Le Royaume-Uni et ses partenaires internationaux ont dévoilé une campagne de cyberespionnage menée par un groupe soutenu par l’État russe, utilisant une technique dite « zéro-clic » pour dérober des courriels au sein d’organisations occidentales, a annoncé le Centre national de cybersécurité britannique (NCSC).
Le NCSC, intégré au GCHQ, en collaboration avec les agences de cybersécurité de 15 pays, a identifié ce groupe sous le nom de LAUNDRY BEAR, un acteur persistent et sophistiqué spécialisé dans la collecte discrète de données issues de messageries électroniques. Selon le NCSC, cette campagne s’inscrit dans un contexte d’espionnage et bénéficie presque certainement du soutien direct de l’État russe.
Depuis juillet 2025, ce groupe a visé et exfiltré des informations sensibles issues d’organisations utilisant la suite Zimbra Collaboration, précise l’avis de sécurité. Les cibles américaines touchées appartiennent à divers secteurs clés tels que la défense, les gouvernements, l’éducation, l’énergie, les forces de l’ordre, les médias, les ONG et les technologies.
La méthode employée, baptisée « beehive » ou « Ulej », se différencie du phishing traditionnel en ce qu’elle ne nécessite aucune interaction de la part de la victime. L’utilisateur n’a qu’à consulter un courriel malveillant au sein d’une version vulnérable du service webmail Zimbra pour être compromis, ce qui offre aux attaquants un accès étendu et durable aux échanges électroniques.
Dan Jarvis, ministre britannique de la Sécurité, a déclaré : « L’action d’aujourd’hui montre que nous collaborons étroitement avec nos alliés pour démasquer des hackers soutenus par l’État russe ciblant des organisations occidentales. Il est particulièrement inquiétant que ces malfaiteurs aient testé leurs méthodes sur des victimes en Ukraine avant de s’en prendre à des membres de l’OTAN. Toutes les organisations au Royaume-Uni devraient s’inscrire au service d’alerte précoce du NCSC afin de sécuriser rapidement leurs systèmes face à ce type d’activité. »
Beth Hopkins, directrice des opérations du NCSC, a souligné que « Les techniques cybercriminelles malveillantes ont été largement éprouvées sur des victimes ukrainiennes avant d’être utilisées contre des membres de l’OTAN, ce qui reflète une tendance croissante chez les groupes russes à l’origine de menaces cybernétiques. » L’analyse technique révèle également que l’intelligence artificielle a contribué à développer une base de code simple pour mener cette opération.
Les agences mettent en garde contre le risque d’adaptation de cette technique afin d’exploiter d’autres vulnérabilités à mesure que les organisations mettent à jour leur logiciel Zimbra. Le groupe pourrait alors s’attaquer à d’autres systèmes de messagerie utilisés en Occident. Il est donc vivement recommandé aux détenteurs de la suite Zimbra de corriger immédiatement les failles et de renforcer leur surveillance réseau. Par ailleurs, le NCSC invite toutes les organisations britanniques à s’abonner gratuitement à son service d’alerte précoce.
Cette alerte conjointe a été émise en coordination avec les agences de cybersécurité d’Australie, du Canada, de la République tchèque, du Danemark, d’Estonie, de Finlande, de France, d’Italie, de Moldavie, de Pologne, d’Espagne, de Suède, des Pays-Bas, de Nouvelle-Zélande et des États-Unis, et a été publiée sur le site de la National Security Agency américaine. La désignation de LAUNDRY BEAR s’inscrit dans une démarche coordonnée entre alliés pour attribuer formellement des opérations cyber malveillantes à des groupes liés à l’État russe, en diffusant des détails techniques afin de lever leur anonymat et d’inciter les cibles potentielles à renforcer leurs défenses.
