Attaque contre France Travail revendiquée par Shin0bi - La réaction de Tenable

« Si le post de @H4ckmanac s’avère exact, et que Shin0bi (parfois appelé Sinobi) a compromis France Travail en exfiltrant 22,3 millions de dossers, c’est préoccupant. France Travail a déjà subi plusieurs brèches par le passé, notamment en mars 2024 et plus récemment en juillet 2025, qui avaient exposé les données personnelles d’environ 340 000 demandeurs d’emploi. Compte tenu du groupe impliqué, cette attaque (si elle est confirmée) semble presque certainement motivée par un objectif financier.

Shin0bi est un acteur ransomware encore récent et en pleine évolution. Apparue à la mi-2025, cette entité serait un rebranding ou une évolution du groupe Lynx, avec lequel elle partage une infrastructure et des méthodes d’opération similaires. Jusqu’ici, ses attaques ont touché plusieurs secteurs, avec un focus particulier sur le BTP et l’industrie manufacturière. On sait que le groupe privilégie différentes tactiques : mouvement latéral en exploitant des protocoles comme SMB et RDP pour se déplacer dans le réseau, déploiement d’outils de supervision et de gestion à distance (RMM) tels qu’AnyDesk, et utilisation d’outils comme Rclone pour l’exfiltration de données. Dans ses campagnes précédentes, il a déjà exploité des vulnérabilités connues, dont une faille critique de contournement d’authentification dans les pare-feux SonicWall (CVE-2024-53704).

Si cette attaque se confirme, elle risque d’entraîner une hausse des campagnes de phishing visant les citoyens dont les données viennent d’être à nouveau exposées. Et 22,3 millions, c’est considérable ! L’utilisation de l’IA générative par les cybercriminels pour concevoir des attaques multi-niveaux et hautement ciblées transforme le phishing classique en interactions fluides et convaincantes, proches d’un échange humain. Cela rend l’impact bien plus grave qu’une fuite similaire il y a cinq ans. Nous devons nous attendre à voir se multiplier les arnaques ciblant les personnes concernées dans les jours, semaines et mois qui viennent. Et comme ces citoyens sont aussi des salariés, les organisations risquent d’être visées à leur tour avec des identifiants professionnels compromis, un véritable « double gain » pour les attaquants.

Pour les professionnels de la cybersécurité, l’identité de l’attaquant et ses motivations importent peu, car la meilleure défense reste la même. Face au volume d’attaques observé chaque jour, il est primordial de passer d’une posture réactive à une sécurisation proactive de l’écosystème numérique. La clé est de mettre en place un programme de gestion de l’exposition : identifier les systèmes et les informations essentiels au fonctionnement de l’entreprise, puis réduire les risques qui les menacent, qu’il s’agisse de failles logicielles non corrigées, de mauvaises configurations cloud ou de comptes avec des privilèges excessifs. C’est la seule manière de neutraliser efficacement les risques. C’est la différence entre une simple liste d’ingrédients et une véritable recette pour réussir. »