Il y a dix ans, l’Asie-Pacifique était considérée comme une région victime de la cybercriminalité internationale. Aujourd’hui, elle en est devenue l’un des principaux théâtres d’opérations — et parfois la source. Le rapport annuel 2025/2026 d’INTERPOL sur les cybermenaces en Asie et dans le Pacifique Sud, publié en juin 2026, dresse un constat sans ambiguïté : plus de la moitié des pays interrogés attribuent au cybercrime plus de 30 % des infractions nationales enregistrées, en parallèle de plus de 135 000 attaques par rançongiciels et d’une hausse de 92 % des attaques par déni de service (DDoS).

1. L’ampleur des chiffres : une région sous assaut numérique

Le rapport INTERPOL couvre la période de janvier 2024 à mars 2025 et s’appuie sur les contributions de 18 pays membres. Il révèle une augmentation spectaculaire de la cybercriminalité, portée par la numérisation rapide, l’essor des nouvelles technologies et des réseaux criminels de plus en plus organisés. Eurasia Review

Les statistiques clés sont édifiantes :

Entre janvier et décembre 2024, plus de 6,5 milliards de cybermenaces ont été détectées et neutralisées dans la région Asie-Pacifique, selon les données fournies par TrendAI, partenaire du secteur privé travaillant avec la direction de la lutte contre la cybercriminalité d’INTERPOL. Bloomberg

Plus de 135 000 attaques par rançongiciels ont été détectées en 2024, touchant des secteurs comme l’immobilier, l’industrie manufacturière et les services financiers. Les attaques DDoS ont augmenté de 92 % en 2024 par rapport à l’année précédente. Les discussions relatives aux deepfakes sur les forums cybercriminels et les canaux Telegram populaires parmi les acteurs malveillants d’Asie du Sud-Est ont augmenté de 600 % entre février et juin 2024. En moyenne, 5,5 personnes sur 1 000 dans la région ont cliqué sur des liens de phishing chaque mois — soit environ le double de la moyenne mondiale. Infosecurity Magazine

Sur le plan économique, la région Asie-Pacifique a représenté 20,70 % du marché mondial de la cybersécurité en 2025, générant 45,28 milliards de dollars de revenus, et devrait atteindre 52,04 milliards de dollars en 2026. Une croissance qui traduit autant l’investissement en défense que l’urgence des attaques. Fortune Business Insights

2. Les principales menaces identifiées

Escroqueries en ligne : la menace dominante

Les escroqueries par phishing ont émergé comme la forme de cybercriminalité la plus répandue et la plus coûteuse financièrement, avec 33 % des pays signalant plus de 10 000 cas. Eurasia Review

Neal Jetton, directeur de la lutte contre la cybercriminalité à INTERPOL, a déclaré : « Les résultats de ce rapport soulignent un paysage de cybermenaces en rapide évolution en Asie et dans le Pacifique Sud, où les cybercriminels exploitent l’intelligence artificielle, les modèles de rançongiciels-en-tant-que-service et des techniques d’ingénierie sociale sophistiquées à une échelle industrielle. » Eurasia Review

Rançongiciels et vol d’identifiants

Le deuxième type de cybermenace le plus significatif selon le rapport est constitué par les infostealers et les chevaux de Troie bancaires, suivis par les rançongiciels, les deepfakes et la désinformation, et enfin les compromissions d’e-mails professionnels (BEC). Infosecurity Magazine

Le montant moyen des sinistres liés aux rançongiciels a atteint 508 000 dollars en 2025, en hausse de 16 % d’une année sur l’autre. Les demandes d’indemnisation en responsabilité civile ont bondi de 70 %. Insurance Business America

Intelligence artificielle au service du crime

Les cybercriminels exploitent l’intelligence artificielle, les modèles de rançongiciels-en-tant-que-service et des techniques d’ingénierie sociale sophistiquées à une échelle industrielle. Les deepfakes — vidéos et voix synthétiques générés par IA — sont désormais utilisés massivement pour l’usurpation d’identité, la fraude aux dirigeants (CEO fraud) et la manipulation des victimes lors d’escroqueries sentimentales ou financières. Eurasia Review

Une fuite de données massive, baptisée “FortiBleed” par la communauté de la cybersécurité, vient d’être mise en lumière. Des identifiants VPN FortiGate et Fortinet correspondant à 73 932 URL de pare-feu appartenant à des organisations du monde entier ont été exposés. Cette fuite est considérée comme l’une des plus graves jamais enregistrées dans l’écosystème Fortinet

Découverte : comment FortiBleed a été mis au jour

À l’origine de cette découverte se trouve le chercheur en sécurité Bob Diachenko. Ce dernier a indiqué avoir trouvé un serveur hébergeant un ensemble de fichiers contenant des identifiants VPN Fortinet : des paires nom d’utilisateur/mot de passe, ces derniers étant stockés en clair. Dans certains cas, il s’agit de mots de passe longs et complexes, théoriquement difficiles à craquer. Certaines entrées de la base de données font référence à des entreprises de premier plan : AT&T, Mercedes-Benz, Toyota, Chevron, Samsung et Foxconn. La base contient également, pour chaque organisation, son secteur d’activité, son chiffre d’affaires et le nombre de ses employés.

La véracité des données a été rapidement confirmée par le chercheur Kevin Beaumont : « Les données sont authentiques. On compte environ 75 000 appareils. Presque tous sont encore en ligne et sont bien des équipements Fortinet. Les données semblent récentes. » D’après les données réseau de Shodan, la fuite concernerait environ la moitié de tous les pare-feu Fortinet accessibles sur Internet, et la majorité des appareils affectés exposeraient directement leur interface de gestion FortiGate sur le net.

Une ampleur inédite : 5 fois plus large que la fuite précédente

FortiBleed ne surgit pas dans le vide. En 2025, le groupe Belsen avait déjà divulgué des configurations et des identifiants VPN pour environ 15 000 appareils FortiGate. FortiBleed est environ cinq fois plus volumineux, et les adresses IP concernées sont différentes — il ne s’agit donc pas d’un recyclage des anciennes données, mais d’une nouvelle compromission, plus étendue. TorchLight

En date de mi-juin 2026, le jeu de données circulerait activement dans des communautés criminelles souterraines. Les chercheurs estiment qu’environ 50 % de tous les appareils FortiGate accessibles sur Internet pourraient être affectés, dans 194 pays, ce qui en fait l’un des incidents de sécurité Fortinet les plus significatifs à ce jour. Bitsight

Origine technique : CVE-2022-40684, une vulnérabilité vieille de 4 ans

Les données ont été dérobées il y a plusieurs années via CVE-2022-40684, une faille de type path traversal dans FortiOS. Fortinet lui a attribué un score CVSS de 9,8 (Critique) et a publié des correctifs dans FortiOS 7.0.7 et 7.2.2. L’entreprise avait également émis une alerte d’urgence invitant à patcher immédiatement, et recommandant aux organisations exposant leurs interfaces de gestion sur Internet de se considérer comme déjà compromises. La CISA avait ajouté cette CVE à son catalogue des vulnérabilités exploitées connues (KEV), imposant aux agences fédérales un délai de correction. Gblock

Le délai entre la publication du correctif et son exploitation active avait été de quelques jours. Le délai entre l’exploitation et la publication publique des identifiants a été de plusieurs années — un cycle classique des dumps à haute valeur.

La campagne exploite également une faiblesse fondamentale dans la gestion des identifiants FortiOS : lors d’une mise à jour depuis une ancienne version, les mots de passe administrateurs restent stockés sous forme de hachages SHA-256 faibles tant que l’administrateur ne se reconnecte pas manuellement après la mise à jour.

Exploitation active confirmée

Les chercheurs de Bitsight ont confirmé une exploitation active liée à la campagne FortiBleed, incluant au moins un acteur malveillant sur un forum cybercriminel russophone proposant à la vente du contenu lié à cette menace. La Threat Intelligence de Bitsight a également identifié des outils de post-exploitation associés à cette activité, notamment les outils de tunneling Chisel et Neo-reGeorg — déjà observés dans des campagnes étatiques ciblant les équipements périmètriques Fortinet, y compris la campagne Volt Typhoon. Bitsight

Les organisations concernées

La liste des victimes potentielles couvre tous les secteurs : énergie, automobile, télécommunications, industrie, technologie. Les analyses réseau indiquent que le jeu de données FortiBleed englobe environ la moitié de tous les pare-feu Fortinet accessibles sur Internet à l’échelle mondiale — une proportion stupéfiante de l’infrastructure de sécurité sur laquelle des organisations du monde entier s’appuient pour protéger leurs réseaux. Shield53 Insights

Fortinet n’a pas publié d’advisory dédié à FortiBleed, car le dataset provient d’incidents antérieurs et d’attaques par force brute plutôt que d’une nouvelle vulnérabilité produit. L’absence de CVE ne réduit pas l’urgence : les identifiants valides au moment du scan FortiBleed restent valides aujourd’hui pour tout compte dont le mot de passe n’a pas été changé. Decryption Digest

Longtemps perçue comme une cible secondaire par les cybercriminels, l’Afrique est désormais au cœur des enjeux mondiaux de cybersécurité. L’accélération de la transformation numérique, l’essor des services financiers mobiles, la digitalisation des administrations publiques et l’augmentation du nombre d’internautes ont considérablement élargi la surface d’attaque du continent.

Une cybercriminalité en pleine mutation

La cybercriminalité en Afrique ne se limite plus aux escroqueries par courriel ou aux fraudes financières traditionnelles. Les groupes cybercriminels adoptent désormais des techniques avancées inspirées des grandes campagnes observées en Europe, en Amérique du Nord et en Asie.

Les attaques deviennent plus ciblées, mieux organisées et souvent soutenues par des réseaux criminels transnationaux. Les cybercriminels exploitent les failles techniques, mais aussi les vulnérabilités humaines à travers des campagnes de phishing de plus en plus convaincantes.

La montée en puissance des rançongiciels

Les rançongiciels figurent parmi les menaces les plus préoccupantes du continent. Ces logiciels malveillants chiffrent les données des victimes et exigent le paiement d’une rançon pour leur restitution.

Les secteurs de la santé, de l’énergie, des télécommunications, des transports et de l’administration publique sont particulièrement visés. Les conséquences peuvent être considérables : interruption de services essentiels, pertes financières importantes et atteinte à la réputation des organisations concernées.

Le phishing et l’ingénierie sociale : toujours aussi efficaces

Malgré les progrès technologiques, l’être humain demeure l’une des principales portes d’entrée des cyberattaques. Les campagnes de phishing continuent de faire des ravages en Afrique.

Les attaquants usurpent l’identité de banques, d’opérateurs télécoms, d’administrations ou de partenaires commerciaux afin d’inciter les victimes à divulguer leurs identifiants ou leurs informations bancaires. L’utilisation des langues locales et la personnalisation des messages augmentent considérablement l’efficacité de ces attaques.

Les attaques contre les services financiers numériques

L’Afrique est un leader mondial dans l’adoption du Mobile Money et des services financiers numériques. Cette réussite attire cependant l’attention des cybercriminels.

Les fraudes liées aux portefeuilles électroniques, les détournements de transactions, le vol d’identifiants et les attaques ciblant les plateformes fintech se multiplient. Les institutions financières doivent désormais intégrer la cybersécurité comme un pilier stratégique de leur développement.

L’émergence des deepfakes et de l’intelligence artificielle malveillante

L’intelligence artificielle ouvre de nouvelles opportunités mais crée également de nouveaux risques. Les cybercriminels utilisent désormais des technologies de génération de contenu pour produire de faux messages, de fausses vidéos ou de faux enregistrements audio.

Ces deepfakes peuvent être utilisés pour usurper l’identité de dirigeants, manipuler l’opinion publique ou faciliter des fraudes financières sophistiquées. Cette menace est appelée à croître avec la démocratisation des outils d’intelligence artificielle.

Le cyberespionnage gagne du terrain

Les attaques ne sont plus uniquement motivées par l’appât du gain. Plusieurs pays africains sont confrontés à des opérations de cyberespionnage visant des administrations, des infrastructures critiques, des entreprises stratégiques ou des organisations internationales.

Ces campagnes cherchent à collecter des informations sensibles, à surveiller des activités stratégiques ou à influencer certaines décisions économiques et politiques.

Les infrastructures critiques sous pression

Les réseaux électriques, les systèmes de transport, les infrastructures portuaires, les télécommunications et les services publics deviennent des cibles privilégiées.

Une attaque réussie contre ces infrastructures pourrait provoquer des perturbations majeures, affecter l’économie nationale et compromettre la sécurité des populations. La protection de ces actifs stratégiques constitue désormais une priorité pour de nombreux États africains.

Articles Similaires

Le 10 mars 2025, le réseau social X (anciennement Twitter) a subi une attaque DDoS massive revendiquée par le groupe hacktiviste Dark Storm Team, provoquant des interruptions de service répétées affectant plus de 40 000 utilisateurs selon Downdetector.com.

Les faits confirmés

Elon Musk, propriétaire de X, a publiquement confirmé l’attaque en déclarant : « Il y avait (il y a encore) une cyberattaque massive contre X. Nous sommes attaqués chaque jour, mais celle-ci a été réalisée avec beaucoup de ressources. Soit un grand groupe coordonné et/ou un pays est impliqué. » Selon Alp Toker, directeur de l’observatoire internet Netblocks, le schéma des pannes « est cohérent avec une attaque par déni de service ciblant l’infrastructure de X à grande échelle ». Il s’agit de l’une des plus longues pannes de X/Twitter jamais enregistrées en termes de durée. Les perturbations ont touché principalement les côtes américaines et ont été observées globalement.

Dark Storm Team : hacktivistes pro-palestiniens

Dark Storm Team — groupe hacktiviste pro-palestinien proposant également des services DDoS-for-hire — a revendiqué la responsabilité de l’attaque sur Telegram, en publiant des messages accompagnés de captures d’écran de l’attaque. Le groupe est également connu pour avoir ciblé des sites gouvernementaux de pays comme la France, Israël et les États-Unis. Elon Musk a dans un premier temps évoqué une possible implication de l’Ukraine, avant que Dark Storm Team ne revendique officiellement l’attaque. Les experts notent que la résilience insuffisante de X face à une attaque DDoS — généralement considérée comme une menace relativement basique à ce niveau d’infrastructure — interroge sur les coupes budgétaires dans les équipes techniques depuis le rachat par Musk.

Les DDoS contre les plateformes majeures : une tendance durable

Les attaques DDoS contre des plateformes de communication à forte visibilité sont utilisées comme outils de protestation ou de démonstration de force par des groupes hacktivistes. Leur objectif principal est l’impact médiatique plutôt que le vol de données.

Articles Similaires

Le 3 juin 2024, Synnovis — partenariat entre SYNLAB, le King’s College Hospital NHS Trust et le Guy’s and St Thomas’ NHS Foundation Trust — a été victime d’une attaque ransomware par le groupe Qilin, paralysant les services d’analyses biologiques pour plusieurs grands hôpitaux londoniens du NHS.

Déroulement et ampleur de la perturbation

L’attaque du groupe Qilin a chiffré les systèmes de Synnovis, affectant presque l’intégralité de son infrastructure informatique. Les hôpitaux partenaires — King’s College Hospital, Guy’s et St Thomas’ Hospital, Royal Brompton Hospital, Evelina London Children’s Hospital et d’autres — ont déclaré un état d’incident critique. Dans les 13 premiers jours suivant l’attaque, 1 134 opérations planifiées et 2 194 rendez-vous ambulatoires ont dû être annulés dans les 7 hôpitaux concernés. Une pénurie de sang O-négatif a été provoquée par l’impossibilité d’effectuer les tests de groupage sanguin. Le NHS a lancé des appels urgents aux dons.

Données volées et décès lié à l’attaque

Qilin a exfiltré environ 394,1 Go de données patients sensibles avant de déployer le ransomware. Le 20 juin, le groupe a publié 400 Go de données prétendument volées, incluant noms, dates de naissance, numéros NHS et résultats d’analyses sanguines de plus de 90 000 patients NHS. En juin 2025, le King’s College Hospital NHS Trust a officiellement confirmé que l’attaque avait contribué au décès d’un patient — une des rares fois où un incident ransomware est directement lié à une fatality. Qilin avait exigé une rançon de 50 millions de dollars ; Synnovis a refusé de payer.

Une investigation de 18 mois

L’enquête forensique de Synnovis a duré 18 mois — jusqu’en novembre 2025 — en raison de la nature fragmentée et non structurée des données compromises. CaseMatrix a estimé que les données de plus de 900 000 patients NHS pourraient avoir été exposées. En juin 2026, Mid and South Essex NHS Trust commençait encore à notifier ses patients affectés.

Articles Similaires

Le 12 janvier 2024, Microsoft a détecté une intrusion dans ses systèmes corporate par Midnight Blizzard (APT29/Cozy Bear/Nobelium), groupe de cyberespionnage affilié aux services de renseignement russes (SVR). L’attaque, initiée en novembre 2023, a permis l’accès aux boîtes mail de membres de la direction et des équipes de cybersécurité.

La méthode : password spray sur un compte legacy sans MFA

Les attaquants ont compromis un ancien compte de test non-production (« legacy tenant account ») qui ne bénéficiait pas de l’authentification multi-facteurs. Via une attaque par password spray — technique consistant à tester un petit nombre de mots de passe courants sur un grand nombre de comptes pour éviter les blocages — ils ont obtenu un premier accès fin novembre 2023. À partir de ce compte, ils ont exploité ses permissions OAuth pour accéder aux boîtes mail d’un petit pourcentage de comptes d’entreprise, incluant des membres de l’équipe dirigeante, de l’équipe juridique et de l’équipe de cybersécurité de Microsoft. Des emails et documents joints ont été exfiltrés.

Un objectif de contre-renseignement 

Microsoft a révélé que Midnight Blizzard cherchait principalement à savoir ce que Microsoft savait du groupe lui-même — une opération de contre-renseignement particulièrement audacieuse. En mars 2024, Microsoft a signalé que les attaquants utilisaient les informations exfiltrées pour tenter d’accéder à des dépôts de code source et des systèmes internes. Midnight Blizzard est le même groupe à l’origine de l’attaque SolarWinds de 2020, qui avait compromis plus de 18 000 organisations clientes. Hewlett Packard Enterprise avait également signalé une attaque similaire de ce groupe en décembre 2023.

Les enseignements pour toutes les organisations

Cet incident démontre qu’aucune organisation n’est immunisée contre les acteurs étatiques sophistiqués. Il souligne également le danger des comptes legacy et de test non maintenus — des « portes dérobées » oubliées que les attaquants savent repérer et exploiter. Microsoft a depuis renforcé ses politiques via son « Secure Future Initiative ».

Articles Similaires

En mai 2024, des cybercriminels ont exploité des identifiants clients compromis pour accéder aux environnements Snowflake d’au moins 160 grandes entreprises, dans ce qui constitue l’une des plus grandes séries de fuites de données par compromission de plateforme cloud de l’histoire.

La méthode : credentials volés via infostealers

Snowflake lui-même n’a pas subi de vulnérabilité technique directe. Les attaquants — identifiés comme le groupe UNC5537, également connu sous les noms Scattered Spider ou ShinyHunters — ont utilisé des identifiants volés via des malwares de type infostealer présents sur les machines des employés des entreprises victimes. L’absence de MFA sur ces comptes Snowflake a rendu la compromission triviale. Une fois connectés avec des identifiants légitimes, les attaquants ont pu exfiltrer massivement les données sans déclencher d’alertes. Les données volées ont ensuite été utilisées pour des tentatives d’extorsion.

Des victimes de premier plan

Parmi les entreprises victimes figurent : Ticketmaster/Live Nation (dont les données de millions de clients ont été exposées), Santander Bank, AT&T; (plus de 50 milliards d’enregistrements d’appels), LendingTree, Advance Auto Parts, Neiman Marcus et Bausch Health. L’ampleur de l’incident a déclenché des enquêtes réglementaires dans plusieurs pays et mis en lumière les risques liés à la concentration de données sensibles dans des environnements cloud partagés, notamment lorsque les pratiques de sécurité de base comme le MFA ne sont pas appliquées.

La leçon principale : le MFA comme barrière critique

Cet incident démontre que la sécurité d’une plateforme cloud ne dépend pas uniquement du fournisseur lui-même. Les pratiques de sécurité des utilisateurs — et notamment l’activation du MFA et la protection des postes de travail contre les infostealers — sont tout aussi déterminantes.

Articles Similaires

Le 18 juin 2024, CDK Global, principal fournisseur de logiciels de gestion (DMS) pour les concessionnaires automobiles nord-américains, a subi une attaque ransomware par le groupe BlackSuit, paralysant plus de 15 000 concessions aux États-Unis et au Canada pendant près de deux semaines.

Deux attaques en 24 heures

La première attaque a frappé le 18 juin 2024, forçant CDK Global à mettre ses systèmes hors ligne. Alors que l’entreprise tentait de se remettre, une seconde attaque a eu lieu le 19 juin, forçant à nouveau l’arrêt complet des systèmes. CDK a annoncé à ses clients le 24 juin qu’une interruption temporaire était nécessaire, avec une restauration complète prévue pour le 4 juillet 2024. BlackSuit, groupe ransomware ayant émergé en avril 2023 et considéré comme une évolution du groupe Royal (lui-même lié au syndicat criminel Conti), a initialement exigé une rançon de 10 millions de dollars, montant qui aurait ensuite été réévalué à plus de 50 millions. Des rapports indiquent qu’environ 25 millions de dollars auraient été payés.

Impact opérationnel : 1 milliard de dollars de pertes

Avec CDK hors ligne, plus de 15 000 concessions aux États-Unis et au Canada ont dû revenir aux processus manuels : contrats papier, vérifications manuelles des stocks, déplacements physiques auprès des services DMV (équivalent des préfectures). Les pertes collectives pour les concessionnaires ont été estimées à plus d’1 milliard de dollars par Anderson Economic Group. De grandes chaînes de concessionnaires comme Lithia Motors, Group 1 Automotive, Penske Automotive et Sonic Automotive ont rapporté d’importantes perturbations. Les informations personnelles exposées comprenaient les numéros de sécurité sociale, coordonnées bancaires, numéros de téléphone, adresses et informations de cartes de crédit.

Le risque systémique de la concentration technologique

Cet incident illustre parfaitement le risque de point de défaillance unique (Single Point of Failure) : quand un fournisseur logiciel critique est compromis, l’ensemble de son écosystème de clients est paralysé simultanément. Le fait que BlackSuit ait pu lancer une seconde attaque pendant la phase de récupération démontre l’importance cruciale de sécuriser les processus de restauration.

Articles Similaires