Des responsables de l’Union européenne enquêtent sur un incident de cybersécurité après que des attaquants ont compromis les systèmes utilisés pour gérer les appareils mobiles du personnel, exposant potentiellement un volume limité de données personnelles.
La Commission européenne a déclaré avoir détecté une cyberattaque contre son infrastructure centrale de gestion des appareils mobiles et avoir rapidement pris des mesures pour la contenir.
« La Commission européenne a bien fait de nettoyer rapidement les systèmes et de s’assurer qu’aucun appareil mobile n’a été compromis », a déclaré Ross Filipek, CISO chez Corsica Technologies dans un e-mail adressé à eSecurityPlanet.
Il a expliqué : « Cela étant dit, les informations dérobées par les attaquants risquent toujours d’être utilisées dans des campagnes d’hameçonnage après l’attaque initiale, lesquelles visent à extorquer davantage les victimes ou à obtenir un accès encore plus profond aux systèmes internes en détournant des comptes utilisateurs. »
Ross a ajouté : « Les conséquences d’une compromission de la Commission européenne ne se limitent pas à une seule agence, mais concernent des centaines d’organisations et de réseaux. »
« Il est probable que ce ne soit pas une coïncidence si cette compromission survient peu après que la Commission européenne a proposé une nouvelle législation visant à renforcer les défenses contre les acteurs malveillants ciblant les infrastructures critiques », a déclaré Nick Tausek, Lead Security Automation Architect chez Swimlane dans un e-mail adressé à eSecurityPlanet.
Il a expliqué : « L’intégration d’agents d’IA aux défenses de sécurité rééquilibre les forces face aux menaces avancées grâce à des analyses continues et automatisées des environnements de sécurité. »
Nick a ajouté : « Ainsi, ces agents peuvent détecter les faiblesses des défenses avant que les attaquants ne les exploitent et alerter les équipes de sécurité, ou anticiper les failles qui seront exploitées et lancer des contre-mesures empêchant les acteurs malveillants d’établir des points d’ancrage au plus profond des systèmes internes pour y déployer des logiciels malveillants ou mener une surveillance à long terme. »
Des attaques similaires contre les systèmes MDM se propagent en Europe
Bien que la Commission n’ait pas divulgué le point d’entrée, l’incident coïncide avec une vague plus large d’attaques exploitant les faiblesses de plateformes de gestion des appareils mobiles largement utilisées dans le secteur public européen.
Cette révélation est également survenue peu après que la Commission a présenté une nouvelle législation sur la cybersécurité visant à renforcer les défenses contre les menaces étatiques et criminelles.
La compromission de la Commission semble s’inscrire dans une série d’attaques presque identiques signalées à travers l’Europe.
À peu près au moment de l’annonce de la Commission, les autorités néerlandaises ont confirmé que l’Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) et le Conseil de la magistrature (Raad voor de rechtspraak, Rvdr) avaient été compromis.
Dans ces cas, les attaquants ont accédé aux noms des employés, à leurs adresses e-mail professionnelles et à leurs numéros de téléphone après avoir exploité des vulnérabilités dans Ivanti Endpoint Manager Mobile (EPMM).
Le Centre national néerlandais de cybersécurité (NCSC) a déclaré avoir été alerté par Ivanti au sujet de failles critiques dans le logiciel EPMM utilisé pour gérer les appareils mobiles, les applications et les contenus dans les environnements gouvernementaux et d’entreprise.
Les autorités finlandaises ont également signalé une compromission liée, Valtori ayant révélé une attaque contre son service de gestion des appareils mobiles susceptible d’affecter jusqu’à 50 000 utilisateurs.
Ivanti a averti ses clients de l’existence de deux vulnérabilités critiques dans EPMM, référencées sous les identifiants CVE-2026-1281 et CVE-2026-1340.
Toutes deux sont des failles d’injection de code qui permettent à des attaquants distants non authentifiés d’exécuter du code arbitraire sur des systèmes non corrigés, leur accordant de fait un contrôle total sur les serveurs concernés.
Bien que la Commission européenne n’ait pas confirmé qu’Ivanti EPMM soit le point d’entrée de sa compromission, la chronologie, l’ampleur et les similitudes techniques suggèrent un lien potentiel.
Les plateformes MDM sont des systèmes sensibles, car elles s’intègrent aux services d’identité, aux politiques applicables aux appareils et aux accès administratifs.
Même une exposition limitée de données au niveau de l’annuaire, comme les noms et les numéros de téléphone, peut accroître le risque d’hameçonnage ciblé, d’ingénierie sociale ou d’intrusions ultérieures.
Réduire les risques liés aux plateformes de gestion des appareils mobiles
Les plateformes de gestion des appareils mobiles sont de plus en plus ciblées, car elles offrent un vaste accès administratif dans les environnements d’entreprise et gouvernementaux.
Les organisations doivent considérer leur infrastructure MDM comme critique et appliquer des défenses en profondeur afin de réduire l’exposition, de limiter l’impact et de renforcer leur capacité de réaction.
- Appliquez les correctifs du fournisseur et suivez les recommandations d’atténuation pour les vulnérabilités non corrigées.
- Restreignez et renforcez l’accès à l’infrastructure MDM au moyen de l’isolation réseau, d’une authentification forte et du principe du moindre privilège.
- Surveillez les systèmes MDM à la recherche de signes de compromission, notamment les commandes anormales, les modifications de configuration et le trafic sortant.
- Limitez le périmètre d’impact en segmentant les serveurs MDM, en imposant une liste d’autorisation des applications et en renforçant les contrôles du trafic sortant.
- Faites régulièrement tourner et réduisez au minimum les identifiants, les clés d’API et les accès aux annuaires utilisés par les plateformes MDM afin de réduire l’impact après une compromission.
- Considérez les coordonnées exposées du personnel comme hautement sensibles et redoublez de vigilance face à l’hameçonnage, à l’usurpation d’identité et aux attaques ultérieures.
- Testez régulièrement les plans de réponse aux incidents et de reprise après une compromission de MDM, notamment le confinement, la réinitialisation des identifiants et la restauration des systèmes.
Ensemble, ces mesures réduisent l’exposition des MDM, limitent le périmètre d’impact en cas de compromission et améliorent la capacité d’une organisation à contenir rapidement un incident et à s’en remettre.
Alors que les infrastructures de gestion mobile deviennent une cible de plus en plus courante, l’incident touchant la Commission européenne souligne la nécessité de réévaluer la sécurisation de ces systèmes.
Cette réévaluation conduit souvent les organisations vers des solutions zero trust qui limitent les accès implicites et réduisent la dépendance aux défenses fondées sur le périmètre.