LightSpy, le logiciel espion chinois qui s'étend à 13 pays : une commande chez KFC a trahi son opérateur

Les 5 et 6 août 2026, lors de la conférence Black Hat 2026, les chercheurs en cybersécurité d'Arctic Wolf, Dmitry Bestuzhev et Dmitry Melikov, ont dévoilé leurs dernières découvertes sur LightSpy, une plateforme espionne d'origine chinoise qui a connu une transformation spectaculaire .

De la Chine continentale à une menace mondiale

Découvert pour la première fois en 2018, LightSpy était initialement concentré sur des cibles en Chine continentale. Les recherches d'Arctic Wolf montrent qu'il s'est depuis étendu à des victimes dans au moins 13 pays, dont les États-Unis et plusieurs nations européennes, certaines étant associées à des États membres de l'OTAN .

Une évolution vers une plateforme de surveillance commerciale

LightSpy a abandonné son identité première d'outil d'espionnage étatique pour devenir une véritable plateforme de surveillance commerciale. Les chercheurs ont découvert qu'elle propose désormais une marque personnalisée, des niveaux de prix, une infrastructure de facturation, et même un environnement de démonstration pour les acheteurs potentiels . La plateforme est commercialisée auprès de clients gouvernementaux, d'entreprises et militaires .

Une architecture modulaire et multiplateforme

Le logiciel espion utilise une structure modulaire qui lui permet de compromettre une large gamme d'appareils :

• Smartphones (iOS et Android)
• Appareils Apple (macOS)
• Serveurs Linux
• PC Windows
• Routeurs réseau — un vecteur d'attaque inédit, notamment sur des routeurs associés à des pays membres de l'OTAN

En infectant les routeurs, les opérateurs obtiennent une visibilité sur l'ensemble des réseaux, et non plus seulement sur des appareils isolés .

Des capacités étendues de vol de données et de destruction

Les modules de LightSpy peuvent dérober :

• La localisation de l'appareil
• Les messages de chat
• Les enregistrements d'écran
• Les mots de passe
• Les enregistrements audio et les flux des caméras

La plateforme comprend également une fonctionnalité de désactivation à distance, permettant aux opérateurs de "briquer" les appareils compromis .

Une infrastructure mondiale : 117 serveurs

Arctic Wolf a identifié au moins 117 serveurs soutenant les opérations de LightSpy à travers le monde .

L'attribution grâce à une commande KFC

L'erreur de sécurité opérationnelle la plus flagrante est survenue lorsqu'un opérateur de LightSpy a accédé au panneau d'administration du logiciel pour passer une commande chez Kentucky Fried Chicken (KFC) en utilisant son vrai nom et l'adresse de son bureau . Cette erreur a permis aux chercheurs de remonter jusqu'à un sous-traitant chinois spécifique .

Arctic Wolf a précisé que la commande KFC a été passée via l'infrastructure de facturation du logiciel espion lui-même, laissant une trace numérique qui reliait directement l'opérateur à l'activité malveillante .

Implications

La commercialisation de LightSpy — avec des prix par paliers et un modèle économique similaire à un SaaS — suggère que les outils de surveillance liés à des États sont de plus en plus proposés comme des produits prêts à l'emploi aux gouvernements et aux armées du monde entier. La capacité à infecter les routeurs accroît encore le risque pour la sécurité nationale, car des routeurs compromis peuvent exposer des réseaux entiers de gouvernement et d'armée .