Un routeur piraté, une caméra de surveillance ou un serveur d'entreprise peuvent servir de relais à des inconnus : c'est le principe de Doorway, une campagne de cyberattaques mise au jour en octobre 2026 par les chercheurs de la société de cybersécurité CloudSEK. Selon le magazine informatique suisse ICTjournal, qui en rend compte le 29 octobre 2026, l'opération vise à bâtir un réseau de proxys. Un registre interne des attaquants fait état de 11'363 appareils compromis, et la campagne était toujours active pendant l'enquête.
Comment fonctionne la campagne Doorway ?
Tout part d'une erreur des attaquants. En octobre 2026, l'équipe de CloudSEK a trouvé deux répertoires accessibles publiquement, totalisant 41 Go de données exposées. Ils contenaient le code source de l'opération, des identifiants de connexion, des journaux d'activité et des outils de déploiement de logiciels malveillants.
Le contenu des deux répertoires était identique. Selon l'analyse de CloudSEK, ils appartenaient donc à une même opération, dotée d'une infrastructure redondante.
Le moteur d'attaque est développé en Rust, un langage de programmation. Il compte 59 modules d'exploitation, chacun visant une catégorie d'équipements ou de services. Il combine notamment trois méthodes :
- l'essai d'identifiants par défaut ou déjà exposés ;
- l'exploitation de vulnérabilités ;
- l'injection de commandes.
Une fois l'accès obtenu, plusieurs mécanismes téléchargent puis exécutent une charge malveillante adaptée à l'architecture du système visé.
La campagne est aussi supervisée par des agents logiciels. Parmi les données exposées, un document décrit cinq sessions d'agents chargées de superviser différents aspects de l'opération. Ce système suit les résultats des scans et des tentatives d'exploitation. Il réoriente les efforts vers d'autres catégories de cibles quand leur efficacité diminue. Selon CloudSEK, ces sessions sont liées à des outils reposant sur des grands modèles de langage (LLM), sans que les chercheurs aient pu identifier le système d'intelligence artificielle utilisé.
Routeur piraté, caméra, serveur : quels équipements sont visés ?
Doorway vise des routeurs, des caméras de surveillance, des équipements de réseaux télécoms et des serveurs d'entreprise. Les journaux récupérés détaillent surtout des équipements réseau de la marque MikroTik. Le tableau rassemble les chiffres publiés par CloudSEK et repris par ICTjournal.
| Chiffre | Ce qu'il mesure |
|---|---|
| 4'217 | Adresses IP distinctes dans les journaux liés aux équipements MikroTik |
| 7'369 | Authentifications réussies sur des équipements MikroTik |
| 4'923 | Identités d'appareils correspondant à ces authentifications |
| 11'363 | Appareils compromis, selon un registre interne |
| 58'920 | Téléchargements de charges malveillantes sur une période de 60 minutes, selon ce même registre |
| 20 | Serveurs Jenkins sur lesquels l'exécution de code à distance est confirmée |
| 16 | Téléchargements de plugins identifiés sur des serveurs Openfire |
Ces données proviennent notamment d'un moteur de scan chargé de repérer de nouvelles victimes. Il a fonctionné du 19 septembre au 19 octobre 2026.
Les serveurs ne sont pas épargnés. Outre Jenkins, les chercheurs citent Openfire, un logiciel de messagerie instantanée. L'opération dépasse donc les seuls objets connectés et touche des outils installés dans les entreprises.
Pourquoi une PME suisse peut-elle servir de relais ?
Le but de l'infrastructure est de constituer un réseau de proxys, selon CloudSEK. Notre analyse : un proxy est un intermédiaire par lequel transite le trafic d'un tiers. Un routeur ou une caméra compromis peut ainsi faire passer des connexions qui sembleraient venir du réseau de l'entreprise, sans que son propriétaire le remarque.
Une PME n'a pas besoin d'être choisie pour être touchée. Beaucoup d'attaques sont automatisées : elles balaient Internet à la recherche d'équipements vulnérables, quel que soit leur propriétaire, comme le rappelle notre page sur la sécurité informatique des PME. Doorway illustre ce fonctionnement : un moteur de scan, des modules par type d'appareil et un suivi automatique des résultats.
Les équipements suisses à corriger restent nombreux après une alerte. Exemple daté, sans lien avec Doorway : le 22 octobre 2026, plus de 23'000 serveurs liés à la Suisse restaient vulnérables à la faille PHP2Shell, selon le relevé de l'entreprise Risikomonitor, que nous détaillions à propos des serveurs exposés à la faille PHP.
Les PME suisses connaissent déjà ce type d'attaque. Selon l'étude Cybersécurité des PME 2026, publiée le 22 octobre 2026, 6 % d'entre elles ont subi une cyberattaque grave en trois ans. Les attaques contre les réseaux et les serveurs jouent un rôle dans environ un tiers des incidents.
Le point faible tient à l'inventaire. Plus de 80 % des PME installent les mises à jour, mais environ un tiers seulement tiennent un inventaire de leurs systèmes informatiques, selon la même étude. Notre analyse : un routeur, une caméra ou un ancien serveur de test sortent facilement de cette liste, et donc des mises à jour.
Quelles vérifications faire sur ses routeurs et caméras ?
Aucune alerte de l'Office fédéral de la cybersécurité (OFCS) propre à Doorway ne figure dans nos sources. Les mesures de base de l'office répondent toutefois aux méthodes décrites par CloudSEK. Le tableau les met en regard ; ce rapprochement relève de notre analyse.
| Méthode relevée dans Doorway | Mesure de base de l'OFCS |
|---|---|
| Identifiants par défaut ou déjà exposés | Mots de passe sûrs et authentification à plusieurs facteurs |
| Exploitation de vulnérabilités | Installer les mises à jour de sécurité |
| Accès aux appareils depuis Internet | Sécuriser les accès à distance |
| Équipements oubliés | Recenser l'environnement informatique de l'entreprise |
| Propagation après une intrusion | Segmenter les réseaux |
Concrètement, une PME peut commencer par quelques contrôles :
- dresser la liste de ses routeurs, caméras, équipements réseau et serveurs, y compris ceux installés par un prestataire ;
- remplacer partout les identifiants d'origine par des mots de passe sûrs ;
- installer les mises à jour de sécurité de chaque appareil ;
- vérifier quelles interfaces d'administration sont accessibles depuis Internet, un point que l'OFCS rappelait lors de l'alerte PHP2Shell ;
- séparer les caméras et objets connectés du réseau où se trouvent les données de l'entreprise.
La sécurisation des accès à distance et la segmentation figurent aussi parmi les règles de sécurité informatique en télétravail. Pour situer son niveau, le test de cybersécurité PME, le Cybersecurity-Check, est gratuit et prend quelques minutes. La norme minimale TIC sert de liste de contrôle plus complète.
En cas de doute sur un appareil, l'OFCS a publié le 6 octobre 2026 les mesures à prendre en cas de suspicion d'infection par un logiciel malveillant. L'office reçoit les signalements volontaires et tient une ligne d'astreinte 24h/24. Un plan de réponse aux cyberattaques fixe à l'avance qui appeler.
Ce qu'on ne sait pas encore
- On ignore si des appareils situés en Suisse figurent parmi les victimes : l'article d'ICTjournal ne donne pas de répartition par pays.
- Les modèles précis d'équipements et les vulnérabilités exploitées ne sont pas détaillés, hormis MikroTik, Jenkins et Openfire.
- L'usage fait du réseau de proxys et l'identité des opérateurs ne sont pas précisés.
- Le système d'intelligence artificielle employé pour superviser la campagne n'a pas été identifié par CloudSEK.
Sources
- ICTjournal : « Une campagne de cyberattaques à grande échelle cible routeurs et serveurs », 29 octobre 2026
- 2clics.com : « Sécurité informatique des PME : les mesures de base en Suisse », 22 octobre 2026
- 2clics.com : « Cybersécurité PME : 6 % des entreprises suisses touchées en trois ans », 23 octobre 2026
- 2clics.com : « Cybersécurité PME : la faille PHP expose encore 23 000 serveurs », 26 octobre 2026
- 2clics.com : « Télétravail et sécurité informatique : les règles pour une PME », 28 octobre 2026
