L'attaque qui secoue le secteur financier asiatique
En novembre 2025, le secteur financier sud-coréen fait face à l'une des cyberattaques les plus sophistiquées de son histoire. Baptisée "Korean Leaks", cette campagne orchestrée par le groupe de ransomware Qilin a compromis 28 institutions financières via une attaque supply chain d'une ampleur sans précédent. Plus inquiétant encore : des indices suggèrent une implication potentielle du groupe nord-coréen Moonstone Sleet, brouillant la frontière entre cybercriminalité financière et opération géopolitique.
Cette attaque révèle une évolution inquiétante du paysage des ransomwares : l'hybridation entre groupes criminels motivés par l'appât du gain et acteurs étatiques poursuivant des objectifs géopolitiques. Avec plus de 2 téraoctets de données volées et 1 million de fichiers exfiltrés, Korean Leaks marque un tournant dans la sophistication des attaques ransomware ciblant le secteur financier.
Anatomie de l'attaque Korean Leaks : une supply chain compromise
Le vecteur d'infection : un MSP comme point d'entrée unique
Contrairement aux attaques ransomware traditionnelles qui ciblent les victimes individuellement, Korean Leaks a exploité une stratégie redoutablement efficace : la compromission d'un fournisseur de services managés (MSP). Selon l'analyse approfondie publiée par Bitdefender le 24 novembre 2025, les attaquants ont ciblé GJTec, un prestataire informatique fournissant des services à de nombreuses sociétés de gestion d'actifs sud-coréennes.
Cette approche présente un avantage stratégique majeur pour les cybercriminels : un seul point d'entrée permet d'accéder simultanément à des dizaines d'organisations clientes. Le Korea JoongAng Daily a rapporté le 23 septembre 2025 que plus de 20 sociétés de gestion d'actifs ont été infectées suite à cette unique compromission initiale.
Trois vagues d'attaques méthodiques
L'opération Korean Leaks s'est déroulée en trois vagues distinctes, démontrant une planification méticuleuse :
- Vague 1 (14 septembre 2025) : 10 victimes du secteur de la gestion financière ciblées
- Vague 2 (17-19 septembre 2025) : 9 nouvelles victimes compromises
- Vague 3 (septembre-octobre 2025) : 9 victimes supplémentaires, portant le total à 28 organisations
Cette approche par vagues suggère une exfiltration de données progressive, permettant aux attaquants de maximiser leur impact tout en maintenant la pression sur les victimes. Au total, l'opération a résulté en le vol de plus d'1 million de fichiers représentant 2 téraoctets de données sensibles — des informations financières, des données clients, et potentiellement des secrets commerciaux.
Un impact géographique sans précédent
Les chercheurs en cybersécurité ont observé un phénomène remarquable : la Corée du Sud est soudainement devenue le deuxième pays le plus ciblé par Qilin, avec 25 victimes revendiquées en un seul mois. Cette concentration géographique inhabituelle pour un groupe ransomware traditionnellement opportuniste soulève des questions sur les motivations réelles derrière cette campagne.
Qilin : l'ascension fulgurante d'un empire ransomware
Une croissance explosive en 2025
Qilin n'est pas un nouvel acteur dans le paysage du ransomware, mais son évolution en 2025 est spectaculaire. Groupe basé en Russie et apparu en 2022, Qilin a connu une trajectoire de croissance vertigineuse :
- 2023 : 45 revendications d'attaques
- 2024 : 179 victimes
- 2025 : 700 attaques (quadruplement par rapport à 2024)
En octobre 2025 seulement, Qilin a revendiqué plus de 180 victimes, représentant 29% de toutes les attaques ransomware dans le monde selon les données de NCC Group. Cette performance fait de Qilin l'opérateur de ransomware le plus prolifique de 2025, dépassant largement RansomHub qui avait dominé 2024 avec 547 victimes.
Le modèle Ransomware-as-a-Service (RaaS) : un business florissant
Qilin opère selon le modèle Ransomware-as-a-Service (RaaS), une structure commerciale qui a révolutionné le paysage de la cybercriminalité. Dans ce modèle :
- Les développeurs (core team de Qilin) créent et maintiennent le malware
- Les affiliés déploient le ransomware et exécutent les attaques
- Les revenus sont partagés : généralement 20-40% pour les développeurs, 60-80% pour les affiliés
- L'écosystème inclut des courtiers d'accès initial (IAB) qui vendent des points d'entrée compromis
Cette industrialisation du ransomware explique en partie la croissance exponentielle observée en 2025. Flashpoint rapporte une augmentation de 179% des attaques ransomware en glissement annuel, avec près de 1 200 cas distincts signalés rien qu'en janvier 2025 aux États-Unis.
Les secteurs les plus touchés
L'analyse des 700 attaques de Qilin en 2025 révèle une diversification stratégique des cibles :
- Entreprises : 590 attaques (84%)
- Manufacturiers : 143 attaques
- Secteur financier : 69 attaques
- Santé : 45 attaques
- Gouvernements : 40 attaques
- Éducation : 26 attaques
Le ciblage prioritaire des entreprises s'explique par leur capacité de paiement élevée et l'impact business immédiat du chiffrement des données. Le secteur de la santé, avec un coût moyen de 10,3 millions de dollars par incident, reste également une cible de choix malgré les enjeux éthiques.
Moonstone Sleet : quand la Corée du Nord rencontre le ransomware
Un partenariat inattendu et inquiétant
L'élément le plus troublant de la campagne Korean Leaks est l'implication potentielle de Moonstone Sleet, un groupe de hackers directement lié à la Corée du Nord. Microsoft Threat Intelligence a révélé fin février 2025 que Moonstone Sleet avait commencé à déployer le ransomware Qilin dans un nombre limité d'attaques.
Cette collaboration marque un tournant majeur : c'est la première fois que Moonstone Sleet utilise une plateforme RaaS externe au lieu de son ransomware personnalisé habituel. Microsoft précise : "Depuis fin février 2025, Microsoft a observé Moonstone Sleet, un acteur étatique nord-coréen, déployer le ransomware Qilin dans un nombre limité d'organisations."
Une dimension géopolitique inédite
L'analyse de Bitdefender révèle des tactiques inhabituelles pour un groupe ransomware traditionnel : l'intégration de messages politiques et propagandistes dans les notes de rançon. Ces messages présentent les fuites de données comme des révélations de corruption visant à éroder la confiance dans le système financier sud-coréen.
Cette approche hybride combine plusieurs objectifs :
- Financier : génération de revenus via les rançons
- Géopolitique : déstabilisation du secteur financier sud-coréen
- Propagandiste : diffusion de narratifs anti-corruption
- Déni plausible : attribution complexifiée par l'utilisation d'un RaaS
Bitdefender avait prédit cette évolution dans ses rapports de sécurité : les groupes parrainés par des États commenceraient à utiliser des plateformes criminelles RaaS, fusionnant espionnage et crime pour gagner de l'argent tout en infligeant des dommages stratégiques avec un déni plausible.
Comment se protéger contre les attaques supply chain
Les leçons de Korean Leaks
L'attaque Korean Leaks souligne une vulnérabilité critique : la chaîne d'approvisionnement numérique. Les organisations ne peuvent plus se concentrer uniquement sur leur propre sécurité — elles doivent évaluer rigoureusement celle de tous leurs fournisseurs et partenaires.
Recommandations essentielles pour les organisations
1. Évaluation et audit des fournisseurs tiers
- Exiger des certifications de sécurité (ISO 27001, SOC 2)
- Réaliser des audits de sécurité réguliers des MSP et fournisseurs critiques
- Inclure des clauses de sécurité contraignantes dans les contrats
- Limiter les accès des fournisseurs au strict nécessaire (principe du moindre privilège)
2. Segmentation réseau et micro-segmentation
- Isoler les systèmes critiques dans des zones réseau séparées
- Implémenter une architecture Zero Trust : "ne jamais faire confiance, toujours vérifier"
- Limiter la propagation latérale en cas de compromission d'un fournisseur
- Surveiller et contrôler tous les flux réseau, y compris ceux des fournisseurs
3. Détection et réponse avancées
- Déployer des solutions EDR (Endpoint Detection and Response) et XDR
- Implémenter une surveillance 24/7 avec des capacités de threat hunting
- Établir des baselines de comportement normal pour détecter les anomalies
- Créer des playbooks de réponse aux incidents spécifiques aux attaques supply chain
4. Sauvegarde et résilience
- Maintenir des sauvegardes offline (air-gapped) régulières
- Tester mensuellement les procédures de restauration
- Implémenter une stratégie de sauvegarde 3-2-1 : 3 copies, 2 supports différents, 1 hors site
- Chiffrer les sauvegardes avec des clés distinctes du réseau principal
5. Formation et sensibilisation
- Former les équipes aux indicateurs d'attaques supply chain
- Établir des procédures de vérification pour les communications des fournisseurs
- Simuler régulièrement des scénarios d'attaques pour tester les réponses
- Créer une culture de sécurité où chaque employé est un acteur de la défense
Le paysage ransomware en 2025 : tendances et statistiques
Une explosion des attaques
Les chiffres de 2025 sont alarmants et confirment une escalade majeure de la menace ransomware :
- +179% d'augmentation des attaques ransomware en glissement annuel (Flashpoint)
- +149% d'incidents en janvier 2025 aux États-Unis seulement
- 28% des incidents malware sont des ransomwares
- 45 nouveaux groupes apparus en 2025
- 29 groupes sont devenus inactifs (souvent pour se rebaptiser)
L'évolution vers la double et triple extorsion
Le paysage du ransomware a évolué au-delà du simple chiffrement :
Double extorsion : Chiffrement des données + vol et menace de publication Triple extorsion : Double extorsion + attaques DDoS ou menaces contre les clients/partenaires
Cette évolution multiplie la pression sur les victimes et augmente la probabilité de paiement. Les attaquants exploitent désormais non seulement l'impact opérationnel du chiffrement, mais aussi les conséquences réglementaires (RGPD, HIPAA) et réputationnelles des fuites de données.
L'intelligence artificielle au service des cybercriminels
Une tendance émergente inquiétante : l'intégration de l'IA dans les opérations ransomware :
- Phishing généré par IA : emails d'hameçonnage hyper-réalistes créés automatiquement
- Ingénierie sociale augmentée : analyse des profils sociaux pour personnaliser les attaques
- WormGPT et FraudGPT : LLMs malveillants vendus sur le dark web
- Automatisation du reconnaissance : identification rapide des vulnérabilités et des cibles
Le groupe Funksec est l'un des premiers à utiliser ouvertement les LLMs dans ses outils, proposant des frameworks de phishing alimentés par l'IA qui génèrent automatiquement de l'ingénierie sociale basée sur les profils de réseaux sociaux des victimes.
L'expansion géographique du ransomware
Au-delà des zones traditionnelles (États-Unis, Europe occidentale), les attaques ransomware se sont étendues à de nouvelles régions en 2025 :
- Colombie : augmentation spectaculaire du volume d'attaques
- Thaïlande : émergence comme cible prioritaire en Asie du Sud-Est
- Corée du Sud : ciblage massif avec Korean Leaks
- Afrique subsaharienne : croissance du ciblage de petites entreprises
Cette expansion s'explique par la numérisation croissante de régions précédemment moins connectées et par la recherche de cibles avec des défenses potentiellement moins matures.
Conclusion : vers une nouvelle ère de cybermenaces hybrides
L'attaque Korean Leaks orchestrée par Qilin marque un tournant dans l'évolution des cybermenaces. La convergence entre cybercriminalité organisée et opérations étatiques crée un paysage de menaces d'une complexité sans précédent. Les organisations ne font plus face uniquement à des criminels motivés par l'argent, mais à des acteurs hybrides poursuivant simultanément des objectifs financiers, géopolitiques et stratégiques.
Avec 700 attaques en 2025 et une part de marché de 29%, Qilin incarne cette nouvelle génération de ransomwares : industrialisés via le modèle RaaS, techniquement sophistiqués, et désormais ouverts à des partenariats avec des acteurs étatiques comme Moonstone Sleet. La professionnalisation de ce secteur criminel, combinée à l'intégration de l'IA et à l'évolution vers la triple extorsion, rend les défenses traditionnelles insuffisantes.
Les organisations doivent adopter une approche de sécurité holistique : sécurisation de la chaîne d'approvisionnement, architecture Zero Trust, détection avancée par IA, et surtout, une culture de sécurité où chaque employé comprend son rôle dans la défense collective. Face à des adversaires de plus en plus sophistiqués et motivés, la résilience devient plus importante que la simple prévention.
La question n'est plus de savoir si une organisation sera ciblée, mais quand — et si elle sera capable de détecter, contenir et récupérer rapidement de l'attaque. Dans ce contexte, l'investissement dans la cybersécurité n'est plus une option, mais une nécessité stratégique pour la survie et la compétitivité des entreprises du XXIe siècle.
Sources et références
- The Korean Leaks – Analyzing the Hybrid Geopolitical Campaign - Bitdefender
- Qilin Ransomware Turns South Korean MSP Breach Into Data Heist - The Hacker News
- Microsoft: North Korean hackers join Qilin ransomware gang - BleepingComputer
- Ransomware Attacks Surge 50% In 2025, Qilin Leads Wave - Cyble
- New Ransomware-as-a-Service (RaaS) Groups to Watch in 2025 - Flashpoint
