Les adversaires opérant en Europe et ciblant la région profitent des marchés clandestins qui commercialisent des services tels que les Malware-as-a-Service (MaaS), le courtage d’accès initiaux et les kits de phishing. En parallèle, des acteurs étatiques soutenus par la Russie, la Chine, la Corée du Nord et l’Iran ont étendu leurs activités régionales à de nouveaux secteurs, illustrant la convergence croissante entre la cybercriminalité et les menaces géopolitiques.
Principaux enseignements :
Basé sur les renseignements de terrain recueillis par le service Counter Adversary Operations de CrowdStrike, qui suit plus de 265 adversaires identifiés, le rapport révèle :
Les attaques de ransomware atteignent des niveaux records : depuis le 1er janvier 2024, plus de 2 100 victimes en Europe ont été recensées sur des sites de fuite de données. Le Royaume-Uni, l’Allemagne, la France, l’Italie et l’Espagne ont été les pays les plus touchés, 92 % des cas impliquant le chiffrement de fichiers et le vol de données. Alimentant les opérations de « Big Game Hunting », 260 courtiers en accès initial ont proposé leurs services auprès de plus de 1 400 organisations européennes.
La Russie et la Corée du Nord intensifient leurs attaques : des acteurs liés à la Russie continuent de cibler l’Ukraine en menant des campagnes de phishing, de collecte de renseignements et des opérations destructrices visant les secteurs gouvernemental, militaire, énergétique, des télécommunications et des services publics. De leur côté, les acteurs affiliés à la Corée du Nord ont élargi leurs activités de ciblage en Europe, visant les secteurs de la défense, de la diplomatie et de la finance, en combinant espionnage et vol de cryptomonnaies pour servir leurs intérêts stratégiques.
Les écosystèmes clandestins évoluent : les forums anglophones et russophones, notamment BreachForums (successeur de RaidForums dont les administrateurs étaient liés à des acteurs en France et au Royaume-Uni), demeurent essentiels à l’écosystème de la cybercriminalité en Europe. Ils permettent l’échange de données volées, de malwares et de services criminels. Des plateformes comme Telegram, Tox et Jabber ont facilité la collaboration, le recrutement et la rémunération entre les acteurs malveillants.
La criminalité physique se digitalise : la Violence-as-a-Service (VaaS) est devenue une menace croissante en Europe. Des acteurs malveillants utilisent des réseaux basés sur Telegram pour coordonner des attaques physiques, des enlèvements et des extorsions liés au vol de cryptomonnaies. Des groupes connectés à l’écosystème « The Com » et des adversaires hybrides comme RENAISSANCE SPIDER font le lien entre opérations cyber et physiques, proposant des rémunérations pour des actes de sabotage, d’incendie criminel et de violence ciblée.
La Chine concentre ses efforts : des adversaires soutenus par l’État chinois ont ciblé des secteurs industriels dans 11 pays, exploitant les infrastructures cloud et les chaînes d’approvisionnement logicielles pour voler de la propriété intellectuelle. Des campagnes persistantes ont été menées, axées sur la santé et les biotechnologies, VIXEN PANDA se révélant être la menace la plus importante pour les gouvernements et les organismes de défense européens.
Les opérations iraniennes s’étendent à l’Europe : des acteurs liés aux Gardiens de la Révolution (IRGC) ont intensifié leurs campagnes de phishing, de piratage et de fuite de données, ainsi que d’attaques DDoS contre le Royaume-Uni, l’Allemagne et les Pays-Bas. Le groupe HAYWIRE KITTEN a revendiqué une attaque DDoS contre un média néerlandais, tandis que plusieurs acteurs liés à l’Iran se sont fait passer pour des hacktivistes afin de dissimuler des activités d’espionnage commanditées par l’État.
« Le champ de bataille cyber en Europe est plus encombré et complexe que jamais », déclare Adam Meyers, Head of Counter Adversary Operations chez CrowdStrike. « Nous assistons à une convergence dangereuse entre l’innovation criminelle et les ambitions géopolitiques : des groupes de ransomware utilisent des outils de pointe, tandis que des acteurs étatiques exploitent les crises mondiales pour perturber, persister et mener des opérations d’espionnage. Dans un environnement à si forts enjeux, une défense fondée sur le renseignement, alimentée par l’IA et guidée par l’expertise humaine, est la seule combinaison à même de stopper les cybermenaces. »
