Le 20 août 2026, le Google Threat Intelligence Group a publié le détail de trois ensembles d’activité qu’il suit séparément, et qui partagent une même façon d’entrer chez leurs cibles : ils ne fabriquent plus une fausse page de connexion, ils font passer la victime par la vraie. Ce que le rapport documente est solide, daté, techniquement précis. Ce qu’il ne dit pas, et qu’aucune des reprises lues cette semaine ne dit non plus, c’est que la technique n’a rien de neuf. Elle a deux ans. C’est précisément ce qui la rend intéressante.
Ce que Google a documenté, et à quelles dates
GTIG suit trois ensembles distincts, désignés UNC6293, UNC7005 et UNC5976, qui visent des personnes travaillant dans le monde universitaire, l’aérospatial et la défense, les gouvernements et les cercles de réflexion en Europe, ainsi que des universitaires et des think tanks aux États-Unis. Le groupe évalue avec une confiance élevée que ces trois ensembles possèdent un nexus russe, sur la base de leurs schémas de ciblage, de leurs thèmes de hameçonnage et de techniques opérationnelles partagées. Il évalue séparément, et avec une confiance seulement modérée, que UNC6293 et UNC7005 sont des sous-ensembles d’ICE RELIC, le nom que Google donne désormais à l’ensemble anciennement appelé APT29. Ces deux niveaux ne sont pas le même, et les confondre serait déjà une faute de lecture.
L’épisode le plus récent est daté au jour près. Le 31 juillet 2026, UNC7005 enregistre des noms de domaine imitant le Finnish Operations Center, une structure privée qui accompagne les entreprises finlandaises sur les marchés de la défense et de la sécurité, notamment dans le contexte de l’OTAN. Entre le 6 et le 13 août 2026, l’ensemble envoie des courriels de hameçonnage ciblés, pointant vers un domaine qu’il contrôle, à des cibles appartenant à l’industrie européenne de défense ou gravitant autour d’elle.
La suite est le cœur du sujet. La cible arrive sur une page contrôlée par l’attaquant. Elle clique sur « Sign in With Google ». Et elle est alors redirigée, selon les termes de Google, vers une page de connexion OAuth Google légitime, qui lui demande de s’authentifier pour continuer. Elle s’authentifie donc réellement, chez Google, sur l’écran de Google. Une fois authentifiée, elle est redirigée vers un projet cloud contrôlé par l’attaquant, en mode test et non vérifié, probablement utilisé pour voler les jetons d’authentification qui donnent accès au compte. Sur la variante attribuée à UNC5976, le projet cloud héberge des scripts qui récupèrent le jeton depuis l’URL et l’enregistrent pour que l’opérateur vienne le chercher plus tard.
Toujours début août, GTIG identifie une opération très ciblée dans laquelle UNC7005 envoie directement à ses cibles de véritables URL Microsoft OAuth. Aucune contrefaçon, aucun domaine à examiner : l’adresse est celle de Microsoft.
La variante WhatsApp, et le moment où l’on quitte le vol de compte
En mai puis en juin 2026, et non en août comme on l’a parfois lu, le même ensemble mène des opérations d’ingénierie sociale usurpant WhatsApp. Le principe est identique et le résultat plus lourd. Les pages piégées amènent la cible à associer son compte WhatsApp à un appareil contrôlé par l’attaquant, sous prétexte de rejoindre un appel sécurisé, une conversation chiffrée ou un partage de documents. La cible fournit son numéro, l’attaquant déclenche une demande d’association d’appareil parfaitement légitime, le QR code et le code d’association affichés à l’écran sont les vrais.
Vient ensuite une fausse interface d’appel. Google publie le code JavaScript observé : il demande l’accès à la caméra et au microphone, ouvre un enregistrement au format WebM combinant vidéo et audio, puis envoie l’enregistrement vers un point de collecte contrôlé par l’attaquant au moment où l’appel « échoue ». Sur un diplomate, un chercheur, un cadre de la défense ou un consultant, on n’est plus dans le vol d’un compte de messagerie. On est dans la captation d’une conversation.
Le point où la thèse de la nouveauté ne tient pas
Il serait confortable d’écrire que le 20 août a révélé une nouvelle frontière. La vérification l’interdit.
Le 13 février 2025, dix-huit mois plus tôt, Microsoft publiait la description d’une campagne d’hameçonnage par code d’appareil menée par l’ensemble qu’il désigne Storm-2372, active selon lui depuis au moins août 2024. La phrase clé de ce billet pourrait servir de résumé au rapport de Google : l’attaquant génère une demande de code d’appareil légitime et amène la cible à la saisir sur une page de connexion légitime. Microsoft précisait alors, et c’est important, que ces leurres utilisaient ses services sans qu’aucune vulnérabilité de son code ne soit en cause. La technique n’exploite pas une faille, elle exploite une fonction qui marche comme prévu. Microsoft attribuait cette activité, avec une confiance modérée, à un acteur agissant dans le sens des intérêts de l’État russe, et a mis son billet à jour le 31 juillet 2026, trois semaines avant le rapport de Google, pour rattacher Storm-2372 à Midnight Blizzard.
Le second démenti vient de France, et il est plus ancien encore. Dans son rapport du 19 juin 2024 sur l’ensemble Nobelium, l’ANSSI décrivait déjà le principe, une couche plus bas : la plupart des campagnes de cet ensemble contre des entités diplomatiques utilisent des comptes de messagerie légitimes compromis appartenant à du personnel diplomatique, pour hameçonner ensuite institutions, ambassades et consulats. L’agence ajoutait une phrase que tout le récit de la nouveauté devrait affronter : les techniques, tactiques et procédures de Nobelium restent globalement constantes dans le temps.
Le fait de la semaine n’est donc pas qu’une frontière ait été franchie. C’est qu’une méthode documentée depuis deux ans, décrite par Microsoft en 2025, adossée à une logique que l’ANSSI décrivait en 2024, soit passée du statut de technique remarquable à celui de mode d’entrée ordinaire, et qu’elle se soit étendue d’un fournisseur d’identité à trois : Microsoft, puis Google, puis WhatsApp. Ce n’est pas une rupture, c’est une généralisation. Et une généralisation se traite autrement qu’une surprise.
La France est concernée depuis 2021, et le sait
Le volet français n’a pas besoin d’être extrapolé, il est écrit. Dans ce même rapport, le CERT-FR détaille une série de campagnes. De février à mai 2021, des opérateurs de Nobelium exploitent des comptes de messagerie compromis du ministère de la Culture et de l’Agence nationale de la cohésion des territoires pour diffuser une pièce jointe intitulée « Strategic Review » ; l’enquête de l’ANSSI conclut que les attaquants n’ont pas réussi à se déplacer latéralement dans ces systèmes. Ces comptes servent ensuite à viser le ministère de l’Europe et des Affaires étrangères, où une tentative d’installation de Cobalt Strike échoue. En mars 2022, une ambassade européenne en Afrique du Sud reçoit un courriel malveillant usurpant une ambassade française, envoyé depuis le compte compromis d’un diplomate français. En avril et mai 2022, des dizaines d’adresses du ministère des Affaires étrangères sont visées. En mai 2023, l’ambassade de France à Kiev est ciblée par une campagne au thème d’une « voiture diplomatique à vendre », et une tentative contre l’ambassade de France en Roumanie est détectée puis mise en échec, selon l’agence, grâce au comportement approprié du personnel diplomatique.
L’ANSSI qualifie ces activités avec une prudence qu’il faut restituer telle quelle. Elle et les membres du C4 considèrent que l’imputation de ces activités contre les entités diplomatiques françaises à Nobelium est cohérente. Cohérente, et non démontrée. Elle estime par ailleurs que Nobelium est presque certainement opéré pour le compte d’un acteur étatique, et rappelle que les activités liées à cet ensemble ont été publiquement rattachées au service de renseignement extérieur russe. Chacune de ces formulations dit un degré différent, et l’agence ne les mélange pas.
Le désaccord de nommage est lui-même un renseignement
Un détail du rapport français mérite mieux qu’une note de bas de page. L’ANSSI y explique que plusieurs observateurs et ses propres partenaires rangent ces activités sous le nom d’APT29, mais qu’elle préfère, elle, distinguer trois ensembles d’intrusion pleinement constitués et liés au SVR : APT29, Dark Halo et Nobelium. Elle justifie ce choix par l’observation de l’évolution des codes, tactiques, techniques et procédures des attaquants.
Regardons ce que fait le marché au même moment. Microsoft absorbe Storm-2372 dans Midnight Blizzard le 31 juillet 2026. Google rattache UNC6293 et UNC7005 à ICE RELIC, nom qu’il donne désormais à ce qu’il appelait APT29, avec une confiance modérée, le 20 août. Deux éditeurs consolident donc leurs étiquettes vers une entité unique, pendant que l’agence nationale française maintient délibérément la séparation.
Aucune de ces positions n’est fautive. Elles répondent à des fonctions différentes : un éditeur nomme pour rendre une menace compréhensible et actionnable par ses clients, une agence d’État nomme pour préserver la précision d’une imputation dont les conséquences peuvent être diplomatiques. Mais pour qui lit ces rapports depuis une direction générale, la leçon est immédiate. Le nom d’un attaquant n’est pas une donnée neutre reprise d’un rapport à l’autre. C’est une décision d’analyse, prise par une organisation, à un niveau de confiance donné, et à une date. Reprendre « APT29 » sans savoir qui a produit l’étiquette, avec quelle confiance et quand, c’est déjà perdre l’information la plus utile.
Ce qui est réellement visé
La séquence complète tient en une ligne, et elle est plus dérangeante que le vol de mot de passe : invitation crédible, authentification véritable, consentement donné sciemment, accès détourné. À aucun moment la victime ne se trompe sur la page où elle saisit ses identifiants. Elle a raison, la page est la bonne. Ce qui est faux, c’est la raison pour laquelle elle s’y trouve.
Un détail des domaines enregistrés par UNC7005 le montre par l’absurde. Ils s’appellent finishoperations.com et finishoperations.org, quand l’organisation réelle est le Finnish Operations Center. Il manque un « n ». Le signal que vingt ans de sensibilisation ont appris à repérer, l’adresse un peu fausse, était donc bien là. Il n’a servi à rien, parce que tout ce qui vient après lui, l’écran de connexion, le fournisseur, le code d’association, le certificat, est authentique. Le premier indice ne compense pas le fait que la vérification suivante confirme, à juste titre, que tout va bien.
Ce n’est pas un mot de passe qui est attaqué, ni un poste de travail, ni un navigateur. C’est la valeur probante d’un signal. Un domaine légitime, une authentification réelle, un facteur d’authentification supplémentaire correctement présenté et un consentement explicite ne constituent plus, à eux seuls, la preuve qu’une opération est légitime. La consigne enseignée aux dirigeants depuis vingt ans, vérifiez l’adresse, vérifiez le cadenas, vérifiez l’expéditeur, ne dit rien de faux. Elle est simplement devenue insuffisante, et elle l’est depuis au moins deux ans sans avoir été révisée.
La question à poser en comité de direction
Il ne s’agit pas de conseil technique, ce n’est pas notre métier et les équipes sécurité connaissent les contre-mesures. Il s’agit de la question de gouvernance qui se trouve derrière, et qui n’est pas posée assez tôt.
Une organisation exposée devrait pouvoir répondre à trois choses. Qui, chez elle, est une cible de renseignement au sens de ces rapports, c’est-à-dire quels dirigeants, chercheurs, responsables d’affaires publiques ou consultants extérieurs valent l’effort décrit ici. Ce qu’elle fait, ensuite, du fait qu’une sollicitation puisse être à la fois techniquement irréprochable et hostile : quelle procédure existe pour vérifier une invitation par un canal indépendant de celui qui l’a apportée. Et enfin, ce que sa communication de sensibilisation raconte encore, car une sensibilisation qui apprend à repérer le faux prépare mal à une attaque qui n’utilise que du vrai.
La prochaine opération de ce type ne cherchera pas à convaincre une cible qu’un faux site est vrai. Elle cherchera à lui faire accomplir, sur un vrai site, l’action dont l’attaquant a besoin. C’est déjà le cas depuis 2024, et cela reste, en France, très peu raconté hors des cercles spécialisés.
Marc Lugand-Sacy, président d’ELMARQ.
