Piratage chinois : le DOJ corrige ses déclarations et réduit le nombre de victimes confirmées

Le Département américain de la Justice vient de modifier un communiqué officiel sur une opération de cyberespionnage chinoise — une correction qui change radicalement la portée de l’affaire.

Des agences aussi sensibles que la NASA, la Réserve fédérale ou le Sénat américain étaient initialement présentées comme des victimes. La réalité est plus nuancée, et le DOJ a dû le reconnaître publiquement.

Cette mise au point soulève des questions sur la rigueur des communications officielles en matière de cybersécurité — et sur l’ampleur réelle de la menace chinoise contre les infrastructures critiques américaines.

Le DOJ rectifie le tir : cibles vs victimes, une distinction capitale

Le 26 août 2026, le Département de la Justice publie un communiqué de presse décrivant une campagne de cyberespionnage orchestrée par QTFY, un groupe parrainé par la République populaire de Chine. Dans sa version initiale, le texte désigne comme victimes une liste d’agences fédérales de premier plan : la NASA, la Réserve fédérale américaine, le Sénat américain, le Département de l’Énergie, le Département de la Justice lui-même, le Département de la Santé et des Services sociaux (HHS), ainsi que les National Institutes of Health (NIH).

Problème : l’affidavit sous-jacent — le document juridique appuyant les saisies de domaines — ne confirme pas des intrusions dans toutes ces entités. Le DOJ corrige donc son communiqué et remplace le terme « victimes » par « cibles ». Une note explicative précise que les modifications visent à « refléter avec précision les allégations du gouvernement dans l’affidavit ».

Cette distinction n’est pas anodine. Dans le domaine de la cybersécurité, être une cible signifie qu’une tentative d’intrusion a été détectée ou supposée — sans que la compromission du système soit prouvée. Être une victime implique une intrusion confirmée avec accès effectif aux données ou aux systèmes. Confondre les deux, dans un communiqué officiel, constitue une erreur factuelle majeure.

Ce que l’affidavit révèle vraiment : des intrusions confirmées, mais limitées

Selon les éléments de l’affidavit, les intrusions réellement confirmées se concentrent sur un périmètre plus restreint que ce que laissait entendre le communiqué initial. En septembre 2024, trois laboratoires nationaux relevant du Département de l’Énergie ont été compromis, ainsi que les NIH, une agence du HHS et un fabricant américain de dispositifs de sécurité informatique.

La tentative de piratage visant la NASA, en revanche, a échoué. L’agence spatiale avait appliqué un correctif sur le logiciel ciblé par QTFY avant que l’intrusion ne puisse aboutir — un cas d’école en matière de gestion des vulnérabilités. Cette précision illustre l’importance critique des mises à jour de sécurité dans la protection des infrastructures sensibles.

La correction du DOJ réduit donc mécaniquement le bilan officiel de cette campagne de cyberespionnage de longue haleine contre les réseaux américains. Elle soulève aussi une question de fond : comment une agence aussi rigoureuse que le Département de la Justice a-t-elle pu publier un communiqué aussi éloigné des faits établis dans son propre affidavit ? Pour les acteurs de la cybersécurité — et pour les marchés crypto qui surveillent de près les risques systémiques liés aux infrastructures financières — ce type d’imprécision officielle alimente une méfiance légitime envers la communication institutionnelle en période de crise.