Une vaste opération de cyberespionnage, attribuée au groupe APT29 lié aux services de renseignement russes, a été mise en lumière par l'entreprise française Sekoia. Cette campagne exploite des vulnérabilités sur les téléphones portables en utilisant la technique dite du « point d'eau » pour dérober des informations sensibles.
Le mécanisme d'infection par « point d'eau »
La stratégie employée, baptisée « watering hole », consiste à compromettre des sites web légitimes et fréquemment consultés par des cibles précises. En y injectant un code malveillant, les attaquants parviennent à infecter les terminaux des visiteurs. Selon les analystes de Sekoia, cette méthode permet d'exfiltrer des données à un instant T, comme des cookies de navigation ou des mots de passe Wi-Fi, sans nécessairement installer de virus persistant sur l'appareil. L'attaque tire profit de failles de sécurité présentes dans d'anciennes versions d'applications mobiles.
Cibles diplomatiques et géographie des attaques
L'opération ne semble pas viser le grand public, mais plutôt des profils à haute valeur stratégique. Les sites piégés incluent des plateformes aux États-Unis, en Bulgarie, en Ukraine et en République tchèque. Les attaquants ont également déployé des sites miroirs imitant des portails légitimes, notamment celui d'un hôtel britannique. L'un des vecteurs d'attaque les plus significatifs a été un opérateur ukrainien dont les outils de suivi sont intégrés à des milliers de sites web, suggérant une volonté de collecter des informations sur des délégations diplomatiques et des personnalités de premier plan.
L'implication du groupe APT29
Sekoia attribue cette campagne au groupe APT29 avec un niveau de confiance élevé, le liant directement au Service des renseignements extérieurs russes (SVR). Cette activité s'inscrit dans une tendance plus large documentée par les autorités de cybersécurité, dont l'ANSSI en France, qui observent une multiplication des attaques étatiques exploitant les vulnérabilités des terminaux mobiles. Si le nombre exact de victimes reste difficile à quantifier précisément, l'entreprise estime que plusieurs milliers d'utilisateurs ont été potentiellement exposés lors de cette campagne.