Surveillance des cyberattaques directement liées au conflit militaire américano-israélo-iranien

le 14 avril 2026

Ce document recense les cyberopérations confirmées et rapportées de manière crédible au cours des dernières 24 heures, directement liées au conflit militaire israélo-iranien. Ce conflit est entré dans son 46e jour le 14 avril 2026. 

Les pourparlers de paix d'Islamabad ont échoué les 12 et 13 avril après 21 heures de négociations infructueuses. Le vice-président J.D. Vance est rentré à Washington sans accord. Le président Trump a annoncé un blocus naval de tous les ports iraniens, effectif le 13 avril à 10h00 (heure de l'Est). Le Commandement central américain a confirmé que le blocus s'appliquait à tout le trafic maritime entrant et sortant des ports iraniens, y compris les navires de toutes les nations. Le Corps des gardiens de la révolution islamique iranien a qualifié le blocus d'acte de piraterie illégal et a averti qu'aucun port du golfe Persique ou de la mer d'Arabie ne serait en sécurité si les ports iraniens étaient menacés. Le cessez-le-feu, qui devait expirer le 22 avril, est extrêmement fragile. L'amiral à la retraite James Stavridis a averti que l'Iran pourrait recourir à la cyberguerre, potentiellement avec l'aide de la Russie ou de la Chine, pour riposter contre les États-Unis.

Le 12 avril, Handala a revendiqué une cyberattaque de grande ampleur contre trois organismes gouvernementaux de Dubaï : le Département des tribunaux de Dubaï, le Département foncier de Dubaï et l’Autorité des routes et des transports de Dubaï. Le groupe affirme avoir détruit 6 pétaoctets de données et exfiltré 149 téraoctets de documents classifiés. Ces allégations restent à vérifier. Handala a présenté l’attaque comme une riposte à la position régionale des Émirats arabes unis, déclarant que « la gâchette est toujours prête ». SecurityAffairs et IntelliMédias et actualités ont tous deux relayé ces allégations le 13 avril. Si elles sont confirmées, il s’agirait de l’une des cyberattaques les plus destructrices du conflit.

L'alliance Z-PENTEST, un groupe de hacktivistes pro-iranien suivi par SOCRadar, a revendiqué le 6 avril l'accès à un système de traitement des eaux industrielles sud-coréen, publiant une vidéo montrant le contrôle en temps réel des capteurs d'entrée/sortie, des vannes de vidange, du calibrage du pH et des électrovannes. Cette revendication reste non vérifiée, mais elle est techniquement détaillée et cohérente avec le mode opératoire du groupe, qui consiste à cibler les systèmes ICS/OT des alliés des États-Unis. La menace proférée le 1er avril par le Corps des gardiens de la révolution islamique (CGRI), désignant 18 entreprises technologiques américaines comme cibles militaires légitimes, dont Apple, Microsoft, Google, Meta, Nvidia, Boeing et Palantir, est toujours en vigueur et n'a pas été levée. L'activité des hacktivistes sur les chaînes Telegram est restée soutenue pendant toute la période de cessez-le-feu, les groupes pro-iraniens et pro-russes poursuivant leurs attaques DDoS, leurs défigurations de sites web et leurs fuites de données contre des cibles israéliennes, des pays du Golfe et des pays membres de l'OTAN.

Par ailleurs, l'hôpital Signature Healthcare de Brockton a entamé son huitième jour de fonctionnement interrompu le 14 avril suite à une cyberattaque menée par le groupe de Rançongiciels Anubis. Cette attaque n'a pas été attribuée à des acteurs iraniens et pourrait être opportuniste, mais elle s'inscrit dans une tendance au ciblage du secteur de la santé observée tout au long du conflit. La coupure d'Internet en Iran a atteint son 46e jour le 14 avril, avec une connectivité à environ 1 % des niveaux d'avant-guerre. NetBlocks a confirmé que la coupure a dépassé 8 1,080 heures consécutives.

Nous continuerons à mettre à jour cette chronologie avec les informations les plus récentes au fur et à mesure de l'évolution de la situation.

Principales conclusions – 14er avril 2026

Principales conclusions

Mise à jour le 14 avril 2026

Les pourparlers d'Islamabad échouent ; Trump annonce un blocus naval ; le cessez-le-feu est mis à rude épreuve ; les négociations de paix se sont terminées sans accord après 21 heures. Trump a annoncé un blocus naval de tous les ports iraniens à compter du 13 avril. Le CENTCOM a confirmé que le blocus s'applique à tout le trafic maritime entrant ou sortant des ports iraniens. Les Gardiens de la révolution iraniens ont qualifié le blocus d'acte de piraterie et ont averti qu'aucun port du Golfe ne serait en sécurité. L'amiral à la retraite Stavridis a averti que l'Iran pourrait recourir à la cyberguerre avec l'aide de la Russie ou de la Chine pour riposter. Les prix du pétrole ont dépassé les 100 dollars. Le cessez-le-feu expire le 22 avril, mais il est directement menacé.

NPR, 13 avril ; CNN, 13 avril ; Al Jazeera, 13 avril ; Military Times, 13 avril ; Stars and Stripes, 13 avril ; Wikipédia, 14 avril

Le groupe Handala revendique une cyberattaque destructrice contre trois organismes gouvernementaux de Dubaï, avec 6 pétaoctets de données détruits. Le 12 avril, Handala a affirmé avoir infiltré les systèmes du Département des tribunaux de Dubaï, du Département foncier de Dubaï et de l'Autorité des routes et des transports de Dubaï. Le groupe allègue avoir détruit 6 pétaoctets de données et exfiltré 149 téraoctets de documents classifiés. Des captures d'écran partagées par le groupe semblent montrer des interfaces de gestion du stockage et des tableaux de bord administratifs. Ces affirmations restent non vérifiées, mais constituent une escalade présumée contre les infrastructures de l'État du Golfe. Les analystes de Dark Web Intelligence ont noté que les captures d'écran suggèrent un certain niveau d'accès, mais ont souligné qu'une destruction à l'échelle du pétaoctet est rare et difficile à exécuter sans être détectée.

SecurityAffairs, 13 avril ; bne IntelliMédias et actualités, 13 avril ; PressTV, 12 avril ; GlobalSecurity, 12 avril

L'attaque informatique contre Signature Healthcare entre dans son huitième jour ; le Rançongiciels Anubis revendique le vol de 2 To de données ; l'attaque n'est pas attribuée à des acteurs iraniens ; l'hôpital Signature Healthcare de Brockton a continué de fonctionner selon des procédures de maintenance préventive le 14 avril, marquant ainsi son huitième jour de perturbation. Le groupe de Rançongiciels Anubis a revendiqué l'attaque le 9 avril, affirmant avoir dérobé 2 téraoctets de données de patients. Anubis a ensuite retiré l'hôpital de sa liste de fuites. Un porte-parole a confirmé que l'hôpital prévoit au moins deux semaines d'indisponibilité supplémentaires. Le service d'ambulances reste dévié. Cette attaque n'a pas été attribuée à des acteurs iraniens, mais elle s'inscrit dans une tendance de ciblage du secteur de la santé durant le conflit.

GovInfoSecurity, 11 avril ; DataBreaches.net, 11 avril ; Comparitech, 9 avril ; HIPAA Journal, 10 avril

L'alliance Z-PENTEST revendique l'accès à un système de traitement industriel des eaux sud-coréen ; la menace du CGRI contre une entreprise technologique, lancée le 1er avril, est toujours d'actualité ; l'activité des hacktivistes s'intensifie. L'alliance Z-PENTEST a revendiqué l'accès à un système de traitement industriel des eaux sud-coréen le 6 avril, publiant une vidéo montrant le contrôle en temps réel de capteurs, de vannes et l'étalonnage du pH. Cette revendication n'est pas vérifiée, mais elle est techniquement détaillée. La désignation par le CGRI, le 1er avril, de 18 entreprises technologiques américaines comme cibles militaires légitimes, dont Apple, Microsoft, Google, Meta, Nvidia, Boeing et Palantir, n'a pas été annulée et reste en vigueur. L'activité des hacktivistes sur les chaînes Telegram est restée intense pendant tout le cessez-le-feu, avec des attaques DDoS, des défigurations de sites web et des fuites de données qui se poursuivent contre des cibles israéliennes, du Golfe et alignées sur l'OTAN. Le blocus naval devrait entraîner une nouvelle recrudescence de ces activités.

SOCRadar, 6-13 avril ; PressTV, 1er avril ; Déclaration du Corps des gardiens de la révolution islamique, 1er avril

La coupure d'internet en Iran entre dans son 46e jour ; plus de 1 080 heures consécutives sans connexion ; aucune disposition relative à la connectivité dans le cessez-le-feu ; La coupure d'internet est entrée dans son 46e jour consécutif le 14 avril, la connectivité restant à environ 1 % des niveaux d'avant-guerre. NetBlocks a confirmé que la connectivité internationale est interrompue depuis plus de 1 080 heures. Le cessez-le-feu ne comprend aucune disposition relative à la connectivité internet. Environ 90 millions de civils restent privés d'accès. Starlink demeure le principal moyen de contournement. Le blocus devrait isoler davantage la population civile iranienne.

ANI, 13 avril ; NetBlocks, 13 avril ; Wikipédia, 14 avril

Pour les clients souhaitant obtenir plus de détails, veuillez contacter votre responsable de la réussite client. Pour les non-clients, veuillez… atteindre ici.

Chronologie et contexte cybernétique du conflit entre les États-Unis, Israël et l'Iran

Les cyberopérations documentées dans ce rapport sont des réponses à trois escalades cinétiques majeures :

Date Événement cinétique Modèle de réponse cybernétique
Juin 13-25, 2025 Israël lance une attaque surprise contre des installations nucléaires et militaires iraniennes ; les États-Unis frappent trois sites nucléaires le 22 juin Forte augmentation immédiate des activités de hacktivisme, avec plus de 120 groupes actifs ; attaques DDoS, logiciels malveillants de type « wiper », vols financiers et défiguration de sites web.
Janvier 20 – 26, 2026 Escalade pré-conflit ; des opérations de numérisation et de collecte d’identifiants à grande échelle ont été signalées par les services de renseignement. Attaques contre des ports et des sous-stations électriques iraniens ; une variante de Shamoon 4.0 frappe les infrastructures saoudiennes
28 février 2026 L'opération conjointe américano-israélienne Epic Fury/Roar of the Lion cible les Gardiens de la révolution islamique, leurs sites de missiles et leurs dirigeants. La plus grande cyberattaque de l'histoire des conflits ; coupure quasi totale d'Internet en Iran ; opérations de représailles informatiques en cours et en pleine escalade

Attaques informatiques confirmées et signalées de manière crédible

Nous mettons à jour cette section pour n'inclure que les incidents les plus récents. Pour les clients souhaitant obtenir plus de détails sur des incidents antérieurs, veuillez contacter votre responsable de la réussite client. Pour les non-clients, veuillez… atteindre ici.

Handala revendique une cyberattaque destructrice contre trois organismes gouvernementaux de Dubaï ; 6 Po de données détruites ; 149 To exfiltrés (12 avril 2026)

  • Acteur menaçant : Handala Hack / Iran MOIS / Void Manticore
  • Cible: Département des tribunaux de Dubaï ; Département foncier de Dubaï ; Autorité des routes et des transports de Dubaï ; Infrastructure numérique du gouvernement des Émirats arabes unis
  • Type d'attaque : Attaque par effacement de données ; destruction de données ; exfiltration de données ; piratage et fuite de données ; opérations psychologiques

Le 12 avril, Handala a revendiqué une cyberattaque de grande ampleur contre trois organismes gouvernementaux de Dubaï : le Département des tribunaux de Dubaï, le Département foncier de Dubaï et l’Autorité des routes et des transports de Dubaï. Le groupe a affirmé avoir détruit 6 pétaoctets de données, les rendant irrécupérables. Handala a également déclaré avoir exfiltré 149 téraoctets de documents classifiés et sensibles de ces trois institutions.

Des captures d'écran partagées par le groupe semblaient montrer des interfaces de gestion du stockage avec des suppressions massives de volumes (plus de 310), des tableaux de bord d'administration incluant ce qui semblait être des plateformes de sécurité de messagerie, et des indicateurs d'accès au niveau système suggérant un contrôle privilégié. Le 13 avril, les analystes de Dark Web Intelligence ont estimé que ces captures d'écran indiquaient un certain niveau d'accès, mais ont souligné qu'une destruction à l'échelle du pétaoctet est rare et difficile à exécuter sans être détectée. Ces affirmations pourraient impliquer une compromission partielle, des environnements de test ou des systèmes isolés.

Handala a présenté l'attaque comme une riposte à ce qu'elle a qualifié de trahison des Émirats arabes unis envers « l'Axe de la Résistance », et a déclaré : « Nous restons prêts à frapper. » bne IntelliMédias et actualités a rapporté le 13 avril que cette attaque revendiquée survient à un moment délicat, alors que les négociations de cessez-le-feu s'effondrent et que les États du Golfe se trouvent dans une situation diplomatique difficile entre Washington et Téhéran. Le gouvernement des Émirats arabes unis n'a publié aucune déclaration publique confirmant ou infirmant ces allégations. Si elles sont confirmées, il s'agirait de l'une des cyberattaques les plus destructrices du conflit et d'une escalade significative des attaques de Handala, qui ciblent désormais des pays autres qu'Israël et les États-Unis.

Sources : SecurityAffairs (13 avril 2026) ; bne IntelliMédias et actualités (13 avril) ; PressTV (12 avril) ; GlobalSecurity (12 avril) ; Dark Web Intelligence (13 avril)

Échec des pourparlers de paix à Islamabad ; Trump annonce un blocus naval de tous les ports iraniens ; risque d’escalade cybernétique accru (12-14 avril 2026)

  • Acteur menaçant : S/O (contexte géopolitique/économique de la posture face aux cybermenaces)
  • Cible: Stabilité du cadre de cessez-le-feu ; marchés mondiaux de l’énergie ; infrastructures maritimes et numériques des États-Unis et de leurs alliés ; risque d’escalade des cybermenaces
  • Type d'attaque : Risque d'escalade hybride cinétique-cyber ; effondrement diplomatique ; perturbation économique ; opérations de blocus

Les pourparlers de paix d'Islamabad entre les États-Unis et l'Iran ont échoué les 12 et 13 avril, après 21 heures de négociations infructueuses. Le vice-président J.D. Vance dirigeait la délégation américaine, accompagnée des envoyés Steve Witkoff et Jared Kushner. La délégation iranienne comprenait le président du Parlement, Mohammad Bagher Ghalibaf, et le ministre des Affaires étrangères, Abbas Araghchi. Chaque camp a rejeté la responsabilité de l'échec sur l'autre. Le secrétaire général de l'ONU, António Guterres, a appelé les deux parties à poursuivre les négociations, affirmant qu'il n'existe pas de solution militaire.

Le 13 avril, le président Trump a annoncé que la marine américaine instaurerait un blocus naval de tous les ports iraniens à compter de 10h00, heure de l'Est des États-Unis. Le Commandement central américain (CENTCOM) a confirmé que ce blocus s'appliquait à tout le trafic maritime entrant et sortant des ports iraniens, y compris les navires de toutes les nations présents dans le golfe Persique et le golfe d'Oman. Le CENTCOM a précisé que la liberté de navigation des navires transitant par le détroit d'Ormuz vers les ports non iraniens ne serait pas entravée. Les Gardiens de la révolution iraniens ont qualifié le blocus d'acte de piraterie illégal et ont averti que si la sécurité des ports iraniens était menacée, aucun port du golfe Persique ou de la mer d'Arabie ne serait en sécurité. La Chine a critiqué le blocus, appelant à la stabilité dans le détroit.

L'amiral à la retraite James Stavridis a averti le 13 avril que l'Iran pourrait recourir à la cyberguerre, potentiellement avec l'aide de la Russie ou de la Chine, en représailles au blocus. De nombreux analystes ont qualifié ce blocus d'acte de guerre susceptible d'entraîner une escalade, malgré le cessez-le-feu théoriquement en vigueur jusqu'au 22 avril. Le prix du pétrole a dépassé les 100 dollars. Les organisations doivent considérer que le blocus constitue un facteur d'escalade majeur pour les cyberopérations iraniennes contre les infrastructures américaines, alliées et des pays du Golfe. Le maintien du rythme opérationnel soutenu de Handala et sa volonté affichée de reprendre les attaques contre les États-Unis soulignent ce risque.

Sources : NPR (13 avril 2026) ; CNN (13 avril) ; Al Jazeera (13 avril) ; Military Times (13 avril) ; Stars and Stripes (13 avril) ; CFR (13 avril) ; UN Médias et actualités (13 avril) ; Wikipédia (14 avril)

L'alliance Z-PENTEST revendique l'accès au système de contrôle industriel (ICS) de traitement des eaux industrielles sud-coréen ; la menace d'une entreprise technologique du Corps des gardiens de la révolution islamique (IRGC) demeure active ; l'activité des hacktivistes s'intensifie (6-14 avril 2026)

  • Acteur menaçant : Alliance Z-PENTEST (hacktivistes pro-iraniens) ; Corps des gardiens de la révolution islamique ; écosystème de hacktivistes pro-iraniens et pro-russes
  • Cible: Installation de traitement des eaux industrielles sud-coréenne (fabrication de semi-conducteurs/industrie pharmaceutique) ; 18 entreprises technologiques américaines citées ; infrastructures israéliennes, du Golfe et alignées sur l’OTAN
  • Type d'attaque : revendication d'accès ICS/OT ; désignation de menace ; attaque DDoS ; défiguration ; fuite de données ; opérations psychologiques

L'alliance Z-PENTEST, un groupe de hacktivistes pro-iranien, a affirmé avoir eu accès, le 6 avril, à un système de traitement d'eau ultrapure PureWater 100 fabriqué par MSTEC en Corée du Sud. Le groupe a publié une vidéo montrant le contrôle en temps réel des capteurs d'entrée/sortie, des vannes de vidange, du calibrage du pH et des électrovannes. Z-PENTEST a déclaré que l'installation était utilisée pour la fabrication de semi-conducteurs et la production pharmaceutique. Cette affirmation n'est pas vérifiée, mais elle est techniquement détaillée et cohérente avec le mode opératoire habituel du groupe, qui consiste à cibler les systèmes ICS/OT dans les pays alignés sur les États-Unis.

La menace proférée le 1er avril par le Corps des gardiens de la révolution islamique (CGRI) désignant 18 entreprises technologiques américaines comme cibles militaires légitimes n'a pas été levée. Parmi les entreprises visées figurent Apple, Microsoft, Google, Meta, Nvidia, IBM, Intel, Oracle, Cisco, HP, Dell, Palantir, JPMorgan, Tesla, GE, Boeing, Spire Solutions et G42, basée aux Émirats arabes unis. Le CGRI a ordonné aux employés de quitter leur lieu de travail et a conseillé aux riverains situés à moins d'un kilomètre des installations de ces entreprises d'évacuer. Le CGRI a accusé ces entreprises de faciliter directement les opérations de ciblage américano-israéliennes via l'intelligence artificielle et l'infrastructure cloud. Aucune attaque confirmée contre les entreprises visées n'a été publiquement signalée depuis cette désignation, mais la menace demeure active et n'a pas été retirée malgré le cessez-le-feu.

L'activité des hacktivistes sur les chaînes Telegram est restée soutenue pendant toute la période de cessez-le-feu. RuskiNet a poursuivi ses attaques DDoS contre des cibles israéliennes, notamment l'Institut géophysique et les infrastructures de recherche agricole. L'équipe 313 a revendiqué une paralysie d'Amazon Arabie saoudite pendant quatre heures le 1er avril, coïncidant avec l'ultimatum des Gardiens de la révolution. BD Anonymous, les Loups du Turan et d'autres membres de la coalition ont étendu leurs attaques aux portails gouvernementaux européens et sud-asiatiques. Le blocus naval annoncé le 13 avril devrait entraîner une nouvelle vague de mobilisation des hacktivistes, conformément à la tendance à l'escalade de la cyberactivité suite à tout événement militaire.

Sources : SOCRadar (6-13 avril 2026) ; Déclaration du Corps des gardiens de la révolution islamique (1er avril) ; PressTV (1er avril) ; Radware (mars 2026) ; Unité 42 (26 mars)

L'attaque informatique contre l'hôpital Signature Healthcare de Brockton entre dans son 8e jour ; le Rançongiciels Anubis revendique le vol de 2 To de données ; l'attaque n'est pas attribuée à des acteurs iraniens (14 avril 2026)

  • Acteur menaçant : Le groupe de Rançongiciels Anubis (opération de Rançongiciels en tant que service ; apparu pour la première fois fin 2024 ; non attribué à des acteurs étatiques iraniens)
  • Cible: Hôpital Signature Healthcare Brockton (Massachusetts) ; hôpital communautaire de 216 lits ; 15 sites de soins
  • Type d'attaque : Ransomware ; exfiltration de données ; perturbation du système de dossier médical électronique ; déviation des ambulances ; fermeture de pharmacie

L'hôpital Signature Healthcare de Brockton a continué de fonctionner selon des procédures de maintenance préventive le 14 avril, marquant ainsi le huitième jour de perturbation suite à la cyberattaque détectée le 6 avril. Le groupe de Rançongiciels Anubis a revendiqué l'attaque le 9 avril, affirmant avoir dérobé 2 téraoctets d'informations critiques et sensibles concernant les patients. Anubis a déclaré ne pas avoir crypté les systèmes de l'hôpital. Cependant, selon Trend Micro, le logiciel malveillant du groupe inclut un mode d'effacement optionnel qui supprime définitivement le contenu des fichiers.

Le 11 avril, Anubis a retiré Signature Healthcare de son site de fuites sur le dark web. GovInfoSecurity a rapporté le même jour qu'un porte-parole de Signature Healthcare avait refusé de commenter l'éventualité de négociations concernant une rançon. Un porte-parole d'Anubis a contacté SuspectFile au cours de la semaine pour faire pression sur l'hôpital afin d'obtenir un paiement. DataBreaches.net a rapporté qu'Anubis avait tenté de se présenter comme ayant pris soin de ne pas nuire aux patients, une affirmation contredite par les perturbations persistantes des soins.

Un porte-parole de Signature Healthcare a confirmé que l'hôpital prévoit de maintenir ses procédures de maintenance préventive pendant au moins deux semaines supplémentaires. Les déviations d'ambulances se poursuivent. Les nouvelles ordonnances ne peuvent être exécutées. De nombreux services ont repris, mais les systèmes de dossiers médicaux électroniques restent hors service. Les cliniciens continuent d'utiliser la documentation papier. L'hôpital collabore avec les autorités fédérales et des spécialistes externes en cybersécurité. Anubis a revendiqué la responsabilité de 27 attaques de Rançongiciels en 2026 à ce jour, dont trois ont été confirmées par les organisations ciblées. Cette attaque n'a pas été attribuée à des acteurs étatiques iraniens ni à des hacktivistes liés à l'Iran. Anubis est une entreprise de Rançongiciels à but lucratif. Toutefois, cette attaque est incluse dans ce rapport car elle s'inscrit dans une tendance de perturbation du secteur de la santé observée tout au long du conflit, et parce que le contexte opérationnel créé par la guerre a accru le ciblage des infrastructures critiques américaines par des acteurs malveillants, qu'ils soient étatiques ou criminels.

Sources : GovInfoSecurity (11 avril 2026) ; DataBreaches.net (11 avril) ; Comparitech (9 avril) ; HIPAA Journal (10 avril) ; Brockton Today (10 avril) ; TechTarget (7 avril)

La coupure d'Internet en Iran entre dans son 46e jour ; plus de 1 080 heures consécutives sans connexion ; le blocus devrait aggraver l'isolement de la population civile (14 avril 2026)

  • Acteur menaçant : Appareil de télécommunications du gouvernement/État iranien
  • Cible: population civile iranienne (plus de 90 millions)
  • Type d'attaque : Coupure quasi totale d'Internet ; connectivité réduite à 1 % des niveaux d'avant-guerre ; application de la liste blanche du Réseau national d'information

La coupure d'Internet a atteint son 46e jour consécutif le 14 avril, la connectivité se maintenant à environ 1 % des niveaux d'avant-guerre. NetBlocks a confirmé le 13 avril que la connectivité internationale était interrompue depuis plus de 1 056 heures. La coupure a désormais dépassé les 1 080 heures consécutives, prolongeant ainsi la plus longue coupure nationale jamais enregistrée. Seuls les responsables autorisés et les médias d'État conservent l'accès via un système de liste blanche contrôlé. L'intranet national reste opérationnel. Le cessez-le-feu ne prévoit aucune disposition concernant la connectivité Internet pour les 90 millions de civils qui restent privés d'accès.

Le blocus naval annoncé le 13 avril devrait isoler davantage la population civile iranienne en restreignant l'acheminement des biens et du carburant indispensables au fonctionnement des infrastructures encore limitées. War on the Rocks a rapporté le 11 avril que le cessez-le-feu ne concerne que les missiles, les installations nucléaires et les forces alliées régionales, sans aucune mention du rétablissement d'Internet. Starlink demeure le principal moyen de contournement, malgré son interdiction par la réglementation iranienne. Les applications de réseau maillé restent le principal moyen de communication alternatif à l'intérieur du pays.

La coupure d'internet continue de limiter les activités des groupes parrainés par l'État iranien opérant depuis l'intérieur du pays, sans pour autant entraver celles des opérateurs par procuration géographiquement dispersés, tels que Handala, qui opère depuis des infrastructures situées hors d'Iran. L'absence de connexion internet empêche également les civils d'accéder aux systèmes d'alerte antimissile. L'application et le site web Mahsa Alert, alimentés par la contribution citoyenne, demeurent une solution de contournement essentielle.

Sources : ANI (13 avril 2026) ; NetBlocks (13 avril) ; Wikipédia (14 avril) ; War on the Rocks (11 avril) ; Bloomberg (9 avril)

Résumés des principaux acteurs menaçants

Suivi des acteurs – 14er avril 2026
Acteur Affiliation TTP primaires Cibles clés Confirmation
Hack de Handala Iran MOIS / Manticore du Vide Intrusion de serveur ; attaques par effacement de données ; piratage et fuite de données ; abus d’Intune MDM ; compromission à long terme des appareils ; opérations psychologiques Tribunaux de Dubaï, Département foncier, RTA (6 Po détruits, 149 To exfiltrés) ; Stryker (récupération le 26e jour) ; directeur du FBI, Patel (piratage) ; ancien chef d’état-major de Tsahal, Halevi (19 000 fichiers) ; plus de 60 entreprises israéliennes ; les attaques américaines ont été suspendues pendant le cessez-le-feu. Check Point Research ; SecurityAffairs ; bne IntelliMédias et actualités ; AP ; DOJ ; FBI ; Jerusalem Post ; Times of Israel
CyberAv3ngers / Shahid Kaveh IRGC CEC Exploitation d'automates programmables ; manipulation SCADA/IHM ; perturbation des opérations OT ; déploiement SSH Dropbear Installations énergétiques, hydrauliques et gouvernementales américaines ; automates programmables Rockwell/Allen-Bradley ; plus de 3 000 dispositifs exposés CISA AA26-097A ; FBI ; NSA ; Nozomi Networks ; Check Point Research
MuddyWater / Ver des graines Iran MOIS Opération Olalampo ; CastleRAT ; Blockchain ChainShell C2 ; Botnet Tsundere ; Adoption du MaaS en Russie Réseaux américains ; cibles israéliennes ; secteurs de la défense et de l'aérospatiale JUMPSEC ; Broadcom ; Recorded Future ; The Hacker Médias et actualités
Écosystème hacktiviste pro-iranien (plus de 50 groupes) Mixte ; aligné sur l'Iran et pro-russe Attaques DDoS ; défiguration ; piratage et fuite de données ; vol d’identifiants ; opérations d’information ; revendications d’accès aux systèmes ICS/OT Infrastructures américaines ; défense israélienne ; États du Golfe (Émirats arabes unis : plus de 600 000 attaques) ; alliés de l’OTAN ; système de commandement des opérations sud-coréen Unité 42 ; CrowdStrike ; Flashpoint ; Radware ; DomainTools ; Conseil de cybersécurité des Émirats arabes unis ; SOCRadar
Anubis Cybercriminel (RaaS) Ransomware ; exfiltration de données ; mode d’effacement optionnel ; tactiques de pression via les médias Système de santé américain (Signature Healthcare) ; 27 attaques revendiquées en 2026 ; ciblage intersectoriel GovInfoSecurity ; Comparitech ; Trend Micro ; DataBreaches.net ; HIPAA Journal
Pay2Key / Pay2Key.I2P Iran MOIS / Renardeau Pseudo-Rançongiciels ; chiffrement destructeur ; RaaS avec 80 % de parts d’affilié Système de santé américain ; infrastructures critiques occidentales ; plus de 170 victimes depuis juillet 2025 Lecture obscure ; KELA ; Halcyon ; FBI/CISA/DoD

Avis gouvernementaux pertinents

Nouveaux avis publiés depuis le précédent rapport (13er avril) :

Avis gouvernementaux – Cybermenaces iraniennes
Date
Source
Résumé

le 13 avril 2026

NPR/CNN/Al Jazeera/CENTCOM

Les pourparlers de paix d'Islamabad ont échoué après 21 heures sans accord. Trump a annoncé un blocus naval de tous les ports iraniens à compter du 13 avril. Le CENTCOM a confirmé que le blocus s'appliquait à tout le trafic maritime. Les Gardiens de la révolution iraniens ont qualifié le blocus d'acte de piraterie et ont averti qu'aucun port du Golfe ne serait sûr. Le prix du pétrole a dépassé les 100 dollars.

le 13 avril 2026

Stars and Stripes / Military Times

L'amiral à la retraite Stavridis a averti que l'Iran pourrait recourir à la cyberguerre, potentiellement avec l'aide de la Russie ou de la Chine, pour riposter au blocus. De nombreux analystes ont qualifié le blocus d'acte de guerre. Ce blocus nécessitera d'importantes ressources navales et comporte de sérieux risques d'escalade.

le 13 avril 2026

Nouvelles de l'ONU

Le secrétaire général de l'ONU, António Guterres, a appelé les deux parties à poursuivre les pourparlers, affirmant qu'il n'existe pas de solution militaire. Malgré l'impasse, les discussions ont été qualifiées de pas important vers la reprise du dialogue.

Avril 12 – 13, 2026

Affaires de sécurité / bne IntelliMédias et actualités

Handala a revendiqué une cyberattaque destructrice contre les tribunaux de Dubaï, le département foncier de Dubaï et la RTA de Dubaï. Selon la société, 6 pétaoctets de données auraient été détruits et 149 téraoctets exfiltrés. Ces allégations restent non vérifiées. Dark Web Intelligence a noté que des captures d'écran suggèrent un certain accès, mais qu'une destruction à l'échelle du pétaoctet est rare.

le 13 avril 2026

ANI / NetBlocks

La coupure d'internet en Iran est entrée dans son 45e jour. NetBlocks a confirmé que la connectivité internationale est interrompue depuis plus de 1 056 heures. Des restrictions quasi totales persistent, avec une connectivité d'environ 1 %.

le 6 avril 2026

SOCRadar

L'alliance Z-PENTEST a affirmé avoir eu accès à un système de traitement des eaux industrielles sud-coréen et a publié une vidéo montrant le contrôle en temps réel du système. Cette affirmation, bien que non vérifiée, est techniquement détaillée. La désignation par les Gardiens de la révolution iraniens, le 1er avril, de 18 entreprises technologiques américaines comme cibles reste en vigueur.

le 11 avril 2026

GovInfoSecurity / DataBreaches.net

Le Rançongiciels Anubis a revendiqué le vol de 2 To de données chez Signature Healthcare. Anubis a retiré son nom du site de fuites. L'hôpital prévoit deux semaines d'indisponibilité supplémentaires. Un porte-parole d'Anubis a contacté les médias pour faire pression sur le paiement.

Pour les avis historiques, veuillez contacter votre responsable de la réussite client si vous êtes client, et atteindre ici si vous n'êtes pas client.

Évaluation et perspectives

Le conflit entre dans son 46e jour. Au 14 avril, l'évaluation suivante tient compte des développements des dernières 24 heures.

Menace à court terme (1 à 4 semaines) : CRITIQUE ET EN DÉTÉRIORATION

L'échec des pourparlers de paix d'Islamabad et l'annonce immédiate d'un blocus naval constituent l'escalade la plus significative depuis le début du cessez-le-feu le 8 avril. Ce blocus équivaut à une reprise de la guerre économique, et les analystes le qualifient largement d'acte de guerre. Les Gardiens de la révolution iraniens ont explicitement averti qu'aucun port du Golfe ne serait à l'abri si les ports iraniens étaient menacés. Ceci accroît directement la probabilité de cyberattaques iraniennes de représailles contre les infrastructures maritimes, énergétiques et financières des États-Unis, de leurs alliés et des pays du Golfe. L'avertissement de l'amiral à la retraite Stavridis, selon lequel l'Iran pourrait recourir à la cyberguerre avec l'aide de la Russie ou de la Chine, doit être considéré comme un scénario crédible, et non comme un risque théorique.

L'attaque informatique destructrice revendiquée par Handala contre trois organismes gouvernementaux de Dubaï, si elle est confirmée, marquerait une escalade majeure dans les actions du groupe, au-delà d'Israël et des États-Unis. La destruction présumée de 6 pétaoctets de données et l'exfiltration de 149 téraoctets des tribunaux, du département foncier et de l'autorité des routes et des transports de Dubaï constitueraient l'une des plus importantes cyberopérations destructrices du conflit. Bien que ces allégations restent non vérifiées et puissent être exagérées, le calendrier et le contexte correspondent au mode opératoire habituel de Handala, qui consiste à intensifier ses opérations en réponse aux développements géopolitiques. Les Émirats arabes unis doivent partir du principe que Handala cible activement leur gouvernement et leurs infrastructures critiques.

La cyberattaque contre Signature Healthcare, qui dure depuis huit jours et devrait entraîner une interruption de service d'au moins deux semaines supplémentaires, confirme que le groupe de Rançongiciels Anubis en est responsable. La revendication par Anubis de 2 téraoctets de données patient volées, la suppression de l'information de son site de fuite et ses démarches auprès des médias pour obtenir une rançon indiquent une tentative d'extorsion. Les établissements de santé doivent prendre cette situation au sérieux. La possibilité d'effacer complètement les données, offerte par Anubis, fait craindre une destruction totale des données en cas d'échec des négociations.

Objectifs prioritaires (mis à jour le 14 avril)

  • Secteurs maritime, énergétique et financier (CRITIQUE, ESCALADE) : Le blocus naval constitue une escalade directe. Prix du pétrole supérieur à 100 $. L’Iran a menacé de représailles contre les ports du Golfe. Les marchés financiers restent volatils. Préparez-vous à une rupture du cessez-le-feu et à une possible reprise des hostilités.
  • Infrastructures maritimes, énergétiques et portuaires américaines et alliées (SITUATION CRITIQUE, ACCÉLÉRÉE) : Le blocus naval constitue un facteur d’escalade immédiate. Les Gardiens de la révolution iraniens ont averti qu’aucun port du Golfe ne serait à l’abri. Stavridis a mis en garde contre une cyberguerre menée avec l’aide de la Russie ou de la Chine. Tous les opérateurs portuaires, les entreprises énergétiques et les prestataires de services logistiques maritimes doivent se considérer comme des cibles potentielles et adopter un niveau de défense maximal.
  • Infrastructures critiques américaines comportant des automates programmables et des dispositifs OT exposés à Internet (CRITIQUE, EN COURS) : L’avis de la CISA AA26-097A et l’analyse du CSIS confirment tous deux une exploitation active et un accès prépositionné. Plus de 3 000 dispositifs Rockwell restent exposés. Retirez immédiatement tous les automates programmables de l’accès direct à Internet.
  • Infrastructure numérique des pays du Golfe (CRITIQUE, GRAVITÉ ACCRUE) : L’attaque revendiquée par Handala contre trois organismes gouvernementaux de Dubaï constitue une escalade directe et identifiée. Conjuguée au triplement des attaques, qui atteignent désormais 600 000 aux Émirats arabes unis, déjà signalé, les organisations du Golfe doivent adopter le niveau de menace maximal et vérifier leurs défenses contre les logiciels malveillants de type « wiper ».
  • Organisations de santé américaines (CRITIQUE, ALERTE ÉLEVÉE) : Attaque Signature Healthcare confirmée comme étant une attaque de Rançongiciels Anubis, avec un vol de données revendiqué de 2 To. Anubis propose un service de Rançongiciels avec option d’effacement des données. Les organisations de santé doivent auditer leurs systèmes de dossiers médicaux électroniques, valider leurs procédures de sauvegarde et mettre en place des protocoles de continuité d’activité.
  • Services de défense et de renseignement israéliens (CRITIQUE, EN COURS) : La fuite de données téléphoniques d’Halevi continue d’exposer des informations classifiées concernant du personnel, des installations et des canaux diplomatiques. Les organisations israéliennes doivent s’attendre à un accès permanent à Handala et procéder à des audits complets des appareils.

Chez Flare, nous continuerons de suivre ce conflit et de mettre à jour cet article au fur et à mesure que nous obtiendrons plus d'informations. 

Renseignement sur les cybermenaces

Surveillez l'émergence des cybermenaces étatiques.

Le conflit israélo-iranien a engendré une vague de cyberattaques impliquant des groupes de hacktivistes, des APT étatiques et des groupes de Rançongiciels. Flare surveille en permanence le dark web, les canaux Telegram illicites et l'infrastructure des acteurs malveillants afin que votre équipe puisse détecter et contrer les menaces émergentes avant qu'elles n'atteignent votre organisation.

Surveillance continue du dark web et des chaînes Telegram
Suivi et alerte en temps réel des acteurs malveillants
Essayez gratuitement

Partager l'article

Publications connexes

Tout voir
04.14.2026

La chaîne de destruction d'identité : une histoire complète de la sécurité de l'identité, des mots de passe aux agents d'IA

04.09.2026

État du Dark Web en 2026 : Écosystème de cybercriminalité russophone, menace persistante des logiciels malveillants voleurs d’informations et de Telegram

04.07.2026

Points communs entre les victimes de vol d'informations : 2 schémas comportementaux qui devraient repenser la formation en cybersécurité