La cybercriminalité est un univers mouvant. Certains groupes paraissent disparaître, leurs infrastructures étant démantelées ou leurs activités mises en pause. Mais dans les faits, beaucoup d’entre eux ne font que se réorganiser. Quelques mois plus tard, ils réapparaissent, parfois plus agressifs et mieux armés qu’avant.
Comment anticiper cette résurgence des groupes cybercriminels ? Quels sont les signaux faibles qui permettent d’identifier un retour imminent ?
Dans notre Rapport sur l’état de la menace 2024-2025, les experts Advens mettent en lumière cinq facteurs clés qui aident à comprendre et prévoir ces cycles. Décryptons-les ensemble.
1. La persistance des vulnérabilités non corrigées
Les vulnérabilités sont la matière première des cybercriminels. Leur exploitation est souvent au cœur des attaques, en particulier lorsqu’elles concernent des produits de sécurité ou des environnements critiques.
- Chaque mois, des dizaines de failles critiques sont publiées.
- Le délai moyen de correction reste trop long dans beaucoup d’organisations.
- Cette inertie offre aux groupes cybercriminels un stock quasi inépuisable de points d’entrée.
Même lorsqu’un collectif semble inactif, ses anciens membres peuvent attendre patiemment qu’une vulnérabilité « facile » apparaisse pour relancer leurs opérations.
💡 Exemple : plusieurs campagnes de rançongiciel récentes ont exploité des vulnérabilités connues depuis plusieurs mois, simplement parce que les correctifs n’avaient pas encore été déployés par toutes les victimes potentielles.
👉 Recommandation : mettre en place une gestion des correctifs agile, prioriser les vulnérabilités exploitées activement et croiser patch management et Threat Intelligence pour réduire la fenêtre d’exposition.
2. L’adoption de nouvelles technologies, notamment l’IA
Les groupes cybercriminels s’adaptent vite aux évolutions technologiques. Aujourd’hui, l’intelligence artificielle est au cœur de cette transformation.
- Elle permet de créer des campagnes de phishing ultra-crédibles.
- Elle facilite la génération de deepfakes vocaux et vidéos.
- Elle accélère l’automatisation des attaques à grande échelle.
Un groupe en sommeil peut ainsi revenir avec un arsenal renforcé par l’IA, multipliant son efficacité et rendant ses attaques plus difficiles à détecter.
💡 Exemple : les fraudes au président ou au faux fournisseur utilisent désormais des voix générées par IA, presque impossibles à distinguer d’une vraie conversation. Imaginez l’effet de levier pour un collectif qui se réorganise autour de ces outils.
👉 Recommandation : intégrer la détection d’anomalies comportementales, renforcer la sensibilisation des équipes aux nouvelles formes de phishing et surveiller activement l’usage malveillant de l’IA dans la Threat Intelligence.
3. La valeur des données volées et des identifiants compromis
Les infostealers et les Initial Access Brokers (IAB) alimentent un marché parallèle florissant.
- Des millions d’identifiants compromis circulent chaque mois.
- Beaucoup sont revendus à bas prix, voire distribués gratuitement.
- Ces bases de données permettent à d’anciens groupes de reprendre rapidement du service.
Un collectif qui semblait disparu peut ainsi exploiter d’anciens jeux de credentials pour initier de nouvelles campagnes, sans effort d’intrusion complexe.
👉 Recommandation : surveiller en continu les fuites de données, déployer des outils de détection de compromission sur le Dark Web, et renforcer l’authentification par MFA pour réduire l’impact de credentials volés.
4. La capacité de réorganisation après perturbation
Un groupe cybercriminel peut être affaibli par une opération de police, un démantèlement de son infrastructure, ou encore des tensions internes entre affiliés. Mais ces coups d’arrêt sont rarement définitifs. En réalité, la majorité de ces collectifs savent se réorganiser rapidement :
- Changement de nom,
- Migration vers de nouvelles infrastructures,
- Fusion avec d’autres collectifs,
- Etc.
💡 Exemple : plusieurs groupes cybercriminels dits « nouveaux » ne sont en réalité que d’anciennes équipes reformées, avec une identité repensée mais des TTPs (Tactics, Techniques, Procedures) similaires.
👉 Recommandation : ne pas se limiter au suivi des noms de groupes, mais cartographier leurs méthodes et leurs infrastructures pour détecter les continuités malgré un changement de façade.
5. Le ciblage des secteurs critiques et à forte valeur
Enfin, certains contextes facilitent le retour d’un groupe cybercriminel. Les tensions géopolitiques, la médiatisation d’un secteur ou la découverte de vulnérabilités critiques dans des environnements sensibles créent un effet d’opportunité.
- La santé, l’énergie ou l’industrie sont des cibles privilégiées.
- Les environnements OT (Operational Technology) sont particulièrement exposés.
- Un groupe en sommeil peut retrouver une attractivité en frappant ces secteurs stratégiques.
💡 Exemple : la hausse des attaques contre les environnements industriels observée ces dernières années démontre que certains groupes s’appuient désormais sur ces cibles pour gagner en visibilité et en rentabilité.
👉 Recommandation : adapter la cybersécurité aux spécificités sectorielles, en combinant surveillance des systèmes critiques, segmentation des réseaux, détection avancée et plans de continuité robustes.
Conclusion : comprendre les cycles de vie cybercriminels
La disparition d’un groupe est rarement définitive. La cybercriminalité fonctionne comme un écosystème vivant, avec des acteurs qui sortent du jeu et d’autres qui apparaissent, mais beaucoup renaissent sous une autre forme.
Pour anticiper ces retours, il faut savoir détecter les signaux faibles : vulnérabilités persistantes, exploitation des données volées, adoption des nouvelles technologies, réorganisations internes et choix stratégiques de cibles.
C’est là que la Threat Intelligence et une détection proactive jouent un rôle essentiel : elles permettent d’identifier non seulement les menaces actives, mais aussi celles en préparation.
Pour en savoir plus sur les stratégies de défense à adopter, téléchargez le Rapport sur l’état de la menace 2024-2025, rédigé conjointement par nos équipes CERT, Audit et SOC.
