Cyberattaques simultanées contre le Japon : l’outil d’IA « ARTEX » repéré lors d’accès non autorisés, six infrastructures d’attaque découvertes

Le 19 octobre, le Centre de lutte contre la cybercriminalité de GMO, filiale du groupe GMO Internet, a annoncé qu’un outil d’IA développé en Chine, « ARTEX », avait été utilisé lors d’une série d’accès non autorisés visant des entreprises japonaises.

Le centre indique avoir également découvert six nouvelles infrastructures d’attaque utilisant l’IA et ciblant, elles aussi, des entreprises japonaises. Lors d’une conférence de presse le 20, le secrétaire général du Cabinet, Minoru Kihara, a déclaré que le gouvernement s’efforcerait de faire la lumière sur l’identité des auteurs des attaques, y compris sur une éventuelle implication d’acteurs étrangers.

L’IA prépare le terrain des attaques à la place des pirates

ARTEX est un outil autonome de tests d’intrusion reposant sur l’IA. Un test d’intrusion consiste à rechercher les failles d’un système et à vérifier si l’on peut effectivement y pénétrer. Cette méthode est normalement utilisée par les défenseurs pour évaluer la sécurité de leurs propres systèmes.

ARTEX s’appuie sur de grands modèles de langage (LLM) pour automatiser la recherche de failles et les tentatives d’intrusion. Initialement diffusé en open source, l’outil a été retiré par ses développeurs après que son détournement à des fins d’attaque a été rapporté.

Un outil de test peut aussi devenir un outil d’attaque. C’est le même principe qu’un couteau, qui peut servir à cuisiner comme à blesser. La différence, c’est que l’IA décharge les humains d’une partie du travail et qu’un seul attaquant peut ainsi potentiellement s’en prendre à davantage de cibles.

L’enquête révèle des attaques ciblées

Dans une précédente enquête, le Centre de lutte contre la cybercriminalité de GMO avait estimé, sur la base de l’analyse de journaux d’investigation numérique — des données recensant les traces d’intrusion —, qu’il était fort probable que l’IA ait été utilisée. L’examen des infrastructures à l’origine des attaques a permis cette fois de confirmer l’utilisation d’ARTEX, venant étayer cette hypothèse.

L’une des infrastructures d’attaque examinées ciblait une vingtaine d’entreprises japonaises, dont neuf possédaient des sites Web dans le même secteur. Selon le centre, les cibles observées étaient presque exclusivement des entreprises japonaises. Les six autres infrastructures découvertes visaient principalement des secteurs distincts : cartes-cadeaux numériques et distribution de détail ; éducation, cadeaux et impression ; programmes de fidélité, cartes-cadeaux et marketing ; assurance et finance ; commerce en ligne, médias et logistique.

Parmi les entreprises japonaises identifiées comme cibles, huit ont annoncé des fuites de données entre septembre et octobre. Les enquêteurs estiment qu’un même groupe d’attaque a participé à plusieurs incidents et ont transmis les informations recueillies aux autorités chargées de l’application de la loi.

Des activités similaires ont également été signalées à l’étranger. La société américaine CrowdStrike a indiqué qu’ARTEX avait été utilisé lors d’une attaque visant une institution financière sud-coréenne. Selon elle, des fichiers de configuration d’ARTEX ainsi que l’historique de sessions de « Claude Code », un outil de développement d’IA, ont été retrouvés sur le serveur des attaquants. Le Centre de lutte contre la cybercriminalité de GMO estime que des méthodes similaires ont été utilisées contre des entreprises japonaises.

Comment interpréter les annonces répétées de fuites de données ?

Au Japon, les informations faisant état de fuites de données personnelles se succèdent presque chaque jour. Parmi les cas récemment rapportés, une fuite potentielle de 730 dossiers concernant des personnes chargées de la promotion d’émissions de Fuji TV à la suite d’un accès non autorisé, et la fuite de 4,45 millions de données personnelles sur le site Furusato Choice. Dans les deux cas, les médias attribuent l’incident à un accès non autorisé.

Un autre aspect à prendre en compte est la manière d’interpréter les chiffres. Il y a un écart considérable entre 730 et 4,45 millions, mais la gravité du préjudice ne se mesure pas uniquement au nombre de données concernées.

Les risques de préjudices secondaires, tels que l’usurpation d’identité ou les sollicitations frauduleuses, varient selon le type d’informations divulguées : nom, adresse, adresse e-mail, etc. Les recommandations rapportées dans les médias préconisent notamment de commencer par changer ses mots de passe après une fuite de données personnelles. Les utilisateurs peuvent commencer par adopter des mesures de base, comme éviter de réutiliser le même mot de passe.

L’enjeu n’est pas tant ce qui se passe après une attaque que la rapidité avec laquelle on la détecte

Le gouvernement a indiqué recueillir des informations auprès des ministères concernés et interroger directement les entreprises touchées. Il a toutefois précisé qu’il était encore trop tôt pour communiquer des éléments certains sur les détails de l’affaire. L’identification des auteurs des attaques reste donc un travail à mener.

Le secteur privé et la classe politique se mobilisent également. Le 20, le Parti libéral-démocrate a finalisé un projet de recommandation demandant au gouvernement de renforcer les mesures contre les cyberattaques visant les entreprises. Le texte prévoit la mise en place d’un « réseau de surveillance de la chaîne d’approvisionnement », qui recourrait à l’IA pour détecter rapidement les anomalies. L’objectif est de protéger des attaques les petites et moyennes entreprises confrontées à une pénurie de personnel spécialisé. Le projet doit être officiellement adopté prochainement puis transmis au gouvernement, qui prévoit d’étudier de nouvelles mesures en tenant compte de ces recommandations.

Si les attaquants automatisent leurs opérations grâce à l’IA, les défenseurs ne pourront pas suivre en s’appuyant uniquement sur le travail humain. Le projet de recommandation, qui met en avant la détection précoce par l’IA, traduit cette inquiétude. Dans les attaques visant les chaînes d’approvisionnement, où les dommages se propagent d’un partenaire commercial à l’autre, il est efficace de mettre en place un système qui surveille les anomalies dans plusieurs entreprises, plutôt que d’attendre qu’une seule d’entre elles les repère.

Il devient difficile de prévenir complètement les attaques. Dès lors, la capacité des entreprises et des pouvoirs publics à réduire, chacun de son côté, le délai avant la détection d’une intrusion et celui de la première réaction pourrait être déterminante pour la protection des données personnelles à l’avenir.