Recouper,vérifier,comprendre.

La société de sécurité Darktrace a publié cette semaine l’analyse d’un incident survenu en juillet 2026 sur le réseau d’une entreprise de la zone Europe-Moyen-Orient-Afrique : un salarié a téléchargé et exécuté un fichier présenté comme l’installeur Windows de Gemini, l’assistant d’IA de Google, qui a en réalité déposé Vidar, un logiciel voleur de mots de passe, de cookies et de données de navigateur. Le procédé n’a rien de sophistiqué techniquement, mais son point d’entrée mérite attention : l’attaque n’est pas partie d’un courriel piégé mais d’une simple recherche en ligne, et le fichier était hébergé sur Google Colab, un service légitime de Google destiné aux développeurs et aux chercheurs, ce qui rendait le téléchargement crédible. C’est le même ressort que la fausse page de téléchargement de Claude hébergée sur le domaine d’Anthropic, que nous avons rapportée le 25 juillet, et que les campagnes de mars visant les outils en ligne de commande de Gemini et de Claude : les attaquants n’imitent plus seulement les marques, ils empruntent les plateformes légitimes de ces marques.

Le 20 août 2026, la société néerlandaise ThreatFabric a documenté un logiciel malveillant Android baptisé Manic, actif depuis février et visant des utilisateurs en Ukraine et dans plusieurs pays européens. Il cible plus de 160 applications de banque, de paiement, de portefeuilles de cryptomonnaies, d’identité électronique, de messagerie et d’authentification, et fonctionne en abusant des services d’accessibilité d’Android, ces fonctions conçues pour les personnes handicapées : il superpose un calque transparent sur le clavier numérique d’une application légitime, enregistre les frappes et les rejoue, si bien que l’application continue de fonctionner normalement pendant que le code confidentiel est capturé. Sa particularité tient à son mécanisme de repli : lorsque le téléphone infecté ne peut pas joindre le serveur des attaquants, il chiffre les données volées et cherche un autre appareil contaminé à portée de Wi-Fi Direct ou de Bluetooth pour les faire transiter, en plusieurs sauts si nécessaire. Autrement dit, couper la connexion d’un téléphone compromis ne suffit pas à empêcher la fuite. Les conseils des chercheurs valent pour tout le monde : ne pas installer d’application Android en dehors des boutiques officielles, refuser les autorisations d’accessibilité à toute application qui n’en a pas un besoin évident, et lancer régulièrement une analyse Play Protect.

Le 19 août 2026, cinq agences fédérales américaines, dont la NSA, le FBI, la CISA, le département de l’Énergie et l’agence de l’environnement, ont publié un avis conjoint décrivant une menace active contre les automates programmables Siemens de la série S7, ces petits ordinateurs industriels qui commandent pompes, vannes et machines dans les usines, les stations d’épuration et les centrales. Le point notable est le mode opératoire : selon l’avis, les attaquants combinent des bibliothèques libres d’automatisation industrielle avec des scripts d’exploitation générés par intelligence artificielle, déguisés en outils de supervision légitimes, pour obtenir un accès en lecture et en écriture à la mémoire et aux programmes des automates exposés sur internet, repérés au moyen de services publics de balayage du réseau. Les agences écrivent qu’il ne s’agit pas d’un risque théorique mais d’une menace active, visant en priorité l’industrie, l’énergie, l’eau et l’assainissement, la chimie et l’agroalimentaire, et précisent que le ciblage dépasse la seule marque Siemens. L’avis ne désigne aucun État ni aucun groupe, même si des acteurs liés à l’Iran sont soupçonnés dans les attaques récentes contre des réseaux d’eau américains dont nous parlions les 31 juillet et 11 août.