Fin 2020, des acteurs liés au service russe de renseignement extérieur, le groupe APT29 connu sous le nom de Cozy Bear, ont compromis le mécanisme de mise à jour du logiciel Orion de l'éditeur américain SolarWinds, insérant un code malveillant dans des mises à jour officielles pour obtenir un accès dissimulé aux systèmes d'environ dix-huit mille clients, dont des agences fédérales américaines et de grandes entreprises. En octobre 2023, la Securities and Exchange Commission a poursuivi SolarWinds et son responsable de la sécurité, Timothy Brown, les accusant d'avoir dissimulé des vulnérabilités connues avant l'attaque, une démarche inédite puisqu'il s'agissait de la première fois que le régulateur poursuivait la victime d'une cyberattaque plutôt que son auteur.
En novembre 2025, cinq ans après la découverte de la compromission et deux ans après l'ouverture de la procédure, la SEC a déposé une requête conjointe avec SolarWinds et son responsable de la sécurité pour classer l'action civile, mettant ainsi fin à un dossier qui n'aura jamais donné lieu à un jugement sur le fond.
Poursuivre une victime pose une question que l'abandon du procès laisse ouverte
La démarche de la SEC, en 2023, inversait une logique habituelle : plutôt que de cibler l'auteur d'une intrusion, elle s'attaquait à une entreprise ayant elle-même documenté en interne des vulnérabilités avant qu'un acteur étatique ne les exploite. Cette approche soulevait une question réglementaire de fond, toujours pertinente pour toute entreprise gérant une infrastructure critique : jusqu'à quel degré une société doit-elle être tenue de divulguer publiquement des faiblesses de sécurité connues avant qu'un adversaire ne les découvre et ne les utilise à son tour.
L'abandon de la procédure par simple requête conjointe, plutôt que par un jugement établissant une doctrine applicable aux cas futurs, laisse cette question sans réponse juridique contraignante. Un règlement distinct, portant sur un recours collectif d'actionnaires réglé en 2022 pour vingt-six millions de dollars, avait déjà traité l'aspect financier du préjudice, mais la question plus large de l'obligation de divulgation préventive reste, cinq ans après les faits, sans précédent judiciaire clair pour la prochaine compromission de chaîne d'approvisionnement logicielle.
La patience de Cozy Bear dans le code reproduit celle du SVR dans le recrutement humain
Le groupe Cozy Bear, rattaché au renseignement extérieur russe, se distingue par une doctrine opérationnelle de patience prolongée : une intrusion menée lentement et discrètement, maintenue en dormance dans l'infrastructure d'une cible pendant une durée suffisante pour éviter toute détection avant d'être exploitée. La porte dérobée insérée dans le logiciel Orion est ainsi restée active et indétectée pendant plusieurs mois avant sa découverte, une temporalité qui recoupe directement la doctrine documentée ailleurs dans ce dossier à propos du programme des illégaux du SVR, où des officiers construisent une couverture pendant des décennies avant qu'un accès n'en soit exploité.
Cette convergence entre la patience déployée dans le recrutement humain et celle déployée dans l'intrusion technique confirme que le trait culturel distinctif du renseignement extérieur russe, une tolérance inhabituelle pour un investissement de long terme sans retour immédiat, ne se limite pas à un domaine opérationnel particulier. Il se retrouve de façon cohérente à travers des registres d'action aussi différents que l'espionnage humain classique et la compromission d'une chaîne d'approvisionnement logicielle mondiale.
La leçon opérationnelle reste valide, la leçon réglementaire reste à écrire
Cinq ans après sa découverte, l'affaire SolarWinds s'achève sur un contraste net entre ses deux volets. Le volet opérationnel confirme une doctrine bien établie et cohérente du renseignement russe, dont la validité ne dépend d'aucune décision judiciaire américaine. Le volet réglementaire, en revanche, s'éteint sans avoir tranché la question qu'il avait pourtant explicitement posée sur la responsabilité d'une entreprise ayant connaissance de ses propres vulnérabilités avant qu'un État adverse ne les exploite.
Ce que l'observateur extérieur ne peut établir avec certitude reste si d'autres portes dérobées, implantées selon la même doctrine de patience prolongée, demeurent aujourd'hui actives et non détectées dans d'autres chaînes d'approvisionnement logicielles largement utilisées, une possibilité que la seule découverte tardive de la compromission Orion ne permet ni de confirmer ni d'écarter.
Sources documentaires
- Cybernews — SEC ends lawsuit against SolarWinds and its security chief after years of fallout from 2020 hack.
- The Register — SEC drops SolarWinds lawsuit that painted a target on CISOs everywhere.
- CyberScoop — How the Russian hacking group Cozy Bear, suspected in the SolarWinds breach, plays the long game.
- CSO Online — What CISOs should know about the SolarWinds lawsuit dismissal.
Edward Snowden
Une autre affaire où l'ampleur réelle d'une compromission n'a été mesurée que longtemps après les faits.
Lire l'analysePegasus
Une autre affaire où une victoire judiciaire n'a pas suffi à clore le débat réglementaire qu'elle avait ouvert.
Lire l'analyseStuxnet
Une autre arme numérique exploitant une vulnérabilité de systèmes de contrôle industriel restée longtemps méconnue.
Lire l'analyseCluster Chine
Le dossier Chine relie sécurité intérieure, cyberespionnage, Front uni et collecte technologique au service de la puissance d'État.
ComparerCluster États-Unis
Le dossier États-Unis éclaire la communauté du renseignement, ses moyens techniques, ses contrôles et ses rivalités bureaucratiques.
ComparerCluster Russie
Le dossier Russie distingue FSB, SVR, GRU, influence et action clandestine dans la stratégie de puissance de Moscou.
ComparerCluster Iran
Le dossier Iran analyse les services, les Gardiens de la révolution et les réseaux régionaux dans leur environnement politique.
Comparer
Analyste en géopolitique, anthropologie politique et relations internationales.