🙋♂️Introduction
La semaine du 9 mars 2026 confirme une tendance lourde : la cybersécurité est devenue un enjeu systémique, touchant à la fois les États, les entreprises et les citoyens. Entre fuites de données massives, nouvelles vulnérabilités critiques et montée en puissance des attaques automatisées, l’écosystème cyber reste sous forte tension.
🗼Zoom France
1- Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002)
Le rapport publié par l’ANSSI dresse un état des lieux des principales menaces cyber observées en 2025 en France et à l’international. Il met en évidence une intensification des cyberattaques dans un contexte de tensions géopolitiques, ainsi qu’une évolution des méthodes utilisées par les cybercriminels et les acteurs étatiques :
1. Intensification des cyber opérations liées aux tensions géopolitiques
Les activités d’espionnage et de sabotage menées par des acteurs liés à des États continuent d’augmenter. Des groupes associés aux services de renseignement russes et chinois ont été particulièrement actifs, ciblant notamment des entités diplomatiques et des infrastructures sensibles en Europe.
Par exemple, une campagne menée en 2025 par le cluster RedDelta, lié au groupe Mustang Panda, a visé plusieurs organisations diplomatiques européennes, dont certaines en France.
Ces opérations visent principalement la collecte de renseignement stratégique, mais peuvent aussi préparer des actions de sabotage.
2. Sabotage numérique et attaques contre les infrastructures
Le rapport souligne la persistance d’attaques destructrices dans le contexte de la guerre en Ukraine. Certains groupes liés à la Russie, comme Sandworm, continuent d’utiliser des logiciels malveillants destructeurs (wipers) pour perturber des infrastructures critiques.
Les attaquants cherchent souvent à exploiter des équipements exposés sur Internet, notamment des équipements réseau ou des systèmes industriels vulnérables, afin de pénétrer les réseaux et se déplacer latéralement.
3. Multiplication des attaques de déstabilisation et de hacktivisme
Les attaques visant à perturber des organisations ou à diffuser un message politique se multiplient.
Les méthodes les plus fréquentes restent :
- attaques par déni de service distribué (DDoS)
- défiguration de sites web
- fuites ou exfiltration de données
Même si ces attaques ont souvent un impact limité sur les systèmes, elles sont utilisées pour nuire à l’image des organisations ciblées ou amplifier des tensions géopolitiques.
Les groupes hacktivistes s’attaquent également à des petites infrastructures industrielles mal sécurisées, par exemple des installations d’énergie renouvelable dont les interfaces de gestion sont exposées sur Internet.
4. Évolution du cybercrime : moins de ransomware, plus d’exfiltration de données
Le rapport met en évidence une évolution des modèles d’attaque cybercriminels.
On observe notamment :
- une baisse relative de l’utilisation de rançongiciels,
- une augmentation des attaques reposant uniquement sur le vol et la diffusion de données.
Dans ces campagnes, les cybercriminels privilégient parfois l’extorsion basée sur la fuite de données plutôt que le chiffrement des systèmes.
5. Une menace durable pour la France
L’ANSSI souligne que la France reste une cible importante en raison de plusieurs facteurs :
- son rôle diplomatique et stratégique en Europe
- son soutien à l’Ukraine
- l’organisation d’événements politiques ou internationaux à venir (élections, présidence du G7, etc.).
Les acteurs malveillants pourraient exploiter ces contextes pour mener des campagnes d’influence, d’espionnage ou de sabotage numérique.
✅ En résumé :
Le panorama 2025 de l’ANSSI montre une cybermenace toujours plus complexe et géopolitisée. Les opérations d’espionnage étatiques restent très actives, les attaques de déstabilisation (DDoS, hacktivisme) se multiplient et le cybercrime évolue vers des stratégies d’extorsion basées sur l’exfiltration de données plutôt que sur le ransomware. La France demeure une cible privilégiée dans cet environnement numérique de plus en plus conflictuel.
(sources : cert.ssi.gouv.fr)
2- Les cybercriminels sont des « menteurs » selon l’ANSSI
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a publié son Panorama de la cybermenace 2025, qui met en lumière une tendance surprenante : de nombreuses cybercriminels annoncent des « fuites de données massives » qui s’avèrent souvent être des bluff ou des reprises de données déjà divulguées.
📈 Des revendications très supérieures aux faits
En 2025, 196 incidents de fuite ou exfiltration de données ont été signalés à l’ANSSI, mais après enquête, seulement 80 de ces revendications ont pu être confirmées comme des fuites réelles. Cela signifie qu’une majorité des annonces relayées sur des forums cybercriminels n’étaient pas avérées.
Selon l’ANSSI, ce phénomène s’explique par une stratégie délibérée : certains attaquants sur‑annonce ou gonflent leurs revendications pour attirer l’attention, faire monter les enchères ou exercer une pression médiatique sur leur victime.
♻️ Bluffs, recyclages et données déjà publiées
L’agence précise que près de 60 % des prétendues fuites ne correspondaient à aucun incident de sécurité récent : il pouvait s’agir de bluff, de données déjà publiées lors d’anciennes fuites ou de morceaux de bases déjà connus qui sont ensuite présentés comme de nouvelles exfiltrations.
Ce qui renforce l’idée que la médiatisation et la réputation cybercriminelle sont devenues des leviers aussi importants que l’attaque elle‑même dans certains cas.
💥 Impact concret pour les victimes malgré l’absence de fuite
Même lorsqu’une fuite n’est pas confirmée, la revendication peut avoir des conséquences réelles :
- impact réputationnel sur l’entreprise ou l’organisation ciblée,
- mobilisation des équipes internes,
- inquiétude des clients ou partenaires,
- coûts opérationnels importants pour analyser et répondre à la menace.
L’ANSSI alerte sur le fait que ces faux positifs peuvent épuiser les ressources des équipes cybersécurité, qui doivent malgré tout investiguer chaque signalement.
📝 Contexte global de la menace cyber en 2025
Le vol de données reste toutefois une menace importante, représentant environ 15 % des incidents traités par l’ANSSI en 2025. Sur l’ensemble des incidents de cybersécurité enregistrés (plus de 1 300 cette année‑là), beaucoup impliquent des tentatives d’exfiltration ou de fuite, même si elles ne sont pas toujours avérées.
L’ANSSI note aussi que les modes opératoires évoluent : l’exfiltration de données sans rançongiciel devient fréquente et sert souvent de moyen de pressurisation ou d’extorsion — même lorsque la fuite annoncée n’est pas réelle.
✅ En résumé :
- En 2025, 196 incidents de fuites de données ont été signalés, mais seulement 80 ont été réellement confirmés par l’ANSSI.
- Cela souligne le bluff ou le recyclage de données déjà connues dans de nombreuses annonces cybercriminelles.
- Même de fausses revendications peuvent engendrer des conséquences concrètes pour les organisations visées (réputation, mobilisation de ressources, anxiété chez les victimes).
- L’ANSSI recommande d’aborder ces annonces avec prudence et de privilégier les investigations techniques avant de tirer des conclusions.
(sources : usine-digitale.fr, solutions-numeriques.com, lemondeinformatique.fr, cyber.gouv.fr)
3- Les limitations de la portée juridique du SecNumCloud
Je vous parlais de cette certification il y a quelques semaines, pour laquelle j’ai également rédigé un article ici, souvent présentée comme un label de « cloud souverain », SecNumCloud a en réalité une portée juridique plus limitée qu’on ne le pense.
⚖️ 1. Une certification avant tout technique… mais aussi juridique
SecNumCloud est une qualification délivrée par ANSSI visant à garantir un haut niveau de sécurité pour les services cloud.
👉 Elle impose notamment :
- des exigences techniques (chiffrement, cloisonnement),
- des exigences opérationnelles,
- et des contraintes juridiques, comme l’application du droit européen.
🎯 Objectif : limiter les risques liés aux lois extraterritoriales (ex : Cloud Act américain).
⚠️ 2. Mais SecNumCloud n’est pas un “bouclier juridique absolu”
L’article insiste sur un point clé :
👉 la certification ne garantit pas totalement l’immunité face aux lois étrangères.
Même si elle réduit fortement les risques :
- elle repose sur des montages juridiques et organisationnels complexes,
- et elle n’empêche pas à 100 % une contrainte légale étrangère dans certains cas.
💡 En clair : c’est une réduction du risque, pas une suppression totale.
🏛️ 3. Une confusion fréquente entre “souveraineté” et réalité juridique
Le discours politique et marketing tend à présenter SecNumCloud comme :
➡️ une garantie de souveraineté numérique
Mais en pratique :
- la souveraineté dépend aussi de l’actionnariat, des technologies utilisées et des dépendances,
- certaines offres dites “de confiance” reposent encore sur des technologies étrangères.
Cela crée un écart entre perception et réalité.
📜 4. La responsabilité reste côté client
Point souvent mal compris : utiliser un cloud SecNumCloud ne transfère pas la responsabilité juridique.
Les organisations restent responsables :
- de la conformité RGPD,
- de la gestion des données,
- des risques juridiques.
La certification est une aide à la conformité, pas une garantie automatique.
🇪🇺 5. Un cadre appelé à évoluer (EUCS)
L’article souligne enfin que SecNumCloud pourrait être :
- remplacé ou complété par une certification européenne (EUCS),
- ce qui pourrait harmoniser les règles au niveau de l’UE.
Mais cela soulève des tensions entre :
- exigences de souveraineté,
- et intérêts des grands fournisseurs internationaux.
✅ Conclusion
SecNumCloud est un outil de confiance puissant, mais pas une protection juridique absolue, et pour résumer, c’est :
- ✔️ un référentiel exigeant (technique + juridique),
- ✔️ un levier de souveraineté,
- ❌ mais pas une garantie totale contre les lois extraterritoriales ni contre les risques juridiques.
En pratique, il faut le voir comme une brique dans une stratégie globale de gestion des risques, et non comme une solution miracle.
(sources : lemondeinformatique.fr, cert.ssi.gouv.fr, diplomatie.gouv.fr)
🌍Zoom International
1- Cyberattaque contre Stryker attribuée à un groupe lié à l’Iran
Le fabricant américain d’équipements médicaux Stryker, basé dans le Michigan, a subi le 11 mars 2026 une cyberattaque majeure qui a perturbé une partie de ses systèmes informatiques à l’échelle mondiale. L’entreprise a indiqué dans un document transmis aux autorités américaines que l’incident avait entraîné des limitations d’accès à certains systèmes internes, sans pouvoir encore préciser quand le fonctionnement normal serait totalement rétabli.
👨🏻💻 Un groupe de hackers lié à l’Iran revendique l’attaque
La cyberattaque a été revendiquée par Handala, un groupe de hackers considéré par plusieurs experts comme proche des services de renseignement iraniens. Le groupe a annoncé sur Telegram être responsable de l’attaque et a affirmé qu’elle constituait une représaille contre des frappes militaires américaines et israéliennes en Iran.
Selon des témoignages d’employés, le logo du groupe est apparu sur les écrans de connexion de certains systèmes internes de l’entreprise lors de l’attaque.
📉 Perturbation des systèmes mais pas de ransomware
L’attaque a provoqué une perturbation importante du réseau informatique mondial de Stryker, qui emploie environ 56 000 personnes dans 61 pays.
Toutefois, l’entreprise a déclaré ne disposer d’aucune preuve d’utilisation de ransomware ou de malware, ce qui laisse penser que l’objectif principal pourrait être la perturbation des systèmes ou la destruction de données plutôt qu’une demande de rançon.
Certaines sources indiquent que des appareils professionnels (ordinateurs ou téléphones) auraient été temporairement désactivés, ce qui a empêché des employés d’accéder à leurs outils de travail.
🏛️ Un contexte de tensions géopolitiques
Des experts en cybersécurité estiment que cette attaque s’inscrit dans un contexte de tensions croissantes entre l’Iran, les États-Unis et leurs alliés, où les cyberattaques sont utilisées comme moyen de représailles.
Selon certains analystes, les groupes liés à l’Iran sont connus pour mener des opérations de sabotage numérique ou de destruction de données, notamment contre des entreprises occidentales ou des infrastructures critiques.
💲 Impact économique immédiat
L’annonce de la cyberattaque a eu un impact financier immédiat : l’action de Stryker a chuté d’environ 3 à 3,6 % en bourse après la publication des premières informations sur l’incident.
✅ En résumé :
Le groupe iranien Handala a revendiqué une cyberattaque ayant perturbé les systèmes informatiques du fabricant américain d’équipements médicaux Stryker. Bien qu’aucun ransomware n’ait été détecté, l’incident a provoqué une interruption partielle des opérations et fait chuter le cours de l’action de l’entreprise. Les experts y voient une attaque potentiellement liée aux tensions géopolitiques actuelles et aux cyber-représailles entre États.
(sources : reuters.com, theguardian.com, nypost.com)
2- ShinyHunters s’en prend de nouveau aux clients ded SalesForce
Le groupe ShinyHunters a relancé une campagne d’attaques visant les clients de Salesforce, en particulier ceux utilisant Experience Cloud.
Le point clé :
- les attaques n’exploitent pas une faille technique “pure”,
- mais des mauvaises configurations côté client, notamment des accès “invités” trop permissifs.
🔓 Exploitation de mauvaises configurations (guest access)
Les attaquants ciblent des portails publics :
- comptes invités avec droits excessifs,
- accès à des API exposées.
Ils utilisent pour cela :
- une version modifiée d’outils comme AuraInspector,
- pour scanner automatiquement les environnements et extraire les données.
Résultat : accès à des données CRM sans authentification dans certains cas.
📊 Une campagne massive et industrialisée
Selon plusieurs sources :
- jusqu’à 400 sites compromis,
- environ 100 grandes organisations ciblées,
- attaque menée depuis plusieurs mois.
Les données volées incluent :
- noms,
- numéros de téléphone,
- informations clients.
Ces données sont ensuite utilisées pour :
- phishing,
- vishing (fraude téléphonique),
- extorsion.
🧠 Une continuité d’attaques contre l’écosystème Salesforce
L’article s’inscrit dans une série d’attaques menées par ShinyHunters depuis 2025 :
- vol de tokens OAuth et accès à des centaines d’instances,
- campagnes d’ingénierie sociale (faux support IT),
- exfiltration massive de données (jusqu’à 1,5 milliard d’enregistrements revendiqués).
Cela montre une stratégie claire : cibler les intégrations SaaS et les erreurs de configuration plutôt que les vulnérabilités zero-day.
🏢 Position de Salesforce
De son côté, Salesforce affirme :
- qu’il ne s’agit pas d’une faille de la plateforme,
- mais d’un problème de configuration client.
L’éditeur recommande :
- audit des comptes invités,
- restriction des accès publics,
- surveillance des logs.
✅ Conclusion
L’article met en lumière une tendance majeure : les attaques modernes ciblent de plus en plus la mauvaise configuration plutôt que les vulnérabilités techniques.
Dans ce cas précis :
- ✔️ le cloud (Salesforce) n’est pas directement “cassé”,
- ❌ mais son mauvais usage crée la faille.
ShinyHunters illustre parfaitement cette évolution vers :
- des attaques scalables et automatisées,
- exploitant l’erreur humaine et organisationnelle.
(sources : lemondeinformatique.fr, techradar.com, incyberg.org, itpro.com)
3- Intégration native de Splunk dans la console Nexus One de Cisco
Cisco annonce une évolution majeure : l’intégration native de Splunk directement dans sa console Nexus One.
Contrairement aux intégrations classiques :
- ❌ ce n’est pas un simple export de logs ou une API,
- ✔️ Splunk est embarqué au cœur de l’architecture réseau.
👉 Cela marque un changement de paradigme dans la gestion réseau.
📊 Objectif : observabilité temps réel et centralisée
Cette intégration permet :
- de collecter des données réseau (logs, métriques, anomalies),
- de les analyser en temps réel directement sur l’infrastructure,
- et de les corréler automatiquement.
Résultat :
- vision unifiée de l’état du réseau,
- tableaux de bord prêts à l’emploi (santé, inventaire, incidents),
- meilleure compréhension des incidents complexes.
⚡ Gains opérationnels majeurs
L’article met en avant plusieurs bénéfices clés :
- ✔️ Réduction du temps de résolution (MTTR)
- corrélation automatique entre événements réseau et incidents,
- identification plus rapide des causes racines.
- ✔️ Automatisation et analyse avancée
- analytics prédictif,
- gestion intelligente des incidents,
- automatisation des réponses.
- ✔️ Moins de complexité
- fin du “swivel chair” (multiplication des outils),
- interface unique pour NetOps et SecOps.
🔐 Enjeux cybersécurité et souveraineté
Un point important (souvent peu mis en avant) : les données peuvent être traitées localement (on-premise) sans être envoyées dans le cloud.
Cela permet :
- de répondre aux exigences de conformité (RGPD, secteurs régulés),
- de limiter les risques liés à la fuite de données.
💰 Réduction des coûts et efficacité
L’intégration native évite :
- l’envoi massif de logs vers des plateformes externes,
- les coûts de stockage et de transfert.
L’analyse est faite au plus près de la source, ce qui :
- améliore les performances,
- réduit les coûts d’observabilité.
🤝 Convergence NetOps / SecOps
Un point stratégique :
Splunk devient un langage commun entre :
- équipes réseau (NetOps),
- équipes sécurité (SecOps).
Cela permet :
- de détecter plus rapidement les incidents,
- de croiser anomalies réseau et signaux de compromission.
🧩 Mise en perspective
Cette annonce s’inscrit dans une stratégie globale de Cisco :
- rachat de Splunk en 2024 (~28 milliards $),
- intégration progressive dans tout l’écosystème (XDR, observabilité, réseau).
Objectif : créer une plateforme unifiée réseau + sécurité + observabilité.
✅ Conclusion
Cela met en lumière une évolution importante du marché :
On passe d’un modèle où le réseau produit des données à un modèle où le réseau analyse lui-même ses données en temps réel.
Cette intégration :
- ✔️ améliore fortement la visibilité et la détection d’incidents,
- ✔️ rapproche les équipes réseau et sécurité,
- ✔️ réduit coûts et latence,
- ❗ mais renforce aussi la dépendance à un écosystème intégré (Cisco + Splunk).
En résumé : Cisco transforme son infrastructure réseau en plateforme d’observabilité et de cybersécurité embarquée.
(sources : lemondeinformatique.fr, networkworld.com, blogs.cisco.com)
🎯 Conclusion
Cette semaine illustre parfaitement la mutation du paysage cyber : des attaques plus nombreuses, plus rapides et plus accessibles, combinées à une dépendance croissante des sociétés au numérique. La France, particulièrement exposée, doit faire face à des menaces à la fois techniques, humaines et géopolitiques. Dans ce contexte, la cybersécurité n’est plus seulement un enjeu IT, mais un pilier central de la résilience nationale et économique.
