiciel malveillant déjà associé à ce groupe, et des recoupements d’infrastructure avec des campagnes antérieures. D’autres équipes de renseignement ont établi un lien avec un réseau nord-coréen déjà documenté pour avoir ciblé des organisations du secteur des cryptomonnaies et de la fintech, ce qui oriente vers une campagne coordonnée plutôt qu’une opération isolée.
Le temps de détection a limité la propagation. Mais l’incident a posé une question à laquelle personne dans le secteur n’a encore de réponse satisfaisante : combien de projets, dans combien d’organisations, avaient déjà intégré l’une des deux versions avant leur retrait ?
Empoisonner le code à la source
Stardust Chollima n’est pas le seul groupe à avoir misé sur cette stratégie. Depuis le début de 2025, un acteur probablement russophone, identifié par le logiciel malveillant qu’il utilise et baptisé Glassworm, a compromis plus de 300 dépôts GitHub. Ses cibles : des développeurs disposant d’accès à des référentiels de code, à des infrastructures cloud et à des pipelines CI/CD, c’est-à-dire les chaînes automatisées qui compilent, testent et déploient le code en production. Du code malveillant a été injecté directement dans ces dépôts, à l’insu de leurs auteurs. La campagne a été démantelée au printemps 2026 dans le cadre d’une opération impliquant plusieurs acteurs de la cybersécurité, sans que l’ampleur totale de la contamination ait pu être établie avec certitude.
À lireL’iPhone, star du reconditionné bientôt surtaxéLa mécanique de ces attaques dites « par la chaîne d’approvisionnement logicielle » repose sur un effet de levier simple : un seul compte de développeur compromis peut propager du code malveillant à des milliers de projets qui dépendent de sa bibliothèque, lesquels le redistribuent à leur tour à leurs propres utilisateurs, qu’il s’agisse d’entreprises, d’administrations ou de particuliers. Des faux outils présentés comme liés à OpenClaw, exploitant l’engouement autour des technologies d’IA, ont également servi à distribuer un voleur d’informations ciblant macOS, montrant que la surface d’attaque dépasse les seuls dépôts de code.
Ces campagnes partagent un avantage tactique précis : les paquets empoisonnés transitent par les mêmes canaux que les bibliothèques légitimes, signés par des comptes reconnus, intégrés dans des processus de déploiement que les équipes de sécurité ne contrôlent pas avec la même rigueur qu’un logiciel inconnu. Glassworm et Stardust Chollima ont tous deux exploité cette asymétrie entre la confiance accordée à l’écosystème open source et la réalité des vérifications qui y sont effectivement pratiquées.
58 % : la part de Pékin dans l’espionnage étatique du secteur tech
Entre avril 2025 et mars 2026, 58 % des intrusions ciblées commanditées par des États contre le secteur technologique sont attribuées à des adversaires liés à la Chine, selon le CrowdStrike 2026 Technology Threat Landscape Report. Cinq groupes principaux se partagent ce travail, chacun avec une spécialité.
Murky Panda a ciblé plus de 340 organisations, majoritairement américaines, en testant systématiquement des mots de passe courants sur un grand nombre de comptes, une technique appelée password spraying, conçue pour passer sous le seuil de détection des systèmes qui bloquent les tentatives répétées sur un même compte. Warp Panda a privilégié la discrétion sur la durée : des vulnérabilités non corrigées sur des systèmes exposés lui ont permis d’installer des portes dérobées dans des organisations technologiques nord-américaines et d’y circuler pendant des semaines sans déclencher d’alerte. Sunrise Panda s’est concentré sur l’Asie, en ciblant les outils de messagerie et de collaboration d’entreprise pour atteindre, via ces passerelles, des communications gouvernementales.
Mustang Panda et Overcast Panda opèrent sur d’autres vecteurs : compromission de boîtes mail professionnelles, exploitation d’équipements réseau. Les cibles communes à ces cinq groupes, semi-conducteurs, routeurs, VPN, environnements cloud, chaînes logicielles, correspondent point par point aux secteurs technologiques que Pékin a identifiés comme stratégiques dans son plan industriel.
L’objectif affiché n’est pas uniquement d’exfiltrer des données propriétaires. En compromettant les chaînes d’approvisionnement logicielles, ces groupes accèdent mécaniquement aux environnements clients des entreprises ciblées, démultipliant l’impact de chaque intrusion initiale. Dans son Panorama de la cybermenace 2025, l’ANSSI documente une pression croissante sur les organisations françaises détenant des technologies sensibles ou occupant des positions clés dans des chaînes d’approvisionnement, avec un recours avéré au spear-phishing, à l’exploitation de vulnérabilités sur équipements exposés et à la compromission de chaînes logicielles.
L’ennemi qui a passé votre entretien d’embauche
Famous Chollima, autre groupe nord-coréen, opère selon une logique radicalement différente. Il est crédité de près de la moitié des opérations d’infiltration manuelle menées par des États contre le secteur technologique sur la période analysée par CrowdStrike. Pas de malware à l’entrée, pas de vulnérabilité exploitée sur un système exposé.
Ses agents obtiennent des postes en télétravail dans des entreprises technologiques d’Amérique du Nord, d’Europe et d’Asie. Pour franchir les entretiens vidéo, ils utilisent des deepfakes en temps réel, leur vrai visage n’est jamais montré. Faux profils construits à partir de données d’identité volées, CV générés ou optimisés par intelligence artificielle : le dispositif est rodé. Mais il ne fonctionnerait pas sans un élément que les rapports mentionnent systématiquement : ces agents possèdent de réelles compétences techniques. Sans elles, ils ne tiendraient pas le poste assez longtemps pour être utiles au régime.
Une fois recrutés, ils disposent d’un accès légitime aux bases de code, aux environnements de production et aux communications internes. Les outils de sécurité classiques ne voient rien d’anormal : l’accès est autorisé, les actions correspondent aux attributions du poste, les horaires sont ceux d’un employé ordinaire. Entre espionnage industriel, fraude économique et financement du régime de Pyongyang, la frontière reste délibérément floue, ce qui complique à la fois la réponse juridique et l’attribution technique.
L’IA industrialise les opérations nord-coréennes
Famous Chollima n’a pas seulement recruté des agents compétents : il a automatisé leur fabrication. Le CrowdStrike 2026 Technology Threat Landscape Report documente l’usage de l’intelligence artificielle pour produire en série des fausses identités numériques, générer des CV adaptés aux offres ciblées et entraîner les modèles de deepfake utilisés lors des entretiens. Ce qui demandait auparavant plusieurs semaines de préparation manuelle par agent infiltré est devenu un processus partiellement automatisé.
Au-delà de la Corée du Nord, les mêmes rapports documentent une montée en puissance de l’IA comme outil offensif pour l’ensemble des groupes étatiques. Les scans automatisés de vulnérabilités permettent de cartographier les failles de milliers d’organisations en quelques heures. Les campagnes de phishing ciblé, ces e-mails frauduleux personnalisés conçus pour tromper un destinataire précis, gagnent en taux de succès parce que les messages sont adaptés au contexte individuel de leur cible, pas seulement à son organisation. Les outils de ransomware intègrent des mécanismes d’apprentissage automatique pour maximiser leur propagation et contourner les solutions de détection.
Les intrusions dites « sans malware », où l’accès se fait via des identifiants légitimes volés plutôt que par l’installation d’un logiciel malveillant, représentent une part croissante des incidents attribués à Famous Chollima. Pour les détecter, il faut analyser les comportements : un employé qui se connecte à des heures inhabituelles, consulte des fichiers hors de son périmètre habituel, transfère des volumes de données anormaux. Ces signaux sont plus subtils qu’une signature de code malveillant, et la plupart des organisations ne disposent pas encore des outils pour les traiter à l’échelle.
572 entreprises tech visées par des ransomwares en douze mois
Entre avril 2025 et mars 2026, 572 organisations du secteur technologique ont été nommément exposées par des groupes de ransomware sur des sites de fuite dédiés à l’extorsion, ces plateformes où les cybercriminels publient des données volées pour faire pression sur leurs victimes. Sur la même période, 16 organisations des forces de l’ordre et neuf entités du secteur de la défense ont subi le même sort.
À lireOù va Sopra Steria ?Les entreprises tech concentrent plusieurs facteurs d’attractivité que les cybercriminels et les groupes étatiques ont appris à combiner. Elles détiennent de la propriété intellectuelle à forte valeur, occupent des positions centrales dans les chaînes d’approvisionnement de leurs clients, y compris des clients gouvernementaux, et gèrent des environnements qui, une fois compromis, ouvrent des accès en cascade vers des dizaines d’organisations en aval.
Dans son Panorama 2025, l’ANSSI signale un phénomène préoccupant : des groupes liés à des États combinent désormais ransomwares et espionnage classique au sein des mêmes opérations, ce qui brouille les catégories d’attribution et complique les réponses diplomatiques. Vincent Strubel, directeur général de l’ANSSI, a indiqué que « la menace cyber est une réalité du quotidien », une formule qui ne rend pas compte de l’accélération documentée par les rapports de cette période.
Ce que les entreprises françaises doivent changer dès maintenant
Les entreprises technologiques françaises actives dans la défense, les télécommunications, les semi-conducteurs, le cloud et les services numériques aux administrations figurent parmi les cibles potentielles identifiées dans les rapports les plus récents. L’ANSSI confirme dans son Panorama 2025 une pression soutenue sur les opérateurs d’importance vitale et sur les organisations occupant des positions stratégiques dans des chaînes d’approvisionnement sensibles.
Deux priorités font consensus parmi les experts : corriger rapidement les vulnérabilités sur les équipements exposés à internet, routeurs, VPN, appliances de sécurité, et renforcer les contrôles sur les comptes de développeurs ayant accès aux dépôts de code et aux pipelines de déploiement. Ces deux vecteurs ont été exploités dans la quasi-totalité des incidents documentés sur la période. Viennent ensuite la supervision continue des dépendances logicielles, la segmentation des environnements sensibles et le durcissement des procédures d’accès pour les collaborateurs en télétravail et les prestataires externes.
La directive européenne NIS2 et le réseau des CSIRTs, les équipes nationales de réponse aux incidents de cybersécurité, accélèrent les échanges d’indicateurs de compromission associés aux groupes chinois et nord-coréens entre agences nationales et acteurs privés. Le CERT-FR publie régulièrement des bulletins d’alerte sur les modes opératoires documentés. Peu d’entreprises de taille intermédiaire les consultent avec la fréquence que la situation impose.
Pour contrer des agents comme ceux de Famous Chollima, recrutés en bonne et due forme, dotés d’accès légitimes, surveiller les signatures de malware ne suffit pas. Ce sont les comportements qui trahissent : connexions à des heures inhabituelles, accès à des fichiers hors périmètre, volumes de transfert anormaux. Ces agents n’ont pas eu besoin de forcer une seule porte.
