Des acteurs malveillants revendiquent la responsabilité de ce qui pourrait être l’une des plus importantes fuites de données de l’histoire de la Chine — ils auraient dérobé plus de 10 pétaoctets de données à une infrastructure nationale majeure de supercalcul liée à la recherche scientifique et militaire.
« Les informations selon lesquelles des pirates utilisant le pseudonyme FlamingChina auraient dérobé 10 pétaoctets de données contenant des secrets militaires chinois sont à la fois stupéfiantes et inimaginables », a déclaré Jeff Wichman, Director of Incident Response chez Semperis, dans un e-mail adressé à eSecurityPlanet.
Il a expliqué : « Pour mettre cette gigantesque attaque en perspective, la Library of Congress des États-Unis, si elle était entièrement numérisée (vidéos, images, livres, manuscrits et fichiers audio), contiendrait plusieurs pétaoctets de données, soit seulement environ un tiers de ce que FlamingChina a dérobé et tente maintenant de revendre. »
L’attaque présumée contre le centre de supercalcul de Tianjin
Le Centre national de supercalcul de Tianjin est un composant essentiel de l’infrastructure informatique avancée de la Chine. Il accompagne plus de 6 000 clients dans les secteurs universitaire, industriel et militaire.
Ce niveau de centralisation crée un risque important : une seule fuite pourrait exposer simultanément les travaux de recherche sensibles, la propriété intellectuelle et les données de sécurité nationale de milliers d’organisations.
Les premières informations laissent penser que les données dérobées pourraient inclure des plans de missiles et des documents liés à la défense, ce qui suscite des inquiétudes quant aux risques géopolitiques et aux répercussions sur la compétitivité technologique.
Déroulement de l’attaque présumée
L’intrusion pourrait avoir débuté par l’intermédiaire d’un domaine de réseau privé virtuel (VPN) compromis.
Après avoir obtenu un accès initial, l’attaquant aurait exploité un botnet pour étendre son emprise, se déplaçant latéralement dans les systèmes et exfiltrant d’importants volumes de données sur une période d’environ six mois.
Si elle est avérée, l’attaque témoigne d’un mélange de compromission d’identifiants et de faiblesse de la segmentation réseau — des difficultés courantes dans les environnements complexes et distribués.
La durée de présence de six mois rapportée laisse penser que la surveillance ou la visibilité comportait des lacunes, donnant aux attaquants le temps nécessaire pour repérer et extraire des données sensibles.
La publication d’échantillons de données correspond à une tactique courante : des divulgations limitées servent à établir la crédibilité et à attirer l’attention avant une vérification complète.
Bien que les autorités chinoises n’aient pas confirmé la fuite, l’ampleur et la sensibilité des allégations attirent l’attention des professionnels de la sécurité.
CNN a indiqué avoir contacté le ministère chinois des Sciences et de la Technologie ainsi que l’Administration chinoise du cyberespace pour obtenir des commentaires, mais n’avait reçu aucune réponse au moment de la publication.
Comment les organisations peuvent renforcer leurs cyberdéfenses
Même si la fuite de Tianjin n’est pas confirmée, elle met en évidence plusieurs mesures concrètes que les organisations — en particulier celles qui gèrent des systèmes de calcul haute performance ou des infrastructures centralisées — devraient privilégier.
- Renforcer l’accès à distance et imposer des contrôles d’identité robustes en sécurisant les VPN, en activant l’AMF et en adoptant les principes du zero trust.
- Limiter les mouvements latéraux grâce à la segmentation du réseau et à l’application du principe du moindre privilège pour les utilisateurs, les systèmes et les charges de travail.
- Surveiller les activités anormales à l’aide d’outils tels que EDR/XDR et de journaux centralisés afin d’identifier la persistance et les comportements inhabituels.
- Limiter les risques d’exfiltration des données en mettant en œuvre la prévention contre la perte de données (DLP), en surveillant le trafic sortant et en restreignant les transferts volumineux ou anormaux.
- Renforcer la gestion des accès privilégiés en utilisant l’accès juste à temps, la rotation des identifiants et la surveillance des sessions pour les comptes administratifs.
- Améliorer la visibilité et la résilience grâce à la traque continue des menaces, à la conservation des journaux sur le long terme et à l’utilisation de technologies de déception lorsque cela est pertinent.
- Tester et affiner régulièrement les plans de réponse aux incidents tout en réalisant des audits des configurations, des contrôles d’accès et de l’activité des systèmes afin de garantir leur état de préparation.
Ensemble, ces mesures aident les organisations à renforcer leur résilience face à des menaces similaires, tout en limitant l’ampleur potentielle d’une compromission réussie.
Un risque croissant pour les environnements informatiques centralisés
Cet incident montre une nouvelle fois que les infrastructures informatiques à forte valeur continuent d’attirer l’attention dans les opérations cyber.
Les centres de supercalcul prennent en charge des travaux de recherche avancée ainsi que des charges de travail militaires et industrielles, ce qui en fait des environnements sensibles où une seule compromission peut avoir de vastes répercussions.
À mesure que davantage d’organisations centralisent leurs charges de travail critiques, l’impact potentiel d’une fuite sur plusieurs entités augmente.
Ces risques suscitent un intérêt croissant pour les solutions zero trust, qui aident les organisations à réduire leur exposition en vérifiant continuellement les accès et en limitant la confiance accordée.