Cybercriminalité : le ministère de l’Intérieur dope ses stats
CaaS social network
Le second rapport annuel du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI) évoque une « industrialisation » du Cybercrime-as-a-Service (CaaS), augmenté par l’IA. S’il note néanmoins une baisse de 13 % du nombre d’attaques par rançongiciels, il gonfle aussi les chiffres du nombre d’atteintes numériques enregistrées.
Article mis à jour le 9 juillet à 15h30 : l’intégration des plaintes enregistrées par la plateforme Thésée, lancée en 2022, explique pourquoi les chiffres ont été réajustés cette année.
« Pour la deuxième année consécutive, le ministère de l’Intérieur publie son rapport sur la cybercriminalité », avance le ministère dans un communiqué. Rédigé par le Centre d’analyse et de regroupement des Cybermenaces (CECyber) du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI), créé en décembre 2023, il « présente les chiffres clés de l’année 2024, les tendances majeures et les évolutions » :
« Ainsi, en 2024, 348 000 atteintes numériques ont été enregistrées, soit une augmentation de + 74 % enregistrée en 5 ans : 65 % des attaques visent les biens, 29,7 % les personnes, 4,9 % les institutions et l’ordre public. Enfin, 0,4 % des atteintes sont spécifiques aux législations et réglementations numériques. »
Le ministère avance que les données présentées dans ce rapport proviennent du Service statistique ministériel de la sécurité Intérieure (SSMSI), complétées par d’autres sources institutionnelles : la section J3 du parquet de Paris (.pdf), l’Office Anti-Cybercriminalité (OFAC) de la Police nationale, l’Unité Nationale Cyber de la Gendarmerie nationale (UNCyber).
À ceci près qu’une comparaison du rapport 2025 (.pdf) avec le premier rapport de l’an passé montre que les chiffres bruts, ainsi que les pourcentages, ont été gonflés, sans que le CECyber n’explicite clairement ce qui lui a permis de les réajuster de la sorte.
Son rapport avance en effet que 60 000 personnes ont été « mises en cause pour des atteintes numériques » en 2024, contre 47 000 en 2023, soit + 28 %. Le nombre d’atteintes numériques enregistrées serait quant à lui passé de 278 770 à 348 000, soit + 25 %.
Le CECyber ne mentionne pas ces pourcentages, préférant mettre en avant le fait que l’évolution du nombre d’atteintes numériques serait ainsi passé de «+ 40% » à « + 74% en cinq ans ». Un astérisque précise cela dit que le chiffre 2024 « intègre les 50 800 dépôts de plainte de la plateforme Thésée » de signalements des escroqueries sur Internet, ce qui n’était pas le cas l’an passé, mais qui contribue donc à faire exploser ces « chiffres clés ».
Or, en retirant ces 50 800 dépôts de plainte de Thésée, le chiffre 2024 n’est plus que de 297 200, soit 7 % de plus que l’an passé, et 50 % de plus qu’il y a 5 ans. Il n’y a donc a priori pas lieu de comparer « + 40% d’atteintes numériques en 5 ans » l’an passé à « + 74% » cette année, ce dernier indicateur étant, sinon artificiellement gonflé, tout du moins réajusté, par la prise en compte des dépôts de plaintes sur Thésée.
Les nombres de signalements effectués auprès de plateformes Thésée, Pharos et Perceval montrent de leur côté une évolution de, respectivement,+ 3,+ 5 et - 11 %, très loin de l’explosion de « + 40 » à « + 74% en cinq ans » du nombre d’« atteintes numériques enregistrées ».
La courbe du nombre d’ « infractions constatées » a, elle aussi, été modifiée. Alors qu’elle montrait, l’an passé, que le chiffre frôlait la barre de 280 000, comme ce fut déjà le cas en 2021, après un repli à 255 320 en 2022, la courbe du rapport 2024 ne montre plus ce repli de 2022, mais une évolution continue.
Si le nombre d’ « infractions constatées » de 2019 à 2021 ne semble pas avoir été modifié, les chiffres postérieurs ont, eux, été revus et corrigés à la hausse dans le rapport 2024, mais sans que l’on comprenne pourquoi certains auraient été réajustés, et d’autres pas.
En 2023, le rapport dénombrait en effet 255 320 « infractions constatées » en 2022, mais son rapport 2024 en dénombre désormais plus de 300 000 (soit + 17 %). Et les 278 770 « infractions constatées » de 2023 frôlent désormais les 350 000 (soit + 26 %).
L’axe des ordonnées a, lui aussi, été revu et corrigé : alors qu’il s’étalait de 160 000 à 300 000 l’an passé, il s’étend désormais de 0 à 400 000, montrant une progression moindre, et loin de l’explosion suggérée par les chiffres (en brut, et en pourcentage) mis en avant (en gras, et en rouge) dans l’infographie.
En outre, si on compare les 233 440 « infractions liées au cyber » constatées en 2020 avec les 348 000 « infractions constatées » en 2024, la progression n’est pas de «+ 74% en cinq ans » (pourcentage qui correspond en fait à l’évolution depuis 2019, et donc en six ans), mais de + 49 %, soit 9 (et non 34) points de plus que le «+ 40% en cinq ans » avancé l’an passé.
Contacté la semaine passée via l’adresse e-mail associée au rapport, ainsi que via celle de la Section Communication Rayonnement et Multimédias (SCRM) du COMCYBER-MI, ce dernier n’a pas répondu à nos questions, malgré plusieurs relances.
En OFF, un responsable du COMCYBER-MI nous a depuis expliqué que la plateforme Thésée avait été lancée en mars 2022, ce pourquoi seuls les chiffres postérieurs ont été mis à jour cette année, après avoir été consolidés.
En outre, c’est le rapport de l’an passé qui était erroné, en avançant « + 40 % d’atteintes numériques en cinq ans », alors que s’il comparait bien cinq chiffres, de 2019 à 2023, ces derniers ne permettaient de documenter l’évolution que sur quatre ans.
Ce qui n’explique pas, cela dit, pourquoi ce changement de méthodologie n’a pas été explicité dans le rapport.
235 revendications de vols de données
Le rapport avance par ailleurs que « 2024 est l’année de la prise de conscience par le plus grand nombre du danger que représentent les fuites de données », du fait de la médiatisation de plusieurs cas de vente de données personnelles de millions de Français survenus au cours de l’année écoulée.
Les cyberdélinquants ne sont pas en reste, « à tel point que certains n’hésitent pas à tenter de vendre des bases de données soit recyclées (déjà diffusées), soit créées par IA ou encore provenant de sources accessibles publiquement ».
En 2024, le COMCYBER-MI a ainsi relevé « 235 revendications en lien avec un vol de données concernant des victimes françaises ». Le rapport ne précise pas, cela dit, combien concerneraient des entreprises, administrations ou organismes français. À titre de comparaison, 5 629 violations de données personnelles ont été notifiées à la CNIL en 2024, en hausse de 20 % sur un an.
Le rapport avance que 59 % de ces revendications relevaient de motivations financières, et 41 % de visées hacktivistes. 30 % concernaient le secteur public et les administrations, 20 % les services professionnels et de conseil, 17 % le commerce, 10 % les médias et entreprises de télécommunications, 6 % l’industrie, 4 % l’éducation, 3 % la santé, 2 % la finance.
Autre tendance majeure, les IA, notamment génératives, et les « technologies à base de grands modèles (LLM : large modèle de langage, LVM : large modèle de vision, LAM : large modèle d’action) » qui « peuvent tout à la fois être exploitées pour créer des logiciels malveillants comme pour mieux détecter les cybermenaces ».
Le rapport souligne que l’IA intervient également dans les attaques de type DDoS, « décuplant leurs effets néfastes » en leur offrant notamment des modalités de « gestion d’attaques multivectorielles, s’adaptant aux cibles en temps réel en fonction des circonstances ».
707 revendications d’attaques hacktivistes contre la France ont par ailleurs été recensées en 2024, dont plusieurs sous « faux drapeaux », ou coordonnées par des coalitions de groupes qui avaient jusqu’alors l’habitude d’agir seules. Elles privilégient les attaques par déni de service distribué (DDoS) et défigurations de sites internet, mais le rapport évoque également « une multiplication des revendications d’atteintes envers des SCADA (systèmes industriels) ».
- 13 % d’attaques par rançongiciels
Entre 2023 et 2024, le nombre d’atteintes aux systèmes d’information recensées est passé de 17 700 à 17 100, soit une baisse de - 3,4 %. Dans le lot, « la menace liée aux rançongiciels demeure prédominante, bien que le nombre de plaintes déposées pour ce type d’attaque ait baissé de 13 % en 2024 » par rapport à 2023, qui notait a contrario une progression de « + 28% ». Le rapport souligne qu’en Europe, près de la moitié des cyberattaques par rançongiciel concernerait une TPE-PME, « dont l’activité peine à se maintenir ensuite, au risque de faire faillite ».
Autre évolution : le chiffrement des données est « devenu de moins en moins systématique », afin de « gagner en efficience et prévenir la détection par les dispositifs de sécurité ». Les attaquants ont dès lors tendance à privilégier le vol et la menace de diffusion des données dans le but de contraindre les victimes à payer la rançon.
Pour autant, « la technique la plus répandue parmi les groupes actifs de rançongiciels est la double extorsion, devant la triple extorsion, plus récente ». Cette méthode consiste à ajouter, au chiffrement des données et à la menace de parution en ligne, l’interruption de l’activité et du réseau au moyen d’une attaque par déni de service distribué (DDoS). Sachant que la demande de rançon transmise à la victime « est toujours accompagnée de menaces de vente ou de divulgation d’informations » :
« Un nouveau mode opératoire constaté en 2024 est la mise en place de deux comptes à rebours affichés sur la page darkweb du groupe cybercriminel. Par exemple, un compte à rebours avec menace de vente des données dans les trois prochains jours et un autre avec menace de diffusion gratuite des données dans les sept prochains jours. »
Le rapport évoque notamment le groupe FunkSec, apparu fin 2024, qui revendiqua 85 attaques au niveau mondial en décembre, « soit plus que tout autre groupe sur la même période ». Il serait composé d’autodidactes, « sans relations connues avec d’autres acteurs », ayant utilisé l’intelligence artificielle afin de développer leur rançongiciel et concevoir leurs courriels d’hameçonnage.
Une industrialisation du Cybercrime-as-a-Service (CaaS), augmenté par l’IA
L’année 2024 se serait également illustrée par une « industrialisation de la cybercriminalité », qualifiée de « tournant significatif en matière d’appropriation des outils techniques et de répartition des tâches au sein des écosystèmes de la cybercriminalité » et « dans les interactions entre cybercriminels ».
Si le phénomène n’a rien de nouveau, en tout cas au niveau international, « l’évolution de cet écosystème a conduit, sur le même principe qu’un marché économique légal, à une répartition, une automatisation et une rationalisation des tâches entre les acteurs de la cybercriminalité ».
Cette chaîne d’approvisionnement de la cybercriminalité repose dès lors sur de nombreux sous-traitants allant des canaux de discussion et places de marché leur permettant de communiquer et de vendre leurs services aux spécialistes du développement ou de la revente d’outils malveillants, vendeurs d’accès initiaux ou de bases de données, hébergeurs d’infrastructures « bulletproof hosting » ou anonymisées, botnets ou réseaux zombies, opérateurs de blanchiment, « qui utilisent à la fois les systèmes traditionnels de la criminalité organisée et les crypto-actifs », etc.
Le rapport propose un focus sur les « courtiers en accès initiaux », qui se spécialisent dans la découverte de vulnérabilités permettant d’avoir un premier accès dans le réseau informatique de la victime et la revente à d’autres groupes réalisant les cyberattaques (exfiltration de données, rançongiciels, etc.) :
« Le plus souvent, ces « courtiers » obtiennent l’accès aux réseaux des victimes par la détection de vulnérabilités informatiques, le vol d’identifiants via des infostealers ou des campagnes d’hameçonnage ciblées. Dans la plupart des ventes observées, les accès proposés prennent la forme d’accès distants « RDP », « VPN » ou d’accès à une solution de cybersécurité de la cible, notamment son pare-feu. Ces accès peuvent être vendus pour des montants pouvant osciller entre quelques centaines d’euros et plusieurs dizaines de milliers d’euros, selon le type de vulnérabilité ou le profil de la cible. »
« Attirés par la perspective de gains financiers rapides, de plus en plus d’acteurs, notamment mineurs et jeunes adultes, se tournent vers ce type de prestation clé en main », note le CECyber. Au point que cette cybercriminalité en tant que service (Cybercrime-as-a-Service ou CaaS) qui « devrait logiquement perdurer dans les prochaines années », se décline aussi désormais en Phishing-as-a-Service (PaaS), Malware-as-a-Service (MaaS), DDoS-as-a-Service (DaaS), Deepfake-as-a-Service (DFaaS) et autres Ransomware-as-a-Service (RaaS).
L’hameçonnage (phishing) et ses déclinaisons par SMS (smishing) et appel vocal (vishing), sont de leur côté « augmentés » par l’IA afin de rendre la détection plus difficile, améliorer le taux de réussite des campagnes à grande échelle, et générer des courriels personnalisés et crédibles imitant diverses institutions « avec adaptation intelligente selon les réponses des victimes ».
Le recours aux grands modèles de langage (LLM) permet en outre d’ « optimiser les activités des cybercriminels, transformant des novices en véritables acteurs malveillants et permettant aux experts de démultiplier leur champ d’action ».
Le rapport évoque notamment la génération automatique de scripts malveillants pour cibler des vulnérabilités connues ou émergentes, l’analyse de bases de code volumineuses pour repérer des failles plus rapidement qu’un humain, ou encore l’aide à la modification de code malveillant existant pour le rendre compatible avec de nouvelles cibles.
Des programmes autonomes (agents) basés sur des LLM et conçus pour interagir avec des logiciels tiers, exécuter des commandes et exploiter des vulnérabilités documentées pour mener des actions malveillantes, « parviennent déjà à exécuter des cyber attaques complexes avec un taux de succès élevé ».
Les infostealers, une des menaces les plus critiques de l’année 2024
Au-delà de ces attaques « augmentées » par l’IA, les attaques de type « phishing » sont également confrontées à une « massification » des usurpations d’identité numérique (spoofing) téléphoniques reposant sur l’ingénierie sociale (ou « social engineering ») et qui servent « principalement à la commission de trois faits » : l’usurpation de numéros d’entreprises pour commettre des fraudes au président, les faux appels visant à déclencher les services d’urgence (swatting) et les fraudes au faux conseiller bancaire.
Pour réaliser leurs attaques avec des numéros de téléphone usurpés, les cybercriminels « exploitent des outils légitimes conçus pour gérer les réseaux téléphoniques d’entreprises dont ils détournent les usages ». Le rapport évoque même la mise en œuvre d’une « véritable économie autour de l’usurpation de numéros avec une organisation quasi-professionnelle bénéficiant d’une image de marque » :
« Ils proposent des services automatisés et personnalisables, avec des interfaces simplifiées pour choisir le numéro à usurper. Ils appliquent également une tarification structurée, incluant des abonnements et des crédits, facilitant ainsi l’accès à ces outils même pour des utilisateurs peu expérimentés. »
Commercialisés en tant que Malware-as-a-Service (MaaS), les logiciels de vol d’informations (infostealers), conçus pour extraire les données sensibles sur les appareils infectés (mots de passe, identifiants bancaires, cookies, portefeuille de crypto-actifs, recherches enregistrées dans l’historique du navigateur, etc.), sont désormais « accessibles à des individus disposant de faibles compétences techniques ». Au point que le phénomène « est en forte augmentation depuis plusieurs années et constitue l’une des menaces les plus critiques de l’année 2024 ».
« La majeure partie des transactions en crypto-actifs est légale »
« Si la majeure partie des transactions en crypto-actifs est légale », souligne le CECyber, « cette technologie serait utilisée dans des activités illicites à hauteur de plusieurs milliards de dollars par an au niveau mondial dont une partie significative concerne le blanchiment d’argent ».
Pour tenter d’opacifier l’origine illégale des fonds, ils combinent les « mixeurs » de crypto-actifs (qui mélangent les montants initiaux via de multiples transactions réparties sur un grand nombre d’adresses publiques), les « échangeurs instantanés » (pour convertir des fonds entre deux crypto-actifs), des crypto-actifs permettant des transactions anonymisées, et les transferts de fonds d’une blockchain à l’autre (« chain hopping »).
La tendance de certains groupes criminels organisés à recourir à des méthodes violentes (séquestration, menaces physiques, tortures, etc.) pour soutirer les crypto-actifs à des influenceurs ou dirigeants de plateformes « prise pour cible du fait de leur apparente richesse », est qualifiée de « phénomène déjà observé au cours de salons et conférences spécialisées à l’étranger », et qui « progresse en France », mais sans que le rapport ne donne de chiffres plus précis ni actualisés.
coco.gg : 23 051 procédures judiciaires, 480 victimes identifiées
Le rapport revient enfin sur plusieurs enquêtes majeures ayant abouti en 2024. L’opération Cronos, qui visait le groupe de rançongiciels LockBit, avait ainsi permis la saisie de 34 serveurs, le gel de plus de 200 comptes de crypto-actifs, et l’interpellation de deux individus. À l’origine de plus de 7 000 attaques entre 2022 et 2024, et de 300 plaintes de victimes françaises, LockBit aurait causé des milliards d’euros de préjudice, et aurait réussi à récupérer des centaines de millions de dollars de rançons.
L’opération ENDGAME, qui visait à démanteler plusieurs réseaux de botnets, avait de son côté permis la saisie de plus de 100 serveurs, le gel de 99 portefeuilles de crypto-actifs contenant plus de 70 millions d’euros, quatre interpellations, dont trois par les autorités françaises, la prise de contrôle de plus de 2 000 noms de domaine liés à la distribution de logiciels malveillants, et l’émission de 10 mandats d’arrêt internationaux.
Si le rapport n’évoque aucunement les enquêtes ouvertes au sujet de Telegram, il mentionne également les arrestations de :
- « Operation PowerOFF » : les forces de l’ordre démantèlent un réseau d’outils DDoS
- deux administrateurs et une douzaine d’individus liés à un trafic d’armes fabriquées par des imprimantes 3D,
- Piratage de France Travail via Cap Emploi : trois suspects interpellés
- Isaac Steidl, le fondateur de la plateforme de chat coco.gg, qui avait valu l’ouverture de 23 051 procédures judiciaires, impliquant 480 victimes identifiées (Dominique Pelicot y avait recruté les violeurs de sa femme),
- La gendarmerie française et Europol démantèlent Ghost, un cryptophone criminel australien
Odip, l’IA qui permet d’éviter d’avoir à regarder des images pédopornos
La partie consacrée à la prospective revient notamment sur la stratégie CapIA, développée depuis quatre ans au sein de la Gendarmerie, sa revue bimestrielle Cultur’IA, et évoque brièvement le projet « Authentik IA », qui a pour objectif d’identifier les médias synthétiques afin de faciliter la reconnaissance des deepfakes, en croisant des marqueurs techniques et contextuels détectés dans ces médias.
Il y est également question d’Odip (pour « Outil de détection d’images pédopornographiques »), développé pour permettre la détection de contenus illicites sans avoir à les visualiser. Développé en interne, Odip répond à plusieurs objectifs :
- réduire considérablement le temps d’analyse des contenus suspects, afin de pouvoir matérialiser l’infraction,
- protéger psychologiquement les enquêteurs, en limitant leur temps d’exposition à des images traumatisantes, « dont le caractère insidieux peut conduire à des arrêts temporaires d’activité »,
- créer, au moyen d’un algorithme, les représentations numériques d’images pédopornographiques (c’est-à-dire la transformation de l’image en nombre, éliminant ainsi toute représentation visuelle) à partir d’une collecte de photos ou de vidéos constituant un corpus autorisé par le magistrat,
- entraîner le modèle d’intelligence artificielle à partir des représentations vectorielles, afin qu’il puisse discriminer les images pédopornographiques de celles qui ne le sont pas.
« Les développeurs n’ont pas eu accès aux images [qui] sont converties en vecteurs pour la classification », expliquait à L’essor de la gendarmerie le général Patrick Perrot, coordonnateur IA pour la Gendarmerie et conseiller IA auprès du Comcyber-MI.
Il précisait en outre qu’ « on a récupéré 48.000 images pédopornographiques et 55.000 non pédopornographiques » afin d’entraîner le modèle et lui éviter d’identifier par erreur des images « qui soient simplement pornographiques ou des enfants dans des poses anodines ».
Alors en phase d’expérimentation auprès du Centre d’analyses d’images pédopornographiques (Cnaip) à Pontoise, dont les quatre membres ont été associés au développement de l’outil, Odip n’aurait entraîné que 4 % de faux négatifs (image non identifiée par l’outil comme étant à caractère pédocriminel) et 12 % de faux positifs. La gendarmerie précise cela dit que le résultat sera « nécessairement validé par l’expertise de l’enquêteur ou de l’analyste ».
« La plupart de nos programmes sont développés avec Ollama, une plateforme d’intelligence artificielle qui permet d’exécuter des modèles de langage directement sur l’ordinateur, sans connexion Internet », expliquait par ailleurs le général Perrot à Numerama.
Il soulignait à ce titre auprès de L’essor de la gendarmerie l’importance du compromis fait entre les performances attendues et « les outils de nos gendarmes qui n’ont qu’un ordinateur portable ».
Le rapport du COMCYBER-MI ne précise pas combien de gens ni combien d’argent ont été investis dans ses efforts de R&D, tout comme il ne l’avait déjà pas fait le mois dernier, lorsqu’il avait rendu publique sa stratégie nationale pour lutter contre la cybercriminalité.
Dans sa préface, Bruno Retailleau, ministre de l’Intérieur, se borne à préciser que « plus de 15 000 policiers et gendarmes spécialisés scrutent chaque jour le cyberespace pour traquer et trouver les criminels qui s’y sont réfugiés, et qui pensent pouvoir agir dans l’ombre, à l’abri des écrans ».
Commentaires (5)
Le 08/07/2025 à 23h50
Le 10/07/2025 à 12h32
Le 10/07/2025 à 12h45
On peut donc être à l'abri de la pluie à l'abri de l'auvent.
Mais ton sens semble être le plus courant dans la page que j'ai mise en lien.
Le 10/07/2025 à 12h52
Le 09/07/2025 à 11h06
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?