Pegasus, rançongiciels et CatB : cinq signaux d’alerte en cybersécurité

La cybersécurité ne se résume plus à l’image classique du pirate qui bloque un ordinateur contre une rançon. En février 2025, les alertes qui se succèdent montrent un paysage bien plus complexe : des logiciels espions vendus à des États, des groupes criminels qui paralysent des organisations et des outils malveillants capables de mêler sabotage, vol de données et renseignement.

Cinq sujets se détachent cette semaine. Ils ont un point commun : ils rappellent que le risque numérique ne relève pas seulement de la technique. Il concerne aussi les libertés publiques, le fonctionnement des hôpitaux et entreprises, la protection de données sensibles et les rapports de force entre États.

Pegasus, le symbole persistant des logiciels espions commerciaux

Le premier sujet concerne Pegasus, le logiciel espion développé par l’entreprise israélienne NSO Group. Son nom est devenu emblématique d’une catégorie particulière d’outils : les logiciels espions très intrusifs, commercialisés auprès d’autorités étatiques au nom de la lutte contre la criminalité ou le terrorisme.

Une fois installé sur un téléphone, un tel outil peut, selon ses capacités et la configuration visée, aspirer des données, consulter des communications, accéder à la localisation ou activer certains capteurs de l’appareil. Les méthodes d’infection les plus redoutées sont dites « sans clic » : la victime n’a pas besoin d’ouvrir un lien ou une pièce jointe pour être compromise. Cette sophistication rend la détection difficile, y compris pour une personne prudente.

Le chiffre de plus de 50 000 numéros de téléphone a marqué les révélations internationales du projet Pegasus, publiées en 2021. Il doit toutefois être interprété avec rigueur : il désigne une liste de numéros potentiellement sélectionnés par des clients de NSO Group, et non une liste démontrant à elle seule que chacun de ces téléphones a été effectivement infecté. Des analyses techniques ont ensuite permis d’établir des compromissions sur certains appareils.

Des journalistes, militants des droits humains, avocats et responsables politiques ont figuré parmi les personnes dont les téléphones ont été examinés dans le cadre de ces enquêtes. Ces affaires ont alimenté une question centrale : comment empêcher que des outils présentés comme destinés aux enquêtes légitimes soient employés contre des voix critiques ou des opposants ?

Les révélations sur la surveillance et le défi de la transparence

Les informations et documents évoqués cette semaine relancent les interrogations sur l’encadrement des technologies de surveillance israéliennes et, plus largement, sur leur exportation. NSO Group est une entreprise privée, mais ses technologies sensibles ont été commercialisées dans un secteur étroitement lié aux autorisations d’exportation et aux intérêts de sécurité nationale.

Des organisations de défense des droits humains accusent depuis plusieurs années Israël de ne pas encadrer suffisamment l’utilisation internationale de ces outils, notamment lorsque des gouvernements sont soupçonnés de surveiller des militants palestiniens, des journalistes ou des opposants. Ces accusations nourrissent un débat qui dépasse largement le seul cas israélien : tous les États dotés d’une industrie de cyber-surveillance font face à la même exigence de contrôle démocratique.

Le problème est structurel. Les contrats, les listes de clients, les conditions techniques et les procédures d’autorisation sont rarement publics, au nom de la confidentialité commerciale et de la sécurité. Or, cette opacité complique l’identification des abus et l’accès à un recours pour les personnes visées.

Le bras de fer judiciaire entre WhatsApp et NSO Group illustre aussi l’ampleur du sujet. La messagerie de Meta accuse depuis 2019 l’entreprise israélienne d’avoir exploité une vulnérabilité de son service afin de cibler environ 1 400 utilisateurs. En décembre 2024, un juge fédéral américain a retenu la responsabilité de NSO Group dans cette affaire, une victoire importante pour WhatsApp, même si la procédure n’est pas nécessairement close sur tous les volets, notamment l’évaluation des dommages.

Pourquoi les rançongiciels restent une menace majeure

Deuxième grande alerte de cette veille : l’essor continu des rançongiciels, ou ransomwares. Leur principe est simple à décrire, mais leurs conséquences peuvent être considérables. Des cybercriminels s’introduisent dans un réseau, cherchent les données les plus sensibles, puis les chiffrent ou menacent de les publier. Ils réclament ensuite de l’argent en échange d’une clé de déchiffrement, d’une promesse de suppression des données volées, ou des deux.

Les attaques modernes suivent souvent une logique de « double extorsion ». Même lorsqu’une organisation dispose de sauvegardes et parvient à restaurer ses systèmes, elle reste exposée à la publication de documents confidentiels. Le paiement d’une rançon n’apporte par ailleurs aucune garantie absolue : la clé peut ne pas fonctionner, les fichiers peuvent déjà avoir été copiés et les attaquants peuvent revenir exploiter une faille laissée ouverte.

Une étude citée dans la veille indique qu’Israël aurait enregistré une augmentation proche de 600 % des échantillons de rançongiciels signalés depuis 2020. Ce type d’indicateur ne mesure pas mécaniquement le nombre total de victimes. Il reflète plutôt les détections ou échantillons recueillis par les acteurs de la sécurité. Il reste néanmoins révélateur de l’intensification de l’activité malveillante ciblant les organisations israéliennes.

Les infrastructures critiques sont particulièrement vulnérables à ces campagnes : santé, énergie, collectivités, transport, industrie ou télécommunications. Dans ces secteurs, le coût principal n’est pas toujours la rançon. Il peut venir de l’interruption du service, des heures de restauration, de la mobilisation d’experts, des obligations de notification ou de la perte de confiance.

Le coût réel dépasse largement le montant de la rançon

Le rapport The Global Cost of Ransomware, cité dans cette actualité, insiste sur un point essentiel : réduire le sujet au montant versé aux criminels donne une vision incomplète du phénomène. Une attaque entraîne des dépenses de réponse à incident, de restauration des systèmes, d’enquête technique, de conseil juridique et de communication de crise. Elle peut aussi provoquer des retards de production, la perte de contrats ou l’indisponibilité de services publics.

Le coût mondial se chiffre ainsi en milliards chaque année, même si les méthodes de calcul varient selon les études. Il faut distinguer les rançons effectivement payées, qui ne constituent qu’une partie du problème, du coût économique global supporté par les organisations et leurs usagers.

L’enjeu soulevé par les spécialistes des infrastructures critiques est donc celui de la résilience. Une entreprise ne peut pas se contenter d’essayer d’empêcher toute intrusion, objectif irréaliste dans l’absolu. Elle doit aussi être capable de limiter la propagation d’un attaquant, de préserver des copies saines de ses données et de remettre rapidement ses activités en fonctionnement.

Quelles protections privilégier contre un rançongiciel ?

Il n’existe pas de solution unique, mais plusieurs mesures se complètent :

• conserver des sauvegardes régulières, isolées et testées ;
• appliquer rapidement les correctifs de sécurité sur les systèmes exposés ;
• activer l’authentification multifacteur, en priorité pour les accès distants et administrateurs ;
• limiter les droits d’accès au strict nécessaire ;
• segmenter les réseaux pour éviter qu’une compromission ne paralyse tout le système ;
• former les salariés à reconnaître les tentatives d’hameçonnage et prévoir une procédure de signalement simple.

CatB, quand le rançongiciel peut masquer une opération d’espionnage

Le cinquième fait marquant concerne CatB, un rançongiciel associé dans des recherches récentes à des opérations où l’objectif ne semblait pas se limiter à l’extorsion. Des attaquants peuvent utiliser le chiffrement des données comme écran de fumée : pendant que la victime se concentre sur le blocage de ses systèmes et la rançon, ils disposent d’un moyen de dissimuler un vol de documents ou d’effacer des traces techniques.

Cette utilisation brouille une frontière longtemps commode entre deux univers. D’un côté, la cybercriminalité chercherait le profit. De l’autre, l’espionnage d’État poursuivrait des objectifs politiques, militaires, économiques ou diplomatiques. Dans la pratique, les outils, les infrastructures et les tactiques circulent, se louent, se copient ou se combinent.

Il serait imprudent d’attribuer automatiquement chaque rançongiciel à un État. L’attribution technique est difficile et demande des éléments concordants : code employé, serveurs utilisés, horaires d’activité, modes opératoires, renseignements disponibles et contexte géopolitique. Mais le cas de CatB rappelle qu’une demande de rançon ne doit pas faire oublier une question déterminante pour les victimes : quelles données ont été consultées ou exfiltrées avant le chiffrement ?

Ce qu’il faut surveiller en 2025

La première tendance à suivre est celle de la régulation des outils de surveillance. Les révélations successives sur Pegasus ont renforcé les demandes de contrôle indépendant, de transparence sur les exportations et de recours effectif pour les victimes. Mais les technologies évoluent rapidement, et de nouveaux fournisseurs peuvent occuper l’espace laissé par les entreprises les plus exposées publiquement.

La deuxième concerne la professionnalisation des rançongiciels. Les groupes criminels ne développent pas tous eux-mêmes leurs outils : certains louent des infrastructures, vendent des accès à des réseaux compromis ou travaillent en affiliation. Cette économie souterraine abaisse la barrière technique d’entrée et multiplie les risques pour les petites structures comme pour les grands groupes.

Enfin, les organisations devront intégrer l’hypothèse d’attaques hybrides. Une crise qui ressemble à une extorsion financière peut aussi cacher un objectif de renseignement. Préparer une réponse sérieuse suppose donc de réunir rapidement équipes informatiques, direction, juristes, responsables de la communication et, lorsque cela est nécessaire, autorités compétentes. La cybersécurité ne consiste plus seulement à protéger des machines : elle est devenue une condition de continuité pour l’ensemble de la société numérique.