En 2024, le paysage des menaces envers les SaaS (software-as-a-service) a explosé, entraînant une hausse vertigineuse des attaques et des pertes estimées à 3,5 milliards de dollars. Alors que les cybercriminels ciblent de plus en plus ces services cloud, les entreprises doivent renforcer leurs stratégies de protection. Découvrez les groupes de hackers les plus actifs à surveiller en 2025 et comment mieux sécuriser votre infrastructure SaaS.
Shinyhunters : un groupe cybercriminel expert des configurations cloud
Les cibles principales de shinyhunters
shinyhunters, un collectif de cybercriminels bien connu, a marqué 2024 par une série de brèches remarquables dans les systèmes SaaS d’entreprises comme Authy, Ticketmaster et Snowflake. Exploitant une simple erreur de configuration chez les utilisateurs de Snowflake, le groupe a réussi à voler et publier des données sensibles, provoquant des dommages systémiques. Leur modus operandi n’implique pas de vulnérabilités au niveau des fournisseurs, mais plutôt une exploitation stratégique des lacunes de sécurité chez leurs clients SaaS.
Leçons et stratégies pour contrer shinyhunters
Les campagnes de shinyhunters ont exposé des lacunes dans la mise en œuvre de principes fondamentaux tels que l’activation de l’authentification multifactorielle (MFA) et une gestion rigoureuse des listes d’accès autorisées. Pour contrer ce type de menace, il est recommandé d’effectuer des audits réguliers des configurations, de faire pivoter les identifiants et de protéger les environnements SaaS avec des outils capables d’identifier les mauvais paramètres.
Alphv et ransomhub : un feuilleton entre cybercriminels
Alphv : les maîtres de la tromperie
Connu sous le nom de BlackCat, alphv a fait parler de lui en 2024 avec une attaque majeure contre Change Healthcare, extorquant la somme astronomique de 22 millions de dollars. Mais ce groupe s’est aussi montré créatif en simulant une saisie par le FBI afin de semer le doute chez les forces de l’ordre et ses affiliés. Cette tentative de distraction a néanmoins engendré des tensions avec ransomwarehub, un affilié déçu par la répartition des butins volés.
Aansomhub : le début d’une ascension
RansomHub, émergeant d’un conflit avec alphv, n’a pas ralenti sa cadence. En exploitant les failles des intégrations tierces et d’authentification déficiente, ce groupe a ciblé des entreprises comme Frontier Communications, mettant en lumière les dangers d’une mauvaise gestion des identités cloud. Les revendications autour des données volées ont ajouté à leur notoriété dans le milieu du ransomware.
Prévenir et détecter les ransomware en entreprise
Pour éviter ce type de brèches, il est impératif de surveiller les fuites d’identifiants sur le dark web, de centraliser les processus d’authentification avec des outils comme le single sign-on (SSO), et de privilégier des stratégies proactives comme la détection des sessions suspectes via des analyses comportementales (UEBA).
Lockbit et midnight blizzard : des approches différentes mais tout aussi redoutables
lockbit : la persévérance au cœur de l’attaque
Malgré des efforts considérables de la part des agences comme le FBI avec l’opération Cronos, LockBit continue de cibler des entreprises fintech comme Evolve Bank & Trust. Leur méthode repose sur une attaque en chaîne, compromettant les fournisseurs pour toucher des plateformes connexes comme Affirm et Wise. Ils illustrent parfaitement la manière dont les acteurs de la cybersécurité doivent gérer les risques liés à la chaîne d’approvisionnement.
midnight blizzard : l’espionnage sophistiqué
À l’opposé des groupes motivés par le gain financier, Midnight Blizzard, identifié comme une APT (Advanced Persistent Threat), travaille dans l’ombre pour des actions d’espionnage cybernétique. En exploitant des failles dans des outils comme TeamViewer, ce groupe soutenu par l’État russe reste invisible pendant des mois, compromettant en silence des données critiques. Ce type d’acteur met en évidence l’importance de surveiller les activités suspectes à long terme dans les réseaux.
adopter une vigilance renforcée face à ces menaces modernes
L’utilisation de technologies comme les outils de détection des menaces et les audits automatisés des configurations SaaS peut minimiser les voies d’attaque, empêchant les acteurs comme Midnight Blizzard de se maintenir dans les systèmes.
La relève et les acteurs en attente de rebond
Alors que Hellcat, un acteur nouvellement apparu en 2024, prépare des attaques plus agressives pour 2025, Scattered Spider demeure sous surveillance malgré un ralentissement de ses activités suite à une série d’arrestations. Ces groupes rappellent que les menaces évoluent constamment, et même les acteurs « endormis » peuvent redevenir actifs à tout moment.
En 2025, les entreprises faisant appel à des services SaaS doivent prioriser les évaluations des risques avec des outils avancés tels qu’un SSPM (SaaS Security Posture Management). Chez CyberCare, nous proposons des solutions complètes pour sécuriser vos infrastructures grâce à des outils de détection proactive et un suivi en temps réel des menaces dans vos systèmes SaaS.
