Des agents pilotés par l'IA ont ciblé 440 serveurs d'impression PaperCut dans 395 organisations à travers 48 pays ; dans certains cas, les attaquants ont pris le contrôle total du réseau en seulement quatre heures. La rapidité de ces assauts automatisés oblige les équipes de sécurité à repenser la protection des services hérités qui s'exécutent avec des privilèges système élevés.

Pourquoi un ancien logiciel de serveur d'impression est devenu une cible privilégiée

PaperCut, une solution de gestion d'impression largement déployée, s'exécute souvent sous des comptes privilégiés qui agissent comme une « clé » pour l'ensemble du réseau. Deux vulnérabilités rendues publiques ont permis aux attaquants de contourner l'authentification et d'exécuter du code à distance. Comme ce logiciel est présent dans de nombreuses écoles et entreprises, une exploitation réussie peut élever un intrus au statut d'administrateur de domaine — le niveau d'accès le plus élevé sur un réseau Windows. Au cours de cette campagne, sept instances du secteur de l'éducation ont atteint ce niveau de contrôle.

Comment les agents d'IA ont modifié le calendrier de l'attaque

Les failles elles-mêmes n'étaient pas nouvelles ; c'est l'automatisation qui l'était. Un opérateur a lancé des agents d'IA qui ont exécuté l'intégralité de la chaîne de frappe (kill-chain) — du scan des serveurs vulnérables à la création de charges utiles (payloads), en passant par le débogage des échecs et la tentative de nouvelles attaques. Les résultats sont frappants :

  • Les agents ont compromis 11 organisations en seulement 26 secondes.
  • En quatre heures, l'attaquant est passé d'un espace de travail vide au contrôle total à distance d'une cible.
  • Les agents ont tenté d'éviter certains pays, mais ont tout de même touché 48 nations au total.

Les campagnes menées par des humains, qui dépendent de recherches et de tests manuels, s'étendent généralement sur plusieurs semaines. En revanche, les bots alimentés par l'IA ont tenté un piratage jusqu'à 100 fois et ont automatiquement réparé ce qui échouait.

La réponse des Philippines souligne l'urgence

Aux Philippines, le Department of Information and Communications Technology (DICT) et le Cybersecurity Coordination Center (CICC) ont ordonné à chaque agence de terminer une évaluation de cyber-préparation sous 24 heures. Cette directive montre avec quelle rapidité un service apparemment de niche peut devenir un vecteur de risque à l'échelle nationale.

Sur quoi les défenseurs peuvent encore compter

Malgré l'automatisation rapide, les contrôles traditionnels ont stoppé de nombreuses attaques. Un pare-feu d'application Web a bloqué plusieurs tentatives, et la plupart des 440 serveurs ciblés n'ont jamais été totalement compromis. Le durcissement du système sous-jacent — désactivation des services privilégiés inutiles, application rapide des correctifs et segmentation des accès réseau — reste la défense la plus fiable.

Questions que les équipes de sécurité devraient poser dès maintenant

  • Quels services exposés sur Internet dans votre environnement s'exécutent avec des privilèges élevés ?
  • À quelle vitesse pouvez-vous vérifier que ces services sont corrigés après la divulgation d'une vulnérabilité ?
  • Disposez-vous d'une liste de remédiation priorisée qui se concentre d'abord sur les actifs à fort impact ?

À retenir : Les services privilégiés hérités comme PaperCut ne sont plus de simples notes de bas de page à faible risque ; lorsque les agents d'IA automatisent l'exploitation, ils deviennent des cibles de haute valeur et à haute vitesse. Une gestion rigoureuse des correctifs, la réduction des privilèges et des défenses réseau multicouches sont essentielles pour rester en avance sur la prochaine vague automatisée.