En Bref

• Ribbon Communications, un important fournisseur américain de télécommunications, a été infiltré par des hackers soupçonnés d’être liés à un État pendant près d’un an.
• L’intrusion a commencé dès décembre 2024 et a été découverte en septembre 2025.
• Les hackers ont accédé à des fichiers de plusieurs clients, mais aucune “information sensible” ni aucun système central n’a été compromis, selon l’entreprise.
• Les clients de Ribbon incluent des géants des télécommunications et des agences gouvernementales critiques telles que le Département de la Défense des États-Unis.
• L’attaque rappelle une vague récente de campagnes d’espionnage, dont beaucoup sont attribuées à des groupes soutenus par l’État chinois ciblant l’infrastructure mondiale des télécoms.

L’Occupation Silencieuse

Imaginez un intrus vivant discrètement chez vous pendant un an - prenant soin de ne pas déclencher d’alarmes, se glissant dans l’ombre, observant, attendant. C’est la réalité numérique qu’a connue Ribbon Communications, une entreprise texane dont la technologie soutient les réseaux téléphoniques et de données du monde entier.

Dans un dépôt d’octobre 2025, Ribbon a confirmé que des hackers sophistiqués - présumés affiliés à un gouvernement étranger - avaient eu un accès clandestin à ses systèmes informatiques pendant près de douze mois. La brèche, détectée pour la première fois en septembre 2025, aurait débuté en décembre 2024, les attaquants se déplaçant furtivement et évitant toute détection durant tout ce temps.

Pourquoi Ribbon ? Pourquoi Maintenant ?

Ribbon n’est pas un simple fournisseur de télécommunications. Avec plus de 3 100 employés répartis dans 68 bureaux et des clients allant de Verizon et BT au Département de la Défense américain, l’entreprise se trouve au carrefour des communications mondiales. Cela fait de Ribbon une cible de choix pour la cyber-espionnage : les infiltrer, c’est potentiellement ouvrir une porte dérobée sur les conversations et les flux de données des gouvernements et des entreprises du monde entier.

Selon les premières investigations, les attaquants ont accédé à quatre anciens fichiers clients stockés sur deux ordinateurs portables hors du réseau principal. Bien que Ribbon affirme qu’aucun système critique de client n’a été compromis, la simple présence d’agents étrangers au sein d’une entreprise aussi centrale est alarmante. L’incident a entraîné une collaboration avec les forces de l’ordre fédérales et des experts en cybersécurité, et tous les clients concernés ont été informés.

Des Schémas dans l’Ombre

Cette brèche n’est pas un cas isolé. Au cours des deux dernières années, les entreprises de télécommunications sont devenues des terrains de chasse privilégiés pour les hackers étatiques. Notamment, la campagne dite Salt Typhoon - attribuée par les services de renseignement occidentaux à des acteurs chinois - a ciblé des fournisseurs de télécommunications à l’échelle mondiale, exploitant des vulnérabilités dans les équipements et logiciels réseau. Des entreprises comme AT&T, Verizon, et même l’opérateur satellite Viasat ont signalé des brèches similaires, toutes caractérisées par une reconnaissance patiente, furtive et un accès de longue durée.

Les experts estiment que ces attaques persistantes visent non seulement à voler des informations, mais aussi à cartographier les communications mondiales - un atout stratégique dans toute confrontation géopolitique. Comme l’a dit un CTO du secteur, “le monde en ligne est devenu le terrain de jeu privilégié de tous les adversaires aujourd’hui.”

Leçons de la Brèche

Pour les fournisseurs d’infrastructures critiques, l’incident Ribbon est un signal d’alarme. La capacité des attaquants à “vivre sur la terre” - en utilisant des outils légitimes et en restant presque invisibles - exige bien plus que des pare-feux et des antivirus. Cela impose une vigilance constante, des audits rigoureux, et l’adoption de nouvelles normes de sécurité, comme celles récemment mises à jour au Royaume-Uni pour les opérateurs télécoms.

WIKICROOK

• Nation : En cybersécurité, une ‘nation’ désigne un acteur soutenu par un gouvernement menant des opérations cybernétiques telles que l’espionnage ou les attaques pour servir des intérêts nationaux.
• Living off the land : Vivre sur la terre signifie que les attaquants utilisent des outils système intégrés et de confiance à des fins malveillantes, rendant leurs activités plus difficiles à détecter.
• Backdoor : Une porte dérobée est un accès caché à un ordinateur ou un serveur, contournant les contrôles de sécurité normaux, souvent utilisé par les attaquants pour prendre le contrôle en secret.
• Critical infrastructure : Les infrastructures critiques comprennent les systèmes clés - comme l’électricité, l’eau et la santé - dont la défaillance perturberait gravement la société ou l’économie.
• Reconnaissance : La reconnaissance est la première étape d’une cyberattaque, où les attaquants recueillent des informations sur une cible pour identifier ses faiblesses et planifier leur approche.