Le groupe Fancy Bear accusé de nouvelles campagnes de cyberespionnage en France

L’unité de pirates APT 28, aussi appelée Fancy Bear et soupçonnée d’être liée aux services de renseignements militaires russes (GRU), est accusée d’avoir mené plusieurs opérations d’espionnage contre des entités françaises depuis la seconde moitié de l’année 2021, selon un nouveau rapport dévoilé jeudi 26 octobre par l’Agence nationale de sécurité des systèmes d’information (Anssi).

Si l’agence n’a pas souhaité donner davantage de précisions sur les victimes, le rapport cite des « entités gouvernementales, des entreprises, des universités, ainsi que des instituts de recherche et des groupes de réflexion ». Il fait état d’une quinzaine de « signalements » depuis la seconde moitié de 2021, tout en précisant que chacun d’eux peut regrouper de nombreuses victimes.

Une vulnérabilité d’Outlook exploitée

APT 28 est l’un des acronymes les plus tristement réputés de son secteur. Cette unité du GRU est soupçonnée d’être impliquée, depuis les années 2010, dans un grand nombre d’opérations d’espionnage ou de déstabilisation, dont celle ayant visé le parti démocrate américain durant l’élection présidentielle de 2016. Le groupe est également soupçonné d’être l’un des deux acteurs russes – avec l’unité baptisée Sandworm – ayant ciblé la campagne d’Emmanuel Macron en 2017 dans le cadre des « MacronLeaks », en mettant notamment en place des campagnes d’hameçonnage.

Lire notre enquête : Article réservé à nos abonnés Les preuves de l’ingérence russe dans la campagne de Macron en 2017

Dans son rapport, l’Anssi pointe là encore l’utilisation de telles méthodes par le groupe au cours des deux dernières années, avec pour objectif le piratage de messageries permettant notamment l’exfiltration de données confidentielles. L’agence souligne l’usage par APT 28 de plusieurs failles de sécurité, dont une majeure utilisée pour cibler les messageries Outlook (Microsoft), et exploitée entre mars 2022 et juin 2023 par le groupe.

Un précédent rapport, publié par l’éditeur Kaspersky, révélait que cette faille de sécurité avait servi, depuis mars 2022, à attaquer des organismes dans le monde entier, en particulier en Ukraine et en Pologne : organismes d’Etat ou entreprises du secteur militaire et de l’énergie. Une faille d’autant plus dangereuse qu’elle contournait la double authentification, une protection essentielle sur les messageries des entités les plus sensibles.

Le Monde