Une nouvelle enquête de l’équipe de renseignement sur les menaces d’Amazon révèle que les acteurs étatiques associent de plus en plus les intrusions informatiques aux opérations militaires dans le monde réel — l’un des changements les plus nets observés à ce jour dans la guerre moderne.
Le rapport met en lumière plusieurs campagnes au cours desquelles des groupes liés à l’Iran ont utilisé des systèmes de navires compromis, des caméras de sécurité et d’autres infrastructures numériques pour faciliter le ciblage de missiles et les frappes physiques.
« Les nouvelles conclusions d’Amazon Threat Intelligence mettent en évidence un changement vers lequel nous tendons depuis des années : tout ce qui est connecté peut devenir un élément du champ de bataille numérique », a déclaré Omer Tal, directeur de l’innovation et de la recherche au sein du bureau du CTO de Seemplicity.
Il a averti : « Nous voyons désormais des flux de vidéosurveillance commerciale apparaître dans des processus de ciblage de missiles — des systèmes qui n’ont jamais été conçus en intégrant la moindre réflexion sur la sécurité nationale. »
Tal a poursuivi : « Aucune organisation ne peut se demander : “Pourquoi quelqu’un nous ciblerait-il ?” Vous ne contrôlez pas l’usage final de vos systèmes compromis. Un attaquant n’a pas besoin de vos données ; il lui suffit de votre accès.
Il a ajouté : « Un simple point d’appui dans un réseau d’entreprise peut se transformer en renseignement de ciblage dans le monde réel. C’est la nouvelle réalité, et c’est pourquoi la visibilité et le contrôle de votre surface d’exposition sont tout aussi importants pour les entreprises privées que pour les gouvernements. »
« Les logiciels VPN gratuits et commerciaux sont utilisés aussi bien par des personnes soucieuses de leur vie privée que par des acteurs malveillants. En utilisant des services d’anonymisation, un acteur malveillant peut mêler son trafic à celui d’autres utilisateurs de VPN et se protéger contre l’attribution par les entreprises de sécurité », a déclaré Riley Kilmer, cofondatrice de Spur Intelligence.
Elle a ajouté : « VPNGate, utilisé par les acteurs mentionnés dans le rapport d’Amazon, est un utilitaire VPN gratuit fourni par des bénévoles pour aider les internautes à accéder à un Internet libre et non censuré. Non seulement il complique fortement l’attribution, mais il se fond également dans l’activité d’autres utilisateurs en Chine, en Iran et dans d’autres pays soumis à une forte censure. VPNGate a été utilisé lors de plusieurs attaques très médiatisées au cours de la dernière décennie. »
« Alors que l’informatique et la surveillance (mobiles, PC, IA, cloud, caméras de vidéosurveillance et réalité virtuelle) occupent une place croissante dans nos vies, il est inévitable que les opérations de cybersécurité se combinent à la guerre traditionnelle », a déclaré Olivier Bilodeau, chercheur principal en cybersécurité chez Flare.
Des APT iraniens transforment des caméras piratées en outils de ciblage
Dans le premier cas, un groupe malveillant connu sous le nom de Imperial Kitten — lié au Corps des gardiens de la révolution islamique iranien — a consacré plus de deux ans à étendre son accès aux systèmes maritimes.
Le groupe a compromis le système d’identification automatique d’un navire fin 2021, s’est étendu à d’autres navires en 2022, puis a finalement accédé aux caméras de vidéosurveillance embarquées, fournissant aux opérateurs un renseignement visuel en temps réel.
Au début de 2024, leurs opérations de reconnaissance se sont concentrées sur un navire précis. Quelques jours plus tard, les forces houthis ont lancé une frappe de missile contre ce même navire.
Une deuxième campagne, attribuée au groupe iranien MuddyWater, a montré un lien encore plus direct entre l’accès informatique et l’action cinétique.
Après avoir mis en place de nouveaux serveurs de commande et de contrôle (C2) en mai 2025, le groupe s’est introduit dans un système compromis qui diffusait en direct des flux de vidéosurveillance depuis Jérusalem.
Le 23 juin, l’Iran a lancé des attaques de missiles d’ampleur — et des responsables israéliens ont publiquement averti que les attaquants utilisaient des caméras de sécurité piratées pour ajuster le ciblage en temps réel.
Comment les intrusions informatiques permettent désormais les frappes physiques
Les chercheurs d’Amazon décrivent ces opérations comme des exemples de ciblage cinétique rendu possible par le cyber, un terme plus précis que « guerre hybride » ou « attaques cyber-cinétiques ».
Le facteur déterminant : l’intrusion numérique existe spécifiquement pour faciliter une frappe physique.
Ces opérations reposent sur une infrastructure technique à plusieurs niveaux, notamment des VPN d’anonymisation pour masquer l’origine, des serveurs dédiés contrôlés par les attaquants pour maintenir un accès persistant et des systèmes d’entreprise compromis regorgeant d’informations exploitables.
Les flux de données en direct — comme les images de caméras, la télémétrie des navires ou les données de capteurs — permettent aux acteurs malveillants d’affiner le ciblage avec un niveau de précision impossible à atteindre par la seule reconnaissance traditionnelle.
Cette convergence accroît également les enjeux liés à l’attribution. Lorsque des opérateurs informatiques permettent directement des attaques cinétiques, la responsabilité s’étend aux domaines de la cybersécurité, de l’armée et de la diplomatie.
Renforcer les systèmes en temps réel contre leur exploitation
Les conclusions d’Amazon montrent que tout système fournissant une visibilité en temps réel — des caméras aux capteurs industriels — peut être militarisé s’il est laissé exposé.
Les mesures ci-dessous expliquent comment les équipes de sécurité peuvent renforcer ces systèmes et réduire le risque d’exploitation informatique à des fins cinétiques.
- Renforcez les systèmes exposés à Internet — en particulier les caméras, les appareils IoT et les plateformes OT — et désactivez les voies d’accès à distance inutiles.
- Appliquez des contrôles d’accès stricts et segmentez le réseau afin d’empêcher les déplacements latéraux vers les systèmes sensibles de télémétrie ou de capteurs.
- Utilisez des protocoles de communication chiffrés et authentifiés pour tous les systèmes de visibilité en temps réel, comme la vidéosurveillance, l’AIS et les capteurs industriels.
- Surveillez en continu le trafic sortant inhabituel, les comportements de diffusion en continu ou les sessions passant par un tunnel VPN susceptibles d’indiquer une opération de reconnaissance.
- Établissez des référentiels et une détection des anomalies pour les réseaux OT, IoT et de capteurs, afin de repérer rapidement les écarts par rapport à l’activité normale.
- Participez à des communautés de partage de renseignements afin de rester informés des nouvelles tendances du ciblage cyber-cinétique.
- Menez des exercices red team et adoptez les principes du zero trust
pour valider vos défenses et limiter la manière dont les systèmes compromis peuvent être utilisés pour un ciblage physique.
Renforcer la cyberrésilience implique de considérer que tout système connecté peut être détourné de son usage et de mettre en place des défenses superposées en conséquence.La nouvelle réalité de la guerre cyber-physique
Le ciblage cinétique rendu possible par le cyber marque un changement décisif dans la manière dont les acteurs étatiques mènent les conflits.
Les compromissions numériques ne sont plus seulement des préludes au vol de données ou à la perturbation de services — elles deviennent des composantes essentielles de la stratégie sur le champ de bataille.
À mesure que les tensions mondiales s’intensifient et que les adversaires affinent leurs techniques, les organisations qui pensaient n’avoir aucune importance géopolitique pourraient voir leurs systèmes utilisés comme outils de renseignement militaire.
Alors que les frontières entre guerre informatique et guerre physique continuent de s’estomper, les défenseurs doivent partir du principe que tout système compromis pourrait avoir une valeur bien supérieure à celle qu’il présente dans leur propre environnement — transformant même des intrusions banales en catalyseurs potentiels de conflits dans le monde réel.Ce paysage de la menace en mutation souligne pourquoi les organisations doivent adopter une approche zero trust, en considérant chaque utilisateur, appareil et connexion comme non fiable jusqu’à preuve du contraire.