CERT-EU avertit que les cyberattaques se déplacent vers les comptes et les applications utilisées quotidiennement : Instagram, Gmail, Signal et les outils d'IA.

Les attaques informatiques signalées en juin 2026 ont visé des applications et des outils utilisés quotidiennement, pas seulement des institutions ou des infrastructures techniques. CERT-EU indique dans son dernier Cyber Brief que les attaquants ont utilisé la récupération de comptes Instagram, des plugins frauduleux d'intelligence artificielle pour les programmeurs, des alertes Gmail frauduleuses et des messages imitant le support Signal pour voler l'accès aux comptes, mots de passe, codes d'authentification et clés de récupération.

En bref

CERT-EU mentionne l'abus de l'outil Meta AI de récupération de comptes Instagram pour des prises de contrôle de comptes. Au moins 15 plugins sur JetBrains Marketplace, présentés comme des assistants AI pour la programmation, auraient volé des clés API de fournisseurs d'intelligence artificielle. L'acteur Ghostwriter, probablement lié à la Biélorussie, a ciblé des utilisateurs Gmail en Pologne, y compris des personnes de la vie politique, des journalistes, des chercheurs et des administrations publiques. Des acteurs associés à la Russie ont ciblé des utilisateurs Signal, essayant d'obtenir des clés de récupération pour accéder aux messages et prendre le contrôle des comptes.

Le rapport CERT-EU montre que la sécurité informatique ne peut plus être réduite à des serveurs, des vulnérabilités techniques et des attaques contre des institutions. Une part importante du risque passe par des applications connues, des comptes personnels et des outils professionnels ordinaires. Les attaquants recherchent des points d'entrée là où les utilisateurs ont déjà confiance : un e-mail de sécurité, une page de récupération de compte, un plugin de programmation ou une conversation sur une application de messagerie.

Un cas visible concerne Instagram. Selon CERT-EU, des acteurs inconnus ont abusé de l'outil Meta AI de récupération de comptes pour obtenir des codes de réinitialisation de mot de passe et pour prendre le contrôle de comptes sans vérification adéquate. Celles-ci étaient en particulier des comptes avec des noms d'utilisateur courts et précieux, qui ont ensuite été rapidement revendues par des canaux Telegram.

Meta a déclaré qu'il n'y avait pas eu de violation dans ses systèmes de backend et que le problème avait été corrigé après le signalement public. L'incident reste pertinent car il montre comment des fonctions conçues pour récupérer l'accès peuvent devenir des outils d'attaque lorsque la vérification d'identité n'est pas suffisamment solide.

Les développeurs de logiciels ont été ciblés par une campagne séparée sur JetBrains Marketplace. CERT-EU note que des chercheurs ont signalé une campagne coordonnée dans laquelle au moins 15 plugins pour environnements de développement ont été présentés comme des assistants AI pour la programmation, mais volaient secrètement des clés API de fournisseurs d'intelligence artificielle. La campagne aurait affecté plusieurs comptes de fournisseurs et aurait pu atteindre près de 70 000 installations.

Les clés API volées peuvent permettre l'utilisation non autorisée de services d'intelligence artificielle, l'abus de comptes et des coûts inattendus pour les victimes. Dans le cas des développeurs, le risque peut aller plus loin : un plugin installé dans un environnement de travail peut avoir accès à des projets, des flux de développement, des configurations et des services utilisés pour la production. Un outil qui semble augmenter la productivité peut devenir une porte d'entrée dans l'infrastructure numérique d'une entreprise.

CERT-EU mentionne également une campagne de phishing probablement attribuée à l'acteur Ghostwriter, associé à la Biélorussie. CERT Polska a rapporté le 12 juin des campagnes intenses visant des utilisateurs Gmail en Pologne. Les attaquants auraient envoyé des e-mails frauduleux imitant des alertes de sécurité Gmail pour collecter des données d'authentification et des codes d'authentification à deux facteurs.

Les victimes mentionnées incluent des personnes de la vie politique et publique, des journalistes, des chercheurs et des administrations publiques. Le rapport note également une propagation plus large vers des destinataires sans lien direct, causée par la devinette des adresses. La technique est simple, mais efficace : le message semble provenir de la zone de sécurité d'un service connu, et l'utilisateur est poussé à entrer des données sensibles sur une page frauduleuse.

Signal a été ciblé par un autre type de phishing. Le FBI a publié le 26 juin une annonce concernant des acteurs associés à la Russie UNC5792 et UNC4221, qui ciblent les clés de récupération des utilisateurs Signal. Les attaquants continuent de se présenter comme un support Signal, mais essaient maintenant d'obtenir la clé de récupération pour la sauvegarde, ce qui leur permettrait de voir les messages sauvegardés, les messages privés et de groupe et de prendre le contrôle du compte de la victime.

Ce type d'attaque est différent du vol d'un simple mot de passe. Les clés de récupération peuvent donner accès à du contenu historique et à des conversations qui peuvent contenir des informations personnelles, professionnelles ou politiques sensibles. Pour les personnes impliquées dans l'administration, le journalisme, la politique, la recherche ou l'activisme, le compromis d'un compte de messagerie peut exposer des réseaux de contacts et des discussions privées.

Le rapport inclut également un cas lié à WhatsApp et au NSO Group. WhatsApp a rapporté qu'il avait détecté et arrêté des tentatives de spearphishing et d'ingénierie sociale associées à NSO, par lesquelles les utilisateurs étaient tentés d'être amenés à cliquer sur des liens malveillants. L'activité aurait inclus des comptes et des groupes de test supprimés par la plateforme, et WhatsApp a transmis des indicateurs pour identifier la rencontre également sur d'autres canaux, tels que SMS, e-mail ou WhatsApp.

Ces épisodes montrent un changement d'accent dans les attaques informatiques. Les comptes personnels et professionnels deviennent des cibles précieuses car ils donnent accès à l'identité numérique, aux contacts, aux outils de travail, aux services cloud et à la communication privée. Les attaquants n'ont pas toujours besoin de pénétrer directement un réseau gouvernemental ou corporatif s'ils peuvent prendre le contrôle des comptes de personnes ayant accès à ce réseau.

L'intelligence artificielle apparaît dans le rapport de deux manières. D'une part, les attaquants utilisent l'intérêt pour l'IA comme appât, à travers des plugins frauduleux présentés comme des assistants de programmation. D'autre part, les outils AI intégrés dans les plateformes peuvent créer de nouvelles surfaces d'attaque lorsque les processus de récupération, de vérification ou d'automatisation sont abusivement exploités.

CERT-EU mentionne également des incidents liés à des modèles AI et à la compétition mondiale en matière de sécurité informatique, y compris des revendications de certaines entreprises chinoises concernant des outils de découverte automatique de vulnérabilités et de défense cybernétique. Dans le même rapport, des chercheurs en sécurité ont évalué que le modèle GLM-5.2 de l'entreprise chinoise Z.ai a des capacités de découverte de vulnérabilités comparables à des modèles américains de pointe. Ces évolutions montrent que l'IA devient rapidement une partie de la compétition pour la défense et l'offensive cybernétique.

Le rapport CERT-EU de juin décrit un espace numérique dans lequel les attaques se rapprochent de plus en plus de l'utilisateur. Le compte Instagram, le compte Gmail, la clé Signal, le plugin utilisé en programmation ou le lien reçu sur WhatsApp peuvent devenir des points d'entrée pour le vol de données, l'extorsion, l'espionnage ou la prise de contrôle de l'identité numérique. La sécurité informatique dépend de plus en plus de la vérification attentive des outils installés, des messages de récupération, des alertes de sécurité et de l'accès accordé aux applications tierces.