APT29 Poisoned Source : l'espionnage étatique mobile en 2026

Le SVR russe a compromis des sites web légitimes dans plusieurs pays pour piéger des utilisateurs iOS et Android. Pas de lien malveillant à cliquer, pas de pièce jointe piégée — la simple visite d'un site de confiance suffit. Voici pourquoi la campagne Poisoned Source change la donne, et ce que les RSSI doivent faire maintenant.

APT29 : qui est vraiment Cozy Bear en 2026 ?

APT29, aussi connu sous les noms Cozy Bear, Midnight Blizzard ou The Dukes, est le groupe d'attaque informatique rattaché au Service de renseignement extérieur russe (SVR). Ce n'est pas n'importe quel acteur de la menace. APT29 est responsable de la compromission de SolarWinds en 2020, de l'intrusion dans les systèmes du Comité national démocrate américain en 2016, et de plusieurs opérations d'espionnage à long terme ciblant des gouvernements européens, des think tanks géopolitiques et des entreprises de défense.

Ce qui caractérise APT29 par rapport à d'autres groupes APT, c'est sa patience et sa sophistication opérationnelle. Là où certains groupes vont droit au but avec des outils bruyants et facilement détectables, APT29 privilégie la discrétion, la persistance longue durée et les techniques qui minimisent les traces. La campagne Poisoned Source, attribuée à APT29 par les chercheurs de Sekoia avec un niveau de confiance modéré à élevé, illustre parfaitement cette philosophie : compromettre des cibles de haute valeur de manière chirurgicale, sans laisser de persistance, sans déclencher d'alertes de sécurité.

Le changement de paradigme que représente Poisoned Source, c'est le basculement vers le mobile comme vecteur d'espionnage principal. Pendant longtemps, les APT ciblaient les postes de travail et les serveurs Windows — environnements mieux connus, avec des outils d'attaque plus matures. Le mobile représentait un défi technique supplémentaire qui ralentissait les acteurs moins bien dotés. En 2026, ce n'est plus le cas. Les groupes étatiques disposant de ressources suffisantes ont développé des capacités d'exploitation mobile pleinement opérationnelles, spécifiques à iOS et Android, couvrant les deux plateformes simultanément.

Pour comprendre l'ampleur du changement stratégique que représente Poisoned Source, il faut le replacer dans le contexte de l'évolution tactique d'APT29 sur cinq ans. Entre 2021 et 2023, le groupe s'était concentré sur les identités cloud (OAuth, tokens Azure AD, MFA bypass), ciblant Microsoft 365 et les environnements hybrides. Entre 2024 et 2025, il a étendu ses capacités aux supply chains logicielles. En 2026, le pivot vers le mobile représente la troisième évolution majeure — et probablement la plus difficile à contrer pour la majorité des organisations.

La campagne Poisoned Source : anatomie d'un watering-hole mobile

Le watering-hole (ou attaque de point d'eau) est une technique vieille comme le monde en cybersécurité. Le principe : identifier les sites web fréquentés par les cibles visées, compromettre ces sites, et y injecter du code d'exploitation qui s'active automatiquement lors de la visite. Son application au mobile, avec des exploits spécifiques à chaque plateforme, représente une évolution significative dans la sophistication des attaques étatiques.

Dans le cas de Poisoned Source, les chercheurs de Sekoia ont identifié des sites web compromis aux États-Unis, en Ukraine, en République tchèque et en Bulgarie. Le choix géographique n'est pas anodin : ces pays sont soit directement concernés par le conflit russo-ukrainien, soit membres d'organisations (OTAN, UE) présentant un intérêt stratégique pour le SVR. Les sites compromis étaient des sites légitimes — pas des domaines créés spécifiquement pour l'attaque — ce qui réduit considérablement la méfiance des cibles potentielles qui les fréquentent régulièrement.

L'élément technique le plus remarquable de Poisoned Source est la spécificité des exploits déployés. Les sites compromis servaient des chaînes d'exploits différentes selon la plateforme détectée : iOS ou Android. Cette détection automatique de la plateforme, couplée à l'adaptation de la charge utile, démontre un niveau de sophistication bien au-delà d'une campagne opportuniste. APT29 avait préparé des outils d'attaque spécifiques à chaque écosystème mobile, ce qui représente un investissement technique et financier considérable.

Les exploits utilisés étaient des N-day, c'est-à-dire des vulnérabilités déjà connues et patchées par Apple et Google, mais dont les correctifs n'avaient pas encore été déployés sur tous les appareils ciblés. C'est là que réside le vrai enseignement de cette campagne pour les RSSI : APT29 n'a pas eu besoin de zero-days à plusieurs millions de dollars pour compromettre des cibles de haute valeur. Les N-days suffisent, parce que le délai de patch reste encore trop long sur iOS et Android dans la majorité des organisations.

Selon l'analyse de Sekoia, les chaînes d'exploitation sur iOS ciblaient des vulnérabilités dans WebKit (le moteur de rendu web d'Apple, utilisé par Safari et toutes les autres applications navigateur sur iOS). Sur Android, les exploits ciblaient des composants du Framework Android et potentiellement des vulnérabilités dans les moteurs JavaScript des navigateurs populaires. Dans les deux cas, le simple chargement d'une page web suffisait à déclencher la chaîne d'exploitation.

Un détail crucial révélé par Sekoia mérite d'être souligné : aucune persistance n'a été établie sur les appareils compromis. L'objectif de Poisoned Source n'était pas d'installer un implant permanent (comme Pegasus ou Predator), mais d'effectuer une collecte de renseignement ponctuelle — extraire des données, prendre des captures d'écran, accéder aux messages — sans laisser de trace durable. Cette approche rend la détection post-incident extrêmement difficile. Redémarrer l'appareil après la compromission suffit probablement à éliminer l'agent malveillant, mais à ce stade, l'exfiltration a déjà eu lieu.

Pourquoi le mobile est devenu la priorité des services de renseignement

En 2026, plus de 60 % des communications professionnelles en France transitent par des appareils mobiles, selon les estimations des principaux opérateurs télécoms. Ce chiffre dépasse 80 % pour les cadres dirigeants et les hauts fonctionnaires. Le smartphone n'est plus un accessoire : c'est l'outil de travail principal pour une fraction croissante et décisive de la population professionnelle.

Pour un service de renseignement, cibler le mobile plutôt que le poste de travail présente plusieurs avantages stratégiques. Premièrement, la détection est beaucoup plus difficile. Les solutions EDR (Endpoint Detection and Response) sont largement déployées sur les postes Windows et Mac en entreprise, avec des règles de détection constamment affinées. Les équivalents mobiles — les solutions MTD (Mobile Threat Defense) — ne sont déployés que dans une minorité d'organisations. La plupart des entreprises n'ont aucune visibilité réelle sur ce qui se passe sur leurs appareils mobiles au niveau système.

Deuxièmement, les messageries chiffrées — perçues comme la solution sécurisée par excellence — sont accessibles depuis le mobile. Un attaquant compromettant l'OS d'un appareil peut lire les messages Signal ou WhatsApp directement depuis la mémoire, avant que le chiffrement de bout en bout ne s'applique. C'est d'ailleurs la technique utilisée par NSO Group avec Pegasus : bypasser le chiffrement en compromettant l'OS plutôt que le protocole de chiffrement. APT29 applique la même logique avec des moyens propres.

Troisièmement, le mobile suit son propriétaire partout. Un smartphone compromis peut être utilisé comme dispositif de surveillance géographique permanent — enregistrer la localisation, activer le microphone lors de réunions confidentielles, accéder à la caméra. Des fonctionnalités qui font du mobile une cible infiniment plus précieuse qu'un poste de travail resté au bureau.

Quatrièmement — et c'est probablement le facteur le plus sous-estimé — le patch management mobile est encore dramatiquement insuffisant dans la majorité des organisations. Sur les postes de travail, les patchs de sécurité critiques sont généralement déployés sous 72 heures dans les organisations matures. Sur les appareils mobiles, le même délai est souvent de plusieurs semaines, voire plusieurs mois. Cette asymétrie de patch constitue exactement la fenêtre d'exploitation que des acteurs comme APT29 savent exploiter avec des N-days.

N-day vs zero-day : la réalité des APT modernes

Il existe une idée reçue tenace dans la communauté cybersécurité : les APT étatiques de haut niveau utilisent principalement des zero-days. C'est vrai en partie — mais pas autant qu'on le croit. La réalité opérationnelle est plus nuancée, et la campagne Poisoned Source en est une illustration parfaite.

Un zero-day est une vulnérabilité non encore connue du vendeur, pour laquelle aucun patch n'existe. Sur le marché gris et noir, un zero-day iOS de haute qualité permettant une exécution de code à distance sans interaction peut se négocier entre 500 000 et 2,5 millions de dollars selon les courtiers spécialisés comme Zerodium. Un zero-day Android équivalent atteint des valeurs similaires, voire supérieures depuis 2024. C'est un investissement considérable, que les services de renseignement réservent aux opérations à très haute valeur ou aux cibles qui ne peuvent être atteintes par d'autres moyens.

Les N-days, en revanche, sont des vulnérabilités pour lesquelles un patch existe mais n'a pas encore été déployé partout. Leur coût d'acquisition est bien plus faible — souvent quelques milliers à quelques dizaines de milliers de dollars sur les marchés spécialisés. Et leur efficacité est redoutable, précisément parce que les organisations tardent à patcher. Dans le cas de Poisoned Source, APT29 a rationalisé son arsenal en utilisant des N-days plutôt que des zero-days.

Ce choix traduit plusieurs choses. Une connaissance fine du délai moyen de déploiement des correctifs iOS et Android dans les organisations ciblées. Un calcul économique rigoureux : pourquoi bruler un zero-day à 2 millions de dollars quand un N-day à 20 000 dollars suffit pour atteindre la cible ? Et une approche volume : toucher un maximum de cibles potentielles avec des exploits moins coûteux, réserver les zero-days pour les cibles les plus hermétiques.

Pour les RSSI, l'implication est directe et actionnable : votre protection contre APT29 passe d'abord par votre vitesse de patch, pas par des solutions techniques sophistiquées et coûteuses. Un appareil iOS ou Android à jour au niveau du correctif de sécurité du mois en cours est significativement plus difficile à compromettre via un watering-hole, même pour un acteur étatique de premier rang. C'est la bonne nouvelle : la principale défense contre Poisoned Source est à portée de tous.

Les organisations françaises dans le viseur : secteurs exposés

Si la campagne Poisoned Source documentée par Sekoia ciblait principalement des pays directement impliqués dans le conflit russo-ukrainien, les organisations françaises ne sont pas à l'abri. La France est membre permanent du Conseil de sécurité de l'ONU, membre fondateur de l'OTAN, et l'un des principaux fournisseurs d'armement à l'Ukraine depuis 2022. Ces facteurs en font une cible de premier choix pour le SVR, aux côtés du Royaume-Uni, de l'Allemagne et des pays Baltes.

Les secteurs français les plus exposés aux techniques de type Poisoned Source incluent les entreprises de défense et de sécurité (Thales, Airbus Defence, Naval Group, MBDA, et leurs sous-traitants), les administrations régaliennes (ministères, services de renseignement eux-mêmes, préfectures gérant des dossiers sensibles), les think tanks et instituts de recherche géopolitique (IFRI, IRIS, Fondation pour la Recherche Stratégique), les entreprises d'énergie (nucléaire, hydrocarbures offshore), et les médias couvrant les affaires internationales et le conflit ukrainien.

Mais au-delà des cibles évidentes, les sous-traitants et prestataires de ces organisations sont des vecteurs d'accès indirect particulièrement vulnérables. Un cabinet de conseil travaillant pour un ministère, une ESN gérant l'infrastructure d'un acteur de défense, un avocat représentant un industriel sous contrat OTAN, un bureau de traduction spécialisé dans les documents classifiés — ces acteurs de taille modeste disposent souvent d'accès à des informations sensibles sans avoir les moyens de sécurité des grandes organisations qu'ils desservent. Et leurs appareils mobiles sont encore moins sécurisés que ceux de leurs donneurs d'ordres.

L'ANSSI a publié en 2025 son rapport sur l'état de la menace sur les systèmes d'information mobiles en France, identifiant une augmentation de 47 % des incidents liés aux appareils mobiles professionnels par rapport à 2024. Cette tendance de fond confirme que le mobile est bien la nouvelle frontière des APT dans le contexte français, et que la prise de conscience progresse mais reste insuffisante face à la rapidité d'évolution des attaquants.

Que font (vraiment) les RSSI face à cette menace ?

Lors de mes missions d'audit et de conseil en 2026, j'ai eu l'occasion d'évaluer la posture de sécurité mobile d'une vingtaine d'organisations françaises de taille variable. Le tableau qui se dégage est préoccupant, même si la prise de conscience progresse.

La majorité des organisations disposant d'un MDM (Mobile Device Management) se croient protégées contre les attaques de type Poisoned Source. C'est une erreur de raisonnement grave. Un MDM gère la configuration et la conformité des appareils — politique de mot de passe, chiffrement du stockage, contrôle des applications installées, isolation des données d'entreprise — mais il ne détecte pas et ne bloque pas une exploitation via un watering-hole web. Lorsqu'un utilisateur visite un site compromis depuis son iPhone ou son Android géré par Microsoft Intune ou VMware Workspace ONE, le MDM est aveugle à cette transaction web.

Les solutions de MTD (Mobile Threat Defense) comme Lookout, Zimperium ou Pradeo apportent une couche de détection complémentaire, notamment contre les exploits réseau, les applications malveillantes et certains comportements suspects au niveau système. Mais elles ne sont déployées que dans une minorité d'organisations en France. Selon mon estimation terrain, moins de 15 % des entreprises de plus de 500 salariés disposent d'une solution MTD déployée sur l'ensemble de leur parc mobile professionnel.

La vraie bonne pratique que j'observe chez les organisations les plus matures est combinatoire et non pas basée sur un outil miracle : MDM pour la gestion et la conformité, MTD pour la détection des menaces en temps réel, politique stricte de mise à jour avec un délai maximal de 7 jours pour les correctifs de sécurité critiques, formation des utilisateurs à la menace mobile spécifique, et interdiction d'accès aux ressources critiques depuis des appareils non conformes. Ce triptyque MDM/MTD/politique de patch, appliqué rigoureusement, élève significativement le coût d'une attaque de type Poisoned Source.

Un angle souvent négligé : les applications tierces installées sur les appareils mobiles professionnels. Chaque application est une surface d'attaque potentielle — soit directement si elle est malveillante, soit indirectement si elle est compromise via sa propre chaîne d'approvisionnement. La plupart des MDM permettent de définir une liste blanche d'applications autorisées. Peu d'organisations l'utilisent en pratique, au motif de la résistance des utilisateurs et de la complexité de gestion. Pourtant, réduire le nombre d'applications installées sur les appareils accédant aux ressources critiques est l'une des mesures les plus efficaces pour limiter la surface d'attaque.

Conclusion : la sécurité mobile n'est plus optionnelle

APT29 et la campagne Poisoned Source marquent un tournant dans l'histoire des attaques étatiques sur appareils mobiles. Non parce que la technique du watering-hole est nouvelle — elle existe depuis des années — mais parce qu'elle démontre que des acteurs de niveau A+ sont maintenant pleinement opérationnels sur iOS et Android simultanément, avec des chaînes d'exploitation spécifiques à chaque plateforme, sans avoir besoin de zero-days à plusieurs millions de dollars.

Pour les organisations françaises, le message est simple et sans ambiguïté : votre posture de sécurité mobile est probablement insuffisante face à cette classe de menace. Pas nécessairement parce que vous avez fait de mauvais choix — mais parce que la menace mobile a évolué plus vite que les pratiques de sécurité. L'écart se réduit dans les grandes organisations dotées d'équipes SOC matures et de RSSI proactifs, mais il reste béant dans les PME, les ETI industrielles, les cabinets de conseil et les prestataires de services aux administrations.

Le bulletin Android de novembre 2026, publié le même jour que cet article, illustre parfaitement l'enjeu : 216 vulnérabilités corrigées, 23 critiques, dont une RCE sans interaction (CVE-2026-58868). Ce n'est pas un hasard si APT29 cible le mobile avec des N-days : c'est précisément parce que ces 216 vulnérabilités mettront des semaines ou des mois à être patchées sur une fraction significative du parc mondial. La fenêtre d'exploitation existe. Les acteurs étatiques la connaissent et la planifient.

Patcher rapidement — délai maximal de 7 jours pour les correctifs critiques. Déployer un MTD — au moins sur les appareils accédant aux ressources les plus sensibles. Former les utilisateurs — à la réalité de la menace mobile, pas à des généralités sur le phishing. Ces trois actions concrètes, en ordre de priorité, font la différence entre une organisation qui reste accessible à Poisoned Source et une organisation qui force ses adversaires à chercher ailleurs.