Définition

C'est quoi une APT ?

Q: Quels sont les principaux groupes APT connus ?

Quelques groupes documentés. Russie : APT28 (Fancy Bear, GRU), APT29 (Cozy Bear, SVR), Sandworm. Chine : APT1 (PLA), APT10, APT41, Mustang Panda. Corée du Nord : Lazarus Group (vols crypto, attaque Sony), Kimsuky. Iran : APT33, MuddyWater. France : très probablement plusieurs groupes attribués (Animal Farm, Snowglobe), publiquement non revendiqués.

Q: Comment détecte-t-on une APT ?

Très difficile par construction : l'APT évite les outils de détection classiques. Approches efficaces : EDR/XDR avec analyse comportementale, threat hunting actif (recherche proactive d'anomalies), threat intelligence sur les TTP des groupes connus, audit de logs avec analyse de séries temporelles longues, tests de réponse aux incidents. Le délai moyen de détection d'une APT est de plusieurs mois à plusieurs années.

Q: Quels sont les cas d'APT célèbres ?

Stuxnet (2010) : sabotage du programme nucléaire iranien attribué à USA/Israël. APT1 (2013) : campagne PLA chinois documentée par Mandiant. SolarWinds (2020) : APT29 russe, 18 000 organisations touchées dont agences fédérales US. Microsoft Exchange (2021) : Hafnium chinois, ~30 000 entités exposées. NotPetya (2017) : Sandworm russe, 10 Md$ de dégâts globaux. En France, plusieurs ministères et OIV ont été ciblés selon les rapports ANSSI annuels.

Définition, fonctionnement, groupes étatiques connus (APT29, Lazarus, APT1), cas célèbres (SolarWinds, Stuxnet, Microsoft Exchange) et 5 réflexes de protection. Tout sur les Advanced Persistent Threats : espionnage cyber sophistiqué et durable.

Lire la définition ← Retour Crise cyber

Benoît Labalette

SCOPIC · Twist

📅 Publié le 25 avril 2026 ⏱ ≈ 5 min

C'est quoi une APT ?

Une APT (Advanced Persistent Threat, ou menace persistante avancée) désigne une intrusion cyber sophistiquée, généralement étatique ou para-étatique, qui vise l'extraction de renseignement sur la durée. Caractéristiques : sophistication technique élevée, persistance dans le SI cible (parfois plusieurs années), discrétion (évite la détection), motivation stratégique (espionnage, sabotage, influence).

Les APT sont l'élite de la menace cyber. Souvent étatiques (Russie, Chine, Corée du Nord, Iran, USA), elles disposent de ressources humaines, financières et d'expertise considérables. Elles ciblent prioritairement les OIV, ministères, R&D stratégique, infrastructures critiques mais aussi les sous-traitants de ces entités. Pour la dimension organisationnelle complète de la crise cyber, voir crise cyber.

Mécanisme

Comment fonctionne une APT

Une APT suit un cycle de vie typique en 6 phases (Lockheed Martin Cyber Kill Chain).

1. Reconnaissance. Collecte d'informations sur la cible : OSINT, scan réseau, ingénierie sociale.
2. Intrusion initiale. Spear-phishing ciblé, exploitation 0-day, compromission supply chain.
3. Établissement persistance. Backdoor, web shell, modification du firmware, création de comptes administrateurs déguisés.
4. Escalade et mouvement latéral. Exploitation des credentials volés, déplacement dans le SI, identification des cibles d'intérêt.
5. Exfiltration discrète. Vol de données par petits volumes, chiffrement des communications, utilisation de canaux légitimes (DNS, HTTPS).
6. Maintien à long terme. Plusieurs portes dérobées, surveillance permanente, mise à jour des outils. L'objectif est de rester pour les prochaines opérations.

Statistiques

Les APT en chiffres

~200+

groupes APT documentés par MITRE ATT&CK

MITRE · 2024

277 j

délai moyen entre intrusion APT et détection

IBM Cost of Data Breach 2024

9 ans

durée la plus longue d'APT non détectée documentée

Mandiant · cas documentés

Groupes connus

Quelques groupes APT documentés

Russie · SVR

APT29 : Cozy Bear

Espionnage politique. Auteur de SolarWinds 2020 et de l'intrusion DNC 2016. Sophistication très élevée.

Russie · GRU

APT28 : Fancy Bear / Sandworm

Sabotage et désinformation. Auteur de NotPetya 2017, attaques sur Ukraine, JO Paris 2024.

Chine · PLA

APT1 / APT41

Espionnage économique massif. Mandiant a documenté APT1 en 2013 : campagne de vol de propriété intellectuelle sur 141 organisations.

Corée du Nord

Lazarus Group

Espionnage et financement (vol de cryptomonnaies). Attaque Sony Pictures 2014, vol de la Banque centrale du Bangladesh, vols crypto Ronin/Atomic Wallet.

Iran

APT33 / MuddyWater

Espionnage et sabotage Moyen-Orient. Cibles : énergie, défense, ONG. Attaques fréquentes contre Saoudite, Israël, USA.

USA · NSA

Equation Group

APT documenté par Kaspersky 2015. Stuxnet (2010) attribué à USA/Israël : sabotage du programme nucléaire iranien.

Action ⚡

5 réflexes pour se protéger contre les APT

Architecture Zero Trust

Microsegmentation, vérification continue, principe du moindre privilège. Une APT qui pénètre ne doit pas pouvoir se déplacer librement.

EDR/XDR + threat hunting

Détection comportementale + recherche proactive d'anomalies dans les logs. Indispensable face à une menace qui contourne les outils classiques.

Threat intelligence ciblée

Abonnement à un service de TI couvrant les APT pertinentes pour votre secteur. Indicateurs (IOC) mis à jour quotidiennement.

Coordination ANSSI

Pour les OIV/OSE, déclaration et coordination obligatoires. Pour les autres, ressources publiques cyber.gouv.fr et notification CERT-FR si suspicion.

Exercice scénario APT

Tabletop spécifique : simulation d'une APT découverte après plusieurs mois. Test de la chaîne investigation → décision → communication.

Approche Twist

L'approche Twist face aux APT

Twist intervient sur la dimension décisionnelle et communicationnelle de la gestion d'une APT : la dimension technique étant traitée par RSSI/SOC et acteurs spécialisés (ANSSI, cabinets forensiques).

Coordination avec l'ANSSI en cas de suspicion APT : procédure de déclaration et d'échange.
Communication interne et externe dans un contexte de menace étatique : implications géopolitiques, attribution, diplomatie.
Plan de gestion de crise APT spécifique : décisions de communication publique différée, coordination avec autorités, gestion du temps long.