En 2025, les grandes puissances ont mené des campagnes de cyber-espionnage d'une sophistication sans précédent. APT40 (Chine) a compromis des infrastructures critiques américaines. Sandworm (Russie) a ciblé les réseaux énergétiques ukrainiens. APT34 (Iran) a infiltré des réseaux gouvernementaux du Moyen-Orient. Bilan chiffré et analytique d'une guerre dans l'ombre.
La Géographie du Cyber-Espionnage
L'attribution est difficile mais les agences occidentales documentent désormais avec précision les groupes APT (Advanced Persistent Threat) étatiques. Cinq grandes puissances mènent des opérations offensives systématiques : Chine, Russie, Iran, Corée du Nord, et dans une moindre mesure les États-Unis eux-mêmes (via NSA/CYBERCOM).
| APT | Pays | Cibles principales | Méthode signature |
|---|---|---|---|
| Volt Typhoon | Chine | Infra. critiques US/alliés | Living-off-the-land, furtivité |
| APT40 | Chine | Maritime, R&D, gouvernements | Spear-phishing, zero-days |
| Sandworm | Russie | Ukraine, énergie, élections | Wiper malware, SCADA |
| Cozy Bear | Russie | Gouvernements, think-tanks | Supply chain, OAuth |
| APT34 | Iran | Moyen-Orient, pétrole | Phishing, credential harvest |
| Lazarus | Corée du Nord | Crypto, banques | Theft crypto, supply chain |
Volt Typhoon : La Menace Pré-Positionnée
Le cas Volt Typhoon illustre l'évolution de la doctrine chinoise. Contrairement aux APT traditionnels qui cherchent à exfiltrer des données, Volt Typhoon s'installe dans les réseaux d'infrastructures critiques et attend. L'objectif n'est pas l'espionnage, c'est la préparation d'opérations perturbatrices en cas de crise militaire autour de Taïwan. Détecté dans les réseaux de Guam (base militaire stratégique US) et de plusieurs ports côtiers américains.
Sandworm et l'Ukraine : Cyberguerre en Temps Réel
L'Ukraine est le laboratoire de la cyberguerre moderne. Sandworm (GRU, unité 74455) a mené des centaines d'opérations : coupures d'électricité (2015, 2016), système ferroviaire (2022), réseaux logistiques militaires (2023-2026). Les Ukrainiens ont développé une défense cyber remarquable avec le soutien de Microsoft, Google et des alliés OTAN, transformant l'Ukraine en prototype de résilience nationale cyber.
Lazarus : l'Espionnage au Service du Vol
La Corée du Nord occupe une place à part dans le paysage des APT. Faute de ressources, Pyongyang a transformé son appareil cyber en machine à financer le régime. Le groupe Lazarus et ses satellites ont dérobé des milliards de dollars en cryptomonnaies, pillé des banques via le réseau interbancaire et blanchi le produit à travers des mixeurs et des plateformes complaisantes. L'argent volé alimente directement les programmes balistique et nucléaire. C'est une première historique : un État qui finance ses missiles par le cybercrime, en contournant des sanctions qui l'asphyxient.
La Chaîne d'Approvisionnement : le Maillon Faible
Les attaques les plus dévastatrices ne visent plus la cible directement, mais ses fournisseurs. En compromettant un logiciel largement déployé, un attaquant atteint d'un coup des milliers d'organisations. SolarWinds, en 2020, a donné à Cozy Bear un accès discret à des agences américaines et à de grandes entreprises pendant des mois. Le même principe vaut pour les bibliothèques open source, les prestataires informatiques et les mises à jour automatiques. Cette dépendance en cascade fait de la chaîne d'approvisionnement logicielle la plus grande vulnérabilité systémique du monde numérique.
La Défense : Résilience et Traque Avancée
Face à cette menace permanente, la doctrine occidentale a évolué. Plutôt que d'attendre l'intrusion, les agences pratiquent la traque avancée, le hunt forward : des équipes déployées chez des alliés pour débusquer les implants adverses avant qu'ils ne frappent. Le partage de renseignement entre États et éditeurs, la divulgation coordonnée des campagnes et la résilience par la redondance deviennent la norme. L'Ukraine, en migrant ses données critiques vers le cloud sous les bombes, a montré qu'une nation pouvait survivre numériquement à une guerre totale. La cyberdéfense n'empêche pas l'intrusion : elle vise à en limiter la portée et à en raccourcir la durée.
L'Attribution : la Guerre des Preuves
Désigner publiquement un coupable est devenu une arme en soi. L'attribution d'une cyberattaque à un État mêle analyse technique, renseignement et calcul diplomatique : elle permet de sanctionner, d'inculper, d'expulser, mais expose aussi les méthodes de détection. Les agences occidentales ont professionnalisé cet exercice, publiant des avis détaillés qui nomment les groupes et exposent leurs outils. L'adversaire s'adapte, change d'infrastructure, imite parfois les signatures d'un rival pour brouiller les pistes. Dans le cyberespace, la certitude absolue n'existe pas : l'attribution est un jugement de probabilité, et chaque camp exploite le doute de l'autre.
DÉBAT
La cyberguerre est la nouvelle guerre froide : Elle permet d'infliger des coûts à l'adversaire sous le seuil de la riposte cinétique.
Les normes de comportement responsable en cyberespace peuvent fonctionner : Les accords US-Chine de 2015 sur l'espionnage industriel ont partiellement réduit certaines activités.
** : L'espionnage et le pré-positionnement continuent, mais la communauté internationale développe progressivement un cadre de normes, fragile, contesté, mais existant.
CHRONOLOGIE
- 2010 : Stuxnet, première cyberarme d'État confirmée (US-Israël vs Iran)
- 2014 : APT28 compromet les réseaux du Parti démocrate américain
- 2016 : Sandworm coupe l'électricité à Kiev
- 2017 : NotPetya, dommages 10 Md$, attribué à Sandworm/Russie
- 2020 : SolarWinds, compromission supply chain par Cozy Bear
- 2021 : Hafnium (Chine) compromet 250 000 serveurs Exchange
- 2024 : Volt Typhoon dans les ports et gazoducs US
- 2026 : FBI/CISA, avis conjoint sur infiltration infrastructures critiques