Ce que l’on sait de la cyberattaque qui a visé plusieurs élus français, attribuée au groupe de hackers chinois APT31

Sept parlementaires français et l’eurodéputé François-Xavier Bellamy ont révélé avoir été la cible d’une campagne de piratage informatique, attribuée à un groupe de hackers soutenu par Pékin. Les faits remontent à 2021, mais les élus dénoncent un manque de réaction des autorités françaises.

L’affaire refait surface en pleine visite d’Etat du président chinois Xi Jinping en France. Sept parlementaires français et un député européen, la tête de liste Les Républicains François-Xavier Bellamy, ont annoncé ces derniers jours avoir été la cible d’une campagne de piratage informatique parrainée par la Chine. Cette cyberattaque, menée en 2021, a été orchestrée par un groupe de hackers directement sous les ordres de Pékin, selon les renseignements américains qui ont révélé l’affaire en mars. Voici ce que l’on sait de cette attaque informatique.

Des pirates chinois ont envoyé des bombes par courrier électronique

Selon un communiqué du ministère américain de la Justice publié le 25 mars, les faits remonteraient à 2021. Les élus visés par le piratage recevaient des emails provenant prétendument de médias ou de journalistes réputés. Ces messages contenaient une ou plusieurs images piégées qui, lors de l’ouverture de l’e-mail, envoyaient à l’expéditeur des informations détaillées sur l’appareil utilisé par la victime. Cette technique dite « d’attaque par pixel » pourra ensuite être utilisée pour affiner d’autres campagnes de phishing afin de les rendre plus efficaces, ont indiqué plusieurs élus français à franceinfo.

Le ministère américain de la Justice a attribué cette attaque à des membres présumés du groupe APT31. Selon les autorités américaines, ce groupe de hackers (également surnommé « Zirconium » ou « Violet Typhoon » par Microsoft) appartient à un programme de cyberespionnage chinois géré par le Département de sécurité de l’État du Hubei, situé dans la ville de Wuhan, et qui dépend directement du Ministère chinois de la Sécurité d’État.

Une centaine d’élus européens ont été visés

Le communiqué des autorités américaines précise que cette cyberattaque APT31 visait « tous les membres européens de l’Alliance interparlementaire sur la Chine », un réseau international d’élus de différents bords politiques créé en 2020 pour agir de manière coordonnée sur différents sujets liés à la Chine (Covid-19, la répression des Ouïghours, les manifestations à Hong Kong, etc.). C’est par ce communiqué que l’ancien sénateur André Gattolin, co-fondateur de ce réseau d’élus, a appris l’existence de cette campagne de piratage et a commencé à enquêter pour retrouver les noms des élus ciblés.

« Les renseignements américains ne pouvaient pas nous donner directement une liste de toutes les personnes ciblées, mais nous leur avons donné des listes de noms et ils nous ont dit si ces personnes avaient été ciblées ou non. »

André Gattolin, ancien sénateur

sur franceinfo

L’Alliance interparlementaire sur la Chine a déterminé que ces courriels avaient été envoyés à « presque 1 000 adresses email, dont 400 particulièrement ciblées »explique le sénateur Olivier Cadic, qui précise que « 116 parlementaires de 15 pays » ont été ciblées parmi ces adresses.

C’est par cette méthode que le réseau des élus a identifié les huit élus français parmi les cibles de l’attaque : les députés Anne Genetet et Constance Le Grip, les sénateurs Olivier Cadic, Isabelle Florennes et Bernard Jomier, les anciens sénateurs André Gattolin et André Vallini, élu au moment de l’attaque informatique, et l’eurodéputé François-Xavier Bellamy. André Gattolin explique à franceinfo qu’il s’est identifié « cinq ou six e-mails » piégés envoyés sur une période allant « du 6 au 26 janvier ».

« On ne sait pas si la tentative de piratage a abouti », précise François-Xavier Bellamy. Tout le monde n’a pas forcément ouvert le mail : Anne Genetet explique à franceinfo qu’elle l’a ouvert par accident en essayant de vérifier si elle avait bien été visée mais ne l’a pas fait au moment de l’attaque. « Le virus était-il toujours actif après trois ans ? Les services de l’Assemblée Nationale n’ont détecté aucun programme malveillant caractéristique d’APT31 dans l’ordinateur »précise le député à franceinfo.

Plusieurs élus expliquent également ne pas avoir retrouvé les mails piégés dans leur boîte mail – mais entre une simple suppression du mail, des changements de collaborateurs, de mandat ou encore d’hémicycle, il est très facile de perdre leur trace. tracer. « Il est possible que d’autres élus ou d’autres personnes plus ou moins proches d’eux aient été ciblés, voire piratés »note André Gattolin, qui ajoute que l’Alliance interparlementaire sur la Chine continue de communiquer avec les renseignements américains.

Des élus visés déplorent le silence de l’Etat

Dans son communiqué du 25 mars, le ministère américain de la Justice a annoncé avoir inculpé sept citoyens chinois pour leur participation présumée à plusieurs campagnes de piratage du groupe APT31. Parmi les élus français visés par l’attaque, quatre ont confirmé à franceinfo avoir porté plainte contre X auprès du tribunal de Paris : André Gattolin, Anne Genetet, Bernard Jomier et François-Xavier Bellamy. Contacté par franceinfo, le parquet de Paris n’a pas répondu.

Tous les élus visés interrogés par franceinfo déplorent le silence de l’État et des entités chargées de lutter contre les ingérences étrangères. « Je n’ai été contacté ni par l’Anssi, ni par Viginum, ni par la DGSI, ni par la DGSE »déplorent par exemple Anne Genetet, André Gattolin et Olivier Cadic tandis que les renseignements américains affirment avoir transmis des informations sur ce piratage aux autorités françaises à partir de 2022, selon le fondateur du réseau des élus.

La grande majorité des informations sur cette affaire ont jusqu’à présent été transmises par les services de renseignement américains. Et la France n’a pas réagi officiellement aux accusations de Washington et des élus. « Le mode de fonctionnement de l’APT31 fait l’objet d’une surveillance particulière », « y compris judiciaire »assurait Prisca Thévenot, porte-parole du gouvernement, le 30 avril.

« Le gouvernement n’exclut pas d’attribuer publiquement ces cyberattaques. »

Prisca Thévenot, porte-parole du gouvernement

cité par l’AFP

Olivier Cadic, vice-président de la commission des affaires étrangères, de la défense et des forces armées du Sénat, a annoncé sa volonté de lancer une mission d’information dont les premières auditions sont prévues en juin. « Ce qui m’importe, c’est de comprendre les motivations de la Chine dans cette attaque, et de déterminer si nous sommes bien protégés en tant que parlementaires en France »précise le sénateur centriste, qui voit ce piratage comme « un acte de guerre contre les institutions » de Pékin. Constance Le Grip, de son côté, a estimé que c’était « il est urgent de sensibiliser les parlementaires au risque de cyberattaques ».