M\u00eame les sp\u00e9cialistes de la s\u00e9curit\u00e9 ne sont pas \u00e0 l’abri. Le Dutch Institute for Vulnerability Disclosure (DIVD), une organisation n\u00e9erlandaise \u00e0 but non lucratif dont les b\u00e9n\u00e9voles traquent les failles informatiques pour pr\u00e9venir les entreprises expos\u00e9es, a reconnu avoir \u00e9t\u00e9 victime d’une intrusion le 21 septembre. Selon l’organisation, l’attaque aurait \u00e9t\u00e9 men\u00e9e de bout en bout par des agents d’intelligence artificielle.<\/p>\n
Les assaillants sont entr\u00e9s par le syst\u00e8me de tickets du DIVD, bas\u00e9 sur Zammad, un logiciel libre de service d’assistance. Ils ont encha\u00een\u00e9 deux vuln\u00e9rabilit\u00e9s jusque-l\u00e0 inconnues : la premi\u00e8re permet, sans aucun identifiant, d’ex\u00e9cuter du code \u00e0 distance et de r\u00e9cup\u00e9rer les sessions des utilisateurs connect\u00e9s ; la seconde permet ensuite d’obtenir les droits d’administrateur (root) sur la machine. D’apr\u00e8s le DIVD, il n’a fallu que quelques secondes pour passer du d\u00e9tournement de session au contr\u00f4le total du serveur.<\/p>\n
Les intrus ont d\u00e9rob\u00e9 des donn\u00e9es concernant les b\u00e9n\u00e9voles, notamment leurs adresses \u00e9lectroniques DIVD et possiblement d’autres coordonn\u00e9es. L’enqu\u00eate doit encore pr\u00e9ciser qui est touch\u00e9. Le principal risque, selon l’organisation, est l’ing\u00e9nierie sociale : quelqu’un pourrait se faire passer pour un membre du DIVD. Elle invite donc toute personne recevant un message suspect en son nom \u00e0 le faire v\u00e9rifier.<\/p>\n
Ce qui a surpris les enqu\u00eateurs, c’est le comportement de l’attaquant. L’op\u00e9ration \u00e9tait d\u00e9sordonn\u00e9e et tr\u00e8s visible : apr\u00e8s chaque action, l’outil choisissait seul l’\u00e9tape suivante, \u00e0 une vitesse impossible pour un humain. Les scripts r\u00e9cup\u00e9r\u00e9s contenaient m\u00eame des commentaires dans lesquels le programme se justifiait, expliquant pourquoi ce qu’il faisait \u00e9tait acceptable et ne relevait pas du phishing. Un r\u00e9flexe que le DIVD juge typique d’une IA charg\u00e9e d’une mission, et absurde de la part d’un pirate humain.<\/p>\n
L’intrusion a \u00e9t\u00e9 rep\u00e9r\u00e9e d\u00e8s le lendemain. Le DIVD a coup\u00e9 l’acc\u00e8s \u00e0 ses syst\u00e8mes, mont\u00e9 une cellule de crise avec la soci\u00e9t\u00e9 Merlon Security, puis, le 24 septembre, pr\u00e9venu l’\u00e9diteur de Zammad, l’autorit\u00e9 n\u00e9erlandaise de protection des donn\u00e9es, le centre national de cybers\u00e9curit\u00e9 et la police.<\/p>\n
Les deux failles portent les r\u00e9f\u00e9rences CVE-2026-102489 et CVE-2026-102490, avec une note de gravit\u00e9 de 9,4 sur 10 lorsqu’elles sont combin\u00e9es. La premi\u00e8re touche les versions 6.3.0 \u00e0 6.5.4 de Zammad, la seconde toutes les versions. Le DIVD recommande \u00e0 tous les utilisateurs de passer \u00e0 la version 7 ou de couper le service. Plusieurs chercheurs ont salu\u00e9 la transparence de l’organisation, qui a choisi de raconter publiquement son propre piratage pour aider les autres \u00e0 se prot\u00e9ger.<\/p>\n
\u00c0 lire aussi :<\/strong> Un agent IA d\u2019OpenAI a pirat\u00e9 un site de l\u2019\u00c9tat australien, une premi\u00e8re mondiale<\/a> \u00b7 Gemini 4 Argon : Google r\u00e9serve son IA la plus puissante \u00e0 la cybers\u00e9curit\u00e9<\/a><\/p>\n <\/p>\n