Chiffrement : qui paie quand un accès est détourné ?

Le coût économique d’une porte dérobée · Volet 5 sur 7

Une intrusion peut retourner contre un réseau les fonctions qui le font fonctionner. Des télécoms américains à un précédent grec, puis aux sinistres assurés en France et aux règles chinoises, enquête sur les chemins du dommage et ceux de son financement.

Le 25 juillet 2025, Orange détecte une intrusion dans l’un de ses systèmes d’information. L’opérateur isole les services susceptibles d’être concernés. Trois jours plus tard, il explique que cette opération de protection a elle-même perturbé certains services et plateformes de gestion, principalement en France. À ce stade, son enquête n’a relevé aucun élément indiquant une exfiltration de données. Le communiqué laisse le montant des dommages ouvert. ^V12

Cette séquence donne une première prise sur l’économie d’une intrusion. Une entreprise peut devoir interrompre une activité pour empêcher l’attaque de s’étendre. Elle engage alors des ressources pour retrouver un fonctionnement sûr, pendant que ses clients cherchent à poursuivre leur propre travail. Le coût commence parfois avec la décision de fermer une connexion.

L’affaire Orange documente ce mécanisme de confinement. La pièce publiée ne permet d’identifier ni une porte dérobée, ni un lien avec Salt Typhoon. Le débat sur le chiffrement exige ensuite une question plus précise : lorsqu’un système possède une capacité particulière de lecture ou de contrôle, jusqu’où son détournement peut-il porter les conséquences d’une intrusion ?

Les dossiers américains, les retours techniques et les textes français et chinois éclairent le déroulement des incidents et la répartition des coûts. Ils laissent aussi une limite majeure : dans le corpus réuni pour cette enquête, le coût économique total imputable au détournement d’un accès d’exception reste inconnu.

Les capacités atteintes par l’intrus

Une porte dérobée peut désigner un mécanisme introduit à l’insu du propriétaire pour contourner sa sécurité. Dans le débat public sur le chiffrement, le même terme sert aussi à critiquer un accès voulu par les pouvoirs publics. Pour suivre les faits, distinguons cet accès d’exception, destiné à rendre certaines données lisibles sous conditions, des fonctions d’administration qui font fonctionner un réseau. Leurs finalités diffèrent ; leur détournement peut, dans les deux cas, accroître les pouvoirs d’un intrus. La portée dépend du dispositif concret. ^V20

Aux États-Unis, la police fédérale américaine (FBI) décrit en avril 2025 les résultats d’une campagne connue sous le nom de Salt Typhoon, qu’il attribue à des acteurs affiliés à la Chine : vol de journaux d’appels, accès aux communications privées d’un nombre limité de victimes identifiées et copie de certaines informations visées par des demandes judiciaires américaines. Cette dernière catégorie attire l’attention sur les données liées à l’activité légale d’interception. Elle établit ce qui a été obtenu ; le communiqué laisse le point d’entrée indéterminé. ^V01

Cisco Talos apporte un autre morceau de l’enquête. Dans son analyse de février 2025, le fournisseur rapporte des indices d’exploitation probable d’une vulnérabilité dans un cas. Dans les autres cas examinés, les accès initiaux aux équipements Cisco reposent sur des identifiants légitimes. La manière dont ces identifiants ont été acquis reste inconnue. ^V03

Le dossier continue d’évoluer. Le bilan Talos publié le 29 octobre 2026, consacré à ses interventions du troisième trimestre, décrit des intrusions prolongées dans les télécoms : comptes valides, interface d’administration vulnérable, puis fonctions réseau légitimes utilisées pour maintenir l’accès ou collecter des données. Une campagne emploie un implant connu pour être utilisé par Salt Typhoon. Ce lien technique ne suffit pas à attribuer toutes les interventions du trimestre au même groupe. ^V04

L’ordre des opérations compte. Une fonction de copie du trafic peut devenir utile après l’entrée dans le réseau. Une base contenant des informations judiciaires peut être atteinte sans avoir servi à y entrer. Confondre ces étapes fait disparaître la question économique centrale : quelle capacité supplémentaire l’attaquant a-t-il obtenue, et quelles conséquences cette capacité a-t-elle rendues possibles ?

L’avis conjoint de plusieurs agences américaines et partenaires, publié le 27 août 2025 puis révisé le 3 septembre en version 1.1, décrit précisément la circulation entre équipements et réseaux grâce à des relations de confiance. Son périmètre ne recoupe que partiellement les groupes nommés par les fournisseurs, dont Salt Typhoon. C’est un ensemble de constatations techniques, avec une attribution portée par les autorités signataires. ^V02

La Chine conteste cette attribution. Dans une réponse publiée le 1er septembre 2025, son ministère des Affaires étrangères reprend également un récit de « porte dérobée » américaine, en l’attribuant à des médias américains. Cette déclaration documente une position diplomatique ; elle n’apporte pas de vérification technique indépendante du chemin suivi par les intrus. ^V08

Méthode et périmètre

Schéma qualitatif. Grèce, 2004–2005 : l’enquête publiée en 2007 décrit du code non autorisé mobilisant une fonction d’interception présente dans les commutateurs ; l’entrée initiale reste indéterminée dans cette reconstitution. Les pointillés marquent cette limite. Les pièces télécoms publiées en février 2025, septembre 2025 et octobre 2026 rapportent plusieurs intrusions, avec des accès valides, des failles et des relations de confiance. Elles documentent l’usage ultérieur de fonctions réseau pour collecter du trafic. Le diagramme ne fusionne ni les affaires ni les attributions et n’établit aucun point d’entrée cryptographique commun. La téléphonie grecque historique et une messagerie moderne chiffrée de bout en bout ont des architectures distinctes.

Une fonction prévue devient un pouvoir clandestin

Un précédent historique permet d’observer plus directement le détournement d’une capacité d’interception. En Grèce, en 2004–2005, du code non autorisé installé dans des commutateurs du réseau Vodafone a utilisé une fonction d’écoute présente dans leur logiciel. L’enquête publiée en 2007 par Vassilis Prevelakis et Diomidis Spinellis décrit une particularité : l’opérateur disposait de la fonction technique d’interception, tout en n’ayant pas acheté son interface de gestion habituelle. Le code ajouté l’a mobilisée pour copier des communications. Le point d’entrée initial demeure indéterminé dans cette reconstitution. ^V17

Ce cas concerne une architecture téléphonique historique, différente d’une messagerie moderne protégée par le chiffrement de bout en bout. Son intérêt tient à la distinction entre l’entrée dans le système et le pouvoir qui y attend l’attaquant. Une capacité créée pour un usage autorisé peut étendre ce qu’une compromission permet de faire.

Chez Juniper, le problème révélé en décembre 2015 prend une autre forme. La note du CERT/CC distingue deux vulnérabilités indépendantes de ScreenOS : l’une permet un accès administratif non autorisé ; l’autre rend possible le déchiffrement de trafic VPN observé. Un VPN est un tunnel chiffré entre des points du réseau. Les deux vulnérabilités portent donc sur des fonctions de sécurité différentes. ^V05

Les chercheurs qui analysent le second mécanisme dans un article présenté à ACM CCS en 2016 expliquent le rôle de Dual EC, un générateur de nombres utilisés dans les opérations cryptographiques. Ils démontrent sur un appareil réel, avec leurs propres paramètres, qu’il devient possible de déchiffrer passivement une session VPN. La démonstration établit une capacité technique. Elle ne compte ni victimes réelles, ni pertes, et ne permet d’identifier l’auteur du code non autorisé. ^V06

Ces dossiers empêchent de traiter toutes les « portes dérobées » comme un objet unique. Une fonction d’interception détournée, un accès administrateur clandestin et une faiblesse permettant le déchiffrement ont des conditions d’exploitation et des périmètres différents. Pour en évaluer le coût, il faut d’abord savoir lequel de ces mécanismes est en jeu.

Le périmètre d’une clé

Imaginons deux organisations dotées des mêmes fichiers. Dans la première, une capacité privilégiée donne accès à plusieurs ensembles de données. Dans la seconde, ces ensembles dépendent de clés et de contrôles effectivement séparés. Si l’attaquant compromet une seule de ces capacités, les conséquences possibles diffèrent, à condition que la séparation résiste aussi aux droits d’administration et aux procédures de récupération.

L’Institut américain des normes et de la technologie (NIST) formule cette logique dans ses recommandations de gestion des clés : concevoir le système pour que la compromission d’une clé expose le moins d’informations possible. La préparation doit aussi prévoir révocation, remplacement et récupération. Cette recommandation décrit une manière de limiter le périmètre d’exposition ; elle ne fournit aucun pourcentage universel de réduction du risque. ^V19

L’image de la « clé de tout » devient trompeuse si elle dispense d’examiner l’architecture. Un accès d’exception peut être limité à un appareil, à un compte ou à une période. À l’inverse, plusieurs clés présentées comme distinctes peuvent dépendre du même compte d’administration. Dans le schéma ci-dessous, l’indépendance est une hypothèse exigeante : l’accès compromis doit réellement s’arrêter à la frontière dessinée.

Méthode et périmètre

Comparaison conceptuelle inspirée du NIST SP 800-57, partie 1, révision 5, mai 2020, §5.5.2. Les lettres A à D identifient des ensembles de données illustratifs, sans quantité réelle. Le rose marque un contrôle supposé compromis et le périmètre potentiellement accessible dans ce modèle. L’indépendance exige des comptes, permissions, chemins d’administration et mécanismes de récupération effectivement séparés. Les contrôles gris ne constituent pas une garantie observée. Le dessin ne mesure ni probabilité de compromission ni perte annuelle attendue. Les protections de chaque architecture pourraient aussi modifier la probabilité d’entrée, qui exige une évaluation séparée.

Ce raisonnement change aussi l’échelle du problème pour l’assureur. Lorsque plusieurs clients dépendent du même prestataire ou d’une même technologie, un événement commun peut toucher plusieurs assurés. L’EIOPA, l’autorité européenne des assurances, relève ce risque d’accumulation dans son rapport de stabilité financière de décembre 2025. Elle souligne parallèlement que la taille encore limitée de l’assurance cyber réduit alors son impact direct sur la stabilité des assureurs. ^V14

Il faut tenir ensemble ces deux dimensions. Un contrôle commun peut élargir les conséquences d’une compromission réussie ; ses protections peuvent également modifier la probabilité que celle-ci aboutisse. Pour comparer deux architectures, on devrait mesurer les deux. Le dessin du périmètre renseigne l’exposition potentielle. Il ne suffit pas à calculer une perte annuelle attendue.

La France illustre une autre prudence nécessaire. Dans son panorama portant sur 2025, publié en mars 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) décrit des activités liées à Salt Typhoon et l’usage d’un équipement compromis comme relais. Elle indique toutefois que la diffusion de ces équipements empêche de trancher entre un ciblage stratégique des télécoms et un opportunisme plus large. Une infrastructure traversée et une cible recherchée occupent des places différentes dans l’enquête. ^V11

Réparer le service après une intrusion

Après la détection, les responsables doivent décider quoi isoler, quels accès suspendre et sur quelles sauvegardes s’appuyer. Le NIST distingue le confinement, destiné à arrêter l’extension de l’incident, l’éradication des moyens de persistance et la restauration. Le retour en production suppose notamment de vérifier les sauvegardes et les systèmes restaurés. Pour certaines intrusions sophistiquées dont le périmètre reste mal connu, la remise en état peut aller jusqu’au remplacement de matériel. ^V18

C’est ici que la sécurité consomme des ressources très concrètes : du temps d’équipe, des capacités de remplacement, des essais, de l’assistance aux utilisateurs. Si un service doit rester interrompu pendant ces opérations, la perte dépend aussi du travail qui peut être reporté, récupéré ou poursuivi autrement. L’activité suspendue pendant une heure ne se transforme donc pas mécaniquement en une heure de chiffre d’affaires définitivement perdue.

L’ANSSI recommande de préparer cette remédiation, la reconstruction d’un système de confiance, avant la crise. Son guide de janvier 2026 traite notamment des sauvegardes, des moyens de communication utilisables pendant l’incident et de la mobilisation de l’assurance selon les conditions contractuelles. La préparation représente un effort anticipé pour pouvoir agir lorsqu’une partie des outils habituels devient suspecte. ^V15

Une autre limite se révèle si des informations lisibles ont déjà été copiées à l’extérieur. Remplacer une clé peut sécuriser des échanges futurs. Cette opération ne supprime pas une copie de texte que l’intrus possède déjà. La disponibilité du service peut revenir alors que la confidentialité de ces informations reste perdue. C’est une conséquence du mécanisme de copie, indépendante du montant dépensé pour reconstruire le système.

Méthode et périmètre

Modèle pédagogique original, sans durée ni coût estimés. La séquence simplifie les fonctions de réponse à incident ; des retours entre étapes sont possibles. Le communiqué Orange du 28 juillet 2025 décrit des perturbations liées à l’isolement après une détection le 25 juillet. À ce stade, il ne relève aucun élément indiquant une exfiltration. La branche rose est un scénario général de copie lisible déjà détenue à l’extérieur, distinct de cet incident. Elle n’attribue à Orange ni une porte dérobée ni un lien avec Salt Typhoon. Révoquer ou remplacer un accès protège selon l’architecture ; une copie de texte déjà obtenue conserve son propre sort. Sources de doctrine : NIST, avril 2025, et ANSSI, janvier 2026.

Un secret commercial perdu peut, par exemple, modifier une négociation future. Ce scénario illustre une voie possible de transmission économique ; il ne constitue pas une perte observée dans les affaires précédentes. Pour lui attribuer un montant, il faudrait connaître les données emportées, leur usage et ce qui se serait produit sans l’intrusion. Les coûts de réparation peuvent être documentés alors que cette comparaison reste inaccessible.

En Chine, les obligations de déclaration mettent en évidence le temps nécessaire à l’établissement des faits. Les règles applicables depuis le 1er novembre 2025 permettent une déclaration initiale partielle, suivie de compléments lorsque l’enquête progresse. Le rapport récapitulatif doit être transmis dans les trente jours suivant la fin du traitement de l’incident. Ce délai se compte à partir de la clôture des opérations, et non de la détection. ^V09

Un autre texte, applicable depuis août 2025 aux infrastructures d’information critiques reconnues dans son champ, impose des moyens humains et budgétaires pour la cryptographie commerciale, ainsi qu’une évaluation de sécurité au moins annuelle. Il rend visibles les tâches prévues par la réglementation. Les dépenses effectivement engagées et l’efficacité obtenue restent à documenter séparément. ^V10

La portée des données d’assurance

Une enquête économique gagne à rencontrer des montants observés. En France, l’étude LUCY 2026 de l’Association pour le management des risques et des assurances de l’entreprise (AMRAE) rassemble, pour 2025, les données de douze courtiers et de SMABTP. Elle recense 1 251 sinistres et 83 203 654 euros d’indemnisation déclarée dans ce périmètre. Sa définition porte sur les déclarations de l’année ; la publication ne fournit pas une ventilation permettant d’assimiler ce montant à des décaissements déjà effectués. ^V13

La catégorie des entreprises dont le chiffre d’affaires dépasse un milliard d’euros représente 63 sinistres, pour 44 583 393 euros : 5,0 % du nombre et 53,6 % du montant. Ces parts sont calculées à partir du même tableau. Elles montrent une forte concentration des montants dans cette catégorie d’assurés. ^V13

Cette concentration aide à comprendre pourquoi compter les incidents laisse une grande partie du risque hors champ. Plusieurs petits sinistres et un événement lourd peuvent produire des situations financières très différentes. Pour savoir si des entreprises ont été touchées ensemble par une défaillance commune, il faudrait cependant disposer des dates, des causes et des dépendances techniques de chaque sinistre. La répartition LUCY par taille d’entreprise ne renseigne pas cette corrélation.

Le périmètre impose d’autres bornes. La visibilité sur les petites et microentreprises reste indicative ; les collectivités sont absentes. Le portefeuille étudié évolue, tout comme certaines franchises. Cette enquête utilise donc le tableau de 2025 sans transformer sa comparaison avec 2024 en évolution à périmètre constant. Surtout, LUCY ne distingue pas les sinistres imputables à une porte dérobée. ^V13

Il reste possible d’en tirer une leçon de méthode : un chiffre pertinent doit conserver son dénominateur. Le nombre de sinistres renseigne un décompte dans le portefeuille observé. Le montant déclaré décrit une autre dimension. Ni l’un ni l’autre ne mesure, à lui seul, l’ensemble des dommages subis par l’économie française.

Suivre la perte jusqu’à celui qui la supporte

Imaginons une entreprise qui finance la reconstruction d’un service après une intrusion. Ses spécialistes et ses prestataires y consacrent du travail ; certains équipements sont remplacés ; une activité peut être perdue. Ces ressources mobilisées et ces conséquences constituent une première partie du coût. Un assureur peut ensuite indemniser des dépenses ou des pertes couvertes, selon le contrat.

Le versement change alors celui qui finance la charge. Pour mesurer le dommage total, additionner la même réparation et l’indemnité qui la rembourse reviendrait à compter deux fois ce même coût. L’expertise du sinistre, les frais de gestion ou d’autres conséquences supplémentaires peuvent, eux, consommer des ressources distinctes. Il faut les identifier comme telles. Ce raisonnement comptable élémentaire sert ici à suivre les flux, sans supposer les garanties d’une police particulière.

Le contrat détermine aussi ce qui reste à la charge de l’entreprise. Une franchise lui laisse une partie du risque ; un plafond borne le versement possible ; le champ de garantie détermine les événements et postes éligibles. L’EIOPA relève en outre le problème des garanties cyber implicites dans certains contrats, lorsque ce risque est insuffisamment précisé. Le travail d’analyse porte donc sur les clauses effectivement applicables. ^V14

Les clients peuvent, de leur côté, subir un temps d’arrêt, un travail de contournement ou l’exposition de données. Selon leurs recours et leurs contrats, une partie de cette charge peut leur rester. Cette possibilité crée un écart entre la perte que voit le fournisseur dans ses comptes et les conséquences supportées autour de lui. Elle justifie d’étudier la chaîne de dépendance, avant de chercher un montant global.

Le risque d’un accès détourné comporte ainsi un enjeu de répartition. Celui qui conçoit ou exige la capacité, celui qui l’exploite et celui dont les données deviennent accessibles peuvent être des acteurs différents. Un budget de mise en œuvre répond à une question de financement initial. Pour apprécier l’effet économique complet, il faut aussi savoir qui assume la remise en état, les interruptions et les effets d’une divulgation.

L’arbitrage demande une architecture et des preuves

Un argument central en faveur d’un accès d’exception concerne les enquêtes qui se heurtent à des données illisibles. Les National Academies reconnaissent cette difficulté dans leur cadre d’analyse de 2018. Elles soulignent aussi la complexité et le risque supplémentaires d’un tel accès, tout en les reliant à sa conception et à son exploitation. Les données disponibles limitent la quantification des bénéfices comme des dommages. ^V20

Cela conduit à examiner un dispositif précis : quelles données permet-il de lire, après quelle autorisation, avec quels contrôles, et que pourrait obtenir un acteur qui détournerait ces contrôles ? Une capacité limitée à un appareil et une capacité commune à un parc entier appellent des évaluations différentes. Les protections envisagées doivent entrer dans la comparaison, au même titre que leur coût et que les possibilités d’enquête qu’elles ouvrent.

Le chiffrement de bout en bout garde dans cet ensemble une fonction précise : limiter les acteurs capables de lire les messages au cours de leur acheminement. La version 2.0 des recommandations mobiles de l’agence américaine de cybersécurité, la CISA, datée du 24 novembre 2025, a ajouté des conseils relatifs aux messageries ainsi chiffrées. La protection des appareils et des comptes reste une question distincte : un message affiché sur un appareil compromis peut être accessible à l’intrus. ^V07

Il faut également chercher les observations qui freinent un récit d’aggravation automatique. Dans son rapport de juin 2026, la Banque de France indique que les autorités françaises n’identifient alors aucune hausse des cyberattaques contre le secteur financier français résultant des tensions géopolitiques examinées au premier semestre. Le constat est circonscrit à cette relation, à cette période et à ce secteur. Il rappelle l’utilité de distinguer une menace élevée de sa matérialisation mesurée. ^V16

Au terme de cette collecte, les pièces publiques établissent plusieurs réalités : des fonctions puissantes peuvent être détournées ; le périmètre des accès conditionne celui des conséquences possibles ; la réponse à l’intrusion exige des ressources et peut perturber l’activité. Elles laissent ouverte l’addition économique attribuable à un dispositif d’accès d’exception particulier.

Pour avancer dans cet arbitrage, la pièce décisive serait une évaluation reliant le bénéfice d’enquête attendu, l’étendue de l’accès créé et les pertes supplémentaires qu’il peut rendre possibles. On pourrait alors discuter les hypothèses, comparer les protections et suivre la charge jusqu’à ceux qui la supportent. C’est à cette condition que le prix d’une porte dérobée devient une question économique vérifiable.

---

Méthode. Enquête documentaire arrêtée au 7 novembre 2026, à partir de vingt références primaires : textes officiels, publications techniques originales, documents d’entreprises et étude professionnelle. Les attributions d’attaques restent celles des auteurs cités. Les calculs LUCY sont des ratios sur le tableau 2025 ; les autres schémas explicitent des mécanismes conditionnels. Les textes chinois sont présentés d’après les publications officielles en chinois ; leurs traductions françaises sont rédactionnelles. Aucun entretien, audit d’infrastructure ou chiffrage inédit de dommages n’a été réalisé. Les références précisent les dates, les passages utilisés et la portée des documents.

Pour prolonger l’analyse

Le premier volet sur la protection du chiffrement au Parlement examine la proposition française ; le deuxième sur les appareils et sauvegardes suit les copies d’un secret d’entreprise. Le troisième sur les accès de l’État étudie les contrôles, tandis que le quatrième sur iCloud et les frontières examine les garanties et les coûts de sortie.

L’analyse Cyberassurance : la panne chez le client approfondit la portée des contrats après une interruption.

L’image de partage représente un réseau remis en état et des copies de documents déjà sorties de son périmètre. Cette composition conceptuelle illustre un scénario conditionnel ; elle ne représente aucun incident réel ni un déchiffrement observé.

Sources

1. V01 · Federal Bureau of Investigation · 2025-04-24 · Consulté le 7 novembre 2026FBI Seeking Tips about PRC Targeting of U.S. Telecommunications
   Passages et périmètre

   Alerte FBI/IC3 du 24 avril 2025, deux premiers paragraphes : attribution aux acteurs affiliés à la Chine, vol de journaux d’appels, communications privées d’un nombre limité de victimes identifiées et copie de certaines informations visées par des demandes judiciaires. Le texte décrit les résultats de l’intrusion, avec l’attribution des autorités américaines. Il laisse ouverts le point d’entrée, le coût économique et toute hypothèse de déchiffrement de bout en bout.

   Document primaire complémentaire

2. V02 · NSA, CISA, FBI, DC3 et partenaires internationaux · 2025-08-27 · Consulté le 7 novembre 2026Countering Chinese State-Sponsored Actors Compromise of Networks Worldwide to Feed Global Espionage System
   Passages et périmètre

   Avis conjoint initialement publié le 27 août 2025, révisé le 3 septembre en version 1.1 selon son historique, page imprimée 30. Le résumé et les sections techniques décrivent les équipements compromis, les relations de confiance, la persistance et la collecte. Les activités ne recoupent que partiellement les groupes commerciaux dont Salt Typhoon. L’attribution appartient aux autorités signataires ; les chemins observés et conseils de remédiation ne fournissent aucun coût de sinistre.

   Document primaire complémentaire

3. V03 · Cisco Talos · 2025-02-20 · Consulté le 7 novembre 2026Weathering the storm: In the midst of a Typhoon
   Passages et périmètre

   Analyse originale Cisco Talos du 20 février 2025, résumé et accès initial : un cas comporte des éléments d’exploitation probable de CVE-2018-0171 ; les autres accès aux appareils Cisco étudiés à cette date reposent sur des identifiants légitimes. Leur acquisition initiale reste inconnue. Les fonctions de capture et de gestion interviennent dans la suite des opérations. Le périmètre correspond aux investigations du fournisseur.

4. V04 · Cisco Talos : Aliza Johnson · 2026-10-29 · Consulté le 7 novembre 2026IR trends Q3 2026: Actors impersonate IT help desks in vishing attacks as ransomware activity increases
   Passages et périmètre

   Retour d’interventions Talos au troisième trimestre 2026, publié le 29 octobre. La section sur le cyberespionnage décrit des comptes valides, une vulnérabilité d’interface de gestion et le détournement de fonctions réseau. Une campagne emploie BadCandy, implant connu pour être utilisé par Salt Typhoon. Ce rapprochement technique est distinct d’une attribution de toutes les missions du trimestre à ce groupe. Aucun montant de perte n’est publié.

5. V05 · CERT Coordination Center · 2015-12-21 · Consulté le 7 novembre 2026Juniper ScreenOS contains multiple vulnerabilities : VU#640184
   Passages et périmètre

   CERT/CC, note VU#640184 publiée le 21 décembre 2015 et révisée le 22 : CVE-2015-7755 concerne l’administration distante non autorisée ; CVE-2015-7756 permet, sous ses conditions techniques, de déchiffrer du trafic VPN observé. Les deux vulnérabilités sont indépendantes. La note documente les versions et correctifs ; elle n’identifie ni l’auteur du code, ni les victimes, ni une perte économique mesurée.

6. V06 · Stephen Checkoway et neuf coauteurs : ACM CCS 2016 ; copie des auteurs · 2016-10 · Consulté le 7 novembre 2026A Systematic Analysis of the Juniper Dual EC Incident
   Passages et périmètre

   Analyse originale de Checkoway et de ses coauteurs, ACM CCS, octobre 2016. Résumé, introduction et expérimentation : un paramètre de Dual EC peut permettre le déchiffrement passif ; les chercheurs l’illustrent sur un appareil NetScreen avec leurs propres paramètres. La démonstration établit une capacité technique dans une implémentation particulière. Elle ne constitue pas un décompte de victimes réelles, de pertes ou d’opérations attribuées à l’auteur inconnu du code.

   Document primaire complémentaire

   Document primaire complémentaire

7. V07 · Cybersecurity and Infrastructure Security Agency ; copie préservée par U.S. Government Publishing Office · 2025-11-24 · Consulté le 7 novembre 2026Mobile Communications Best Practice Guidance : Version 2.0
   Passages et périmètre

   Guide CISA, version 2.0 du 24 novembre 2025, historique et introduction en première page, recommandations générales en deuxième page. La révision élargit les publics particulièrement ciblés et ajoute des conseils de protection des messageries chiffrées de bout en bout, dont la vigilance sur les comptes et appareils liés. Ce guide daté formule des recommandations ; la protection du transport reste distincte de celle d’un appareil ou d’un compte compromis.

   Document primaire complémentaire

   Document primaire complémentaire

8. V08 · Ministère des Affaires étrangères de la République populaire de Chine · 2025-09-01 · Consulté le 7 novembre 2026Foreign Ministry Spokesperson’s Remarks on the US Ganging up with Allies to Hype Up ‘Salt Typhoon’ Hacking Operations
   Passages et périmètre

   Réponse du ministère chinois des Affaires étrangères publiée le 1er septembre 2025 : rejet des accusations occidentales et affirmation d’un détournement de porte dérobée américaine, explicitement rapportée aux médias américains. Le document établit la position diplomatique de la Chine. Il ne fournit aucune investigation technique indépendante permettant de déterminer le point d’entrée, les capacités de lecture obtenues ou les pertes.

   Document primaire complémentaire

9. V09 · Cyberspace Administration of China (CAC) · 2025-09-15 · Consulté le 7 novembre 2026国家网络安全事件报告管理办法 : Mesures de gestion de la déclaration des incidents de cybersécurité
   Passages et périmètre

   Articles 2 et 4 à 8, 11 à 14 et annexe. Texte du 11 septembre 2025, publié le 15 septembre, applicable depuis le 1er novembre. Les délais initiaux dépendent du niveau de l’incident et du type d’opérateur. L’article 7 permet des premières informations limitées puis des compléments ; l’article 8 fixe le bilan à trente jours après la fin du traitement. Les seuils de pertes directes classent des incidents et ne mesurent aucun dommage observé.

10. V10 · Administration nationale de la cryptographie, CAC et ministère chinois de la Sécurité publique · 2025-06-27 · Consulté le 7 novembre 2026关键信息基础设施商用密码使用管理规定 : Règles d’utilisation de la cryptographie commerciale dans les infrastructures d’information critiques
    Passages et périmètre

    Ordre conjoint no 5, daté du 11 juin 2025, publié le 27 juin et applicable depuis le 1er août. Articles 2, 7 à 9 et 12 à 18 : champ des infrastructures critiques reconnues, compétences, budgets, contrôle avant exploitation et évaluation au moins annuelle. Ces obligations écrites ne constituent ni un audit d’un opérateur ni une preuve d’indépendance technique des rôles. Les budgets requis ne sont pas des dépenses exécutées.

    Document primaire complémentaire

11. V11 · ANSSI / CERT-FR · 2026-03-11 · Consulté le 7 novembre 2026Panorama de la cybermenace 2025 : CERTFR-2026-CTI-002
    Passages et périmètre

    Panorama ANSSI de la cybermenace 2025, publié le 11 mars 2026. Page imprimée 18 : élargissement de la victimologie associée à Salt Typhoon observé en France et équipement compromis utilisé comme rebond. L’Agence indique ne pouvoir départager ciblage stratégique des télécoms et opportunisme lié aux équipements répandus. Les pages 48 à 50 abordent les prestataires et leurs clients. Ces constats ne relient pas l’incident Orange à Salt Typhoon.

    Document primaire complémentaire

    Document primaire complémentaire

12. V12 · Orange Newsroom · 2025-07-28 · Consulté le 7 novembre 2026Le groupe Orange annonce avoir déposé plainte lundi 28 juillet pour atteinte à un de ses systèmes d’information
    Passages et périmètre

    Communiqué Orange du 28 juillet 2025 : détection le 25 juillet, isolement de services susceptibles d’être concernés et perturbations de certains services et plateformes, principalement en France. À la date du communiqué, l’entreprise indique n’avoir aucun élément suggérant une exfiltration. La réouverture annoncée pour le 30 juillet est une prévision. Ce document provisoire n’établit ni porte dérobée, ni auteur, ni montant de dommages.

13. V13 · AMRAE · 2026-05-29 · Consulté le 7 novembre 2026LUCY : Lumière sur la cyberassurance, édition 2026
    Passages et périmètre

    LUCY 2026, données déclarées en 2025, méthodologie et tableau des sinistres : douze courtiers et SMABTP, 20 996 polices, 1 251 sinistres et 83 203 654 euros d’indemnisation déclarée. Entreprises de chiffre d’affaires supérieur à un milliard : 63 dossiers et 44 583 393 euros. Parts calculées : 5,0 % et 53,6 %. Le panel assuré, les limites petites entreprises et l’absence des collectivités interdisent d’en tirer un total économique français ou un coût de porte dérobée.

14. V14 · EIOPA · 2025-12-15 · Consulté le 7 novembre 2026Financial Stability Report : December 2025, EIOPA-BoS-25-579
    Passages et périmètre

    Rapport EIOPA du 15 décembre 2025, chapitre 4, pages 54 à 60. Les dépendances à un service ou une technologie communs peuvent produire une accumulation de pertes. Le document décrit aussi les garanties cyber implicites. Il précise que la petite taille relative de la branche limite alors son impact direct sur la stabilité des assureurs. Analyse prudentielle et sources tierces sont distinguées ; aucun coût d’accès exceptionnel n’est estimé.

    Document primaire complémentaire

15. V15 · ANSSI · 2026-01-16 · Consulté le 7 novembre 2026Cyberattaques et remédiation : Préparer la remédiation, version 1.0
    Passages et périmètre

    Guide ANSSI, version 1.0 de janvier 2026, notice publiée le 16 janvier. Pages 7 à 8, 17 à 18, 29 à 30 et 33 : préparation de la remédiation, restauration, communication de crise et recours aux services de l’assureur selon les procédures et délais du contrat. Il décrit des ressources et des opérations à préparer, sans coût moyen, délai garanti ou pouvoir de rappeler des données déjà copiées.

    Document primaire complémentaire

    Document primaire complémentaire

16. V16 · Banque de France · 2026-06-24 · Consulté le 7 novembre 2026Rapport sur la stabilité financière : Juin 2026
    Passages et périmètre

    Rapport de juin 2026, publié le 24 juin, vue d’ensemble sur le risque géopolitique. La Banque de France et l’ACPR y décrivent l’absence d’augmentation identifiée des cyberattaques contre le secteur financier français résultant des tensions examinées au premier semestre. La mise à jour de page du 24 septembre ne prolonge pas la période du diagnostic. Le constat laisse distincts niveau de menace, incidents observés et attribution causale.

17. V17 · Vassilis Prevelakis et Diomidis Spinellis : IEEE Spectrum, 44(7), 26–33 · 2007-07 · Consulté le 7 novembre 2026The Athens Affair
    Passages et périmètre

    Enquête originale de Prevelakis et Spinellis, publiée dans IEEE Spectrum en juillet 2007, sur les interceptions en Grèce en 2004 et 2005. Elle décrit le code non autorisé, la fonction d’interception présente dans les commutateurs et l’interface de gestion non achetée. Le code détourne une capacité existante ; l’entrée initiale et l’identité des auteurs restent indéterminées dans cette reconstitution. Il s’agit d’une architecture téléphonique historique, distincte d’une messagerie moderne de bout en bout.

    Document primaire complémentaire

18. V18 · NIST : Alexander Nelson, Sanjay Rekhi, Murugiah Souppaya et Karen Scarfone · 2025-04-03 · Consulté le 7 novembre 2026Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile : NIST SP 800-61 Rev. 3
    Passages et périmètre

    NIST SP 800-61, révision 3 finale du 3 avril 2025, pages imprimées 32 à 34 : confinement, éradication et restauration ; contrôles RC.RP-03 et RC.RP-05 sur l’intégrité des sauvegardes et des actifs restaurés. Le remplacement matériel est envisagé pour certaines intrusions sophistiquées dont le périmètre reste inconnu. Ces recommandations ne donnent ni fréquence, ni durée, ni coût de rétablissement.

    Document primaire complémentaire

19. V19 · NIST : Elaine Barker · 2020-05 · Consulté le 7 novembre 2026Recommendation for Key Management: Part 1 : General, NIST SP 800-57 Part 1 Rev. 5
    Passages et périmètre

    NIST SP 800-57 Part 1, révision 5 finale de mai 2020, section 5.5.2, pages imprimées 50 à 52. La conception doit limiter les données exposées par la compromission d’une clé et préparer révocation, remplacement et reprise. Le projet initial de révision 6 publié le 5 décembre 2025 conserve son statut de projet. Séparation des clés, administration et récupération doivent être examinées ensemble ; aucune réduction chiffrée du risque n’est fournie.

    Document primaire complémentaire

20. V20 · National Academies of Sciences, Engineering, and Medicine : consensus study report · 2018 · Consulté le 7 novembre 2026Decrypting the Encryption Debate: A Framework for Decision Makers
    Passages et périmètre

    Rapport de consensus des National Academies de 2018, chapitre 7, encadrés 7.1 et 7.2, pages 84 à 89. Le cadre examine les difficultés d’enquête, les risques ajoutés par un accès exceptionnel et les limites de leur quantification. Les effets dépendent des caractéristiques techniques et opérationnelles du dispositif. Il éclaire une méthode d’évaluation, sans montant contemporain de bénéfices ou de dommages ni recommandation universelle.

    Document primaire complémentaire