Surveillance des cyberattaques directement liées au conflit militaire américano-israélo-iranien

Ce rapport de Flare couvre les cyberopérations confirmées et rapportées de manière crédible au cours des dernières 24 heures, du 7 au 8 juillet 2026, liées au conflit israélo-iranien. Entre ces rapports, un mémorandum d'entente a été signé le 14 juin, puis le 17 juin par les deux présidents, visant à mettre fin aux hostilités dans un délai de 60 jours. Ce mémorandum a été suivi d'un cessez-le-feu intérimaire fragile et maintes fois violé.

L'événement marquant de cette période est d'ordre militaire, et non cybernétique. Le 7 juillet, les forces iraniennes ont attaqué trois navires commerciaux traversant le détroit d'Ormuz, au large des côtes omanaises, dont un méthanier qatari et un pétrolier battant pavillon saoudien. Le Commandement central américain a riposté par une série de frappes contre plus de 80 cibles iraniennes, notamment des systèmes de défense aérienne, des sites radar, des missiles antinavires et plus de 60 vedettes des Gardiens de la révolution. Le Trésor américain a révoqué l'exemption autorisant les ventes de pétrole iranien. Le président Trump a déclaré que le cessez-le-feu était rompu. Ces frappes ont coïncidé avec les funérailles nationales de plusieurs jours du Guide suprême Ali Khamenei, durant lesquelles les personnes présentes ont publiquement appelé à des représailles contre les dirigeants américains et israéliens. Le Centre britannique des opérations de commerce maritime a relevé le niveau de menace dans le détroit d'Ormuz à « grave ».

Aucune nouvelle cyberopération attribuée n'a été recensée au cours des dernières 24 heures. Le tableau des cybermenaces reste régi par les seuils de détection établis en avril et maintenus tout au long des rapports : attribution unifiée MOIS de DomainTools (20 avril), avis CISA AA26-097A PLC (7 avril), technique de contrefaçon FactoryTalk sur VPS de l'unité 42 CL-STA-1128 (17 avril), tactiques, techniques et procédures (TTP) de Check Point Void Manticore (2 avril) et logiciel malveillant C2 Telegram FLASH-20260320-001 du FBI. Le changement opérationnel majeur réside dans la rupture du cessez-le-feu intérimaire et la reprise des échanges de tirs, ce qui relance le processus de représailles. Les cyberopérations iraniennes tout au long du conflit ont systématiquement été synchronisées avec des événements armés. Maintenez le niveau de détection maximal. La reprise des frappes et la rhétorique de vengeance publique entourant les funérailles de Khamenei sont considérées comme un facteur susceptible de déclencher une nouvelle vague d'activisme informatique et des opérations d'information menées par le MOIS contre des cibles américaines et du Golfe. Cette fenêtre d'opportunité est une fenêtre d'alerte précoce, et non une fenêtre d'action postérieure à l'incident.

Nous continuerons à mettre à jour cette chronologie avec les informations les plus récentes au fur et à mesure de l'évolution de la situation.

Pour les clients souhaitant obtenir plus de détails, veuillez contacter votre responsable de la réussite client. Pour les non-clients, veuillez… atteindre ici.

Chronologie et contexte cybernétique du conflit entre les États-Unis, Israël et l'Iran

Les cyberopérations documentées dans ce rapport sont des réponses à trois escalades cinétiques majeures :

Attaques informatiques confirmées et signalées de manière crédible

Remarque : Cette mise à jour couvre la période de 24 heures allant du 7 au 8 juillet 2026. Les événements survenus entre le 28 février et le 4 mai 2026 sont suivis dans les versions précédentes. Aucune nouvelle cyberopération attribuée n’a été publiquement signalée durant cette période. Les informations ci-dessous indiquent les lignes de base d’ancrage toujours en vigueur et le facteur déclencheur qui détermine les perspectives à court terme.

Aucune nouvelle cyberopération attribuée dans la fenêtre de tir ; une réescalade cinétique est l’événement déterminant (7-8 juillet 2026)

• Acteur menaçant : Sans objet ; aucune cyberopération attribuée dans la fenêtre temporelle. L’événement déclencheur est d’ordre cinétique (frappes maritimes des Gardiens de la révolution iraniens ; frappes de représailles du Commandement central américain).
• Cible: Navigation commerciale dans le détroit d'Ormuz (méthanier qatari, pétrolier saoudien, troisième pétrolier au large d'Oman) ; systèmes de défense aérienne, radars, missiles antinavires et embarcations légères des Gardiens de la révolution iraniens
• Type d'attaque : Cinétique. Attaques iraniennes par projectiles et drones contre des navires en transit ; frappes de précision américaines sur plus de 80 cibles iraniennes. Aucun vecteur cybernétique attribué dans la fenêtre

Le 7 juillet, trois navires commerciaux ont été touchés alors qu'ils traversaient le détroit d'Ormuz, au large des côtes d'Oman. La télévision d'État iranienne a indiqué qu'au moins un navire avait été attaqué après avoir ignoré des avertissements, bien que Téhéran n'ait pas revendiqué directement les frappes. Le Qatar et l'Arabie saoudite ont condamné les attaques contre leurs pétroliers battant pavillon iranien. Le Commandement central américain a déclaré avoir lancé une série de frappes contre l'Iran, touchant plus de 80 cibles avec des munitions de précision, notamment des systèmes de défense aérienne, des réseaux de commandement et de contrôle, des radars côtiers, des missiles antinavires et plus de 60 vedettes des Gardiens de la révolution iraniens. Le président Trump, présent au sommet de l'OTAN à Ankara, a approuvé le plan de frappe et déclaré que le cessez-le-feu était rompu. Le Trésor américain a révoqué la licence générale autorisant les ventes de pétrole et de produits pétrochimiques iraniens.

Aucune cyberopération n'a été recensée au cours des dernières 24 heures. Ce constat est cohérent avec le déroulement habituel du conflit, où l'activité cybernétique suit l'escalade militaire de quelques heures à quelques jours, plutôt que de la précéder. L'absence d'opération recensée durant cette période doit être interprétée comme un signal d'alerte précoce, et non comme un signe de fin de crise. Les funérailles nationales de Khamenei, qui se sont déroulées simultanément, ont été marquées par des appels publics à des représailles contre les dirigeants américains et israéliens, ce qui accroît la probabilité d'opérations d'information menées par le MOIS et d'une recrudescence des activités de hacktivistes à court terme.

Leçons à retenir pour les défenseurs : considérez la reprise des frappes comme le déclencheur. Passez d’un niveau de détection et de réponse stable à un niveau élevé. Préparez-vous à vérifier et à répondre aux allégations de violation et de fuite, qui apparaissent généralement quelques heures après une escalade cinétique et sont souvent exagérées à des fins psychologiques. N’attendez pas qu’une opération soit attribuée pour renforcer votre vigilance.

Sources : CENTCOM (7 juillet 2026) ; CBS Médias et actualités (7 juillet) ; NPR (7 juillet) ; CNBC (7 juillet) ; Fox Médias et actualités (7 juillet) ; Al Jazeera (7 juillet) ; Bloomberg (7 juillet)

Les référentiels de détection CISA AA26-097A et Unit 42 CL-STA-1128 restent inchangés ; aucun nouvel avis fédéral de cybersécurité n’est prévu dans la période du 7 au 8 juillet 2026.

• Acteur menaçant : IRGC CEC / CyberAv3ngers / CL-STA-1128 / Storm-0784 / Hydro Kitten / Bauxite
• Cible: Systèmes d'approvisionnement en eau et d'assainissement aux États-Unis ; secteur de l'énergie ; services gouvernementaux ; opérateurs de Rockwell/Allen-Bradley PLC ; plus de 3 000 appareils Rockwell accessibles sur Internet
• Type d'attaque : Exploitation d'automates programmables ; manipulation de fichiers de projet ; manipulation d'affichages IHM/SCADA ; effacement de la configuration ; maîtrise de FactoryTalk sur VPS

L'avis conjoint AA26-097A du 7 avril concernant l'exploitation par des acteurs iraniens d'automates programmables Rockwell/Allen-Bradley accessibles via Internet dans les secteurs de l'eau, des eaux usées, de l'énergie et des services gouvernementaux américains demeure la principale directive fédérale en matière de technologies opérationnelles. Aucun nouvel avis fédéral de cybersécurité n'a été publié au cours des dernières 24 heures. L'évaluation du 17 avril de l'Unité 42, selon laquelle l'acteur a installé le logiciel Rockwell FactoryTalk sur une infrastructure VPS pour permettre l'exploitation, reste la principale piste exploratoire. Le nombre d'appareils Rockwell exposés sur Internet, supérieur à 3 000 selon l'analyse de la CISA, n'a pas diminué de manière significative.

La reprise des hostilités renforce l'importance de cette situation de référence. Historiquement, les acteurs iraniens spécialisés dans les opérations terroristes ont privilégié les infrastructures d'eau, d'énergie et de services publics en raison de leur valeur asymétrique et symbolique en période de conflit actif. Maintenez la sensibilité maximale des détections PLC.

Recommandations pour les équipes de sécurité : protégez les automates programmables et les dispositifs OT de Rockwell Automation et Allen-Bradley de toute exposition directe à Internet. Surveillez les ports 44818, 2222, 102, 22 et 502. Recherchez les connexions client FactoryTalk anormales provenant de VPS ou de plages d'adresses IP de cloud commercial. Signalez les sessions Studio 5000 Logix Designer provenant de réseaux autres que les postes de travail d'ingénierie. Vérifiez l'intégrité des fichiers de projet et de la logique du contrôleur. Signalez toute compromission suspectée à la CISA et à l'équipe PSIRT de Rockwell.

Sources : CISA AA26-097A (7 avril 2026) ; Unité 42 CL-STA-1128 (17 avril) ; Avis conjoint de l’EPA (7 avril) ; CSIS (12 mai)

Pour les clients souhaitant obtenir plus de détails, veuillez contacter votre responsable de la réussite client. Pour les non-clients, veuillez… atteindre ici.

Résumés des principaux acteurs menaçants

Avis gouvernementaux pertinents

Aucun nouvel avis fédéral de cybersécurité n'a été publié au cours des sept derniers jours. Les directives ci-dessous restent en vigueur :

Pour les avis historiques, veuillez contacter votre responsable de la réussite client si vous êtes client, et atteindre ici si vous n'êtes pas client.

Évaluation et perspectives

Le conflit entre dans son 66e jour. L'évaluation suivante tient compte de l'évolution de la situation cybernétique au cours des sept derniers jours.

Menace cybernétique à court terme (1 à 4 semaines) : CRITIQUE ET ÉLEVÉE

Au cours des sept jours précédents, une seule cyberopération a été attribuée à cette affaire : la campagne de menaces via WhatsApp « Handala » contre des militaires américains basés à la base navale de Bahreïn, les 27 et 28 avril, accompagnée d’une publication sur une chaîne Telegram révélant les noms et numéros de téléphone de 2 379 Marines américains stationnés dans le Golfe persique. Des messages identiques, à connotation persane, ont été envoyés à des civils en Israël le même jour. Le véritable signal est le passage de cibles institutionnelles à l’intimidation directe de militaires américains et de leurs familles.

Le tableau des cybermenaces reste régi par les seuils de détection établis début avril : attribution unifiée MOIS de DomainTools, CISA AA26-097A, Unit 42 CL-STA-1128, Check Point Void Manticore et FBI FLASH-20260320-001. Le rythme des attaques DDoS menées par des hacktivistes se maintient au niveau observé après le 18 avril. La coupure d'Internet en Iran au 66e jour confirme le basculement opérationnel des VSAT pour les infrastructures étatiques. La campagne de Bahreïn corrobore la thèse d'Halcyon selon laquelle les périodes d'accalmie précédentes reflétaient une exécution clandestine plutôt qu'une inactivité. La probabilité de représailles iraniennes contre les infrastructures critiques américaines, les organisations figurant sur la liste des 18 cibles du Corps des gardiens de la révolution islamique (CGRI), les secteurs israélien de la défense et des télécommunications, les portails des gouvernements du Golfe et les fournisseurs proches du MSC demeure élevée. La campagne de Bahreïn accroît également la probabilité que les opérations d'information ciblant le personnel s'étendent des effectifs de l'US Navy et du Corps des Marines aux autres branches des forces armées et aux employés des entreprises de défense occupant des postes classifiés ou liés aux infrastructures critiques.

Cibles cyber prioritaires (mise à jour pour Windows)

• Réseaux de transport maritime et de logistique maritime adjacents au détroit d'Ormuz (CRITIQUE, NOUVEAU À VENIR) : Les grèves maritimes font des opérateurs de transport maritime, des autorités portuaires, des registres des États du pavillon et des fournisseurs de services logistiques maritimes une cible probable à court terme pour des opérations de perturbation et d'information.
• Infrastructures critiques américaines avec automates programmables Rockwell et dispositifs OT connectés à Internet (CRITIQUE, SOUTENUE) : La norme CISA AA26-097A reste en vigueur. La méthode de détection FactoryTalk-on-VPS de l'unité 42 CL-STA-1128 demeure active. Plus de 3 000 équipements Rockwell restent vulnérables.
• Personnel militaire américain et personnes à charge dans la zone de responsabilité du CENTCOM (CRITIQUE, SOUTENUE) : La campagne menée précédemment au Bahreïn a instauré une stratégie d'intimidation par le biais d'appareils personnels. La rupture du cessez-le-feu accroît la probabilité de nouvelles opérations d'information ciblant des individus.
• Infrastructure numérique des États du Golfe (CRITIQUE, DURABLE) : Le Qatar et l'Arabie saoudite ont été directement touchés par les frappes maritimes. Les portails gouvernementaux du Golfe, les opérateurs énergétiques et les aéroports restent vulnérables aux attaques DDoS et au défaçage de sites web.
• Défense, télécommunications et gouvernement israéliens (CRITIQUE, SOUTENU) : Opération MOIS unifiée ciblant le poids subi contre ce niveau.
• Infrastructures critiques et services financiers américains (CRITIQUES, SOUTENUS) : L'Iran a déjà désigné les institutions financières américaines et les grandes entreprises technologiques comme cibles légitimes. Probabilité accrue en cas de reprise des hostilités.

Chez Flare, nous continuerons de suivre ce conflit et de mettre à jour cet article au fur et à mesure que nous obtiendrons plus d'informations.