En décembre 2025, les premières informations sur une cyberattaque visant le ministère de l'Intérieur ont fait surface dans la presse. À l'époque, les détails restaient parcellaires : une intrusion, des données compromises, une enquête en cours. Huit mois plus tard, les éléments techniques de l'enquête de l'Office anticybercriminalité (OFAC) ont fuité, transformant cette affaire en un cas d'école complet qui documente presque toutes les erreurs classiques qu'une DSI peut redouter.
Cette affaire n'est pas qu'une curiosité journalistique. C'est une démonstration grandeur nature de comment une chaîne de négligences apparemment anodines BYOD non contrôlé, secrets stockés sur du cloud perso, certificats envoyés par mail avec le mot de passe en clair peut conduire à la compromission de données policières critiques. Si vous travaillez en DSI, vous allez reconnaître des situations qui pourraient arriver chez vous demain.
La sécurité n'est pas une option, c'est une posture. Et cette intrusion le démontre parfaitement.
Le scénario complet : 8 étapes vers la compromission
Étape 1, Vecteur initial (19 septembre 2025) : l'erreur humaine comme porte d'entrée
Tout commence par un agent du ministère de l'Agriculture qui utilise son ordinateur personnel pour accéder à sa messagerie professionnelle. En visitant un faux site de téléchargement, il se fait infecter par l'infostealer Rhadamanthys. Ses identifiants professionnels sont exfiltrés immédiatement, sans qu'aucune alerte ne soit générée.
Ce premier point illustre un problème récurrent : le BYOD (Bring Your Own Device) non contrôlé reste l'un des vecteurs d'attaque les plus efficaces. Sans MDM, sans EDR, sans politique de sécurité appliquée au poste, un seul utilisateur peu vigilant suffit à ouvrir la porte. Les infostealers comme Rhadamanthys sont des outils commerciaux accessibles pour quelques centaines d'euros sur les marchés parallèles, pas besoin de moyens d'État pour les acquérir.
Ce qu'il faut retenir : un seul poste non sécurisé = une porte d'entrée. Si le BYOD est inévitable, imposez un MDM avec chiffrement, un EDR avec détection comportementale, et une segmentation réseau stricte.
Étape 2, Premier rebond : le Google Drive personnel comme coffre-fort improvisé
Une fois les identifiants compromis, les attaquants accèdent au compte Google personnel de l'agent. Problème majeur : il y avait stocké son certificat d'authentification VPN professionnel. La prise de contrôle du compte permet la récupération du certificat, puis la première connexion au réseau du ministère de l'Agriculture.
Cette pratique, aussi surprenante qu'elle puisse paraître, est malheureusement courante. Les utilisateurs stockent des secrets d'entreprise sur des services cloud personnels par commodité, sans mesurer les conséquences. Un certificat VPN, une clé SSH, un mot de passe administrateur : tout se retrouve dans le même espace, accessible depuis n'importe quel appareil compromis.
Ce qu'il faut retenir : jamais, jamais de secrets d'entreprise sur du cloud personnel. Les certificats, mots de passe, clés SSH et autres secrets doivent rester dans des coffres-forts d'entreprise (Hashicorp Vault, Azure Key Vault, AWS Secrets Manager) avec rotation automatique et audit des accès.
Étape 3, Deuxième rebond : la passerelle inter-ministérielle (9 novembre 2025)
En explorant le réseau du ministère de l'Agriculture, les attaquants découvrent une passerelle vers le ministère de l'Intérieur. Pendant près d'un mois, ils cartographient l'architecture, dont les serveurs de la DGPN (Direction Générale de la Police Nationale). Aucune détection, aucune alerte.
Ce cloisonnement insuffisant entre réseaux sensibles est un problème structurel. Les passerelles inter-ministérielles sont souvent conçues pour la commodité opérationnelle, pas pour la sécurité. Sans supervision des flux, sans journalisation détaillée, sans détection d'anomalies, elles deviennent des autoroutes pour les attaquants.
Ce qu'il faut retenir : le cloisonnement entre réseaux sensibles doit être accompagné d'une supervision active. Chaque flux inter-réseaux doit être loggué, analysé, et alerté en cas de comportement anormal (volumes inhabituels, horaires décalés, protocoles inattendus).
Étape 4, Escalade : exploitation d'un outil interne vulnérable
Les attaquants exploitent ensuite une vulnérabilité sur un outil interne du ministère de l'Intérieur, accessible via un simple navigateur. Cette faille leur permet de prendre le contrôle de comptes de gestionnaires de messagerie, puis de forcer des réinitialisations de mots de passe pour des comptes d'enquêteurs de police.
Les applications web internes sont souvent les maillons faibles. Développées en interne, parfois sans revue de sécurité, elles échappent aux processus classiques de gestion des vulnérabilités. Une seule faille, injection SQL, XSS, authentification bypass, suffit à donner accès à des comptes à privilèges.
Ce qu'il faut retenir : une seule faille web = accès aux comptes à privilèges. Intégrez la sécurité dès la conception (DevSecOps), réalisez des audits de code réguliers, et appliquez le principe du moindre privilège même pour les outils internes.
Étape 5, Le point critique : certificats + mots de passe en clair
Lors de l'analyse des boîtes mail compromises, les enquêteurs ont découvert l'impensable : des certificats VPN envoyés en pièces jointes, avec les mots de passe associés écrits en clair dans le corps du message. Cette pratique, digne des années 90, a été observée dans plusieurs échanges entre administrateurs.
Ce point est sans doute le plus difficile à comprendre pour un professionnel de la sécurité. Comment, en 2025, dans un ministère sensible, peut-on encore envoyer des secrets par mail sans chiffrement, sans expiration, sans canal sécurisé ? La réponse tient en trois mots : culture, formation, processus. Sans une culture de la sécurité ancrée, sans formation régulière, sans processus contraignants, les mauvaises pratiques persistent.
Ce qu'il faut retenir : si vos secrets circulent en clair par mail, vous avez déjà perdu. Mettez en place des canaux sécurisés avec expiration automatique (One-Time Secret, encrypted pastebin), des solutions de partage de fichiers chiffrés, et formez vos équipes à ne jamais transiger sur ce point.
Étape 6, Impact final : données policières exfiltrées
Une fois dans les systèmes, les attaquants accèdent au portail métier Cheops et extraient :
- 23 fiches et 3 000 éléments du FPR (Fichier des Personnes Recherchées), dont des fiches J/S (sûreté de l'État, terrorisme)
- 72 fiches et plusieurs dizaines de milliers de sommaires du TAJ (Traitement des Antécédents Judiciaires)
- Une fiche Interpol
- Consultation de plusieurs procédures judiciaires en cours, dont des dossiers de cybercriminalité
L'impact n'est pas que technique. Il est opérationnel, judiciaire, et potentiellement humain. Des fiches de personnes recherchées compromises, des procédures en cours exposées, des identités d'enquêteurs révélées : les conséquences peuvent s'étendre sur des années.
Ce qu'il faut retenir : l'impact d'une intrusion ne se mesure pas en nombre de lignes de logs, mais en nombre de vies potentiellement affectées. La classification des données, le chiffrement au repos, et la supervision des accès aux données sensibles sont non négociables.
Étape 7, Détection : trop tardive (5 décembre 2025)
Le signalement (article 40) arrive le 5 décembre, soit deux mois et demi après la compromission initiale. La détection vient d'une activité anormale sur des boîtes mail, pas d'une supervision proactive. Deux mois et demi, c'est énorme : selon le rapport Cost of a Data Breach 2025 d'IBM, le délai moyen de détection (MTTD) est de 204 jours, mais les organisations matures le réduisent à moins de 30 jours.
Cette détection tardive s'explique par plusieurs facteurs : absence de supervision des comptes à privilèges, pas de détection comportementale sur les flux VPN, journalisation insuffisante des accès aux portails métiers. Sans UEBA (User and Entity Behavior Analytics), sans corrélation des logs, sans alertes automatisées, les attaquants ont tout le temps d'opérer.
Ce qu'il faut retenir : sans supervision des comptes à privilèges et des flux VPN, vous ne verrez rien venir. Mettez en place de la détection comportementale, corrèlez les logs de tous les systèmes critiques, et définissez des seuils d'alerte réalistes.
Étape 8, Attribution : un coup de bol opportuniste
Un suspect a été interpellé (loueur de serveur), mais les commanditaires restent inconnus. La piste privilégiée : des représailles suite à l'arrestation de membres présumés de ShinyHunters en juin 2025. ShinyHunters est un groupe de cybercriminels connu pour ses attaques contre des entreprises du luxe, de la tech, et des institutions gouvernementales.
Cette affaire montre qu'une intrusion majeure ne nécessite pas toujours des moyens d'État. Un infostealer à quelques centaines d'euros, un utilisateur peu vigilant, et des secrets mal protégés suffisent. Parfois, ce n'est pas une attaque ciblée de haut niveau, juste un opportuniste qui a trouvé une porte ouverte.
Ce qu'il faut retenir : ne sous-estimez jamais la menace opportuniste. La majorité des attaques réussies ne sont pas le fait d'APT sophistiqués, mais d'acteurs qui exploitent des négligences basiques.
Mapping MITRE ATT&CK : les techniques utilisées
Le framework MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) permet de modéliser les attaques en termes de tactiques et techniques observables. Voici le mapping complet de cette intrusion dans le ministère de l'Intérieur :
| Tactique | Technique | ID MITRE | Description |
|---|---|---|---|
| Initial Access | External Remote Services | T1133 | Utilisation de VPN avec certificats volés pour accéder au réseau |
| Credential Access | Steal or Forge Authentication Certificates | T1649 | Vol du certificat VPN stocké sur Google Drive |
| Credential Access | Credentials from Password Stores | T1555 | Infostealer Rhadamanthys exfiltrant les identifiants |
| Lateral Movement | Valid Accounts | T1078 | Utilisation de comptes légitimes pour se déplacer entre ministères |
| Privilege Escalation | Exploitation of Vulnerable Applications | T1203 | Exploitation d'un outil interne vulnérable via navigateur |
| Discovery | Network Service Discovery | T1046 | Cartographie de l'architecture DGPN pendant un mois |
| Collection | Data from Information Repositories | T1213 | Extraction de données depuis les portails métiers (Cheops, TAJ, FPR) |
| Exfiltration | Exfiltration Over C2 Channel | T1041 | Exfiltration des fiches policières via le canal de commandement |
Schémas de la chaîne de compromission
Conclusion : cette cyberattaque vous concerne
Cette affaire de piratage du ministère de l'Intérieur montre qu'une intrusion majeure ne nécessite pas toujours des moyens d'État. Un infostealer à quelques centaines d'euros, un utilisateur peu vigilant, et des secrets mal protégés suffisent.
Chez vous, où sont stockés vos certificats VPN ? Qui a accès aux portails métiers critiques ? Comment détectez-vous une connexion anormale ?
Si vous n'avez pas de réponses claires, c'est par là qu'il faut commencer.
0 commentaire