CISA/FBI/NSA : Integrity Tech Group orchestre l'espionnage US

Ce qui s'est passé

Le 8 octobre 2026, CISA (l'Agence de cybersécurité et de sécurité des infrastructures américaine), le FBI, la NSA et leurs homologues de plusieurs nations alliées ont publié un advisory conjoint d'une rare précision : pour la première fois, les agences américaines nomment explicitement Integrity Technology Group, une société de cybersécurité basée en Chine, comme facilitateur d'une campagne d'espionnage ciblant l'infrastructure critique des États-Unis et de leurs alliés. Cet advisory, référencé AA26-281A, documente en détail les techniques, tactiques et procédures (TTP) employées par les acteurs affiliés au gouvernement chinois agissant sous couvert de cette entreprise.

Integrity Technology Group n'est pas un acteur inconnu du renseignement occidental. Fondée à Pékin et opérant officiellement comme prestataire de services de sécurité pour des entreprises chinoises, la société est soupçonnée depuis plusieurs années d'être liée aux services de renseignement militaire chinois. L'advisory de la CISA établit formellement ce lien, en documentant comment l'entreprise fournit aux hackers d'État une infrastructure opérationnelle complète : serveurs proxy, outils d'exploitation, réseaux de rebond et botnets permettant de masquer l'origine des attaques.

Sur le plan technique, la campagne se distingue par sa combinaison d'automatisation et d'exploitation manuelle. Dans une première phase, les acteurs déploient des outils de scanning automatisé (notamment Microscan) pour identifier à grande échelle les systèmes vulnérables exposés sur internet. Cette phase de reconnaissance active permet de constituer une base de données de cibles potentielles sur l'ensemble du cyberespace mondial. Dans une deuxième phase, des botnets composés de routeurs et d'appareils IoT compromis servent de relais pour dissimuler les connexions et répartir les charges d'attaque.

La troisième phase est celle qui préoccupe le plus les analystes : l'exploitation manuelle, conduite par des opérateurs hautement qualifiés, vise des systèmes spécifiques préalablement identifiés. À ce stade, les attaquants s'appuient sur l'outil FishHub, une plateforme de command-and-control (C2) permettant de coordonner l'ensemble des opérations, d'exfiltrer des données sensibles et de maintenir une présence persistante au sein des réseaux compromis. Le FBI a saisi les six domaines internet hébergeant l'infrastructure opérationnelle de Microscan et FishHub — un coup sévère porté à la capacité opérationnelle du groupe.

Les secteurs ciblés révèlent une stratégie de positionnement à long terme plutôt qu'une simple collecte de renseignement. L'advisory identifie comme cibles prioritaires les services gouvernementaux et installations fédérales, les infrastructures manufacturières critiques, le secteur de la santé et de la santé publique, et les entreprises technologiques stratégiques. La directrice adjointe de la CISA pour la cybersécurité a déclaré que les acteurs affiliés à Pékin « s'implantent dans l'infrastructure critique, y compris dans les systèmes de technologie opérationnelle, dans le but de perturber des fonctions critiques au moment de leur choix » — une formulation qui pointe vers une stratégie de sabotage en cas de conflit plutôt que de simple espionnage.

Un élément particulièrement préoccupant est mis en lumière par un advisory NSA publié parallèlement : des hackers d'État chinois utilisent désormais des scripts générés par intelligence artificielle pour cibler des automates industriels Siemens (programmable logic controllers, PLC) contrôlant des systèmes de gestion des réseaux électriques et d'eau. Cette intégration de l'IA dans les outils d'attaque industrielle marque une escalade significative dans les capacités offensives des groupes APT étatiques, réduisant le temps et l'expertise nécessaires pour développer des exploits ciblant des systèmes OT historiquement difficiles à atteindre.

La dimension internationale de la campagne est également notable. Au-delà des États-Unis, les partenaires Five Eyes ayant cosigné l'advisory — Royaume-Uni, Canada, Australie, Nouvelle-Zélande — ont documenté des intrusions dans leurs propres infrastructures critiques utilisant les mêmes TTP et la même infrastructure opérationnelle. Plusieurs entreprises manufacturières européennes, non identifiées publiquement, auraient également été compromises, ce qui suggère que la campagne cible les chaînes d'approvisionnement industrielles à l'échelle globale.

La réponse judiciaire coordonnée — saisie de domaines, attribution publique, advisory technique détaillé — s'inscrit dans la stratégie dite de naming and shaming développée par les États-Unis ces dernières années pour créer des coûts diplomatiques et réputationnels aux acteurs étatiques engagés dans des opérations cyber offensives. Si cette approche a montré des limites pour modifier durablement le comportement des acteurs (Salt Typhoon, Volt Typhoon et APT40 ayant chacun fait l'objet d'attributions sans interruption de leurs activités), la précision des informations techniques partagées dans cet advisory vise à permettre aux défenseurs de détecter et d'éradiquer les implants existants.

Pourquoi c'est important

Cet advisory marque un tournant dans la manière dont les États-Unis gèrent la menace cyber étatique chinoise. En nommant explicitement une entreprise privée — Integrity Technology Group — plutôt qu'un groupe APT anonyme, les agences américaines créent un précédent juridique et diplomatique : pour la première fois, une société commerciale chinoise est formellement désignée comme facilitateur d'espionnage d'État. Cela ouvre la voie à des sanctions économiques ciblées, des restrictions d'accès aux marchés occidentaux, et potentiellement des poursuites pénales contre ses dirigeants s'ils mettent le pied hors de Chine.

Pour les équipes de sécurité des organisations ciblées — secteur public, industrie, santé, tech — l'advisory fournit une liste précieuse d'indicateurs de compromission (IoC) et de techniques MITRE ATT&CK documentées. La CISA recommande en priorité : l'inventaire exhaustif des systèmes exposés sur internet, une surveillance renforcée des mouvements latéraux, la segmentation stricte des réseaux OT/IT, et le renforcement des politiques d'authentification pour les accès distants. Ces recommandations, bien que non nouvelles, prennent une urgence particulière à la lumière des TTP documentées.

L'utilisation de scripts IA pour cibler des automates industriels Siemens représente une évolution qualitative de la menace OT. Historiquement, les attaques contre les systèmes de contrôle industriel (ICS/SCADA) nécessitaient une expertise rare et un temps de développement considérable — comme en témoigne le cas Stuxnet, qui a mobilisé des équipes d'ingénieurs pendant des années. L'IA réduit drastiquement cette barrière à l'entrée, permettant à des acteurs moins spécialisés de produire rapidement des exploits pour des systèmes industriels critiques. Cette démocratisation de la capacité offensive OT est probablement l'évolution la plus inquiétante documentée dans cet advisory.

Pour les entreprises françaises et européennes, cet advisory doit être lu comme un signal d'alarme. Les chaînes d'approvisionnement industrielles mondiales sont profondément interconnectées : une entreprise manufacturière française travaillant avec des sous-traitants américains, ou utilisant des systèmes OT Siemens dans ses usines, est potentiellement dans la trajectoire de cette campagne. L'ANSSI et ses homologues européens ont d'ailleurs émis des avertissements similaires sur les menaces étatiques visant les opérateurs d'importance vitale (OIV) et les opérateurs de services essentiels (OSE) européens.

Ce qu'il faut retenir

• CISA, FBI et NSA identifient formellement Integrity Technology Group (Chine) comme orchestrateur d'attaques sur l'infrastructure critique américaine, avec saisie de six domaines opérationnels.
• La menace combine automatisation IA, botnets massifs et exploitation manuelle de systèmes OT industriels — une escalade qualitative des capacités APT étatiques chinoises.
• Les organisations des secteurs gouvernement, industrie, santé et tech doivent auditer leur exposition internet et renforcer la segmentation OT/IT conformément à l'advisory AA26-281A de la CISA.