Contexte et découverte
Le cabinet de cybersécurité Layer3 Intel a identifié, entre le 5 octobre et le 3 novembre 2026, 236 sorties d’adresses IP appartenant au réseau réservé au Bureau exécutif du Président (AS2650). Ces sorties proviennent de six adresses IP et ont été observées sur 26 des 30 jours étudiés, principalement entre 17 h et minuit. L’analyse a révélé la présence de 28 services de proxy résidentiel différents, dont Infatica, installé sur plusieurs machines Windows 11. Infatica a été fondée par Vladimir Fomenko, un ressortissant russe dont l’entreprise d’hébergement King Servers a fourni six des huit adresses IP utilisées par les services de sécurité russes lors des attaques contre les systèmes électoraux de l’Arizona et de l’Illinois en 2016.
Mécanisme des proxys résidentiels
Un proxy résidentiel attribue à un client l’adresse IP d’un appareil « résidentiel », souvent un smartphone ou un ordinateur personnel, en le faisant transiter par le réseau de l’opérateur. Le client paie environ 0,60 $ le gigaoctet pour masquer son origine ou falsifier sa localisation. Les SDK fournis aux développeurs d’applications intègrent ce service, monétisant chaque installation. Ainsi, le trafic apparaît comme provenant de l’adresse IP louée, non de l’appareil final, ce qui rend difficile la détection côté serveur.
Implications sécuritaires pour les réseaux gouvernementaux
Lorsque des appareils d’employés se connectent à un proxy résidentiel, le point d’exit peut scanner le réseau local de l’appareil, comme l’a démontré une vulnérabilité largement exploitée fin 2025. Cette faille a permis à des cybercriminels d’injecter des malwares dans les sous‑réseaux internes. En janvier 2026, plusieurs fournisseurs ont dû appliquer des correctifs après que Ben Brundage (Synthient) a montré comment prendre le contrôle des dispositifs internes via ces proxys. Une étude de Spur a compté près de 300 réseaux gouvernementaux, 318 utilities, 166 établissements de santé et 141 entités financières exposés à ce vecteur. Infoblox a également indiqué que 65 % de ses clients interrogent quotidiennement des domaines liés aux proxys résidentiels, soulignant la portée du problème.
Réponses et mesures d’atténuation
Les experts recommandent d’instaurer un processus de Know‑Your‑Customer (KYC) strict pour les services de proxy, de bloquer les adresses IP appartenant à des réseaux résidentiels et de surveiller les flux sortants inhabituels en soirée. La mise à jour des agents de détection d’intrusion pour identifier les signatures de trafic proxy, ainsi que la désactivation des SDK non approuvés, sont essentielles. Bien que la Maison‑Blanche n’ait pas commenté ces révélations, la visibilité offerte par Layer3 Intel et Synthient montre que la simple disponibilité d’une adresse IP publique ne garantit pas la confidentialité du réseau interne.
