Sur l’opération « FortiBleed » et la nouvelle géographie des attaques

Une attaque informatique se raconte rarement comme un événement. Elle n’a pas d’image forte, pas de bruit, pas de fumée. Et pourtant, ce qui s’est produit ce printemps en Belgique mérite d’être regardé en face, parce qu’il dessine une menace d’un genre nouveau — plus discrète, plus profonde, et plus difficile à parer.

Selon les éléments disponibles, au moins 270 organisations belges — administrations locales, cabinets d’avocats, établissements d’enseignement — ont été victimes d’une opération baptisée « FortiBleed », lancée en février 2026 et attribuée à un groupe russe. À l’échelle mondiale, plus de 110 millions d’identifiants d’accès ont été compromis, touchant plus de 75 000 pare-feux. Fin juin 2026, l’attaque était décrite comme toujours en cours. Le Centre pour la Cybersécurité Belgique en a été notifié.

Ce qui change : on n’attaque plus la porte, on attaque le serrurier

Le détail décisif de cette affaire n’est pas le nombre de victimes. C’est le mode opératoire. FortiBleed ne visait pas directement les 270 organisations touchées. L’attaque a ciblé le portail partenaires d’un fabricant de pare-feu, c’est-à-dire un fournisseur. En obtenant les identifiants de milliers de prestataires informatiques, les attaquants ont pu accéder non pas à une organisation, mais à des réseaux entiers de clients.

L’image la plus juste est celle du serrurier. On ne force plus chaque porte l’une après l’autre. On s’introduit chez celui qui détient les clés de tout un quartier, et l’on ouvre ensuite chaque porte sans effort. Une seule compromission chez un intégrateur ouvre l’accès à tous ceux qui lui font confiance. C’est un changement de nature, pas de degré : la vulnérabilité d’une organisation ne dépend plus seulement de ce qu’elle fait elle-même, mais de la solidité de tous ceux à qui elle est reliée.

Et le contexte n’est pas rassurant. En 2025, le CCB avait enregistré 635 notifications d’incidents, soit une hausse d’environ 70 % en un an, dont 556 incidents cyber confirmés. La courbe monte, et la surface d’attaque s’élargit à mesure que nos infrastructures s’interconnectent.

NIS2 n’est pas une formalité, c’est une cartographie

Cette réalité invalide une posture encore trop répandue : celle qui consiste à traiter la directive NIS2 comme une contrainte administrative de plus, une liste de cases à cocher pour être en règle. FortiBleed montre exactement pourquoi cette lecture est fausse. Ce que NIS2 impose — la maîtrise et la surveillance de la chaîne d’approvisionnement, la capacité à savoir de qui l’on dépend — n’est pas une bureaucratie. C’est la réponse directe à la menace que cette attaque incarne.

Connaître sa chaîne de sous-traitance logicielle, savoir quels prestataires ont accès à quels systèmes, être capable de réagir vite quand l’un d’eux est compromis : ce ne sont pas des exigences tatillonnes, ce sont les gestes élémentaires de sécurité à l’âge de l’interdépendance. Une organisation qui ignore de qui elle dépend ne peut pas se protéger, tout simplement parce qu’elle ne sait pas où sont ses portes.

Le faux débat : conformité contre compétitivité

On oppose souvent la sécurité et la performance, comme si sécuriser revenait à ralentir, et se conformer à s’alourdir. Ce partage est une erreur, et FortiBleed le démontre cruellement. Une PME wallonne qui perd ses données parce que son prestataire informatique s’est fait voler ses identifiants n’est ni plus compétitive ni plus conforme : elle est simplement à l’arrêt. Ses commandes ne partent plus, ses clients ne sont plus servis, sa réputation est atteinte. La cybersécurité n’est pas ce qui freine l’activité ; l’insécurité est ce qui la stoppe.

Il faut donc renverser la formule. La cybersécurité n’est pas une charge qui pèserait sur la compétitivité. Elle en est une condition. Un tissu économique sûr est un tissu économique fiable, et la fiabilité est un avantage concurrentiel, surtout dans un continent qui veut faire de la confiance numérique une marque de fabrique.

Et au-delà de l’économie, il y a la souveraineté. Un État qui ne sait pas qui détient les clés de ses administrations, de ses hôpitaux, de ses écoles, n’est pas maître de lui-même. La cybersécurité rejoint ici la question de la souveraineté numérique : dans les deux cas, il s’agit de savoir de qui l’on dépend, et de garder la capacité de décider malgré cette dépendance.

Deux propositions concrètes

Je propose deux mesures qui ne relèvent pas de l’incantation. La première : conditionner l’accès aux marchés publics belges à une attestation d’audit de la chaîne de sous-traitance logicielle. Un fournisseur qui veut travailler pour l’État doit pouvoir démontrer qu’il connaît et maîtrise ses propres dépendances. C’est exigeant, mais c’est le seul moyen de ne pas importer, avec un prestataire, toutes les vulnérabilités de ses propres prestataires.

La seconde : doter le CCB des moyens d’une notification proactive. Aujourd’hui, trop d’organisations découvrent qu’elles ont été touchées longtemps après l’attaque, parfois par la presse. Un centre national de cybersécurité doit pouvoir prévenir les entités concernées dès qu’il identifie une compromission qui les vise, plutôt que de les laisser se découvrir victimes. La rapidité de l’alerte est, dans ce domaine, une part essentielle de la protection.

FortiBleed passera, comme passent les incidents. Mais la leçon, elle, doit rester. La souveraineté numérique ne commence pas par de grands discours ; elle commence par une chose modeste et décisive : savoir qui détient les clés de nos portes.

Sources

• Au moins 270 organisations belges victimes d’une cyberattaque toujours en cours — La Libre, 23 juin 2026
• Au moins 270 organisations belges victimes d’une cyberattaque russe contre un fabricant de pare-feu — L’Avenir, 23 juin 2026
• First port of call in the event of a cyberattack — Centre pour la Cybersécurité Belgique (CCB)