%3Aquality(100)&w=640&q=75){kind=logo}
ASIO : des adversaires se sont déjà infiltrés dans les infrastructures critiques australiennes
STATUT : Compromission active NIVEAU DE GRAVITÉ : 8/10 PUBLIC CIBLE : Responsables de la sécurité au sein des administrations publiques, du secteur de la défense et des infrastructures critiques
29 juillet 2026
·Blog
·Communications sécurisées
%3Aquality(100)&w=3840&q=75)
L'ASIO met en garde contre la présence d'adversaires étrangers au sein même des infrastructures critiques australiennes. Les attaquants auraient compromis des réseaux, volé les identifiants des responsables de la sécurité et se seraient positionnés en vue d'éventuels sabotages futurs, transformant ainsi le principe « partir du principe qu'une intrusion a eu lieu » d'un simple slogan de sécurité en un impératif de sécurité nationale.¹ ²
Comment fonctionne cette attaque — et pourquoi elle est efficace
Un positionnement en temps de paix, et non de la cybercriminalité opportuniste. Le directeur général de l’ASIO, Mike Burgess, a déclaré lors de la présentation de l’Évaluation annuelle des menaces 2026 de l’agence que des adversaires étrangers avaient compromis un fournisseur d’infrastructures critiques, cartographié le réseau, maintenu leur accès et obtenu les identifiants de connexion d’utilisateurs actifs — y compris ceux des professionnels de l’informatique chargés de le défendre.¹ Cette situation diffère d’une violation classique, car l’objectif n’était pas le vol, l’extorsion ou la perturbation du public à ce stade. L’intérêt résidait dans un contrôle discret : disposer de suffisamment d’informations sur les identités, les accès et le fonctionnement pour saboter ultérieurement des services essentiels, au moment choisi par l’attaquant.¹
Le risque opérationnel est immédiat, même si la perturbation est différée. Dès lors que les attaquants disposent d’identifiants valides et comprennent l’environnement, ils peuvent se fondre dans l’activité normale, tester la visibilité des défenseurs, préserver des points d’ancrage dormants et identifier les systèmes dont la mise hors service ou la manipulation aurait le plus grand impact concret.² Pour les opérateurs des secteurs de l’énergie, des télécommunications, des transports et des administrations publiques, cette situation post-compromission transforme l’accès cybernétique en un problème de résilience : pannes, retards dans les interventions d’urgence, perte de communications fiables, défaillances en cascade des services et atteinte à la confiance du public constituent alors l’ensemble des conséquences — et non plus simplement l’exposition des données.²
C’est pourquoi cet incident modifie la problématique en matière de défense. L’ancien modèle se demandait si les contrôles périmétriques pouvaient empêcher les attaquants d’entrer. Ce cas part d’une réalité plus dangereuse : les adversaires peuvent déjà se trouver à l’intérieur, utilisant des identités légitimes, attendant le moment où une perturbation créera une pression maximale.¹ John Hultquist, analyste en chef chez Google Threat Intelligence, a insisté sur ce même point : les attaques efficaces contre les infrastructures critiques peuvent nécessiter des années de préparation, ce qui signifie que les opérateurs mènent en réalité le conflit de demain en temps de paix.² ³
Ce que les pirates ont obtenu – et ce qu'ils peuvent en faire
Gain de l'attaquant | Ce que cela permet | Conséquence opérationnelle | Risque post-compromis |
Identifiants d'utilisateur actifs¹ | Se faire passer pour des utilisateurs légitimes, accéder aux systèmes internes et contourner les contrôles mis en place pour empêcher l'accès aux personnes extérieures. | Les activités courantes peuvent masquer des manœuvres malveillantes, retardant ainsi leur détection tant que les responsables de la sécurité pensent que les systèmes fonctionnent normalement. | Les attaquants peuvent revenir tant que les identifiants n'ont pas été renouvelés, que les sessions n'ont pas été invalidées et que les relations de confiance n'ont pas été revérifiées. |
Identifiants du personnel informatique et de sécurité¹ | Accéder aux outils d'administration, consulter les données de télémétrie de sécurité, modifier les configurations et comprendre les processus d'intervention. | Les responsables de la sécurité risquent de perdre de vue la situation ou de perdre du temps à s'attacher à des symptômes, tandis que des comptes disposant de privilèges sont utilisés pour maintenir l'accès. | La remise en état n'est pas complète tant que les identités privilégiées, la surveillance et les processus administratifs n'ont pas été repensés en partant du principe que le système a été compromis. |
Cartes de réseau et connaissance du système¹ | Identifier les dépendances, les nœuds à fort impact, les chemins d'accès et les systèmes qui relient les opérations informatiques aux services essentiels. | Les actes de sabotage peuvent être ciblés de manière à causer un maximum de perturbations plutôt que de provoquer des pannes aléatoires, ce qui accroît les risques pesant sur les secteurs de l'énergie, des télécommunications, des transports et des services publics. | Même après la suppression du logiciel malveillant, l'attaquant peut conserver les informations nécessaires pour s'introduire à nouveau dans le système ou lancer une attaque via des systèmes adjacents. |
Accès dormant persistant¹ | Maintenir discrètement des points d'ancrage jusqu'à ce que la conjoncture géopolitique, une situation de crise ou des contraintes opérationnelles rendent une perturbation plus utile. | Cet incident devient un risque permanent pour la continuité des activités, et non plus un incident de sécurité isolé. | La planification de la résilience doit tenir compte d'une durée de séjour pluriannuelle, de tentatives d'accès répétées et d'une activation différée. |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
La défense périmétrique empêche toute intrusion. | Les attaquants sont déjà infiltrés, en place depuis des années ; leur détection peut intervenir plusieurs années après la première intrusion.¹ | La surveillance continue UEM détecte les comportements anormaux des appareils après une intrusion, et pas seulement lors de leur inscription. |
La confiance accordée à un fournisseur relève d'une décision d'achat ponctuelle. | La compromission des identifiants, y compris ceux du personnel informatique, sape la confiance envers les fournisseurs et l'infrastructure.¹ | L'infrastructure contrôlée par l'État et la conservation des clés restent dans la juridiction du client ; certifié IRAP pour une utilisation par le gouvernement australien. |
La sécurité informatique et la sécurité des technologies opérationnelles sont deux problèmes distincts. | Les attaques ciblant les secteurs de l'énergie, des télécommunications et des transports concernent les appareils qui gèrent les systèmes opérationnels.² | L'application UEM et le contrôle de la conformité s'étendent aux terminaux de gestion adjacents à l'OT. |
Mesures recommandées
IMMÉDIAT | Recherchez les points d'accès existants : renouvelez régulièrement les identifiants privilégiés, examinez l'activité des sessions privilégiées et recherchez les points d'ancrage inactifs plutôt que d'attendre que des alertes se déclenchent.¹ |
IMMÉDIAT | Mettre en place une authentification multifactorielle (MFA) résistante au phishing pour le personnel informatique et de sécurité ; l'ASIO a confirmé que les identifiants des défenseurs constituent une cible active de collecte de données.¹ |
À COURT TERME | Étendre la surveillance UEM aux dispositifs de gestion des infrastructures critiques dans la mesure du possible, y compris aux terminaux adjacents aux réseaux OT. |
À COURT TERME | Réévaluer les risques liés à la juridiction des fournisseurs sur l'ensemble de la pile d'infrastructure, et pas uniquement au niveau de la couche de communication. |
EN COURS | Intégrer, comme hypothèse de base, la durée de présence d'un adversaire sur plusieurs années dans la planification de la résilience et les budgets consacrés à la détection.² |
Position de BlackBerry en matière de communications sécurisées
Lorsqu’une agence nationale de renseignement affirme que des adversaires se sont déjà infiltrés dans des infrastructures critiques et y sont présents depuis des années, la question relative aux marchés publics prend une autre dimension¹. Il ne s’agit plus de savoir « si ce fournisseur est capable d’empêcher une intrusion », mais « s’il est en mesure de prouver qu’il exerce un contrôle souverain et assure une conformité permanente une fois qu’une intrusion s’est déjà produite ».
Références :
Évaluation annuelle des menaces 2026 du directeur général de la sécurité (Organisation australienne du renseignement de sécurité (ASIO), Mike Burgess, Évaluation annuelle des menaces 2026, 8 juillet).
Le SIO met en garde : des cybercriminels se sont déjà infiltrés dans les infrastructures critiques australiennes (iTWire / commentaire de Google Threat Intelligence, 29 juin 2026).
Des acteurs étatiques ont piraté des infrastructures australiennes essentielles afin de les paralyser au moment de leur choix (The Register, 25 juin 2026).
ASIO : des adversaires se sont déjà infiltrés dans les infrastructures critiques australiennes
STATUT : Compromission active NIVEAU DE GRAVITÉ : 8/10 PUBLIC CIBLE : Responsables de la sécurité au sein des administrations publiques, du secteur de la défense et des infrastructures critiques
29 juillet 2026
·Blog
·Communications sécurisées
L'ASIO met en garde contre la présence d'adversaires étrangers au sein même des infrastructures critiques australiennes. Les attaquants auraient compromis des réseaux, volé les identifiants des responsables de la sécurité et se seraient positionnés en vue d'éventuels sabotages futurs, transformant ainsi le principe « partir du principe qu'une intrusion a eu lieu » d'un simple slogan de sécurité en un impératif de sécurité nationale.¹ ²
Comment fonctionne cette attaque — et pourquoi elle est efficace
Un positionnement en temps de paix, et non de la cybercriminalité opportuniste. Le directeur général de l’ASIO, Mike Burgess, a déclaré lors de la présentation de l’Évaluation annuelle des menaces 2026 de l’agence que des adversaires étrangers avaient compromis un fournisseur d’infrastructures critiques, cartographié le réseau, maintenu leur accès et obtenu les identifiants de connexion d’utilisateurs actifs — y compris ceux des professionnels de l’informatique chargés de le défendre.¹ Cette situation diffère d’une violation classique, car l’objectif n’était pas le vol, l’extorsion ou la perturbation du public à ce stade. L’intérêt résidait dans un contrôle discret : disposer de suffisamment d’informations sur les identités, les accès et le fonctionnement pour saboter ultérieurement des services essentiels, au moment choisi par l’attaquant.¹
Le risque opérationnel est immédiat, même si la perturbation est différée. Dès lors que les attaquants disposent d’identifiants valides et comprennent l’environnement, ils peuvent se fondre dans l’activité normale, tester la visibilité des défenseurs, préserver des points d’ancrage dormants et identifier les systèmes dont la mise hors service ou la manipulation aurait le plus grand impact concret.² Pour les opérateurs des secteurs de l’énergie, des télécommunications, des transports et des administrations publiques, cette situation post-compromission transforme l’accès cybernétique en un problème de résilience : pannes, retards dans les interventions d’urgence, perte de communications fiables, défaillances en cascade des services et atteinte à la confiance du public constituent alors l’ensemble des conséquences — et non plus simplement l’exposition des données.²
C’est pourquoi cet incident modifie la problématique en matière de défense. L’ancien modèle se demandait si les contrôles périmétriques pouvaient empêcher les attaquants d’entrer. Ce cas part d’une réalité plus dangereuse : les adversaires peuvent déjà se trouver à l’intérieur, utilisant des identités légitimes, attendant le moment où une perturbation créera une pression maximale.¹ John Hultquist, analyste en chef chez Google Threat Intelligence, a insisté sur ce même point : les attaques efficaces contre les infrastructures critiques peuvent nécessiter des années de préparation, ce qui signifie que les opérateurs mènent en réalité le conflit de demain en temps de paix.² ³
Ce que les pirates ont obtenu – et ce qu'ils peuvent en faire
Gain de l'attaquant | Ce que cela permet | Conséquence opérationnelle | Risque post-compromis |
Identifiants d'utilisateur actifs¹ | Se faire passer pour des utilisateurs légitimes, accéder aux systèmes internes et contourner les contrôles mis en place pour empêcher l'accès aux personnes extérieures. | Les activités courantes peuvent masquer des manœuvres malveillantes, retardant ainsi leur détection tant que les responsables de la sécurité pensent que les systèmes fonctionnent normalement. | Les attaquants peuvent revenir tant que les identifiants n'ont pas été renouvelés, que les sessions n'ont pas été invalidées et que les relations de confiance n'ont pas été revérifiées. |
Identifiants du personnel informatique et de sécurité¹ | Accéder aux outils d'administration, consulter les données de télémétrie de sécurité, modifier les configurations et comprendre les processus d'intervention. | Les responsables de la sécurité risquent de perdre de vue la situation ou de perdre du temps à s'attacher à des symptômes, tandis que des comptes disposant de privilèges sont utilisés pour maintenir l'accès. | La remise en état n'est pas complète tant que les identités privilégiées, la surveillance et les processus administratifs n'ont pas été repensés en partant du principe que le système a été compromis. |
Cartes de réseau et connaissance du système¹ | Identifier les dépendances, les nœuds à fort impact, les chemins d'accès et les systèmes qui relient les opérations informatiques aux services essentiels. | Les actes de sabotage peuvent être ciblés de manière à causer un maximum de perturbations plutôt que de provoquer des pannes aléatoires, ce qui accroît les risques pesant sur les secteurs de l'énergie, des télécommunications, des transports et des services publics. | Même après la suppression du logiciel malveillant, l'attaquant peut conserver les informations nécessaires pour s'introduire à nouveau dans le système ou lancer une attaque via des systèmes adjacents. |
Accès dormant persistant¹ | Maintenir discrètement des points d'ancrage jusqu'à ce que la conjoncture géopolitique, une situation de crise ou des contraintes opérationnelles rendent une perturbation plus utile. | Cet incident devient un risque permanent pour la continuité des activités, et non plus un incident de sécurité isolé. | La planification de la résilience doit tenir compte d'une durée de séjour pluriannuelle, de tentatives d'accès répétées et d'une activation différée. |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
La défense périmétrique empêche toute intrusion. | Les attaquants sont déjà infiltrés, en place depuis des années ; leur détection peut intervenir plusieurs années après la première intrusion.¹ | La surveillance continue UEM détecte les comportements anormaux des appareils après une intrusion, et pas seulement lors de leur inscription. |
La confiance accordée à un fournisseur relève d'une décision d'achat ponctuelle. | La compromission des identifiants, y compris ceux du personnel informatique, sape la confiance envers les fournisseurs et l'infrastructure.¹ | L'infrastructure contrôlée par l'État et la conservation des clés restent dans la juridiction du client ; certifié IRAP pour une utilisation par le gouvernement australien. |
La sécurité informatique et la sécurité des technologies opérationnelles sont deux problèmes distincts. | Les attaques ciblant les secteurs de l'énergie, des télécommunications et des transports concernent les appareils qui gèrent les systèmes opérationnels.² | L'application UEM et le contrôle de la conformité s'étendent aux terminaux de gestion adjacents à l'OT. |
Mesures recommandées
IMMÉDIAT | Recherchez les points d'accès existants : renouvelez régulièrement les identifiants privilégiés, examinez l'activité des sessions privilégiées et recherchez les points d'ancrage inactifs plutôt que d'attendre que des alertes se déclenchent.¹ |
IMMÉDIAT | Mettre en place une authentification multifactorielle (MFA) résistante au phishing pour le personnel informatique et de sécurité ; l'ASIO a confirmé que les identifiants des défenseurs constituent une cible active de collecte de données.¹ |
À COURT TERME | Étendre la surveillance UEM aux dispositifs de gestion des infrastructures critiques dans la mesure du possible, y compris aux terminaux adjacents aux réseaux OT. |
À COURT TERME | Réévaluer les risques liés à la juridiction des fournisseurs sur l'ensemble de la pile d'infrastructure, et pas uniquement au niveau de la couche de communication. |
EN COURS | Intégrer, comme hypothèse de base, la durée de présence d'un adversaire sur plusieurs années dans la planification de la résilience et les budgets consacrés à la détection.² |
Position de BlackBerry en matière de communications sécurisées
Lorsqu’une agence nationale de renseignement affirme que des adversaires se sont déjà infiltrés dans des infrastructures critiques et y sont présents depuis des années, la question relative aux marchés publics prend une autre dimension¹. Il ne s’agit plus de savoir « si ce fournisseur est capable d’empêcher une intrusion », mais « s’il est en mesure de prouver qu’il exerce un contrôle souverain et assure une conformité permanente une fois qu’une intrusion s’est déjà produite ».
Références :
Évaluation annuelle des menaces 2026 du directeur général de la sécurité (Organisation australienne du renseignement de sécurité (ASIO), Mike Burgess, Évaluation annuelle des menaces 2026, 8 juillet).
Le SIO met en garde : des cybercriminels se sont déjà infiltrés dans les infrastructures critiques australiennes (iTWire / commentaire de Google Threat Intelligence, 29 juin 2026).
Des acteurs étatiques ont piraté des infrastructures australiennes essentielles afin de les paralyser au moment de leur choix (The Register, 25 juin 2026).
%3Aquality(100)&w=3840&q=75)