À Singapour, les systèmes infectés par des malwares ont bondi de 142 % en 2025

Le dixième rapport Singapore Cyber Landscape, consacré à la situation observée en 2025, brosse un tableau contrasté de la cybersécurité à Singapour. Le pays a détecté beaucoup plus de systèmes infectés par des malwares et a enregistré une légère hausse des attaques par rançongiciel. Dans le même temps, les signalements d’hameçonnage ont diminué, sans que cela signifie nécessairement que les escroqueries soient devenues moins dangereuses.

284 300 systèmes infectés détectés en 2025

Singapour a détecté 284 300 systèmes infectés par des malwares en 2025, contre 117 300 en 2024, soit une hausse de 142 %. Cette progression s’explique à la fois par la persistance de l’activité malveillante et par une meilleure détection des appareils infectés appartenant à des botnets.

Cette nuance est importante : le chiffre ne signifie pas que toutes les infections supplémentaires sont apparues au cours de l’année. Une détection plus efficace peut révéler des appareils compromis qui étaient auparavant passés inaperçus. Le volume montre néanmoins l’ampleur des infrastructures compromises désormais visibles par les autorités singapouriennes, ainsi que l’attrait du pays pour les opérateurs de réseaux de machines infectées.

Le rôle des botnets et de l’Internet des objets

Le rapport relie cette hausse à la progression du malware-as-a-service, ou logiciel malveillant « en tant que service ». Ce modèle permet à des cybercriminels d’accéder à des outils et à des capacités offensives sans devoir développer eux-mêmes toute leur infrastructure. Les appareils grand public connectés — notamment les équipements réseau mal configurés ou non corrigés — constituent un vaste réservoir de machines susceptibles d’être intégrées à des botnets.

La Cyber Security Agency of Singapore (CSA), l’agence nationale chargée de la cybersécurité, a également fait état d’attaques visant des routeurs non mis à jour dans plusieurs organisations. Les attaquants y ont créé des comptes administrateur non autorisés et installé des outils capables de rester actifs malgré l’application ultérieure de mises à jour de sécurité.

Pour réduire ce risque, les routeurs résidentiels vendus à Singapour devront respecter les exigences du Cybersecurity Labelling Scheme, niveau 2, d’ici à la fin de 2027. L’objectif est d’imposer un socle de protection plus solide à des appareils qui peuvent servir de porte d’entrée ou de relais au sein de botnets.

L’IA accélère les attaques et les rend plus crédibles

Le rapport décrit un environnement de menace de plus en plus complexe, dans lequel l’intelligence artificielle joue un rôle croissant. Elle peut aider les attaquants à produire rapidement des messages d’hameçonnage convaincants et des contenus synthétiques réalistes. Les autorités singapouriennes ont par ailleurs mis en garde contre les escroqueries utilisant des contenus manipulés, notamment les hypertrucages — ou deepfakes.

Le risque ne se limite pas aux vidéos truquées. La voix peut aussi être imitée, tandis que des outils peuvent chercher à contourner l’authentification multifacteur. Pour les entreprises comme pour les particuliers, il devient donc moins pertinent de se fier uniquement aux fautes d’orthographe, aux images grossières ou au ton maladroit pour repérer une tentative de fraude.

Les réflexes les plus utiles restent la vérification des demandes inhabituelles par un canal de confiance, l’utilisation d’une authentification forte et la limitation des conséquences lorsqu’un appareil ou un compte est compromis.

Moins d’hameçonnage signalé, mais pas forcément moins de risques

Les tentatives d’hameçonnage signalées aux autorités sont passées d’environ 6 100 en 2024 à près de 4 800 en 2025, soit un recul d’environ 20 %.

Ce chiffre doit toutefois être interprété avec prudence. Il comptabilise les incidents portés à la connaissance des autorités, et non l’ensemble des tentatives réellement survenues. Par ailleurs, les contenus générés par l’IA peuvent rendre l’usurpation d’identité et la fraude plus persuasives, même lorsque le volume des signalements diminue.

Les éléments disponibles ne permettent pas d’établir avec certitude quels secteurs ou quelles institutions étrangères ont été les plus fréquemment usurpés en 2025. Il serait donc imprudent d’en dresser un classement précis.

Les PME restent particulièrement exposées aux rançongiciels

Les cas de rançongiciel sont passés de 159 en 2024 à 165 en 2025. Les petites et moyennes entreprises ont été touchées de manière disproportionnée, en raison de ressources souvent plus limitées pour maintenir des dispositifs de cybersécurité avancés.

Pour ces entreprises, la réponse est avant tout opérationnelle : appliquer régulièrement les correctifs, tester les sauvegardes, renforcer les contrôles d’accès et préparer un plan d’intervention en cas d’incident. La résilience dépend en effet non seulement de la capacité à empêcher une attaque, mais aussi de la rapidité avec laquelle une organisation peut isoler les systèmes touchés et rétablir ses activités essentielles.

L’opération Cyber Guardian face à UNC3886

L’un des incidents les plus importants de l’année a impliqué UNC3886, un groupe présenté comme un acteur de menace persistante avancée. Celui-ci a tenté de s’introduire dans les réseaux des quatre principaux opérateurs de télécommunications de Singapour.

En réponse, les autorités ont lancé l’opération Cyber Guardian, décrite dans les sources disponibles comme la plus grande opération coordonnée de réponse à un incident cyber dans l’histoire du pays. La menace a été contenue sans perturbation signalée des services de télécommunications ni preuve de compromission des données clients.

Cet épisode montre pourquoi les infrastructures critiques sont soumises à des exigences différentes de celles de l’informatique d’entreprise ordinaire. Une compromission touchant les télécommunications, l’énergie, la finance ou la santé peut dépasser le périmètre d’une seule organisation. La coordination entre opérateurs et autorités devient alors essentielle.

Des exigences renforcées pour les infrastructures critiques

À Singapour, les infrastructures nationales d’information critiques couvrent 11 secteurs :

• l’aviation ;
• la banque et la finance ;
• l’énergie ;
• les services publics ;
• la santé ;
• les technologies de l’information et des communications ;
• les transports terrestres ;
• le maritime ;
• les médias ;
• la sécurité et les services d’urgence ;
• l’eau.

La CSA exige que les propriétaires de ces infrastructures obtiennent la certification Cyber Trust Mark de niveau 5 d’ici à la fin de 2027. Le référentiel a également été renforcé pour couvrir la sécurité du cloud, des technologies opérationnelles — souvent désignées par le sigle OT — et de l’IA, au-delà des seuls contrôles informatiques traditionnels.

Cette évolution élargit la responsabilité des opérateurs : ils doivent désormais surveiller non seulement le système critique lui-même, mais aussi les systèmes interconnectés et les fournisseurs qui l’entourent. Des routeurs exposés, des services cloud ou des équipements industriels peuvent en effet servir de tremplin vers des environnements plus sensibles.

David Koh remplacé par Gwenda Fong à la tête de la CSA

David Koh, directeur général fondateur de la Cyber Security Agency of Singapore et commissaire à la cybersécurité, a quitté ses deux fonctions le 1er juillet 2026. Il a été remplacé par Gwenda Fong.

Ce changement est intervenu après la période principalement couverte par l’édition 2025/2026 du rapport. Il s’agit donc d’une transition de direction accompagnant la prochaine phase de la politique singapourienne de résilience numérique, et non d’une conclusion sur les données relatives aux menaces observées en 2025.

Ce qu’il faut retenir

Le message central du rapport n’est pas seulement que Singapour a subi davantage de cyberattaques. C’est aussi que l’écosystème de la menace devient plus facile à industrialiser et plus difficile à reconnaître, alors même que les capacités nationales de détection et de réponse progressent.

Trois conclusions se dégagent :

1. La hausse des malwares est préoccupante, mais reflète en partie une meilleure visibilité. L’activité persistante des botnets et l’amélioration de la détection ont toutes deux contribué au chiffre de 284 300 systèmes infectés.
2. La baisse des signalements d’hameçonnage ne neutralise pas le risque lié à l’IA. Les attaquants peuvent produire des escroqueries plus crédibles et plus faciles à déployer, même lorsque les volumes traditionnellement signalés reculent.
3. Singapour s’oriente vers des obligations de sécurité minimales plus contraignantes. Les règles applicables aux routeurs et la certification Cyber Trust Mark de niveau 5 imposée aux propriétaires d’infrastructures critiques transfèrent davantage de responsabilités aux fabricants, aux opérateurs et aux organisations.

La stratégie singapourienne repose ainsi sur trois piliers : une meilleure visibilité, une réponse coordonnée et des normes opposables. Elle dépend aussi de mesures quotidiennes — mises à jour, sauvegardes, contrôle des accès et vérification des demandes sensibles — pour éviter que les appareils vulnérables et les petites organisations ne deviennent le maillon faible.