Un attaquant a utilisé une plateforme de tests d’intrusion assistés par IA pour automatiser des activités de cyberattaque contre des organisations au Japon, démontrant ainsi que des outils conçus pour les tests de sécurité peuvent aussi accélérer des opérations malveillantes.
La campagne d’octobre 2026 impliquait CyberStrikeAI, une plateforme open source capable de coordonner des agents IA spécialisés dans la reconnaissance, les tentatives d’exploitation et la production de rapports. Les chercheurs ont identifié au moins 16 organisations japonaises visées par des activités liées à des attaques, sans toutefois établir que chaque cible avait été compromise avec succès.
Pour les équipes de sécurité au Japon et dans toute la région Asie-Pacifique, le problème n’est pas nécessairement une nouvelle technique d’attaque. Il tient à la rapidité avec laquelle des outils assistés par IA peuvent identifier et tester des failles connues dans plusieurs organisations.
CyberStrikeAI a automatisé plusieurs étapes d’une attaque
Selon The Hacker News, les chercheurs de TrendAI ont constaté que CyberStrikeAI utilisait 44 agents IA pour automatiser la reconnaissance, l’exploitation et la production de rapports.
« L’IA a augmenté les effectifs des attaquants, mais le travail consiste toujours à chercher des portes déverrouillées », ont déclaré les chercheurs.
Au moins 19 organisations, dont au moins 16 au Japon, ont fait l’objet d’activités de validation. La plateforme a produit des rapports standardisés et des index de preuves, mais cela ne permet pas d’établir que chaque cible a été compromise avec succès. Cette opération apporte un exemple concret aux préoccupations liées au recours à des agents IA comme outils d’attaque.
Les deux autres environnements impliquaient des rôles différents pour l’IA : un LLM a aidé un opérateur dans une campagne qui a compromis un serveur de système d’information géographique exposé, tandis qu’un autre opérateur a principalement utilisé l’IA pour développer des scripts ciblant des équipements réseau. Les chercheurs n’ont trouvé aucune preuve que les trois opérations aient eu un opérateur commun.
Des activités distinctes d’ARTEX alimentent les inquiétudes du Japon
Selon The Japan News, GMO Cybersecurity by Ierae, basée à Tokyo, a identifié une activité présumée d’ARTEX dans des attaques qui auraient ciblé environ 80 entreprises japonaises. L’enquête a identifié des cibles dans les secteurs de la finance, de l’assurance, du commerce électronique et des cartes-cadeaux numériques. ARTEX est distinct de CyberStrikeAI ; les nombres de cibles des deux enquêtes ne doivent donc pas être additionnés.
Le journal a également rapporté que des responsables japonais examinaient une possible utilisation abusive de l’IA, tandis que JPCERT/CC a identifié des signes de Claude Code dans d’autres environnements d’attaque.
TrendAI a indiqué que l’opérateur de CyberStrikeAI avait également ciblé des organisations à Taïwan et à Hong Kong, ce qui rend ces conclusions pertinentes pour les équipes de défense de l’APAC qui suivent les menaces liées aux agents IA affectant Taïwan. Aucun opérateur commun n’a été établi dans ces affaires.
Les équipes japonaises et de l’APAC doivent s’attaquer aux failles connues
Pour les organisations japonaises, la priorité est de vérifier les systèmes exposés à Internet avant que des analyses automatisées ne découvrent des erreurs de configuration et des services non corrigés. Les administrateurs doivent examiner les passerelles VPN, les pare-feu, les interfaces de gestion à distance et les autres applications accessibles depuis l’extérieur, puis analyser les journaux à la recherche d’analyses rapides et de tentatives d’authentification répétées.
« Les entreprises devraient utiliser l’IA pour examiner en profondeur leurs systèmes informatiques à la recherche de vulnérabilités », a déclaré Nobuo Miwa, président de S & J Corp., à The Japan News. Les organisations doivent faire suivre les évaluations autorisées de mesures correctives, car l’identification des failles ne suffit pas à sécuriser les systèmes.
Les équipes de sécurité de l’APAC devraient donner la priorité à trois vérifications :
- Réduire l’exposition : Recenser les actifs externes, désactiver les interfaces inutiles, supprimer les identifiants par défaut et donner la priorité à la correction des failles exploitables.
- Protéger les identités : Exiger l’authentification multifacteur pour les accès à distance et les accès administratifs, et former le personnel à reconnaître les fausses pages de connexion localisées en japonais et dans les autres langues de la région.
- Détecter et contenir : Corréler les journaux des VPN, du Web, des systèmes d’identité et des terminaux afin de repérer les sondages automatisés, les accès privilégiés inattendus et les transferts de données sortants. Tester les procédures d’escalade entre les filiales et les équipes régionales.
Aviatrix recommande également la segmentation du réseau et un contrôle plus strict du trafic sortant afin de limiter les dommages causés par une intrusion réussie.
La segmentation peut empêcher les attaquants de se déplacer librement entre les systèmes compromis, tandis que la surveillance des connexions sortantes peut aider à détecter une activité de commande et de contrôle ou des transferts de données suspects.
L’opération menée avec 44 agents montre à quelle vitesse les attaquants peuvent automatiser plusieurs étapes d’une cyberattaque. Pour les organisations japonaises et les équipes de sécurité de l’APAC, la priorité est d’identifier rapidement les systèmes exposés, de détecter les activités suspectes et de contenir les menaces avant que les attaquants n’atteignent des données sensibles ou des infrastructures critiques.
À lire aussi : Cyberattaques contre GMO et Park24 au Japon ont entraîné l’indemnisation de clients à la suite de pertes liées à des transactions non autorisées et d’une fuite de données distincte ayant touché des millions de comptes.