Entre octobre et novembre 2026, plusieurs milliers de smartphones français ont été infectés par une campagne de piratage russe attribuée au groupe APT29. Sans interaction utilisateur, le malware vole données bancaires, mots de passe et informations sensibles, générant des coûts considérables pour les ménages et les entreprises.
Piratage : ce malware russe a vidé des comptes bancaires français
By
Published on 6 novembre 2026 7h15
91%91 % des cyberattaques en France commencent par un phishing selon le rapport ANSSI 2025.
Entre octobre et novembre 2026, plusieurs milliers de smartphones français ont été silencieusement infectés par un malware russe. Pas de rançon, pas de demande d'argent : juste du vol de données. Mais pour les entreprises et les ménages touchés, le coût réel dépasse largement le prix du téléphone. L'entreprise française de cybersécurité Sekoia a révélé le 5 novembre une vaste campagne de piratage attribuée au groupe APT29, lié au service de renseignement extérieur russe (SVR). Baptisée « Poisoned Source », cette opération cible Android et iOS via des sites web piégés, sans aucune interaction de la victime.
Des milliers de smartphones compromis
L'ampleur financière de cette campagne reste difficile à chiffrer précisément. Amaury-Jacques Garçon, analyste en cybermenace chez Sekoia, explique : « Pour estimer le nombre d'utilisateurs finaux qui auraient été touchés par cette campagne, c'est un peu compliqué, ça dépend vraiment du trafic de chaque site ». Les experts estiment néanmoins à plusieurs milliers le nombre de personnes potentiellement impactées, dont une proportion significative en France.
Les chiffres de la menace : APT29 cible aussi les PME françaises
La campagne ne se limite pas aux cibles diplomatiques ou gouvernementales. Une dizaine de sites web ont été directement compromis, incluant des entreprises américaines et européennes. Plus inquiétant encore, la compromission du service ukrainien Plerdy SEO Tracker a exposé des milliers de sites clients, dont plusieurs PME françaises utilisant cet outil d'analyse web. Le rapport de Sekoia confirme que les attaquants ont exploité des vulnérabilités déjà corrigées, mais non installées par les utilisateurs. Les versions iOS 16 à 17.4 restaient vulnérables au vol de cookies, malgré un correctif Apple déployé en avril 2026.
Vol de données bancaires et mots de passe : les vrais risques pour le portefeuille
Le malware AndroSnitch, déployé sur Android, aspire les cookies Chrome, l'historique de navigation, les données de connexion et les mots de passe Wi-Fi. Sur iOS, la faille DarkSword permet d'accéder aux messages, photos et mots de passe stockés sur les versions jusqu'à iOS 18.5. Ces informations constituent un trésor pour les cybercriminels : accès aux comptes bancaires, usurpation d'identité, revente sur le dark web. Pour un particulier, la facture peut atteindre plusieurs milliers d'euros en frais bancaires, démarches administratives et préjudice moral. Pour une entreprise, les conséquences s'aggravent : perte de données clients, violation du RGPD, sanctions réglementaires potentielles.
Qui paie la facture de la cybersécurité ?
Face à cette menace persistante, les entreprises françaises doivent investir massivement dans la protection de leurs infrastructures mobiles. Un secteur particulièrement vulnérable, comme la chaîne du froid confrontée au risque cyber, illustre la multiplication des vecteurs d'attaque. Les budgets de cybersécurité explosent, pesant sur la compétitivité des PME.
Les solutions de Mobile Device Management (MDM), les plateformes de détection d'intrusion et les audits de sécurité représentent un coût croissant. Une PME de 50 salariés doit désormais budgéter entre 15 000 et 30 000 euros annuels pour sécuriser correctement sa flotte mobile. Les grandes entreprises multiplient les contrats avec des sociétés spécialisées comme Sekoia, dont les services de veille et de détection coûtent plusieurs dizaines de milliers d'euros par an. Cette inflation des coûts de protection réduit les marges et freine l'innovation.
Les assureurs réagissent en durcissant leurs conditions. Après des incidents majeurs comme la cyberattaque du Crédit Mutuel Arkéa ayant détourné plus de 133 millions de dollars, les primes d'assurance cyber ont bondi de 20 à 40% en 2026. Les entreprises ne respectant pas les standards de sécurité minimaux (mises à jour régulières, authentification multifacteur) voient leurs contrats résiliés ou leurs franchises exploser. Pour les ménages, certaines assurances habitation commencent à proposer des garanties cyber, moyennant une surprime mensuelle de 5 à 15 euros.
Comment Sekoia a détecté l'opération Poisoned Source
Mi-octobre 2026, l'équipe Threat Detection & Research de Sekoia identifie des anomalies dans le trafic web mobile. Selon TF1 Info, l'entreprise française a rapidement établi un lien avec APT29. « Nous estimons, avec un degré de confiance moyen à élevé, que cette campagne a été menée par APT29, un groupe d'intrusion lié à la Russie, largement attribué au service des renseignements extérieurs russes (SVR) », précise le rapport Sekoia.
La chaîne d'approvisionnement compromise : l'exemple du service ukrainien Plerdy
Les attaquants ont infiltré Plerdy SEO Tracker, un outil d'analyse web utilisé par des milliers de sites. En injectant du code malveillant dans ce service tiers, APT29 a transformé chaque site client en vecteur d'infection potentiel. Technique redoutable : elle démultiplie l'impact sans nécessiter de compromettre individuellement chaque cible. BFM TV rapporte que cette méthode, appelée « supply chain attack », devient le standard des opérations d'espionnage étatiques.
Sites piégés et injection JavaScript : les techniques low-cost de l'espionnage russe
Trois vecteurs d'attaque ont été identifiés : injection JavaScript directe sur sites légitimes, domaines frauduleux imitant des sites réels (comme un faux hôtel londonien près du ministère de la Défense britannique), et compromission de chaînes d'approvisionnement. Aucune interaction utilisateur n'est requise. La simple visite d'une page infectée déclenche l'exécution du code malveillant. Cette approche « zero-click » maximise le taux d'infection tout en minimisant les traces laissées. En septembre 2026, le kit d'exploitation DarkSword avait été uploadé sur VirusTotal, permettant aux chercheurs d'anticiper partiellement la menace.
Pour limiter l'exposition financière, trois réflexes s'imposent. D'abord, installer systématiquement les mises à jour de sécurité dès leur disponibilité : les vulnérabilités exploitées par APT29 étaient corrigées depuis avril 2026. Ensuite, activer l'authentification à deux facteurs sur tous les comptes sensibles, particulièrement bancaires. Enfin, surveiller régulièrement ses relevés bancaires et signaler immédiatement toute transaction suspecte.