Cybercriminalité : Comment des pirates francophones et des agences basées en France détournent l'IA Claude d'Anthropic




Le dernier rapport de threat intelligence d'Anthropic met en lumière l'utilisation offensive de l'IA générative par des cybercriminels et des officines d'influence opérant en France et dans l'espace francophone. Analyse des cas documentés par Anthropic.

Le dernier rapport de threat intelligence d'Anthropic met en lumière l'utilisation offensive de l'IA générative par des cybercriminels et des officines d'influence opérant en France et dans l'espace francophone.

Vol massifs de données, usurpation de la Police nationale, désinformation : analyse des cas documentés par Anthropic.


1. ShinyHunters : usurpation de la Police nationale et cyberattaque contre la grande distribution

L'un des cas les plus marquants concerne un opérateur cybercriminel francophone agissant sous le pseudonyme frkoo (alias MeowSHA ou blazespider), affilié au collectif ShinyHunters.


Attaque automatisée

L'individu a géré un pipeline d'extraction d'identifiants décompilant 1,8 million d'applications Android.

Les clés découvertes étaient transmises en temps réel vers des groupes Telegram organisés en plus de 100 catégories de Sources.

« Un opérateur francophone (...) a exécuté un pipeline distribué de collecte d'identifiants sur une flotte de 10 serveurs AWS EC2 » indique Anthropic.


Infiltration d'un grand distributeur français

À l'aide de clés d'API IA dérobées chez un fournisseur logiciel, l'attaquant mené des attaques permettant notamment de compromettre une chaîne de grande distribution française.

Mais il aura fallu au départ environ 3 heures au pirate pour passer d'un simple jeton développeur volé au contrôle administrateur de l'infrastructure cloud du fournisseur de logiciel.

L'utilisation d'agents d'IA a permis d'exécuter de manière quasi autonome et à très grande vitesse l'exploration du réseau, la recherche de clés, l'escalade de privilèges et le pillage itératif des bases de données internes et de celles des clients.

« L'une des clés d'API volées a ensuite été utilisée par l'attaquant pendant environ trois semaines pour mener des attaques secondaires, qui ont ciblé d'autres organisations, notamment en compromettant une chaîne de grande distribution française » indique Anthropic.


Usurpation de la Police nationale

Pour revendre ses données, frkoo a enregistré le domaine policenationale[.]cc (et le sous-domaine autoshop.policenationale[.]cc), usurpant l'identité de la Police Nationale française comme vitrine pour sa boutique de cartes bancaires volées (« fiches »).

« La plateforme alimentait également un service de recherche contenant plusieurs bases de données françaises piratées, dont un fichier de ~400 000 clients d'un opérateur télécom/FAI français incluant des numéros IBAN et BIC. »

Les noms de domaine servaient donc d'interface web pour la boutique automatisée de cartes bancaires proposées par le pirate, agrégeant plusieurs jeux de données de fuites françaises.


2. LKM Company : une agence de publicité française au cœur d'une opération d'« influence-as-a-service »

Anthropic a également démantelé un réseau d'influence commerciale opérant sur six continents et attribué à LKM Company, une agence de publicité numérique basée en France.


Usine à faux sites d'information

L'agence a enregistré environ 70 faux sites d'actualités (tels que Naija Pulse, Axum Voices, Echo Berlin) depuis la France sur une période de 10 semaines à la mi-2025.

« L'opération a lancé son infrastructure web lors d'une courte vague, en enregistrant les domaines depuis la France sur une période de dix semaines au milieu de l'année 2025 » explique Anthropic.

Le modèle IA de Claude servait à rédiger des articles originaux ou à réécrire des dépêches de presse légitimes selon un format structuré (JSON, HTML formaté, 3 à 4 liens internes par article).

« Bien que les acteurs aient configuré le réseau pour ressembler à des salles de rédaction locales indépendantes, nous avons remonté l'opération jusqu'à LKM Company, une agence de publicité numérique basée en France » indique Anthropic.

Outre la France, les États-Unis et le Brésil, le réseau a concentré ses efforts sur la République Démocratique du Congo (RDC), publiant 318 articles orientés sur les accords miniers et le conflit avec le Rwanda.


3. Hacktivisme sur Scaleway et désinformation anti-française en Afrique

Hacktivisme politique et serveur chez Scaleway (GTG-50029)

Au printemps 2026, un hacktiviste francophone a utilisé Claude pour attaquer des partis politiques, médias et think-tanks européens.

L'attaquant hébergeait son serveur dédié d'attaque chez l'opérateur français Scaleway.

« Au printemps 2026, un acteur individuel francophone a été observé utilisant Claude pour cibler des partis politiques européens, des médias, des think-tanks et les fournisseurs SaaS utilisés par ces organisations » mentionne Anthropic.

Grâce à l'IA, il a développé un exploit zero-day WordPress en une seule session et est parvenu à exfiltrer 140 000 fiches contenant les opinions politiques de citoyens.


Narratifs anti-français en Centrafrique (GTG-04001)

En RCA, un opérateur russophone lié aux services de renseignement russes (SVR/Wagner) gérait la production éditoriale de la radio Radio Lengo Songo (98.9 FM).

« Chaque fois que l'utilisateur générait du contenu, il ordonnait explicitement à Claude d'intégrer des éléments de langage pro-russes et anti-français dans les sujets » relate Anthropic.