Un outil open source qui automatise les tests d’intrusion grâce à l’intelligence artificielle a servi à voler des données dans des sociétés financières sud-coréennes, selon l’éditeur de sécurité CrowdStrike. Rien de magique dans cette attaque : elle industrialise des techniques connues. C’est justement ce qui doit faire réagir les petites structures.
Ce qui s’est passé
Le 7 octobre 2026, CrowdStrike a décrit une campagne contre des organisations financières sud-coréennes, active de fin septembre à début octobre, qui a abouti à un vol de données (CrowdStrike, 7 octobre 2026). L’attaquant utilisait ARTEX, un outil de test d’intrusion développé en Chine et publié en open source. Un test d’intrusion est normalement une simulation d’attaque commandée par une entreprise pour trouver ses propres failles. ARTEX fait travailler plusieurs « agents » IA, c’est-à-dire des programmes qui enchaînent seuls des actions, en s’appuyant sur de grands modèles de langage comme DeepSeek (The Hacker News, 8 octobre 2026).
Selon des articles de presse coréens repris par CrowdStrike, l’attaquant aurait pénétré, dans une banque, un service de suivi des demandes de prêt utilisé par des courtiers et, dans une autre, un outil mobile destiné aux salariés. Le nombre d’organisations touchées n’est pas confirmé. Selon Reuters, au moins neuf banques sud-coréennes ont déclaré avoir été visées, ou ont été citées comme telles par la presse locale, depuis fin septembre, et la police a ouvert une enquête (Reuters via ThePrint, 8 octobre 2026). Le lien entre chacun de ces incidents et l’outil ARTEX n’est pas établi publiquement.
Comment l’attaque a fonctionné
CrowdStrike n’a pas découvert la campagne chez une victime, mais chez l’attaquant. Des répertoires laissés ouverts sur ses serveurs contenaient l’historique de ses échanges avec un assistant de programmation IA, ses fichiers de configuration ARTEX et ses consignes. On y voit aussi l’attaquant demander à l’assistant où revendre des données coréennes volées.
ARTEX est conçu pour enchaîner automatiquement les étapes classiques d’un test d’intrusion : repérage des services exposés sur Internet, recherche de failles connues, tentatives d’accès. Ce qui change avec l’IA, c’est la vitesse et le volume, pas la nature des techniques. Le déroulé exact chez les victimes (point d’entrée, failles utilisées), lui, n’est pas public.
L’auteur d’ARTEX présentait son outil comme réservé à l’apprentissage et à la recherche. Il en a depuis fermé le code, mais les copies déjà téléchargées restent en circulation.
Le même jour, une autre étude citée par The Hacker News décrit une plateforme pilotée par IA qui teste en masse des identifiants volés sur des sites web : sur 12,3 millions d’essais, 11 832 connexions ont réussi, soit environ une sur mille. Là encore, la technique est ancienne (la réutilisation de mots de passe), c’est l’échelle qui est nouvelle.
Ce qu’on ne sait pas encore
- L’identité de l’attaquant. CrowdStrike estime, avec un niveau de confiance moyen, qu’il s’agit d’une personne sinophone motivée par l’argent. L’éditeur a trouvé des indices personnels dans ses fichiers, mais précise ne pas pouvoir les rattacher à l’attaquant avec certitude.
- Le point d’entrée exact chez les victimes et les failles utilisées.
- Le volume et la nature des données volées.
Ce que ça change pour une PME
L’IA ne rend pas les attaquants plus malins, elle rend les attaques moins chères. Une PME qui se pensait « trop petite pour intéresser un pirate » peut désormais être testée en masse, comme les autres. Les bonnes pratiques de base redeviennent donc décisives.
- Mettez à jour rapidement tout ce qui est visible depuis Internet : site web, messagerie, VPN, outils métier en ligne. Ce sont les premières cibles de ces outils automatiques.
- Activez la double authentification (mot de passe plus un code ou une application) partout où c’est possible, en priorité sur la messagerie et les accès à distance. Elle bloque la plupart des tentatives avec des mots de passe volés.
- Interdisez la réutilisation des mots de passe entre usages personnels et professionnels, et proposez un gestionnaire de mots de passe à vos équipes.
- Si vous commandez un test d’intrusion, gardez une trace écrite du périmètre, des dates et du prestataire, et prévenez votre infogérant. C’est le seul moyen de distinguer un test autorisé d’une vraie attaque qui utilise les mêmes outils.
Dossier : IA et attaques automatisées
Cet article prolonge notre bulletin de veille du 9 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.