Bitdefender soupçonne une IA d'avoir aidé les pirates qui ont attaqué des écoles britanniques

Entre deux commandes, il s'écoulait 40 à 101 secondes. C'était la même tentative, relancée encore et encore, à l'identique ou retouchée, sur le réseau d'un groupe d'écoles du Royaume-Uni. Ce rythme régulier a mis la puce à l'oreille des analystes de Bitdefender. Le 3 novembre, l'éditeur de sécurité roumain a publié son enquête sur cette attaque, menée par un affilié du rançongiciel 3AM, c'est-à-dire un pirate qui loue ce logiciel de chiffrement à ses auteurs.

L'intrusion s'est déroulée du 10 au 19 septembre 2026. Sur la cinquantaine de machines atteintes, environ 37 ont été chiffrées le 19 septembre au matin. Des données financières ont été volées. On ignore toujours comment les pirates sont entrés.

Neuf jours pour prendre le contrôle du réseau

Dès les premiers jours, les pirates s'en prennent aux sauvegardes. Avec un script public modifié, ils extraient les identifiants stockés sur trois serveurs de sauvegarde Veeam. Ils copient aussi les mots de passe enregistrés dans Chrome, puis utilisent Mimikatz, un outil classique de vol d'identifiants, renommé pour passer inaperçu. Ils créent ensuite deux comptes d'administrateur dont les noms se fondent dans le décor d'une école : « library » et « svc_bkpmon ».

Le réseau était à l'origine découpé en plusieurs domaines séparés. Le 13 septembre, ils cherchent des références à d'autres écoles. Le 18, ils créent des relations de confiance entre trois de ces domaines pour élargir leur accès. Le 19, ils tentent de désinstaller les protections Sophos et Bitdefender. Les protections contre la désinstallation bloquent la manœuvre. Le chiffrement a pourtant lieu, et une sauvegarde système est effacée.

Qu'est-ce qui trahit une IA ?

Bitdefender relève plusieurs indices. Des habitudes d'écriture propres à Linux se retrouvent par erreur dans des commandes Windows, sur trois jours différents. L'appel au logiciel Veeam utilisait un port et une méthode d'authentification qui ne correspondent pas à la documentation officielle. Ce sont des erreurs typiques d'une connaissance récitée de mémoire. Enfin, les tentatives répétées s'enchaînaient vite, alors que les changements de tâche prenaient plusieurs minutes.

Selon l'éditeur, ces indices appuient fortement l'hypothèse de commandes rédigées par un modèle de langage. Rien ne prouve en revanche qu'un agent d'IA choisissait seul chaque action : un humain qui fait des copier-coller entre une console et une fenêtre de discussion pourrait produire le même rythme. Bitdefender décrit une opération hybride, où un humain fixe les objectifs et où l'IA exécute les tâches répétitives. Il la présente comme l'hypothèse sur laquelle les défenseurs doivent s'appuyer, pas comme un fait établi. L'éditeur ne peut rien dire du modèle utilisé : la machine des pirates échappait à sa surveillance.

Les bons réflexes, IA ou pas

Rien de nouveau dans les techniques, insiste Bitdefender : seules les traces changent d'allure. Comme d'autres rançongiciels, tel SafePay, celui-ci a d'abord visé les sauvegardes. L'éditeur recommande :

• de séparer les comptes d'administration de chaque domaine et de soumettre toute nouvelle relation de confiance à validation ;
• d'isoler les serveurs de sauvegarde et de garder des copies qu'aucun compte du domaine ne peut effacer ;
• de réserver l'exécution à distance (WMI, registre distant, tâches planifiées) aux postes d'administration connus ;
• d'installer un agent de sécurité sur chaque machine, sans exception ;
• de surveiller la lecture d'identifiants dans les bases de sauvegarde et la création de relations de confiance entre domaines.

Le Royaume-Uni s'y prépare déjà : son centre national de cybersécurité, le NCSC, a appelé les opérateurs d'infrastructures critiques à se préparer à des rançongiciels pilotés par l'IA d'ici 2028. Ce dossier suggère que certains pirates ont déjà commencé à expérimenter.