Introduction
Les cyberattaques contre les infrastructures critiques atteignent un nouveau seuil d’alerte en 2026. Le groupe iranien Seedworm — également connu sous les noms MuddyWater ou Static Kitten — opère activement au sein de réseaux américains depuis février 2026. Des banques, un aéroport, des sociétés liées à la défense et des organisations à but non lucratif ont été infiltrés. Cet épisode s’inscrit dans une escalade géopolitique directe. Il illustre une réalité que toutes les organisations mondiales doivent désormais intégrer : les conflits armés ont désormais un prolongement numérique immédiat.
Seedworm : un acteur étatique aux ambitions mondiales
Seedworm est actif depuis au moins 2017. La CISA — l’agence américaine de cybersécurité — le classe officiellement comme un élément subordonné du ministère iranien du Renseignement et de la Sécurité (MOIS). Au fil des années, ce groupe a considérablement élargi son périmètre d’action.
Ses cibles ne se limitent plus au Moyen-Orient. Il vise des entreprises de télécommunications, des gouvernements locaux, des acteurs de la défense et des organisations pétrolières et gazières en Asie, en Afrique, en Europe et en Amérique du Nord. Ainsi, aucune région du monde n’est épargnée. Les cyberattaques contre les infrastructures critiques orchestrées par ce groupe combinent deux méthodes redoutables. D’une part, il développe ses propres logiciels malveillants personnalisés. D’autre part, il exploite des outils légitimes pour se fondre discrètement dans les environnements réseau normaux.
Un déclencheur géopolitique assumé
L’intensification des activités de Seedworm n’est pas anodine. Elle fait directement suite aux frappes militaires américano-israéliennes contre l’Iran du 28 février 2026. Les intrusions étaient cependant déjà en cours avant le début officiel du conflit. Cela confirme que le groupe s’était discrètement positionné au sein de réseaux stratégiques bien en amont de l’escalade. La cyberguerre, contrairement à la guerre conventionnelle, se prépare en silence — parfois des mois à l’avance.
Des infrastructures critiques ciblées avec précision
Les chercheurs de Symantec ont identifié des intrusions sur quatre types d’organisations américaines et canadiennes :
- Une banque américaine
- Un aéroport américain
- Une société de logiciels liée à la défense et à l’aérospatiale
- Des organisations non gouvernementales
Les cyberattaques contre les infrastructures critiques ne sont pas opportunistes. Elles sont méthodiques. Dans le cas de la société de logiciels, les attaquants ont utilisé sa présence mondiale comme passerelle d’accès latérale vers d’autres cibles. Un seul point d’entrée suffit à compromettre un réseau entier de partenaires.
De nouvelles portes dérobées inédites
La boîte à outils récente de Seedworm comprend deux portes dérobées nouvellement identifiées. La première, Dindoor, s’exécute via Deno, un environnement JavaScript atypique. De nombreux outils de sécurité ne la détectent pas immédiatement. La seconde, Fakeset, est une porte dérobée Python déployée sur les réseaux de l’aéroport et d’une ONG. Ces deux outils sont signés avec de faux certificats numériques. Par ailleurs, le programme Stagecomp a été utilisé pour déployer une troisième porte dérobée — Darkcomp — officiellement liée à Seedworm par Google, Microsoft et Kaspersky.
Pour exfiltrer des données, les attaquants ont tenté d’utiliser Rclone, un utilitaire de transfert de fichiers légitime détourné pour envoyer des fichiers vers un stockage cloud externe.
Ce que les organisations africaines doivent retenir
Cette menace n’est pas cantonnée aux États-Unis. Le Centre national britannique de cybersécurité a émis une alerte officielle : les acteurs iraniens « conservent très probablement actuellement au moins une certaine capacité à mener des cyberactivités », même malgré les perturbations de leur propre infrastructure Internet. En outre, Seedworm opère depuis plusieurs pays simultanément. Les tensions internes en Iran n’interrompent donc pas ses opérations mondiales.
Pour les organisations africaines — banques, opérateurs télécoms, institutions gouvernementales — ce scénario est un signal d’alarme. La région est déjà dans le périmètre d’action historique de Seedworm. En effet, les infrastructures critiques africaines présentent souvent des niveaux de maturité cybersécurité inférieurs à ceux des cibles occidentales, ce qui les rend potentiellement plus attractives.
Comment se protéger : les mesures prioritaires
Face aux cyberattaques contre les infrastructures critiques, des mesures concrètes s’imposent immédiatement :
1. Imposer l’authentification multifacteurs (MFA) sur tous les accès distants, sans exception.
2. Surveiller les transferts de données sortants anormaux, notamment vers des services de stockage cloud externes non autorisés.
3. Restreindre l’accès aux services cloud tiers depuis les réseaux internes sensibles.
4. Maintenir des sauvegardes hors ligne immuables pour garantir une reprise rapide après incident.
5. Mettre à jour les règles des pare-feu applicatifs pour détecter les outils légitimes détournés comme Rclone ou Deno.
Conclusion
Les cyberattaques contre les infrastructures critiques menées par Seedworm confirment une tendance lourde : la cyberguerre est désormais le premier front des conflits géopolitiques. Banques, aéroports, entreprises de défense et ONG sont ciblés avec une précision chirurgicale. Pour les organisations africaines et mondiales, la leçon est claire. La préparation ne peut plus attendre une crise pour commencer. Anticiper, segmenter, surveiller et répondre rapidement : ce sont les quatre impératifs d’une cybersécurité à la hauteur des menaces de 2026.
Source : cybersecuritynews
