L’Inde alerte sur CRAFTY FALCON, une campagne assistée par l’IA visant aussi les plateformes crypto

Une alerte financière qui inclut les acteurs crypto

CERT-In, l’agence indienne de réponse aux incidents informatiques, a publié le 4 novembre une alerte critique sur une campagne financière assistée par l’intelligence artificielle. Son équipe spécialisée CSIRT-Fin désigne l’acteur sous le nom CRAFTY FALCON. L’avis inclut explicitement les plateformes d’échange de cryptomonnaies et les prestataires de services sur actifs numériques, aux côtés des fintechs, prêteurs numériques et acteurs des paiements. Il présente la menace comme active et persistante, sans identifier publiquement une plateforme crypto touchée ni chiffrer ses pertes.

Cette publication actualise un premier avertissement du 9 octobre. Selon l’agence, certaines entités déjà informées et ayant entrepris des corrections ont été attaquées de nouveau après une remédiation incomplète. Les périodes de surveillance réduite, notamment les week-ends et jours fériés, font partie des fenêtres recherchées. Pour le lecteur, cela signifie que l’annonce d’une correction ne suffit pas à établir la fin d’un incident. Ce constat porte sur la campagne décrite par CERT-In ; il ne permet pas d’attribuer à cet acteur toutes les attaques financières récentes.

Les accès techniques comptent autant que les portefeuilles

L’avis relie des intrusions aux environnements de test insuffisamment séparés de la production, aux identifiants partagés et à l’abus d’outils cloud ou d’interfaces applicatives. Il évoque aussi le vol de clés de portefeuilles crypto. L’agence observe des variantes de scripts adaptées rapidement aux réponses des systèmes, un comportement qu’elle associe à l’emploi d’outils d’IA. L’enjeu dépasse donc le seul contrat intelligent : des accès d’administration, des applications et des services de paiement peuvent exposer les fonds avant même leur transfert sur une blockchain.

CERT-In demande de renforcer la surveillance en continu, d’isoler les environnements techniques et de limiter les droits aux besoins réels. Pour les paiements, l’agence recommande des validations côté serveur et un suivi des opérations inhabituelles, notamment lorsqu’un nouveau bénéficiaire reçoit de petits montants puis des transferts importants. Ces contrôles se complètent. Une adresse réseau autorisée ne constitue pas, à elle seule, une preuve que l’instruction provient du bon utilisateur ou qu’une transaction respecte les règles du service.

La remédiation doit être vérifiée dans la durée

Pour les acteurs crypto, les recommandations comprennent la protection matérielle des clés ou leur conservation à froid, plusieurs signatures pour les retraits et la détection d’anomalies. Elles ne constituent pas une garantie d’absence de perte. Après une suspicion de compromission, l’agence appelle à préserver les journaux et les preuves, isoler les systèmes concernés et renouveler les identifiants exposés. La vérification doit établir que l’accès de l’attaquant a été éliminé, puis être prolongée par une recherche périodique de traces de présence.

La partie publique de l’alerte ne contient pas l’ensemble des indicateurs techniques détaillés, transmis aux organismes concernés dans un cadre restreint. Elle fournit néanmoins un message opérationnel clair : bloquer quelques adresses ou corriger une seule faiblesse peut laisser subsister d’autres accès. Pour les utilisateurs, l’avis ne prouve ni une panne générale des plateformes ni une compromission de leur compte. Il documente une campagne précise et souligne la responsabilité des opérateurs dans la protection de leurs infrastructures et de leurs procédures de transfert.