Le BGP hijacking figure parmi les attaques les plus dévastatrices contre l'infrastructure Internet mondiale. Le protocole BGP (Border Gateway Protocol), véritable colonne vertébrale du routage inter-domaines, repose sur la confiance mutuelle entre opérateurs sans authentification cryptographique native. Un attaquant capable d'annoncer de fausses routes détourne le trafic de continents entiers vers ses propres systèmes autonomes, pour intercepter, altérer ou censurer les communications. Son pendant interne, l'exploitation d'OSPF, permet à un adversaire déjà présent sur le réseau d'injecter des LSA falsifiés et de réorganiser les chemins à sa guise. Comprendre les attaques BGP hijacking OSPF routage devient donc indispensable pour tout architecte réseau ou analyste SOC. Cet article détaille les mécanismes d'exploitation, les incidents marquants observés en production, ainsi que les contre-mesures éprouvées : RPKI, filtrage de préfixes, authentification des voisins et supervision continue des annonces.

En bref

  • BGP fonctionne sur la confiance mutuelle SANS authentification — n'importe quel AS peut annoncer n'importe quel préfixe
  • Le sub-prefix hijack (préfixe plus spécifique) gagne TOUJOURS en BGP — aucune configuration ne peut l'empêcher sans RPKI
  • Le BGP interception permet un MitM à l'échelle d'Internet avec re-routage transparent vers la destination
  • RPKI/ROA protège contre l'usurpation d'origine mais pas contre la manipulation de l'AS-PATH
  • OSPF sans authentification MD5/SHA permet l'injection de routes fictives dans le réseau interne
\

En bref

  • BGP : architecture, sessions eBGP/iBGP, AS-PATH et décision de routage
  • BGP Hijacking : prefix hijacking, sub-prefix, AS-PATH prepending malveillant
  • Cas réels : Pakistan/YouTube (2008), MyEtherWallet (2018), KlaySwap (2022)
  • OSPF exploitation : rogue router, phantom LSA, area boundary manipulation
  • Défenses : RPKI/ROA, BGPsec, IRR filtering, MANRS et BGP Flowspec
\
BGP Hijacking — Attaque consistant à annoncer de fausses routes BGP pour rediriger le trafic Internet vers l'attaquant. Le trafic détourné peut être intercepté (man-in-the-middle), analysé, modifié, ou simplement jeté (déni de service). L'attaque exploite l'absence d'authentification dans le protocole BGP.
\

BGP : Architecture du Routage Internet

\

Internet est un réseau de réseaux — chaque réseau autonome (AS — Autonomous System) est identifié par un numéro unique (ASN). BGP est le protocole qui permet aux AS d'échanger leurs informations de routage : chaque AS annonce les préfixes IP qu'il possède ou qu'il peut atteindre. Les routeurs BGP sélectionnent le meilleur chemin vers chaque préfixe selon un algorithme de décision multicritère (préférence locale, AS-PATH length, MED, etc.).

\ \ \ \ \ \ \ \ \
ConceptDescriptionExploitation
AS (Autonomous System)Réseau géré par une seule entitéUsurpation d'ASN
Prefix announcementAnnonce d'un bloc IP par un ASFausse annonce de préfixes
AS-PATHListe des AS traversésPATH prepending malveillant
eBGP/iBGPSessions entre/dans les ASPeering non autorisé
Route selectionChoix du meilleur cheminSub-prefix (plus spécifique gagne)
\

Prefix Hijacking : L'Attaque Classique

\

Le prefix hijacking consiste à annoncer un préfixe IP qui appartient à un autre AS. Le routeur de l'attaquant annonce, par exemple, le préfixe 1.2.3.0/24 appartenant à la victime. Les routeurs BGP voisins propagent cette annonce, et le trafic destiné à 1.2.3.0/24 est progressivement redirigé vers l'attaquant. La variante la plus efficace est le sub-prefix hijack : annoncer un préfixe plus spécifique (1.2.3.0/25) que celui de la victime (1.2.3.0/24). En BGP, le préfixe le plus spécifique (longest prefix match) gagne toujours.

⚡

Retour terrain

Pour une collectivité de 3 000 agents, j'ai cartographié le plan réseau existant — ou plutôt son absence. Il n'existait aucun schéma à jour : la documentation datait de 2015, le réseau avait quadruplé depuis. Trois semaines de discovery réseau passif avec Nmap et SNMP polling ont produit la première cartographie réelle, révélant 14 VLAN non documentés et 3 interconnexions avec des réseaux de partenaires non formalisées.

\

Cas Réels de BGP Hijacking

\
    \
  • Pakistan Telecom / YouTube (2008) : Pakistan Telecom a annoncé 208.65.153.0/24 (YouTube) pour bloquer YouTube au Pakistan. L'annonce s'est propagée mondialement, rendant YouTube inaccessible pendant 2 heures pour des millions d'utilisateurs.
    • \
  • MyEtherWallet (2018) : des attaquants ont détourné les préfixes IP d'Amazon Route 53 DNS via BGP hijacking, redirigeant les requêtes DNS de MyEtherWallet vers un faux site. ~17 millions de dollars en Ethereum ont été volés.
    • \
  • KlaySwap (2022) : BGP hijacking ciblant les serveurs d'une plateforme DeFi coréenne, permettant l'injection de code malveillant dans les réponses API et le vol de tokens.
    • \
  • China Telecom (régulier) : des études ont documenté des détournements réguliers de trafic via les AS de China Telecom, affectant des préfixes militaires et gouvernementaux américains.
    • \
\

BGP Interception : Man-in-the-Middle à Échelle Internet

\

Le BGP interception est une variante plus sophistiquée du hijacking : au lieu de simplement attirer le trafic (et interrompre la connectivité), l'attaquant redirige le trafic vers lui-même puis le re-route vers la destination légitime. Le résultat : un man-in-the-middle transparent à l'échelle d'Internet. L'attaquant peut inspecter le trafic non chiffré, enregistrer les métadonnées de connexion, et potentiellement attaquer les connexions TLS via des certificats forgés (si l'attaquant contrôle une CA).

\

OSPF Exploitation : Attaques Internes

\

OSPF (Open Shortest Path First) est le protocole de routage interne (IGP) le plus déployé dans les réseaux d'entreprise. Contrairement à BGP, OSPF distribue l'intégralité de la topologie du réseau (Link State Database). Un attaquant ayant compromis un routeur OSPF ou pouvant injecter des paquets OSPF peut :

\
    \
  • Phantom Router LSA : annoncer un routeur fictif avec des liens optimaux, redirigeant le trafic
    • \
  • Rogue Router : joindre le domaine OSPF en usurpant un Router ID et annoncer de fausses routes
    • \
  • Max-Age LSA Attack : injecter des LSA avec un age maximum pour forcer leur suppression du réseau
    • \
  • Area boundary manipulation : exploiter les résumés inter-area pour rediriger le trafic entre les zones OSPF
    • \
\

RPKI/ROA : La Défense Principale

\

Le RPKI (Resource Public Key Infrastructure) est le mécanisme de défense principal contre le BGP hijacking. Il crée une base de données cryptographiquement signée liant les préfixes IP aux AS autorisés à les annoncer. Un ROA (Route Origin Authorization) est un objet signé par le titulaire du préfixe, déclarant quel AS est autorisé à l'annoncer et la longueur maximale du préfixe.

\

Les routeurs BGP valident les annonces contre les ROA : une annonce dont l'origine AS ne correspond pas au ROA est marquée comme Invalid et peut être rejetée. Le déploiement du RPKI progresse : ~50% des préfixes IPv4 ont un ROA en 2026, mais seuls ~30% des opérateurs rejettent activement les routes Invalid.

\
⚠️ Attention — Le RPKI protège contre le prefix origin hijacking mais PAS contre les attaques sur l'AS-PATH (path manipulation). BGPsec (signature de chaque hop de l'AS-PATH) est la solution théorique mais son déploiement est quasi nul en 2026 à cause du coût de performance et de la complexité opérationnelle.
\
? Conseil pratique — Pour surveiller vos préfixes BGP, inscrivez-vous aux alertes de BGPStream (CAIDA/RIPE) et de RIPE RIS. Créez des ROA pour tous vos préfixes via le portail de votre RIR (RIPE, ARIN, APNIC) et configurez votre routeur pour rejeter les routes RPKI Invalid (route-map RPKI-FILTER deny 10 match rpki invalid).
\

À retenir

  • BGP fonctionne sur la confiance mutuelle SANS authentification — n'importe quel AS peut annoncer n'importe quel préfixe
  • Le sub-prefix hijack (préfixe plus spécifique) gagne TOUJOURS en BGP — aucune configuration ne peut l'empêcher sans RPKI
  • Le BGP interception permet un MitM à l'échelle d'Internet avec re-routage transparent vers la destination
  • RPKI/ROA protège contre l'usurpation d'origine mais pas contre la manipulation de l'AS-PATH
  • OSPF sans authentification MD5/SHA permet l'injection de routes fictives dans le réseau interne
\

FAQ — Questions Fréquentes

\
\

Le BGP hijacking est-il fréquent ?

Oui, des incidents BGP sont détectés quotidiennement. La plupart sont des erreurs de configuration (route leaks) plutôt que des attaques intentionnelles, mais les deux ont le même impact. BGPStream de CAIDA détecte des milliers d'anomalies BGP par an. Les attaques intentionnelles ciblant les cryptomonnaies et les services financiers sont en augmentation.

\

Comment détecter un BGP hijacking ciblant mon réseau ?

Utilisez les services de monitoring BGP : BGPStream (CAIDA), RIPE RIS, BGPmon, Kentik. Configurez des alertes pour vos préfixes et vos ASN. Vérifiez régulièrement les looking glasses (RIPE, RouteViews) pour voir comment vos préfixes sont propagés. Déployez RPKI avec des ROA pour permettre la validation par les routeurs tiers.

\

RPKI est-il suffisant pour protéger contre le BGP hijacking ?

RPKI protège contre le prefix origin hijacking (fausse attribution d'un préfixe à un AS) mais PAS contre les path manipulation attacks ni les route leaks. BGPsec (signature de l'AS-PATH complet) résoudrait ces problèmes mais n'est quasiment pas déployé. En pratique, RPKI + filtrage IRR + peer locking couvrent la majorité des scénarios d'attaque.

\
\

Conclusion

Ce sujet s'inscrit dans un contexte de menaces en constante évolution. La meilleure protection combine veille active, audits réguliers et sécurité by design. Pour approfondir ou évaluer votre exposition, consultez nos experts.

Besoin d'un accompagnement expert ?

Nos consultants spécialisés en sécurité réseau et infrastructure vous accompagnent dans l'évaluation de votre posture de sécurité.

Contactez-nous
\
Article recommandé : GPU Side-Channels : Attaques CUDA et OpenCL
\

? Articles connexes

\

? Références externes

\

Outils de monitoring et détection proactive du BGP Hijacking

La détection précoce des attaques BGP hijacking repose sur la surveillance continue des annonces de routes BGP depuis plusieurs points d'observation distribués. Les outils spécialisés comme BGPmon (intégré dans Cisco ThousandEyes), RIPE RIS Live et les alertes BGP d'ARIN permettent de détecter en temps quasi-réel les préfixes annoncés de manière anormale. La configuration d'alertes sur vos propres préfixes (ASN et plages IP) est la mesure minimale que toute organisation routant du trafic BGP doit implémenter.

Pour la remédiation, les mécanismes de filtrage BGP doivent être implémentés côté opérateur : RPKI (Resource Public Key Infrastructure) avec Route Origin Validation rend invalides les annonces dont l'ASN d'origine ne correspond pas au ROA signé — Cloudflare et Netflix reportent un filtrage de 80%+ des préfixes invalides depuis l'activation RPKI généralisée en 2024. BGPsec, qui signe cryptographiquement l'intégralité du chemin AS, offre une protection plus complète mais reste peu déployé. La combinaison RPKI + filtrage basé sur les IRR (Internet Routing Registry) couvre la majorité des scénarios de hijacking rencontrés en pratique.

Les attaques BGP hijacking contre des infrastructures critiques ont des impacts économiques considérables. L'incident BGP d'avril 2010 impliquant China Telecom a redirigé 15% du trafic internet mondial pendant 18 minutes, touchant des milliers d'organisations dont le Pentagone et le Sénat américain. En 2023, des attaquants ont détourné des préfixes BGP appartenant à des fournisseurs de services financiers pour intercepter des communications chiffrées dans une tentative de décryptage SSL offline. La protection contre ces scénarios requiert une combinaison de mesures techniques (RPKI, BGPsec) et opérationnelles (monitoring en temps réel, procédures de réponse rapide avec les opérateurs upstream).

La coopération internationale est indispensable dans la réponse aux incidents BGP, car les attaques traversent par nature plusieurs systèmes autonomes et juridictions. Les canaux d'escalade incluent les NOC (Network Operations Centers) des providers upstream, les CERT nationaux pour les incidents affectant des infrastructures critiques, et RIPE NCC pour les incidents impliquant l'espace d'adressage européen. La réponse à un BGP hijacking actif doit intervenir dans les 30 à 60 minutes pour limiter les dommages — chaque minute de détournement représente potentiellement des milliers de paquets interceptés.

\
Ayi NEDJIMI
\

Besoin d'un expert cybersécurité ?

\

Audit, pentest, formation, IA — plus de 25 ans d'expérience, 100+ missions réalisées.

\ \
\

Environnement de test et laboratoire pratique

La maîtrise des techniques de sécurité offensive et défensive requiert un environnement de pratique dédié. L'installation d'un laboratoire virtuel sur votre poste (VMware Workstation, VirtualBox, ou Proxmox pour une infrastructure plus élaborée) permet de tester les concepts présentés dans cet article sans risque pour les systèmes de production.

Configuration recommandée du lab

Pour reproduire les scénarios décrits, une configuration minimale comprend : un hyperviseur disposant d'au moins 16 Go de RAM et 4 cœurs CPU, un réseau virtuel isolé (host-only ou internal network sans accès Internet pour les VMs malveillantes), et un snapshot de base avant chaque manipulation pour faciliter le retour arrière. Les distributions spécialisées Kali Linux (offensive) et Parrot OS Security Edition couvrent l'ensemble des outils nécessaires sans configuration manuelle. Pour l'aspect défensif, Security Onion déploie en une seule VM un stack complet (Zeek, Suricata, Elasticsearch, Kibana) qui permet de visualiser l'impact des techniques testées.

Ressources de formation complémentaires

Les plateformes d'entraînement permettent de consolider la pratique dans des environnements légaux et structurés. HackTheBox et TryHackMe proposent des machines virtuelles sur lesquelles appliquer les techniques décrites, avec des difficultés progressives adaptées aux débutants comme aux experts. Pour les scénarios d'entreprise (Active Directory, Cloud, applications web complexes), les labs Pro de HackTheBox ou les modules DFIR/SOC de Blue Team Labs Online offrent des cas réalistes. Les CTF compétitifs (Hack The Box CTF, DEFCON CTF, PicoCTF) développent la créativité et l'adaptabilité face à des challenges inédits. La régularité de pratique (1-2 heures hebdomadaires minimum) prime sur l'intensité ponctuelle pour développer des réflexes durables.

Indicateurs de maturité et métriques de sécurité

Mesurer l'efficacité des mesures de sécurité implémentées est indispensable pour justifier les investissements et guider les priorités. Les métriques suivantes constituent un tableau de bord de sécurité applicable aux organisations de toutes tailles.

Métriques de couverture et de détection

Les indicateurs clés à suivre mensuellement : taux de couverture MITRE ATT&CK (pourcentage des techniques adversariales couvertes par des règles de détection actives) ; Mean Time To Detect (MTTD) pour les incidents de sécurité confirmés ; Mean Time To Respond (MTTR) depuis l'alerte jusqu'à la résolution ; taux de faux positifs sur les alertes SIEM (objectif : moins de 5% pour les règles de haute priorité) ; pourcentage de systèmes avec agents EDR installés et actifs (objectif : 100% des endpoints gérés). Ces métriques, compilées dans un rapport mensuel pour la direction, permettent de démontrer la valeur des investissements sécurité et d'identifier les domaines nécessitant des ressources supplémentaires.

Amélioration continue par les exercices

Les organisations les plus matures en matière de cybersécurité organisent régulièrement des exercices pour tester et améliorer leurs capacités. Les exercices tabletop (simulation de crise sur table, sans activation des systèmes techniques) développent la coordination des équipes et valident les procédures de communication de crise. Les tests de pénétration (pentest) annuels fournissent une évaluation objective de la résistance technique de l'infrastructure. Les exercices Red/Blue/Purple Team (1-2 fois par an pour les organisations matures) permettent d'aligner les équipes offensive et défensive autour d'objectifs communs d'amélioration. Chaque exercice doit donner lieu à un plan d'action formalisé avec des jalons de correction mesurables, intégré dans la feuille de route sécurité de l'organisation.

Synthèse et perspectives 2026

Les techniques et recommandations présentées dans ce guide s'inscrivent dans un contexte de menaces en constante évolution. La cybersécurité offensive et défensive sont deux faces d'une même médaille : comprendre les mécanismes d'attaque est indispensable pour construire des défenses robustes et résilientes face aux acteurs malveillants les plus sophistiqués.

Pour les équipes sécurité, l'enjeu de 2026 est double : maintenir une veille continue sur les nouvelles techniques publiées par la communauté de recherche (CVE, exploit-db, GitHub, Secrech, SSTIC) tout en assurant le durcissement progressif de l'infrastructure existante. Le référentiel MITRE ATT&CK reste le fil conducteur le plus efficace pour structurer un programme de détection et de réponse face aux tactiques, techniques et procédures des groupes APT ciblant les secteurs critiques.

La formation continue des équipes, la simulation régulière d'incidents (exercices tabletop, exercices Red/Blue/Purple Team), et l'automatisation des tâches répétitives via des outils SOAR constituent les piliers d'une organisation cyber mature. Les organisations qui investissent dans ces trois axes démontrent systématiquement de meilleures métriques de détection et de réponse (MTTD et MTTR réduits de 40% en moyenne selon les benchmarks sectoriels) face aux incidents de sécurité.

Checklist de mise en œuvre et points de contrôle

La mise en pratique des recommandations de cet article nécessite une approche structurée. Cette checklist synthétise les points de contrôle essentiels pour évaluer l'état d'avancement de votre déploiement et identifier les actions prioritaires.

Phase de préparation et d'inventaire

Avant toute action technique, constituer un inventaire précis est indispensable. Les éléments à recenser : cartographie exhaustive des actifs concernés (systèmes, applications, flux de données) avec leur criticité métier associée ; identification des propriétaires techniques et fonctionnels pour chaque actif ; évaluation du niveau de maturité actuel à partir des référentiels reconnus (CIS Controls, ISO 27001, NIST CSF) ; et documentation des dépendances entre composants pour anticiper les impacts des modifications. Un inventaire incomplet génère des angles morts qui deviennent des vecteurs d'attaque exploitables par des acteurs malveillants disposant d'informations accessibles publiquement (OSINT, Shodan, LinkedIn).

Phase de déploiement et validation

Le déploiement progressif réduit les risques d'interruption de service et facilite la détection des régressions. Adopter un modèle de déploiement par vagues (wave deployment) : d'abord les environnements de développement et de test pour valider les configurations, ensuite les systèmes non-critiques en production, enfin les systèmes critiques lors de fenêtres de maintenance planifiées. Chaque vague s'accompagne d'une validation fonctionnelle complète et d'une période d'observation des métriques de performance et de sécurité. Un plan de retour arrière documenté et testé est obligatoire avant toute opération sur un système critique. Les critères de succès doivent être définis avant le déploiement, non après — un taux de faux positifs inférieur à 5% pour les alertes de sécurité, une disponibilité maintenue au niveau SLA contractuel, et l'absence d'incidents de sécurité liés aux modifications.

Phase de supervision et d'amélioration continue

La mise en place d'indicateurs de suivi permet de mesurer l'efficacité des mesures déployées et de justifier leur maintien auprès de la direction. Tableau de bord mensuel recommandé : nombre d'alertes générées par catégorie (critique, majeur, mineur) avec tendance sur 6 mois ; taux de couverture des actifs critiques par les contrôles de sécurité ; délai moyen de remédiation des vulnérabilités par sévérité CVSS ; et résultats des tests de régression mensuels sur les règles de détection. Ce tableau de bord, présenté en comité de sécurité, constitue la base d'un dialogue constructif entre les équipes techniques et le management sur les priorités d'investissement en cybersécurité.

Ressources, outils et veille spécialisée

L'efficacité opérationnelle des équipes de sécurité repose sur la maîtrise des outils adaptés et sur une veille continue sur les évolutions techniques et réglementaires du domaine. Ce panorama recense les ressources incontournables pour approfondir les sujets abordés dans cet article.

Outils open source recommandés

L'écosystème open source de la cybersécurité offre des outils de qualité professionnelle, souvent comparables voire supérieurs aux solutions commerciales sur des cas d'usage spécifiques. Pour la détection et la réponse à incident : OSSEC/Wazuh (HIDS/XDR open source déployé sur plus de 500 000 systèmes), TheHive et Cortex (orchestration et automatisation de la réponse à incident), MISP (partage de threat intelligence, utilisé par plus de 6 000 organisations mondiales). Pour l'analyse forensique : Autopsy (interface graphique pour Sleuth Kit, analyse disque), Volatility 3 (analyse mémoire vive), YARA (création de règles de détection de malwares). Pour l'audit d'infrastructure : OpenSCAP (compliance scanning automatisé), Lynis (audit de durcissement Linux), BloodHound (cartographie des chemins d'attaque Active Directory). Ces outils, maintenus par des communautés actives et adoptés par les grandes entreprises et agences gouvernementales, constituent le socle technique des équipes SOC modernes.

Sources de veille et formation continue

La cybersécurité évolue à un rythme qui impose une veille structurée pour maintenir l'efficacité des défenses. Les sources primaires à surveiller : CERT-FR (bulletins d'alerte et de sensibilisation de l'ANSSI, à intégrer dans les flux de veille en priorité) ; NVD et CISA KEV (catalogue des CVE et des vulnérabilités activement exploitées) ; Microsoft MSRC, Google Project Zero et Cisco Talos (recherche offensive et advisories éditeurs) ; et les publications académiques des conférences SSTIC (France), USENIX Security, IEEE S&P et CCS. Pour la montée en compétences des équipes, les certifications SANS GIAC (GCIH, GPEN, GCFA) offrent le meilleur équilibre entre reconnaissance professionnelle et valeur pratique. Les plateformes d'entraînement TryHackMe et HackTheBox permettent une pratique régulière sur des scénarios réalistes sans risque légal, avec des modules spécifiques adaptés aux profils défensifs (Blue Team Labs) et offensifs (HTB Pro Labs).