Votre vieux routeur qui clignote dans un coin n’est peut-être pas aussi anodin qu’il en a l’air. Les agences de cybersécurité des États-Unis et de huit autres pays disent avoir observé des hackers liés à l’État russe cibler des routeurs vulnérables ou mal configurés pour s’introduire dans des réseaux d’infrastructures critiques. Le message vise autant les administrateurs réseau que les opérateurs de secteurs sensibles : l’équipement en bordure de réseau reste une porte d’entrée de choix pour collecter des accès et rebondir latéralement.
Dans un avis commun, le FBI, la NSA et plusieurs alliés décrivent une opération attribuée au GRU, le renseignement militaire russe, contre des routeurs de petits bureaux et de particuliers. Au menu : détournement de DNS et accès persistant. Les conseils de défense diffusés par les agences tiennent en quelques gestes concrets : mise à jour du firmware, retrait des équipements en fin de vie, vérification des paramètres DNS et désactivation de l’administration à distance.
Points clés
- Neuf pays alertent sur des hackers liés au GRU russe ciblant des routeurs SOHO vulnérables ou mal configurés.
- Techniques observées : détournement de DNS, accès persistant et rebond vers des réseaux d’infrastructures critiques.
- Les recommandations reposent sur l’hygiène de base : firmware à jour, DNS vérifiés, administration distante coupée, mots de passe par défaut supprimés.
- Un simple redémarrage ne suffit pas à déloger un intrus déjà installé.
Des routeurs en première ligne
Le point faible n’est pas toujours une faille spectaculaire. Un mot de passe par défaut jamais changé, une interface d’administration exposée sur internet, un firmware qui n’a pas vu de correctif depuis des années, des réglages laissés ouverts trop longtemps : autant de fissures suffisantes pour se glisser dans un réseau où circulent déjà des flux sensibles.
Les attaquants visent en particulier les routeurs de catégorie SOHO (pour small office/home office). Une fois le pied dans la porte, ces intrusions servent à intercepter du trafic, rediriger des requêtes ou préparer un accès durable vers des systèmes d’intérêt gouvernemental, militaire ou industriel.
Une alerte coordonnée entre neuf pays
Les autorités n’ont pas seulement signalé une campagne d’intrusion. Elles ont aussi publié des conseils de défense destinés aux administrateurs réseau. Le cœur du message est limpide : un routeur ancien, mal maintenu ou livré avec des paramètres trop permissifs peut devenir une passerelle vers une infrastructure entière.
Les recommandations mises en avant sont directes :
- remplacer les routeurs arrivés en fin de support ;
- installer les derniers correctifs disponibles ;
- vérifier les serveurs DNS configurés sur l’équipement ;
- couper l’administration distante si elle n’est pas indispensable ;
- contrôler les identifiants et supprimer les mots de passe par défaut.
Au-delà du réseau domestique
Washington traite désormais ce sujet comme un risque bien plus large que le foyer ou la petite entreprise. Les opérateurs d’énergie, de transport, d’administration et de télécommunications sont explicitement concernés dès lors que leurs équipements périphériques sont exposés ou mal configurés.
Une précision qui a son importance : contrairement à ce que certains raccourcis médiatiques laissent entendre, un simple redémarrage ne suffit pas à déloger un intrus installé. La correction repose surtout sur l’hygiène de base, ce cousin peu glamour de la cybersécurité que tout le monde promet d’appliquer et que personne ne fait vraiment. Vérifiez l’état de vos équipements avant de supposer qu’un coup de reboot règle l’affaire.
