Le Centre pour la Cybersécurité Belgique a émis une alerte internationale concernant un acteur de menace sophistiqué qui semble cibler des politiciens exclusivement pendant les matchs de la Coupe du Monde, compromettre leurs comptes, publier une seule déclaration discriminatoire indiscernable des opinions réelles du titulaire du compte, puis disparaître.
L’opération, que le CCB a désignée sous le nom d’APT-Mirror, a désormais frappé trois fois en onze jours. Le schéma d’attaque est identique dans chaque cas : un politicien, une plateforme, une déclaration, zéro trace technique, et un contenu qui, par coïncidence, reflète parfaitement ce que pense la victime. La catégorie de préjugé varie. L’attaquant s’adapte à ce que la cible a à disposition.
« Cette polyvalence est ce qui rend APT-Mirror si dangereux, » a déclaré un analyste du CCB. « Certaines cibles ont du racisme en stock. Certaines ont de la misogynie. Certaines ont les deux. L’attaquant travaille avec l’inventaire existant. Nous n’avons jamais vu ce niveau de personnalisation dans une opération cybernétique. »
Le premier incident connu s’est produit le 10 juin, lorsque le compte Instagram d’un responsable de parti belge a été utilisé pour envoyer un message misogyne à une humoriste en réponse à une séquence radio sur les coupes budgétaires de la Fédération Wallonie-Bruxelles. Le responsable a affirmé que le compte avait été piraté. L’attaquant disposait de 900 abonnés avec lesquels travailler et les a utilisés pour envoyer un message à une seule personne, puis a pris sa retraite.
Le deuxième incident a visé un sénateur paraguayen dont le compte X a publié une diatribe raciste contre Kylian Mbappé suite à l’élimination du Paraguay face à la France. Le compte Instagram du sénateur a ensuite été déclaré compromis, alors même que le compte « piraté » continuait à publier sur le même footballeur, dans le même ton, pendant plusieurs heures encore. L’attaquant a fini par annoncer qu’il avait récupéré le contrôle du compte, lequel a ensuite repris ses publications dans le même style, sur des sujets différents.
« C’est la signature d’APT-Mirror, » a déclaré l’analyste. « La transition entre le contenu piraté et le contenu authentique est indiscernable. Linguistiquement, stylistiquement, idéologiquement, il n’y a aucune frontière détectable. C’est soit la plus avancée des usurpations d’identité de l’histoire de la cybernétique, soit ça n’en est pas une. »
Le CCB a désormais émis un avis préventif concernant l’ancien Premier ministre espagnol Mariano Rajoy, dont la chronique sur la Coupe du Monde cette semaine décrivait l’équipe de France comme jouant « sans Français ». La chronique a été soumise sous forme de mémo vocal et retranscrite par un stagiaire d’El Debate.
« Le format mémo vocal présente un défi inédit, » a concédé l’analyste. « Si Rajoy affirme que sa voix a été piratée, nous devrons évaluer si quelqu’un a synthétisé ses motifs vocaux, ses opinions sur l’immigration, et sa compréhension spécifique du droit de la nationalité française, qui semble être nulle. Nous nous préparons à ce scénario. »
Interrogé sur la possibilité qu’APT-Mirror soit un individu isolé ou un groupe parrainé par un État, l’analyste a déclaré que le CCB gardait toutes les options ouvertes. « Le seul profil que nous puissions écarter, » a-t-il ajouté, « c’est quelqu’un dont les opinions diffèrent de celles de la cible. Jusqu’à présent, chaque attaquant a entièrement partagé les opinions de sa victime. C’est soit la plus remarquable des coïncidences de l’histoire du renseignement, soit ça n’en est pas une. »
Interpol a rejoint l’enquête. Le niveau de menace a été relevé à « Coupe du Monde », une classification créée spécifiquement pour ce tournoi. Le CCB a confirmé surveiller tous les élus ayant accès à un téléphone, à une chronique d’opinion sur la Coupe du Monde, ou à une opinion.