Même les spécialistes de la sécurité ne sont pas à l’abri. Le Dutch Institute for Vulnerability Disclosure (DIVD), une organisation néerlandaise à but non lucratif dont les bénévoles traquent les failles informatiques pour prévenir les entreprises exposées, a reconnu avoir été victime d’une intrusion le 21 septembre. Selon l’organisation, l’attaque aurait été menée de bout en bout par des agents d’intelligence artificielle.
Deux failles inédites dans un logiciel de support
Les assaillants sont entrés par le système de tickets du DIVD, basé sur Zammad, un logiciel libre de service d’assistance. Ils ont enchaîné deux vulnérabilités jusque-là inconnues : la première permet, sans aucun identifiant, d’exécuter du code à distance et de récupérer les sessions des utilisateurs connectés ; la seconde permet ensuite d’obtenir les droits d’administrateur (root) sur la machine. D’après le DIVD, il n’a fallu que quelques secondes pour passer du détournement de session au contrôle total du serveur.
Les intrus ont dérobé des données concernant les bénévoles, notamment leurs adresses électroniques DIVD et possiblement d’autres coordonnées. L’enquête doit encore préciser qui est touché. Le principal risque, selon l’organisation, est l’ingénierie sociale : quelqu’un pourrait se faire passer pour un membre du DIVD. Elle invite donc toute personne recevant un message suspect en son nom à le faire vérifier.
Une attaque « bruyante » qui trahit la machine
Ce qui a surpris les enquêteurs, c’est le comportement de l’attaquant. L’opération était désordonnée et très visible : après chaque action, l’outil choisissait seul l’étape suivante, à une vitesse impossible pour un humain. Les scripts récupérés contenaient même des commentaires dans lesquels le programme se justifiait, expliquant pourquoi ce qu’il faisait était acceptable et ne relevait pas du phishing. Un réflexe que le DIVD juge typique d’une IA chargée d’une mission, et absurde de la part d’un pirate humain.
L’intrusion a été repérée dès le lendemain. Le DIVD a coupé l’accès à ses systèmes, monté une cellule de crise avec la société Merlon Security, puis, le 24 septembre, prévenu l’éditeur de Zammad, l’autorité néerlandaise de protection des données, le centre national de cybersécurité et la police.
Les deux failles portent les références CVE-2026-102489 et CVE-2026-102490, avec une note de gravité de 9,4 sur 10 lorsqu’elles sont combinées. La première touche les versions 6.3.0 à 6.5.4 de Zammad, la seconde toutes les versions. Le DIVD recommande à tous les utilisateurs de passer à la version 7 ou de couper le service. Plusieurs chercheurs ont salué la transparence de l’organisation, qui a choisi de raconter publiquement son propre piratage pour aider les autres à se protéger.
À lire aussi : Un agent IA d’OpenAI a piraté un site de l’État australien, une première mondiale · Gemini 4 Argon : Google réserve son IA la plus puissante à la cybersécurité
