Chronique · édition de nuit N24 · fenêtre 24 h

Quand la publicité, les agents IA et la cryptographie post-quantique passent du côté des services

Nuit du mercredi 28 au jeudi 29 octobre 2026, arrêtée à 1 h 30 (heure de Paris). Six affaires publiées entre le 21 et le 28 octobre. Chaque fait porte une cote de fiabilité de la source (A, B, C) et un niveau de confirmation.

00À retenir

Reuters identifie l'israélienne Discover-Tech comme premier enchérisseur sur le trafic publicitaire Starlink dans 105 pays ; la finalité de surveillance reste une évaluation, pas un fait établi.
Le CPS britannique inculpe deux hommes de 24 ans sous le National Security Act 2023 après l'incident de RAF Fairford ; l'un est accusé d'avoir assisté un service de renseignement étranger.
TrendAI documente une plateforme d'attaque pilotée par 44 agents IA contre au moins 19 organisations, dont 16 au Japon.
Kaspersky attribue à Lazarus l'opération FlashHole, qui protège ses charges avec ML-KEM-1024 — un acteur étatique en avance sur beaucoup de produits de sécurité en matière post-quantique.
Un contractant de la CIA est arrêté pour transmission non autorisée d'informations de défense nationale à une journaliste Substack avec laquelle il était en relation.

01Surveillance et marché de l'espionnage

Cote A Confirmé (Reuters + reprises multiples) Finalité de surveillance : évaluation des chercheurs

Starlink : une régie publicitaire israélienne premier enchérisseur dans 105 pays

Reuters a publié le 27 octobre, sous la signature de Raphael Satter, une enquête fondée sur six sources selon laquelle la société israélienne de technologie publicitaire Discover-Tech est l'acheteur massif d'annonces visant les utilisateurs de Starlink que les chercheurs de TrendAI, filiale de Trend Micro, avaient décrit sans le nommer.

Dans son rapport public, TrendAI désigne l'acteur sous le nom de code Shadow-Earth-79 et évalue, avec une confiance qualifiée de moyenne à élevée, qu'il s'agit d'une infrastructure de ciblage et de pistage plutôt que d'une activité publicitaire commerciale. L'enchérisseur était en tête sur l'espace d'adressage Starlink (AS14593) dans 105 pays, avec 12,9 % des impressions observées sur ce trafic contre 2,6 % sur le trafic général. Il apparaît premier acheteur en Syrie, en Libye, au Yémen et au Soudan du Sud, ainsi que dans des pays où le service est interdit ou restreint.

Le mécanisme est celui des enchères en temps réel : chaque demande d'enchère transporte des informations sur l'appareil et la connexion, et l'enchérisseur les reçoit qu'il remporte ou non l'enchère. Aucune infection d'appareil Starlink n'est documentée à ce stade — la volumétrie d'enchères établit une exposition, pas une compromission.

Cote B Rapport primaire Citizen Lab, repris par plusieurs médias spécialisés

L'antécédent : AdFection, la publicité ciblée comme vecteur de spyware

Le volet Starlink prolonge un rapport du Citizen Lab publié le 15 octobre, intitulé « Exposing AdFection ». Les chercheurs y décrivent des publicités achetées par Discover-Tech conduisant à l'infection d'appareils sans aucun clic, et attribuent la charge finale au spyware Candiru avec une confiance élevée, sur la base d'empreintes d'infrastructure et de similarités techniques avec un échantillon analysé en 2021. Au moins 45 appareils d'Al Jazeera auraient été visés en 2024 et 2025.

Les conséquences industrielles sont intervenues début octobre : Google a retiré l'entreprise de ses registres de fournisseurs et coupé son accès à ses places de marché publicitaires, l'IAB Europe l'a suspendue de sa Global Vendor List, Beeswax (filiale de Comcast) l'a retirée de sa plateforme d'achat, Eskimi a bloqué ses comptes et domaines, Vungle a suspendu son accès le temps d'un examen.

02Contre-espionnage et judiciaire

Cote A Confirmé (source primaire CPS + agences) Poursuites en cours, présomption d'innocence

RAF Fairford : deux inculpations sous le National Security Act 2023

Le Crown Prosecution Service a annoncé le 27 octobre l'inculpation de Mohmed Abdulkarim et Nouman Essghir, 24 ans tous les deux, résidant dans l'arrondissement de Westminster. Abdulkarim est poursuivi pour une conduite de nature à assister matériellement un service de renseignement étranger dans des activités liées au Royaume-Uni, au titre de l'article 3(2) du National Security Act 2023. Essghir est poursuivi pour s'être approché d'un lieu interdit, le 22 août 2026, à des fins préjudiciables à la sûreté ou aux intérêts du Royaume-Uni.

La première audience s'est tenue le 27 octobre devant la Westminster Magistrates' Court. Essghir a été placé en détention jusqu'à une audience fixée au 20 novembre à l'Old Bailey ; Abdulkarim a été remis en liberté sous caution. La police et la presse britannique rattachent l'affaire à l'Iran ; cette attribution relève des déclarations officielles et n'est pas établie judiciairement. D'autres personnes interpellées dans le cadre de l'enquête restent sous caution ou ont été relâchées sans charge, et la police a dû défendre publiquement ces remises en liberté.

Cote A Confirmé (affidavit FBI, annonce DOJ) Allégations ; présomption d'innocence

Un contractant de la CIA arrêté pour fuite vers une journaliste Substack

Le FBI a arrêté le vendredi 23 octobre Ian A. Brinksman, contractant gouvernemental basé à Washington, poursuivi pour transmission non autorisée d'informations de défense nationale au titre du 18 U.S.C. § 793(d), devant le district Est de Virginie. Selon l'affidavit, il a consulté entre mars et octobre 2026 cinq rapports de renseignement classifiés Top Secret / SCI sans rapport avec ses fonctions, qui consistaient à transférer des données entre systèmes classifiés et non classifiés.

L'affidavit décrit un motif répété : un contact téléphonique avec une personne désignée « Individual 1 », une consultation dans la base classifiée, puis un article publié sur la newsletter Substack de cette personne reprenant le contenu du rapport. Les enquêteurs comptabilisent plus de 800 appels ou tentatives d'appel au cours de 2026. Une autorité de classification a confirmé que les articles contenaient des informations classifiées reflétant ces rapports. Le contenu précis des rapports relève, lui, de reprises de presse non recoupées.

03Cyber : agents IA et post-quantique

Cote B Rapport primaire de l'éditeur, repris par la presse spécialisée Volumétrie en plancher ; attribution non établie

Japon : 44 agents IA pour automatiser la chaîne d'intrusion

TrendAI a publié le 27 octobre l'analyse de trois infrastructures d'attaque visant le Japon, reconstituées à partir de répertoires laissés ouverts sur des serveurs contrôlés par les attaquants. Le premier cas repose sur CyberStrikeAI, une plateforme open source de test d'intrusion construite autour d'agents IA : 44 agents se répartissaient reconnaissance, exploitation et production de rapports. Sur une période courte d'octobre, au moins 19 organisations identifiables, dont au moins 16 au Japon, ont fait l'objet d'une activité de validation, chacune recevant un rapport au même format avec son index de preuves.

Les deux autres cas montrent des degrés moindres d'implication de l'IA : usage large en planification et développement d'outils dans l'un, usage limité au développement de scripts dans l'autre. Les cibles sont des systèmes web anciens de petites entreprises et de collectivités, des équipements VPN exposés et des serveurs WebLogic. Les chercheurs ne concluent pas à une campagne étatique : l'identité des attaquants, les modèles employés et les liens éventuels entre les trois infrastructures restent indéterminés. Leur formule résume l'enjeu : l'IA augmente les effectifs de l'attaquant, mais le travail reste de chercher des portes ouvertes.

Cote B Rapport primaire de l'éditeur, repris par plusieurs médias Vecteur d'accès initial non confirmé

Lazarus chiffre ses charges en post-quantique : l'opération FlashHole

Kaspersky a présenté le 21 octobre, lors de son Security Analyst Summit à Bali, l'opération FlashHole, attribuée au groupe nord-coréen Lazarus et active depuis au moins juillet 2025. Au moins trois organisations sud-coréennes sont touchées, dans la construction, le logiciel et la fabrication d'équipements de communication filaire. La campagne détourne un logiciel de sécurité financière d'usage obligatoire en Corée du Sud pour atteindre les postes, dans le prolongement de l'opération SyncHole documentée en avril 2025.

Le point qui intéresse directement la transition post-quantique : l'outil LPEClient, utilisé par le groupe depuis 2019 pour le profilage et la livraison de charges, reçoit désormais quatre clés publiques ML-KEM-1024 depuis le serveur de commande et en dérive des secrets partagés qui protègent les charges téléchargées ensuite. ML-KEM est le mécanisme d'encapsulation de clé standardisé par le NIST en 2024, dérivé de CRYSTALS-Kyber. Kaspersky fait remonter l'usage de cryptographie post-quantique par ce groupe à septembre 2024 au moins. Autrement dit, un acteur étatique a adopté le standard plus vite que beaucoup de produits légitimes — et pour protéger ses propres communications contre l'analyse défensive.

04Mesures actives et influence

Cote C Collectif engagé, fuite non vérifiable de façon indépendante

Budapest : une manifestation pro-Paks II préparée avec une empreinte SVR

InformNapalm, communauté OSINT ukrainienne, a publié le 26 octobre avec le groupe d'analyse Ukrainian Militant une enquête CYBINT reliant des personnes liées au service de renseignement extérieur russe (SVR) à la préparation d'un rassemblement de soutien à Paks II, le programme de construction de deux réacteurs confié à Rosatom en Hongrie. L'enquête s'appuie sur des documents, de la correspondance et des métadonnées issus d'une fuite attribuée au groupe hacktiviste 256 Cyber Assault Division.

Les documents exploités font état d'un courriel du 16 septembre dans lequel le colonel Timur Sirtlanov demande à la lieutenant-colonelle Irina Parman, présentée comme enseignante à l'Académie du SVR sur les méthodes psychologiques appliquées à l'activité opérationnelle, un profilage en vue d'une « mesure active » à Budapest. Des annonces anonymes sur Facebook et un groupe Telegram organisaient le rassemblement sans jamais mentionner Rosatom ni Paks II, avec évocation de rémunération des participants. Prévu le 20 septembre puis reporté au 26, le rassemblement a été annulé peu avant son début et n'a jamais eu lieu.

Réserve méthodologique : la source est un collectif partie prenante au conflit, exploitant une fuite que personne ne peut authentifier de l'extérieur. L'enquête elle-même précise qu'elle n'établit pas un contrôle direct du rassemblement par le SVR. À traiter comme une piste documentée, pas comme un fait établi.

05Ce que cette chronique corrige

Le brief de départ de cette nuit comportait quatre écarts avec les sources primaires. Ils sont signalés ici plutôt que corrigés en silence.

Date de FlashHole. La divulgation par Kaspersky date du 21 octobre, au Security Analyst Summit, et non du 27.
Périmètre Starlink. Le chiffre documenté est 105 pays, et la comparaison exacte est 12,9 % des impressions sur le trafic Starlink contre 2,6 % sur le trafic général. L'Afghanistan ne figure pas dans la liste des pays où l'enchérisseur est cité comme premier acheteur ; les quatre pays nommés sont la Syrie, la Libye, le Yémen et le Soudan du Sud.
Volumétrie japonaise. Au moins 19 organisations au total, dont au moins 16 au Japon — et il s'agit de planchers, pas de totaux.
Suspects de Fairford. Le chiffre de cinq suspects restant sous caution n'est pas confirmé par les sources consultées ; les comptes rendus font état de remises en liberté sous caution et d'au moins une libération sans charge, sans total stable.

06Ce que cette édition ne dit pas

Aucune infection Starlink documentée. Les données d'enchères établissent un ciblage et une exposition ; aucune compromission d'appareil connecté via Starlink n'est publiquement confirmée.
Aucune attribution étatique sur le volet japonais. TrendAI décrit des infrastructures, pas un commanditaire.
Pas de ligne vérifiée sur l'activité russe en Allemagne ni sur les groupes évoqués en marge du dossier japonais : ces éléments figuraient dans le brief sans source exploitable et ne sont pas repris.