Une cyberattaque “intolérable” : c’est ainsi que Berlin a qualifié, vendredi 3 mai, une attaque contre des membres du parti social-démocrate allemand (SPD), qu’elle attribue à des hackers russes, le groupe “APT28”, qui serait à l’origine de plusieurs attaques contre des institutions politiques en Allemagne et sur le sol européen ces dernières années.

“Aujourd’hui, nous pouvons dire sans ambiguïté que nous pouvons attribuer cette cyberattaque à un groupe appelé APT28, qui est dirigé par les services de renseignement de la Russie”, a affirmé lors d’une conférence de presse en Australie la ministre allemande des Affaires étrangères, Annalena Baerbock. L’enquête fédérale sur cette attaque, qui a visé le parti en janvier 2023, vient d’être bouclée, a précisé la ministre, sans donner plus de détails. “C’était une cyberattaque soutenue par la Russie contre l’Allemagne et c’est absolument intolérable et inacceptable”.

Tentatives d’hameçonnage

Le groupe “APT28”, également connu sous le nom de “Fancy Bear”, est accusé d’être responsable de dizaines de cyberattaques dans le monde, notamment contre des partis politiques. En France, cette cellule a multiplié les attaques contre des entités gouvernementales, des entreprises, universités et instituts de recherche en 2023, selon un rapport publié le 26 octobre 2023 par l’Agence nationale et la sécurité des systèmes d’information (Anssi).

Depuis 2021, l’Anssi dénombre près d’une quinzaine de signalements d’attaques menées avec le mode opératoire d’APT28, certaines visant plusieurs dizaines d’entités en même temps. Le groupe s’attaque notamment aux boîtes e-mail personnelles des salariés afin de récupérer des données, des courriels ou accéder aux autres machines d’un système, parfois avec des droits administrateurs. En particulier, le groupe a utilisé pendant plus d’un an, de mars 2022 à juin 2023, une faille de sécurité de la messagerie Outlook de Microsoft qui permettait de pénétrer dans un système sans aucune interaction de l’utilisateur.

Les hackers utilisent également l’ingénierie sociale, qui consiste à recueillir des données sur sa cible pour l’abuser par des messages crédibles, comme des e-mails d’hameçonnage. Une fois que ses cibles ont cliqué sur un lien malveillant, le groupe utilise des outils pour extraire les mots de passe stockés sur l’ordinateur ou parvient à obtenir des mots de passe pour se connecter à des comptes administrateurs. Face à cette menace, l’Agence recommande une série de précautions habituelles à prendre pour les organisations, comme le recours à des mots de passe forts.

Ingérences politiques

Avant le SPD allemand, le groupe APT28 – appellation désignant le nom technique du GRU, le renseignement militaire russe, et utilisé ici par les experts pour parler de cette cellule d’hackers- s’était déjà attaqué à des partis politiques européens. Selon Le Monde, APT28 et le groupe Sandworm, tous deux proches du GRU, sont à l’origine des “MacronLeaks”, à savoir le piratage et la diffusion de milliers de documents internes à l’entourage du futur président Emmanuel Macron lors de sa campagne de 2017.

En mars de cette année-là, avant le premier tour de l’élection présidentielle française, un premier groupe de pirates avait envoyé des courriels destinés à piéger leurs cibles pour leur dérober identifiants et mots de passe. Puis fin avril, une autre société japonaise, qui connaît très bien ces hackers, avait révélé la création de sites Internet rappelant ceux du parti d’Emmanuel Macron. Ce groupe a aussi été accusé par le renseignement américain d’avoir interféré en 2016 dans l’élection présidentielle afin de favoriser Donald Trump face à sa rivale Hillary Clinton.

Ce n’est pas non plus la première fois que l’Allemagne est ciblée par les “Fancy Bear” : en 2018, les services allemands avaient révélé que des hackeurs russes s’étaient déjà infiltrés dans le réseau informatique de l’administration fédérale, avec pour objectif de copier des données, quelques mois avant les élections législatives du 24 septembre 2017, racontait Le Monde à l’époque des faits.

Plus récemment, un responsable du SPD aurait également déjà été la cible d’une attaque, en 2023, selon l’agence de sécurité informatique de l’Union européenne, se basant sur des informations de la presse allemande. Ces sources faisaient état de “signes concrets” d’une origine russe, d’après l’agence. L’Allemagne a déclaré vendredi 3 mai que ces attaques ne resteraient pas sans conséquence.