170 procureurs ukrainiens piratés par des hackers russes

Les faits

Le 16 avril 2026, une enquête de Reuters a révélé l'ampleur d'une campagne d'espionnage visant le système judiciaire ukrainien : plus de 170 comptes de messagerie appartenant à des procureurs et des enquêteurs ont été compromis par un groupe d'attaquants lié à Moscou. Les journaux de connexion analysés par les chercheurs documentent au moins 284 intrusions distinctes dans ces boîtes mail entre septembre 2024 et mars 2026, touchant l'Ukraine mais aussi plusieurs États voisins membres de l'OTAN. Parmi les victimes figurent des magistrats chargés des dossiers de crimes de guerre et des officiers instruisant des affaires de corruption sensibles. Cette affaire de procureurs ukrainiens piratage Russie illustre la manière dont le renseignement adverse cible désormais la chaîne judiciaire elle-même, transformant des dossiers d'instruction en objectifs stratégiques de premier plan pour le Kremlin.

L'attribution pointe vers un cluster aligné avec les intérêts de Moscou, sans qu'un nom de groupe précis (APT28, APT29, Sandworm) n'ait été confirmé publiquement par CERT-UA au 16 avril. Les vecteurs d'accès initiaux identifiés combinent password spraying contre Microsoft 365, exploitation de tokens OAuth volés via phishing, et abus de comptes administratifs faiblement protégés. Plusieurs intrusions ont permis l'exfiltration de pièces jointes et la lecture de fils de discussion entiers, sans déclencher d'alerte.

Impact et exposition

Les conséquences vont bien au-delà de l'Ukraine. Les boîtes mail des procureurs contiennent des éléments sensibles sur les enquêtes en cours pour crimes de guerre, des échanges avec Eurojust, la Cour pénale internationale et les services partenaires des États membres de l'UE. Une fuite peut compromettre des témoins, dévoiler des stratégies d'enquête et exposer des sources humaines. Pour les juridictions européennes coopérant avec Kiev, cet incident impose une revue immédiate des canaux d'échange : tout document partagé par email avec un magistrat ukrainien depuis septembre 2024 doit être considéré comme potentiellement compromis.

Recommandations

• Pour les juridictions européennes en lien avec l'Ukraine : auditer immédiatement les comptes correspondants et basculer sur des canaux chiffrés bout-en-bout (Signal, Élément).
• Activer la MFA résistante au phishing (FIDO2, clés matérielles) sur tous les comptes administratifs et magistrats ; bannir SMS et notifications push simples.
• Configurer des alertes M365 sur les connexions depuis des géolocalisations atypiques et les activités de download massif via OAuth apps.
• Réviser la liste des applications OAuth tierces autorisées dans le tenant et révoquer celles non strictement nécessaires.

Un précédent qui s'inscrit dans une escalade documentée

Cette campagne contre le parquet ukrainien n'est pas un cas isolé. Elle fait écho à la compromission de la Cour pénale internationale révélée en septembre 2023, où des attaquants avaient exfiltré des données liées aux mandats d'arrêt visant des responsables russes pour crimes de guerre en Ukraine. Microsoft Threat Intelligence et Google Threat Analysis Group avaient alors attribué l'intrusion à un cluster proche de APT28 (Fancy Bear/Forest Blizzard), rattaché au GRU russe. Le mode opératoire — accès initial via identifiants compromis, persistance discrète sur les boîtes mail, exfiltration silencieuse de correspondance juridique — présente des similarités frappantes avec les 284 intrusions révélées par Reuters. Les chercheurs en cybersécurité considèrent désormais les institutions judiciaires traitant des dossiers de crimes de guerre comme une cible stratégique de premier plan pour le renseignement russe, au même titre que les ministères de la Défense ou les opérateurs d'infrastructures critiques.

Cette tendance est corroborée par plusieurs rapports sectoriels : le Digital Defense Report de Microsoft signalait déjà en 2024 une hausse de 60 % des opérations d'espionnage russes visant des cibles gouvernementales et judiciaires dans les pays soutenant l'Ukraine, avec une préférence marquée pour le phishing ciblé et le vol de tokens d'authentification plutôt que l'exploitation de vulnérabilités logicielles coûteuses en 0-day. CERT-UA a documenté de son côté plus de 4 500 incidents de cybersécurité touchant des institutions ukrainiennes depuis le début du conflit, un rythme qui ne faiblit pas malgré l'amélioration générale de la posture défensive du pays.

Un risque de contamination pour la chaîne de coopération judiciaire

Au-delà de l'exfiltration directe, ce type de compromission pose un problème de confiance systémique dans les échanges judiciaires internationaux. Un magistrat français, allemand ou néerlandais correspondant avec un homologue ukrainien via une boîte mail compromise devient, sans le savoir, un vecteur de fuite pour ses propres échanges — comptes rendus d'audition, éléments de preuve numérique, identités de témoins protégés. Les experts en réponse à incident recommandent désormais d'appliquer le principe de zero trust aux canaux inter-juridictionnels : chiffrement de bout en bout des pièces sensibles, rotation systématique des identifiants après tout signalement d'intrusion chez un partenaire, et recours à des plateformes d'échange dédiées plutôt qu'à la messagerie standard pour les dossiers à fort enjeu géopolitique. Ce type d'incident illustre également pourquoi les référentiels de conformité comme NIS 2 intègrent désormais des obligations de notification en cascade pour les entités dont la compromission peut affecter des tiers en coopération opérationnelle.