Allemagne : les espions étrangers seraient désormais à l’origine de 37 % des cyberattaques

Le renseignement étranger désormais derrière plus d’un tiers des cyberattaques en Allemagne

Les cyberattaques en Allemagne sont de plus en plus le fait d’acteurs étatiques, et non plus seulement de gangs criminels en quête de gain rapide. De nouvelles données montrent que les services de renseignement étrangers ont été associés à 37 % des cyberattaques attribuées contre des entreprises allemandes en 2026, soit un bond multiplié par cinq par rapport à seulement 7 % en 2023. Cette évolution marque un changement fondamental dans l’identité de ceux qui ciblent les entreprises allemandes et leurs motivations, faisant passer le débat d’une cybercriminalité opportuniste à une espionnage organisé et soutenu par des États.

Le calendrier a son importance. Cette hausse survient alors que les outils d’intelligence artificielle permettent aux attaquants, qu’ils soient criminels ou parrainés par des États, de détecter plus rapidement et à moindre coût les vulnérabilités, d’automatiser les campagnes de phishing et d’intensifier les tentatives d’intrusion. L’IA ne crée pas une nouvelle catégorie de menace ; elle démultiplie plutôt le volume et la vitesse des menaces existantes, permettant à un nombre restreint d’opérateurs de causer plus de dégâts sur un plus grand nombre de cibles simultanément.

Un bras de fer avec le rançongiciel aux enjeux de sécurité nationale

Le point de tension le plus visible de cette tendance concerne le groupe de rançongiciel Rhysida, qui a affirmé avoir exfiltré 5,79 téraoctets de données d’État allemandes lors d’une brèche réseau survenue avant une élection. Berlin a refusé de payer la rançon exigée, une décision qui souligne à quel point les gouvernements traitent de plus en plus les incidents de rançongiciel impliquant des données d’État comme des questions de sécurité nationale plutôt que comme une simple extorsion à régler discrètement.

Ce refus fait écho à un schéma plus large qui se dessine à l’échelle mondiale. Les organisations qui paient des rançons à des groupes de rançongiciel peuvent s’exposer à de sérieux risques juridiques, en particulier lorsque les attaquants sont liés à des entités sanctionnées ou à des États hostiles. Comme indiqué dans notre couverture des paiements de rançons et des risques liés aux sanctions de l’OFAC, entreprises et gouvernements subissent une pression croissante pour éviter les paiements qui pourraient, par inadvertance, financer des acteurs sanctionnés, même lorsque le coût immédiat est celui de données volées stockées sur les serveurs d’un groupe criminel.

Le mélange de tactiques criminelles de rançongiciel avec des cibles étatiques, en particulier autour de moments politiques sensibles comme des élections, illustre pourquoi l’attribution est devenue si difficile et si importante. Les déclarations publiques d’un groupe de rançongiciel ne racontent pas toujours toute l’histoire de qui a ordonné l’opération ni pourquoi.

Pourquoi l’attribution devient plus difficile, pas plus facile

L’un des fils les plus préoccupants des données sur les cyberattaques en Allemagne est que les entreprises peinent simplement à confirmer qu’une intrusion a eu lieu et à identifier le responsable. Ce n’est pas propre à l’Allemagne. Les opérations cyber liées à des États empruntent de plus en plus de techniques aux équipes criminelles de rançongiciel, et certains groupes criminels opèrent parfois avec l’approbation tacite ou les ressources d’acteurs étatiques, brouillant la frontière entre espionnage et criminalité motivée par l’appât du gain.

Ce schéma ne se limite pas non plus à l’Allemagne. Des infrastructures critiques ailleurs ont subi des intrusions similaires liées à des États, comme on l’a vu lorsqu’une cyberattaque liée à l’Iran a touché des systèmes d’eau dans le Minnesota, montrant que des acteurs proches du renseignement étranger sont prêts à cibler des infrastructures bien au-delà des cibles d’espionnage traditionnelles comme les sous-traitants de la défense ou les ministères. L’expérience allemande, avec des services de renseignement étrangers désormais impliqués dans plus d’un tiers des attaques, s’inscrit dans cette tendance plus large d’États normalisant les opérations cyber contre les entreprises et les systèmes publics.

Les gouvernements réagissent en élargissant également leurs propres pouvoirs d’enquête. La Corée du Sud a récemment autorisé ses services de renseignement à enquêter sur des piratages d’entreprises sur la seule base d’un soupçon, une mesure détaillée dans notre rapport sur les nouveaux pouvoirs d’enquête du NIS sud-coréen. La hausse des attaques attribuées au renseignement étranger en Allemagne pourrait susciter des débats similaires au niveau national sur l’étendue des pouvoirs nécessaires aux agences de sécurité pour enquêter et attribuer les brèches liées à des États.

Ce que cela signifie pour vous

Si vous travaillez dans une entreprise allemande, ou dans toute organisation traitant des données sensibles liées aux infrastructures critiques, aux élections ou aux marchés publics, ces données sont un signal pour réévaluer votre modèle de menace. Les services de renseignement étrangers ne se comportent pas nécessairement comme des équipes de rançongiciel typiques. Leurs objectifs peuvent inclure la collecte de données à long terme, des perturbations calées sur des événements politiques, ou un positionnement pour des opérations futures plutôt qu’un gain rapide.

Pour les consommateurs et les employés ordinaires, le message pratique est plus modeste mais reste important. Les attaques accélérées par l’IA signifient que les e-mails de phishing, les fausses pages de connexion et les tentatives d’ingénierie sociale deviendront probablement plus convaincants et plus fréquents. Une hygiène de base — mots de passe uniques, authentification multi-facteurs et scepticisme face aux invites de connexion inattendues — compte plus que jamais, pas moins.

Points clés à retenir

Le bond de l’Allemagne, de 7 % à 37 % en trois ans pour les cyberattaques liées au renseignement étranger, montre que les menaces parrainées par des États ne sont plus une préoccupation de niche réservée aux secteurs de la défense et du gouvernement. Les entreprises de tous les secteurs devraient traiter les anomalies réseau inexpliquées comme potentiellement liées à des États jusqu’à preuve du contraire, investir dans des plans de réponse aux incidents qui tiennent compte des demandes de rançon liées à des données sensibles, et rester vigilantes face au phishing et aux tentatives d’intrusion améliorés par l’IA. Le refus de Berlin de payer la rançon de Rhysida reflète une évolution plus large vers le traitement de ces incidents comme des menaces stratégiques plutôt que comme une cybercriminalité de routine — un état d’esprit que toute organisation manipulant des données précieuses devrait également commencer à adopter.