Le 3 août 2026, le ministère colombien de la Justice a confirmé qu’un ransomware avait compromis une partie de son infrastructure technologique, dégradant les services quatre jours seulement avant une transition présidentielle. Le moment choisi à lui seul rend cet incident digne d’une attention particulière, mais l’histoire plus profonde porte sur ce que ce type d’attaque gouvernementale par ransomware révèle des leçons de sécurité que les agences du monde entier peinent encore à appliquer.

Ce qui s’est passé au ministère colombien de la Justice

Selon les détails confirmés, l’incident de ransomware a frappé une partie de l’infrastructure technologique du ministère, entraînant une dégradation des services sur les systèmes dont le ministère dépend pour ses opérations quotidiennes. Le ministère a reconnu l’attaque publiquement, ce qui est en soi remarquable : de nombreuses agences gouvernementales retardent ou minimisent la divulgation des intrusions, en particulier pendant les périodes politiquement sensibles. La confirmation est intervenue à un moment où la continuité institutionnelle est primordiale, quelques jours seulement avant la transition présidentielle en Colombie, une fenêtre durant laquelle les passations administratives, les changements de justificatifs et les priorités changeantes peuvent créer des brèches que les attaquants exploitent rapidement.

Ce qui est confirmé est limité : une attaque a eu lieu, elle impliquait un ransomware, et elle a affecté une partie de l’environnement technique du ministère au point de perturber les services. Telle est l’étendue des informations publiques vérifiées à ce stade.

Ce qui reste non confirmé : exfiltration des données et risque interne

Ce qui n’est pas encore confirmé est sans doute plus important pour quiconque tente d’évaluer l’impact réel. Il n’y a aucune confirmation publique de l’exfiltration de données avant le chiffrement, ce qui importe car les opérations modernes de ransomware associent de plus en plus le chiffrement au vol de données et à l’extorsion. Il n’y a pas non plus de confirmation sur la manière dont les attaquants ont obtenu l’accès initial, que ce soit par hameçonnage, un point d’accès à distance exposé, un justificatif compromis ou un fournisseur tiers.

La proximité d’une transition présidentielle soulève également des questions qui méritent une attention prudente et non spéculative plutôt que des suppositions. Les transitions impliquent un renouvellement du personnel, des changements dans l’accès aux systèmes et parfois une vigilance institutionnelle réduite à mesure que les équipes sortantes et entrantes gèrent les passations. Rien de tout cela ne signifie qu’une implication interne ou un ciblage politique délibéré se soit produit ; cela signifie simplement que la fenêtre pendant laquelle cette attaque a eu lieu est un moment où la gouvernance et les contrôles d’accès sont historiquement plus fragiles. Jusqu’à ce que les autorités colombiennes ou le ministère publient des conclusions supplémentaires, toute affirmation concernant le mobile, l’ampleur ou l’attribution doit être traitée comme non vérifiée.

Comment une segmentation faible et un trafic non chiffré permettent cette catégorie d’attaque

Un ransomware réussit rarement à cause d’une seule défaillance. Il réussit grâce à une chaîne de faiblesses : une prise initiale, suivie de la capacité à se déplacer latéralement sur un réseau qui n’était pas correctement segmenté, puis l’accès à des systèmes et des données qui auraient dû être isolés. Les réseaux gouvernementaux sont des cibles fréquentes pour ce schéma précis parce que beaucoup reposent encore sur des architectures de réseau plates où un seul appareil compromis peut éventuellement atteindre des systèmes bien plus sensibles qu’il ne le devrait.

Le trafic interne non chiffré aggrave le problème. Lorsque les données circulent en clair sur un réseau, un attaquant qui a pris pied peut plus facilement récolter des justificatifs, cartographier les systèmes et identifier des cibles de grande valeur avant de déclencher les charges utiles de chiffrement. Les agences qui dépendent principalement des défenses périmétriques, des pare-feu et des limites de réseau, sans appliquer de contrôles à l’intérieur du réseau, parient en réalité qu’aucun attaquant ne franchira jamais la porte d’entrée. Ce pari échoue régulièrement, comme le démontrent cet incident et des attaques similaires sur des institutions colombiennes. La récente attaque ShinyHunters contre Addi.com, qui a compromis 16 millions de dossiers financiers dans une société colombienne de services financiers, montre qu’il ne s’agit pas d’un phénomène isolé réservé au gouvernement. Les organisations des secteurs public et privé de la région sont ciblées, et toutes deux ont besoin des mêmes défenses en couches.

Confiance zéro, VPN et chiffrement : ce que les agences devraient avoir en place

Les leçons pratiques de cet incident ne sont pas nouvelles, mais elles restent insuffisamment mises en œuvre dans de nombreuses agences gouvernementales. La segmentation du réseau limite la distance qu’un attaquant peut parcourir après une violation initiale, contenant les dégâts à une plus petite portion de l’infrastructure plutôt qu’à l’ensemble du système. Les contrôles d’accès selon le principe de confiance zéro, qui exigent une vérification continue des utilisateurs et des appareils au lieu de supposer la confiance en fonction de l’emplacement réseau, réduisent le risque qu’un seul justificatif compromis accorde un large accès. Les communications chiffrées, y compris l’utilisation de VPN pour l’accès distant et administratif, contribuent à garantir que même un trafic intercepté fournit peu d’informations exploitables à un attaquant qui a pris pied.

Aucun de ces contrôles ne garantit l’immunité contre les ransomwares. Mais ensemble, ils modifient considérablement le calcul, transformant ce qui pourrait être une compromission catastrophique à l’échelle du ministère en un incident contenu touchant un ensemble limité de systèmes.

Ce que cela signifie pour vous

Si vous interagissez avec les services gouvernementaux en ligne, que ce soit pour déposer des documents, accéder à des dossiers d’affaires ou utiliser des systèmes d’identité numérique, des incidents comme celui-ci rappellent que l’infrastructure du secteur public comporte les mêmes risques que les entreprises privées, parfois avec moins de ressources pour s’en défendre. Vous ne pouvez pas contrôler la posture de sécurité interne d’une agence, mais vous pouvez réduire votre propre exposition en utilisant des justificatifs solides et uniques pour tout compte de portail gouvernemental, en activant l’authentification multifacteur lorsqu’elle est proposée, et en faisant preuve de prudence face aux tentatives d’hameçonnage qui pourraient faire référence à la perturbation pour vous inciter à divulguer des informations personnelles.

Pour les organisations, publiques ou privées, la leçon pratique est simple : la sécurité périmétrique seule ne suffit pas. La segmentation, l’accès selon la confiance zéro et les communications internes et distantes chiffrées ne sont plus des suppléments optionnels, ce sont des exigences de base pour survivre à une attaque gouvernementale par ransomware ou à son équivalent dans le secteur privé.

Points à retenir

L’incident du ministère colombien de la Justice est encore en cours, et beaucoup de choses restent non confirmées, notamment si des données ont été volées et comment les attaquants ont obtenu l’accès. Ce qui est clair, c’est que le moment choisi, quatre jours avant une transition présidentielle, et le schéma plus large d’attaques contre les institutions colombiennes, y compris la violation d’Addi.com, indiquent une région confrontée à une pression soutenue des opérations de ransomware et de vol de données. Les agences comme les entreprises devraient considérer cela comme une incitation à auditer leurs propres pratiques de segmentation, de contrôle d’accès et de chiffrement avant, et non après, de devenir le prochain titre confirmé.