L'essentiel
Une saisie supprime les outils, pas les expositions qu'ils ont trouvées. Le 8 octobre 2026, le département de la Justice américain et le FBI ont annoncé la saisie, sur décision de justice, de domaines servant à faire fonctionner Microscan, un scanner de vulnérabilités, et FishHub, une plateforme de spear phishing et de logiciels malveillants. Selon les autorités, les deux ont été développés et exploités par Integrity Technology Group, une société pékinoise sous contrats avec l'État chinois, que l'industrie de la sécurité suit sous le nom de Flax Typhoon.
Parmi les cibles citées figurent un fournisseur d'électricité de Caroline du Sud, des aéroports au Japon et en Pologne, des sociétés de gaz et d'électricité taïwanaises et une vingtaine d'universités taïwanaises. Le même jour, la CISA a ajouté à son catalogue des vulnérabilités connues exploitées (KEV) cinq anciennes failles dans ProFTPD, ISC BIND, Apache Struts, ONLYOFFICE Docs et Strapi. Si votre parc fait encore tourner des composants hérités que personne n'a mis à jour depuis des années, c'est exactement le type de campagne qui les trouve en premier.
Qu'a saisi le FBI, et à qui ?
Selon le département de la Justice, Microscan menait des reconnaissances sur les réseaux des victimes pour repérer des vulnérabilités exploitables, à l'aide d'un botnet d'objets connectés infectés par une variante de Mirai. FishHub prenait le relais dès qu'une cible mordait à un e-mail de phishing : la plateforme déployait des logiciels malveillants supplémentaires donnant aux opérateurs un accès à distance et la possibilité de rechercher et d'exfiltrer des fichiers. Selon The Record, Microscan était utilisé depuis 2017.
Des responsables du FBI ont qualifié cette activité d'« aveugle et irresponsable » et indiqué que l'opération visait à priver les opérateurs de cette capacité, rapporte l'Associated Press. L'avis multinational publié en parallèle documente aussi une opération de vol d'e-mails visant des administrations, des forces de l'ordre, des établissements de santé et des organisations religieuses, ainsi qu'un outil servant à pénétrer Microsoft Exchange par attaques sur les mots de passe. C'est la deuxième perturbation de l'infrastructure d'Integrity Tech en deux ans environ.
Pourquoi des failles vieilles de dix ans restent-elles la porte d’entrée ?
Les failles ajoutées par la CISA à sa liste le 8 octobre n'ont rien de nouveau. Celles de ProFTPD et de BIND datent de 2015, celle d'Apache Struts de 2016, celle d'ONLYOFFICE de 2021 et celle de Strapi de 2023. Des correctifs existent pour toutes depuis des années. BleepingComputer, qui a examiné les documents judiciaires, les range parmi les CVE les plus souvent ciblées par Flax Typhoon, avec d'anciennes failles de Bash et de Pulse Secure VPN et une faille GitLab de 2021.
Ce schéma est courant dans les grandes campagnes de scan. Les scanners automatisés coûtent peu, et le gain vient de la longue traîne : un serveur FTP oublié, un serveur DNS interne exposé après une modification de pare-feu, une application Struts sans propriétaire, un CMS auto-hébergé déployé pour une campagne marketing et jamais mis à jour. Aucun ne nécessite de zero-day.
Ce que cela change pour les équipes logicielles aux États-Unis et dans l'UE
D'abord, votre surface d'attaque inclut tout ce qu'un prestataire ou un ancien projet a laissé derrière lui. La plupart des organisations connaissent leur stack applicative principale. Moins nombreuses sont celles qui peuvent dire, en moins d'une heure, quelles versions de serveurs FTP, DNS, documentaires et de CMS headless sont accessibles depuis Internet. Les outils de type Microscan répondent à cette question en continu pour les attaquants.
Ensuite, les régulateurs considèrent déjà les failles connues non corrigées comme un défaut de gouvernance. Dans l'UE, NIS2 et DORA attendent des entités concernées une gestion documentée des vulnérabilités et des correctifs appliqués dans des délais raisonnables ; un incident qui commence par une CVE de 2015 est difficile à défendre lors d'un retour d'expérience. Aux États-Unis, le catalogue KEV de la CISA ne s'impose qu'aux agences fédérales civiles, mais les grands clients et les cyberassureurs l'utilisent de plus en plus comme référence dans leurs questionnaires de sécurité.
Enfin, le phishing reste la seconde moitié de la chaîne. FishHub transformait un e-mail de phishing réussi en accès persistant. Le scan trouve le serveur faible ; le phishing trouve la personne qui a accès à tout le reste. La défense doit couvrir les deux : correctifs et MFA résistante au phishing, pas l'un ou l'autre.
Quelles conséquences pour les entreprises françaises ?
Un aéroport polonais figure parmi les cibles citées : ce type de campagne ne s'arrête pas aux frontières de l'UE, et les opérateurs européens d'infrastructures critiques sont dans le même périmètre de scan. En France, le constat est familier : le CERT-FR de l'ANSSI publie régulièrement des alertes sur des vulnérabilités anciennes mais toujours exploitées, et ses rapports sur l'état de la menace décrivent les équipements exposés et non corrigés en bordure de réseau comme l'un des premiers vecteurs d'intrusion. Dans les ETI, les collectivités et les établissements de santé, le serveur FTP hérité ou le CMS d'une ancienne campagne ont souvent survécu à leur prestataire.
Côté réglementation, la transposition de NIS2 étend fortement le nombre d'entités essentielles et importantes soumises à des obligations de gestion des risques et de notification, en plus des opérateurs d'importance vitale (OIV) déjà encadrés. Le guide d'hygiène informatique de l'ANSSI fait de l'inventaire des actifs et de l'application des correctifs des mesures de base ; une faille de 2015 exploitée sera difficile à justifier face à l'ANSSI comme face à un assureur. Concrètement : inventoriez vos actifs exposés, utilisez la liste KEV et les avis du CERT-FR pour prioriser les correctifs, et documentez au fil de l'eau ce que vous corrigez ou retirez.
Que vérifier dès cette semaine ?
- Rechercher les cinq entrées KEV. ProFTPD (CVE-2015-3306), ISC BIND (CVE-2015-5477), Apache Struts avec Dynamic Method Invocation activé (CVE-2016-3081), ONLYOFFICE Docs (CVE-2021-3199) et Strapi (CVE-2023-22894), en production, en préproduction et sur les hôtes oubliés.
- Construire un inventaire des actifs externes. Recenser chaque IP publique, nom d'hôte et service exposé avec sa version logicielle, y compris les systèmes hébergés par des prestataires et les anciens sites de campagne.
- Retirer ce que vous ne pouvez pas corriger. Si un composant n'est plus maintenu, isolez-le derrière un VPN ou supprimez-le. Un service non corrigé et sans propriétaire est la cible idéale d'un scan automatisé.
- Imposer la MFA partout, y compris sur Exchange et le VPN. L'avis décrit des attaques par mot de passe contre Microsoft Exchange ; une MFA résistante au phishing neutralise à la fois le password spraying et les identifiants hameçonnés.
- Vérifier les indicateurs. Passer en revue les indicateurs de compromission de l'avis conjoint et rechercher dans les journaux DNS et proxy tout trafic vers les domaines saisis.
Questions fréquentes
Qu'a saisi le FBI chez Flax Typhoon ?
Le 8 octobre 2026, le département de la Justice et le FBI ont annoncé la saisie, sur décision de justice, de domaines servant à faire fonctionner Microscan, un outil de scan de vulnérabilités, et FishHub, une plateforme de spear phishing et de logiciels malveillants. Le FBI indique que sept domaines ont été saisis. Selon les autorités, les deux outils ont été développés et exploités par Integrity Technology Group, une société chinoise sous contrats publics liée à Flax Typhoon.
Qui a été ciblé par Microscan et FishHub ?
Parmi les cibles citées par les autorités américaines figurent un fournisseur d'électricité de Caroline du Sud, des aéroports au Japon et en Pologne, une ONG multinationale, des sociétés taïwanaises de gaz naturel et d'électricité, ainsi qu'une vingtaine d'universités taïwanaises victimes de FishHub.
Quelles failles corriger en priorité ?
Commencez par les cinq failles ajoutées par la CISA à son catalogue des vulnérabilités connues exploitées le 8 octobre 2026 : ProFTPD CVE-2015-3306, ISC BIND CVE-2015-5477, Apache Struts CVE-2016-3081, ONLYOFFICE Docs CVE-2021-3199 et Strapi CVE-2023-22894. Vérifiez ensuite les anciennes failles de Bash, Pulse Secure VPN et GitLab également ciblées par Flax Typhoon.
La saisie des domaines nous protège-t-elle ?
Non. La saisie perturbe les outils d'un opérateur, mais les systèmes vulnérables que ces outils ont repérés le restent tant qu'ils ne sont pas corrigés, isolés ou retirés. D'autres groupes utilisent des scanners similaires contre les mêmes failles connues.
Le catalogue KEV de la CISA s'impose-t-il aux entreprises françaises ?
Les délais contraignants ne s'appliquent qu'aux agences fédérales civiles américaines. Les entreprises privées n'y sont pas juridiquement tenues, mais les grands clients, les auditeurs et les cyberassureurs l'utilisent largement pour juger la discipline de correction. Dans l'UE, NIS2 et DORA exigent des entités concernées une gestion documentée des vulnérabilités ; la liste KEV est une base pratique de priorisation.
Sources
US Department of Justice — Justice Department and FBI seize vulnerability scanning and spear phishing tools operated and used by China state-sponsored hackers
Associated Press (via Fortune) — FBI says it seized phishing tools used by Chinese hackers in ‘indiscriminate and reckless’ cyber operation
The Record — International coalition seizes tools used by cyber firm behind Flax Typhoon
BleepingComputer — FBI disrupts Chinese hacking tools used to breach critical infrastructure