Symantec : l’IA a aidé des attaquants à relancer une intrusion enlisée chez un détaillant américain

L’équipe Threat Hunter de Symantec a publié le 12 novembre 2026 un compte rendu détaillé d’une intrusion survenue en septembre dans une organisation de commerce de détail américaine non nommée. Son rapport (en anglais) montre des attaquants qui n’arrivaient à rien à la main, puis qui sont revenus le lendemain avec ce qui ressemble à des commandes générées par IA et ont percé en quelques minutes. Dark Reading (en anglais) en a aussi parlé. C’est l’une des dizaines d’attaques assistées par IA sur lesquelles Symantec dit avoir enquêté depuis mai, la plupart en septembre. Voici ce que montrent les preuves, et ce qu’elles ne montrent pas.

Ce qui s’est passé

• 18 septembre : première activité malveillante, sur trois serveurs Microsoft SQL Server, très probablement par la fonction xp_cmdshell de la base de données. Des scripts ont fouillé les dossiers de synchronisation des points de vente à la recherche de mots de passe enregistrés et ont construit un outil d’élévation de privilèges sur un serveur.
• 21 et 22 septembre : les attaquants ont travaillé à la main sur un serveur Web exposé à Internet. Symantec a compté trois fautes de frappe en 110 actions, comme « pwoershell ». Chaque charge qu’ils ont préparée a été arrêtée par le logiciel de sécurité. Ils ont relancé un chargeur bloqué environ cinq fois en 20 minutes sans changer d’approche.
• 23 septembre : les commandes ont changé. Pendant près de deux heures, les attaquants ont envoyé une cinquantaine de longs scripts PowerShell sans fautes, avec des sections étiquetées comme ===FILES MENTIONING CONN STRINGS===, une gestion des erreurs et une sortie limitée. Ils ont recueilli des identifiants sur le serveur, trouvé le logiciel de surveillance SolarWinds Orion, lu le secret partagé du courtier de messages RabbitMQ fourni avec lui, et utilisé le propre erl.exe d’Orion pour exécuter des commandes sur un deuxième serveur. Cela a pris environ 10 minutes à partir de leur première requête vers Orion.
• 24 au 29 septembre : d’autres serveurs ont été touchés, dont ce qui semble être un contrôleur de domaine. Les attaquants ont sauvegardé des ruches du registre qui contiennent des hachages de mots de passe, cherché la base de données Active Directory et lancé un outil d’attaque par pulvérisation de mots de passe.

Pourquoi Symantec croit que l’IA a joué un rôle

L’indice le plus fort se trouve dans les commentaires. Plusieurs scripts commençaient par un texte qui énonçait une hypothèse, citait des résultats précédents et révisait une conclusion antérieure, à la façon d’un assistant conversationnel qui s’explique. L’un notait que des résultats négatifs précédents venaient d’un canal mandataire connu pour signaler de faux succès, et qu’il fallait donc refaire le test depuis un autre hôte. Symantec dit que des opérateurs humains n’écrivent pas d’habitude ce genre de raisonnement dans une commande ponctuelle envoyée à un web shell.

Symantec juge sa conclusion selon laquelle l’IA a aidé l’attaque très probable (confiance élevée). Elle juge plausible (confiance modérée) l’idée qu’une personne copiait la sortie dans un outil d’IA puis recollait la réponse, plutôt qu’un agent autonome agissant seul, en se fondant sur des écarts d’au moins sept secondes entre les scripts et sur des pauses plus longues avant les changements de stratégie. Elle n’a pas pu identifier le modèle ni le service d’IA.

Ce que le rapport ne montre pas

• Aucune technique nouvelle. Symantec souligne que chaque étape, de la lecture des témoins Erlang à l’extraction des ruches du registre, est documentée depuis des années. Ce que l’IA semble avoir changé, c’est la rapidité et la fiabilité avec lesquelles les attaquants les ont appliquées.
• Qui c’était. Les chargeurs et le serveur de préparation recoupent une intrusion d’août ailleurs et une intrusion de juillet dans une société de valeurs mobilières, sans signe d’IA dans les deux cas. La paire de chargement latéral utilisée a été liée à des chargeurs ShadowPad, et un outil de tunnel vu en août a été utilisé par des attaquants du rançongiciel Warlock. Symantec dit qu’aucun de ces éléments ne suffit à lui seul pour nommer un groupe.
• Ce qui a été pris. Symantec n’a vu ni vol ni chiffrement de données. Elle croit que les attaquants cherchaient fort probablement de l’argent, parce qu’ils ont fouillé les scripts de points de vente à la recherche de mots de passe et ont joint une adresse qu’un autre rapport liait à une opération de vol de données de cartes chez des détaillants en ligne.
• Comment ils sont entrés. Le point d’entrée initial est inconnu.

La tendance plus large

Symantec décrit d’autres cas assistés par IA de juin à septembre, dont un serveur Web d’université au Vietnam, un fournisseur de technologie pour des banques et des télécoms d’Afrique de l’Est et une entreprise hydroélectrique d’Asie du Sud. Un script écrit par IA contenait encore l’espace réservé YOUR_IP là où l’adresse d’un attaquant aurait dû se trouver. Dans l’ensemble des cas, dit-elle, l’IA a apporté de la vitesse et de la persévérance : les attaquants renommaient ou reconstruisaient leurs outils bloqués en quelques secondes ou minutes.

Ce que cela signifie pour vous

Pour les particuliers, rien ici ne change l’essentiel : les détaillants qui détiennent vos données de carte et de fidélité valent la peine d’être attaqués, et la défense se joue de leur côté. Pour les équipes de sécurité, les conseils de Symantec sont concrets. Une tentative bloquée suivie rapidement d’une variante est en soi un signal d’alerte à traiter en priorité, et le blocage selon le comportement compte davantage que la comparaison de noms de fichiers ou de commandes exactes. Elle suggère aussi de mesurer la vitesse à laquelle vous pouvez atténuer une attaque, pas seulement celle à laquelle vous appliquez les correctifs.

Ce que vous pouvez faire

Si vous défendez des serveurs Windows :

1. Désactivez xp_cmdshell sur SQL Server, sauf si vous en avez vraiment besoin.
2. Gardez les mots de passe hors des scripts et des fichiers de configuration, y compris les scripts de synchronisation des points de vente et les outils de surveillance.
3. Protégez les logiciels de surveillance comme SolarWinds Orion, qui détiennent des secrets et peuvent joindre bien d’autres serveurs.
4. Déclenchez une alerte quand un blocage est suivi d’une nouvelle tentative rapide ou d’une variante venant du même hôte.

Comment Frame peut aider

Ce rapport porte sur une intrusion dans une entreprise, pas sur une liste d’adresses courriel personnelles, donc il n’y a pas d’enregistrement de fuite à ajouter dans Frame. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites.

À lire aussi

• Citrus, un rançongiciel qui entre par des sous-traitants et s’aide de l’IA, selon Kaspersky : un autre rapport cette semaine sur des attaquants qui utilisent des scripts générés par IA en pleine attaque.
• Des attaquants ont utilisé AntiFox, un agent de piratage IA libre, pour atteindre des secrets AWS de production : le bout plus automatisé de la même tendance.

Sources

• Symantec Threat Hunter Team, How AI Revived a Stalled Attack on a U.S. Retailer (en anglais), 12 novembre 2026
• Dark Reading, Inside an AI Attack Against a US Retailer (en anglais), 12 novembre 2026