Le secteur technologique en état de siège : la Chine mène une vaste campagne d'espionnage de l'IA

Les éléments fondamentaux de l'IA — les modèles, les données d'entraînement et les pipelines de recherche — sont désormais la cible principale de cet espionnage d'État . Des groupes spécifiques comme MURKY PANDA, MUSTANG PANDA, OVERCAST PANDA, SUNRISE PANDA et WARP PANDA ont été observés en train de cibler le secteur technologique plus que tout autre . Le rapport décrit cette activité comme une collecte de renseignements de long terme, soutenue par des compromissions de la chaîne d'approvisionnement, visant des objectifs plus stratégiques que financiers .

La Corée du Nord étend ses opérations d'infiltration par accès de confiance

Les acteurs nord-coréens se sont taillé un profil opérationnel distinct. Plutôt que de s'appuyer uniquement sur des méthodes d'intrusion classiques, les groupes liés à la Corée du Nord (qualifiés de DPRK-nexus) ont étendu leur champ d'action via l'infiltration de faux travailleurs IT — en placant des agents comme sous-traitants à distance dans des entreprises technologiques occidentales — et en compromettant des chaînes logicielles pour obtenir un accès légitime .

Si le rapport sur le secteur technologique met l'accent sur ces opérations d'accès de confiance, une autre publication parallèle de CrowdStrike, le Rapport 2026 sur les menaces dans les services financiers, souligne l'ampleur de la campagne nord-coréenne. Ce dernier révèle que les adversaires liés à Pyongyang ont dérobé des milliards de dollars en actifs numériques en 2025 et ont industrialisé la cybercriminalité en utilisant la tromperie assistée par IA . Le groupe FAMOUS CHOLLIMA, en particulier, a doublé sa cadence opérationnelle, et le groupe PRESSURE CHOLLIMA a exécuté le plus grand vol financier jamais signalé — 1,46 milliard de dollars en cryptomonnaies — via une compromission de la chaîne d'approvisionnement impliquant un logiciel infecté par un cheval de Troie .

La cybercriminalité s'accélère : le temps d'évasion tombe à 29 minutes

Les cybercriminels motivés par l'argent ont intensifié leurs opérations contre les organisations technologiques, avec des courtiers en accès initial, des opérateurs de rançongiciels et des groupes d'extorsion qui font du secteur une priorité . Le Rapport mondial sur les menaces 2026, qui l'accompagne, enregistre un temps moyen d'évasion (le délai entre l'accès initial et le déplacement latéral) tombé à seulement 29 minutes en 2025, soit une augmentation de la vitesse de 65 % par rapport à 2024 . L'intrusion la plus rapide observée est passée de l'accès initial au vol de données en moins de deux minutes, avec un incident chronométré à seulement 27 secondes .

Les intrusions interactives dirigées par un opérateur humain — souvent appelées attaques « mains sur le clavier » — ont augmenté de 43 % au cours des deux dernières années, offrant aux adversaires la flexibilité opérationnelle de basculer entre le vol, l'extorsion ou la collecte de renseignements en fonction de la valeur de la cible . Ce changement vers des campagnes pilotées par l'homme signifie que les adversaires peuvent se fondre dans le comportement administratif normal, rendant la détection considérablement plus difficile .

La chaîne d'approvisionnement et le problème de l'exploitation de la confiance

Plutôt que de compter sur les malwares traditionnels, les adversaires exploitent de plus en plus les relations de confiance, les identifiants de connexion valides, les intégrations SaaS et les chaînes logicielles . Le rapport documente que 82 % de toutes les détections en 2025 étaient exemptes de logiciels malveillants, car les attaquants « vivent sur le terrain » en utilisant des outils légitimes et l'ingénierie sociale améliorée par l'IA pour contourner les défenses basées sur des signatures .

Les plateformes d'IA et les outils pour développeurs sont désormais directement attaqués. Les adversaires compromettent des dépôts de code de confiance, des pipelines d'intégration continue (CI/CD) et des flux de travail pour obtenir un accès persistant à des cibles en aval . Cette approche de la chaîne d'approvisionnement signifie qu'un seul outil de développement compromis peut cascader l'accès à des dizaines, voire des centaines d'organisations, sans nécessiter de brèche directe sur chaque cible.

La surface d'attaque de l'IA s'étend

L'intelligence artificielle est apparue comme une menace à double facette durant la période étudiée. L'activité des adversaires dopée par l'IA a augmenté de 89 % en glissement annuel, accélérant le phishing, la reconnaissance, l'ingénierie sociale et les opérations techniques . Les attaquants ont utilisé des outils d'IA générative accessibles au public — y compris ChatGPT, Gemini et DeepSeek — pour l'ingénierie sociale, le développement de logiciels malveillants et la planification opérationnelle .

En parallèle, les systèmes d'IA eux-mêmes sont devenus une nouvelle surface d'attaque. Plus de 90 organisations ont vu leurs outils d'IA légitimes exploités pour générer des commandes malveillantes ou voler des modèles sensibles . Le rapport documente des adversaires injectant des invites nuisibles dans des outils d'IA générative en production et détournant des plateformes de développement d'IA pour exfiltrer de la propriété intellectuelle .

Le rapport qualifie 2025 d'« année de l'adversaire furtif », définie par des attaques qui ciblent les relations de confiance, démontrent une aisance avec les outils d'IA et intègrent des techniques sur mesure pour exploiter les angles morts de sécurité dans les environnements de terminaux, d'identité, SaaS et cloud .

Le rapport de CrowdStrike est sans équivoque : les entreprises technologiques ne peuvent pas se défendre contre cette convergence de menaces en utilisant des approches héritées du passé. Quand les adversaires passent de l'accès initial à la propagation latérale en moins de 30 minutes, et quand la majorité des attaques ne comportent aucune signature de malware, les stratégies de détection fondées sur des indicateurs de compromission connus sont fondamentalement inadéquates. Le secteur qui bâtit la technologie la plus avancée au monde est devenu le territoire numérique le plus contesté de la planète.