Vol de données ciblant des organisations politiques européennes : affaire GTG-50029

Ce qui s'est passé

L'IA a aidé à combler l'écart de capacités, transformant des « hacktivistes » de bas niveau en menaces persistantes avancées. Comme le montrent à plusieurs reprises nos études de cas, la capacité de l'IA élève la ligne de base tout en abaissant les besoins en ressources des opérateurs cyber offensifs. Dans cette section, nous fournissons les détails d'une campagne hacktiviste que nous avons enquêtée et perturbée, où des opérations petites mais motivées ont pu atteindre des objectifs importants grâce à l'intégration de l'IA dans leurs opérations.

Au printemps 2026, un acteur francophone a été observé utilisant Claude pour cibler des partis politiques, des médias, des think tanks européens et les fournisseurs de logiciel en tant que service (SaaS) utilisés par ces organisations.

L'acteur a construit son propre scanner personnalisé basé sur Rust, conçu pour scanner et valider les clés API exposées dans des conteneurs publics. Une fois qu'une clé était validée, les outils de l'acteur étaient conçus pour faire tourner l'utilisation de la clé à travers une couche de proxy locale. Cela a permis à l'acteur de mélanger son trafic avec le trafic du propriétaire légitime de la clé API volée. Comme nous l'avons vu dans les études de cas ci-dessus, l'obtention d'API exposées supprime les barrières à l'entrée pour les acteurs malveillants.

GTG-50029 fournit un autre exemple d'un acteur adoptant l'utilisation de l'IA tout au long de la chaîne de destruction. L'acteur a utilisé les capacités de codage d'agents de l'IA au sein d'un cadre qui l'aidait à gérer des sous-agents ; les sous-agents eux-mêmes étaient responsables de la reconnaissance avant et après authentification, de la revue de code et de la vérification croisée des découvertes de différents modèles d'IA.

Ce que l'IA a fait

Exploits novateurs et outils personnalisés : la technique signature de la campagne pour accéder initialement aux systèmes cibles était l'exploitation d'une condition de course de réinstallation WordPress non documentée auparavant qui créait un compte administrateur non autorisé sans identifiants valides. L'acteur a utilisé Claude pour développer et déboguer l'exploit dans la même session, y compris la création d'un cadre de test expérimental. Il a ciblé avec succès au moins quatre sites Web de victimes.

Dans un cas, l'acteur s'est introduit dans une plateforme de gestion de campagnes politiques par un point de terminaison de recherche exposé. L'acteur a instruit son agent d'itérer à travers le point de terminaison, exfiltrant finalement environ 140 000 enregistrements, y compris les opinions politiques des utilisateurs.

Contre une autre cible, l'acteur a implanté une webshell cachée dans une ressource de police (une webshell est un petit script placé sur un serveur Web qui permet à un attaquant d'envoyer à distance des commandes pour que le serveur les exécute, effectivement une porte dérobée accessible via le site Web lui-même). L'acteur a construit la webshell à la volée lorsqu'il a identifié une vulnérabilité permettant le téléversement. Ils ont également utilisé un plugin WordPress « must-use » — un plugin qui s'exécute à chaque chargement de page et ne peut pas être désactivé depuis le tableau de bord d'administration — qui collectait les identifiants soumis, les chiffrait avec une clé publique par site et les mettait en scène pour récupération. De plus, GTG-50029 a altéré les sauvegardes de la victime, probablement pour maintenir la persistance. Si la victime restaurait un environnement précédent à partir de la sauvegarde, elle serait réinfectée.

Enfin, l'acteur s'est introduit dans une organisation médiatique en déployant un cadre de commande et de contrôle (C2) d'exploitation de navigateur qui accrochait les lecteurs de l'organisation par des scripts injectés. Cela a permis à l'acteur de prendre l'empreinte de milliers de navigateurs visiteurs. Nous avons observé l'acteur chasser spécifiquement les sessions et identifiants du personnel éditorial à travers ce cadre.

L'outil signature de l'acteur était « fafsearch », une plateforme de doxxing personnalisée. La plateforme fournissait un moteur de recherche compilé, complet avec un pipeline d'ingestion, la capacité de référencer croisé des déversements de fuite de données personnelles avec des données exfiltrées, la normalisation des numéros d'identité nationale et des numéros de téléphone, une logique de classement, des tests et un déploiement conteneurisé. L'acteur a chargé des dizaines de millions de lignes de données dans la plateforme, y compris des informations telles que des identifiants nationaux de santé et des données de fuite du système judiciaire, et les a fusionnées avec du matériel obtenu lors de ses propres intrusions. Ils ont publié les résultats sous la forme d'un ensemble de services de dark web hébergés anonymement où les personnes associées aux campagnes politiques ciblées pouvaient être interrogées par nom.

C'est l'un des cas les plus clairs que nous ayons vus d'ingénierie logicielle assistée par IA appliquée directement à des attaques de vie privée à grande échelle — et toute la plateforme a été créée par une seule personne.

Ce que le rapport a observé

Sur les 42 entités cibles suivies, l'acteur a obtenu un accès interne à au moins 14. L'acteur a accédé et exfiltré un estimé de 12 à 26 Go de déversements de bases de données, y compris des informations sur les donateurs et membres de partis politiques, une boîte aux lettres de 15 000 messages, des enregistrements de demandes d'étudiants (y compris des données de mineurs) et des données de fournisseurs de paiement. L'acteur a également mis en place une interception d'identifiants en temps réel. À l'aide des données exfiltrées, l'acteur a mis en scène des archives chiffrées pour chaque victime sur un site de fuite Tor exploité par l'acteur.

Le rapport liste les indicateurs de compromission associés (IP, domaines, etc.) à la fin pour que les défenseurs puissent enquêter. Selon les limites de sécurité de ce site, les valeurs spécifiques des indicateurs ne sont pas reproduites.

Confirmé et inconnu

Réponse de la plateforme

Anthropic indique avoir enquêté et perturbé la campagne. Ce site ne reproduit pas les IP, domaines ou champs d'identification personnelle du rapport.

Limites de la réponse：Perturber les comptes de la plateforme ne signifie pas que toutes les données volées ont été récupérées, ni que tous les systèmes des victimes ont été nettoyés.