Une manifestation, une crise, un conflit ou un événement fortement médiatisé ne crée pas, à lui seul, de nouvelle vulnérabilité dans un système d’information. Pourtant, il peut modifier le contexte dans lequel certaines organisations évoluent et attirer l’attention de nouveaux acteurs malveillants.

Les événements du monde physique ont aujourd’hui leur prolongement numérique. Hacktivisme, ingénierie sociale, perturbation de services : l’actualité peut créer de nouvelles opportunités pour les attaquants, sans que l’infrastructure de l’organisation ait nécessairement changé.

Le risque cyber ne dépend donc pas uniquement de l’état technique d’un système d’information. Le contexte dans lequel il évolue compte aussi.

Quand l’actualité fournit le scénario de l’attaque

Une attaque par ingénierie sociale repose notamment sur la capacité à rendre une situation suffisamment crédible pour pousser la victime à agir : ouvrir un document, cliquer sur un lien ou saisir ses identifiants. Un événement quelconque peut être une opportinuté. 

Lors d’une journée de fortes perturbations, par exemple, un faux message concernant de nouvelles modalités de télétravail ou une modification des transports peut sembler cohérent avec la situation. De la même manière, après un incident informatique rendu public, une fausse demande de réinitialisation de mot de passe peut correspondre exactement à ce que les collaborateurs s’attendent à recevoir. L’attaquant n’a alors pas besoin d’inventer entièrement son scénario : la situation est réelle, c’est l’usage qu’il en fait qui est frauduleux.

Ces messages peuvent ainsi devenir plus difficiles à identifier lorsqu’ils s’inscrivent précisément dans une situation que leurs destinataires sont en train de vivre.

Votre système n’a pas changé ... pourtant, le risque peut évoluer

L’actualité ne fournit pas seulement un scénario crédible aux attaquants. Elle peut aussi modifier l’intérêt qu’ils portent à une organisation. On parle souvent du risque cyber comme s’il dépendait principalement de l’état technique du système d’information : une nouvelle vulnérabilité apparaît, un mot de passe est compromis ou un serveur reste exposé sur Internet. 

Mais il manque une autre variable : le contexte. Une entreprise peut avoir exactement les mêmes serveurs, les mêmes utilisateurs, les mêmes logiciels et les mêmes protections qu’une semaine auparavant, pourtant l'état de la menace évolue au gré des nouvelles du monde.

Le niveau de menace peut en effet varier dans le temps et concerner une organisation, un secteur ou même un pays, notamment en raison de l’hacktivisme ou de tensions géopolitiques. Une entreprise soudainement très visible ou appartenant à un secteur devenu symbolique ou stratégique peut ainsi attirer l’attention d’acteurs qui ne s’intéressaient pas à elle auparavant.

Cela ne signifie pas qu’elle sera attaquée. La vulnérabilité technique peut rester exactement la même, tandis que la probabilité que certains acteurs cherchent à l’exploiter aura évolué.

Connaître ses vulnérabilités permet donc de comprendre où une attaque pourrait réussir. Comprendre la menace, son évolution et ses fluctuations permet aussi d’identifier qui pourrait avoir intérêt à essayer, et pourquoi.

Quand la cible est choisie avant la faille

Cette logique est particulièrement visible dans certaines campagnes hacktivistes. Contrairement aux attaques à motivation financière, qui visent notamment le vol de données, la fraude ou le paiement d’une rançon, l’objectif peut ici être de perturber un service, donner de la visibilité à une revendication ou cibler une organisation, ou un état pour ce qu'il représente et ou ses valeurs.

Un exemple récent illustre ce phénomène en France. Le 16 octobre 2026, à la veille de la mobilisation nationale du 17 octobre, le site officiel du parti Les Républicains a été compromis et détourné pour afficher un message appelant à rejoindre les manifestations du lendemain. Les attaquants ont également revendiqué un vol de données, mais le parti indiquait alors ne pas avoir constaté de fuite.

Ce rapprochement entre actualité et activité cyber ne constitue pas un cas isolé. En septembre 2025, le groupe hacktiviste NoName057(16) avait revendiqué des attaques DDoS contre au moins 15 organisations françaises, en présentant sa campagne comme un soutien au mouvement « Bloquons tout ».

À l’échelle européenne, le phénomène se retrouve aussi dans des contextes géopolitiques. En Suisse, des attaques DDoS ont notamment visé plusieurs organisations autour du discours de Volodymyr Zelensky devant le Parlement suisse en juin 2023, puis lors du Sommet pour la paix en Ukraine en juin 2024.

Ces différents cas illustrent la manière dont un événement fortement médiatisé peut trouver un prolongement dans le cyberespace.

Selon l’ENISA, 4 709 revendications hacktivistes visant des États membres de l’Union européenne ont été recensées en 2025, dont plus de 89 % impliquaient des attaques DDoS. Les campagnes étaient notamment liées à des élections, des manifestations et des tensions géopolitiques. Les administrations publiques figuraient parmi les secteurs particulièrement concernés, aux côtés des transports et des services aux entreprises.

Le principe du DDoS répond à cette logique : plutôt que de chercher à pénétrer profondément dans un système d’information, l’attaque vise à rendre un service indisponible en le submergeant de requêtes.

L’ordre peut alors être inversé : l’attaquant ne découvre pas nécessairement une faille avant de chercher une victime. Il peut d’abord choisir une cible pour ce qu’elle représente, puis rechercher comment l’atteindre.

C’est pourquoi certains événements politiques, sociaux ou géopolitiques peuvent s’accompagner d’une activité hacktiviste dans le cyberespace. Il faut toutefois distinguer clairement ces opérations des mobilisations auxquelles elles peuvent faire référence : une manifestation et une campagne hacktiviste restent deux phénomènes distincts.

Quand le moment de l’attaque amplifie ses conséquences

Rendre un service indisponible n’a toutefois pas les mêmes conséquences à tout moment. Le contexte peut modifier la probabilité d’être ciblé, mais aussi l’impact médiatique et technique d’une attaque.

L’interruption d’un service numérique pendant une période de faible activité peut rester relativement maîtrisable. La même indisponibilité, au moment où ce service est particulièrement sollicité, peut avoir des conséquences opérationnelles beaucoup plus importantes. C’est notamment le cas des transports, des services publics, des plateformes d’information ou de billetterie lors d’événements particuliers. La vulnérabilité exploitée peut être identique, tout comme la durée de l’incident. Pourtant, l’impact métier peut être très différent selon le moment auquel l’attaque intervient.

L’analyse du risque doit donc aussi permettre d’identifier les services critiques, les périodes durant lesquelles ils le deviennent davantage et les conséquences réelles de leur indisponibilité. Une infrastructure peut ainsi devenir temporairement plus critique sans qu’aucune modification technique n’y ait été apportée.

Quand le contexte modifie aussi les usages

L’événement peut enfin avoir une conséquence plus indirecte : modifier temporairement la manière dont l’organisation fonctionne. Télétravail exceptionnel, procédures inhabituelles, nouveaux interlocuteurs, communications urgentes ou équipes fortement sollicitées : ces changements ne constituent pas automatiquement des vulnérabilités, mais ils peuvent créer des situations  inhabituelles pour les collaborateurs. Un message ou une demande qui aurait normalement suscité leur méfiance peut alors sembler plus crédible parce qu’il correspond précisément aux changements en cours.

Dans ces périodes, le maintien de procédures claires d’authentification et de validation restent donc essentielles. L’urgence ne doit pas conduire à contourner les contrôles qui permettent habituellement de vérifier une demande.

Adapter sa posture de sécurité au contexte

Une période de menace accrue ne nécessite pas de reconstruire entièrement son dispositif de cybersécurité. Elle doit en revanche conduire à vérifier que les mesures essentielles sont opérationnelles et adaptées à la situation.

Cela peut notamment passer par :

• Renforcer la surveillance des services les plus exposés ou les plus critiques ;
• Vérifier les systèmes accessibles depuis l'Internet, leurs correctifs et les comptes disposant de privilèges élevés ;
• Anticiper les scénarios de phishing liés à l’actualité et en informer les collaborateurs (bulletin de vigilance) ;
• Contrôler les sauvegardes et les capacités de restauration, ainsi que les procédures de réponse à incident ;
• Suivre l’évolution de la menace visant l’organisation ou son secteur, notamment à travers le SOC ou la Threat Intelligence lorsqu’ils sont disponibles ;
• Réévaluer temporairement la criticité de certains services lorsque leur indisponibilité a des conséquences particulièrement importantes.

L’objectif n’est pas de réagir à chaque événement, mais d’identifier ceux qui peuvent réellement modifier l’exposition de l’organisation, les scénarios utilisés par les attaquants ou l’impact potentiel d’un incident.

Le risque cyber ne s’arrête pas aux frontières du système d’information, il nécessite aujourd'hui une surveillance de l'état de la menace à un niveau global.

Une vulnérabilité reste une vulnérabilité, quel que soit le contexte. Mais le risque qui l’entoure n’est pas nécessairement figé.

Une actualité peut rendre une organisation plus visible, fournir aux attaquants un scénario crédible, modifier les habitudes de travail ou amplifier les conséquences d’une interruption de service. La cybersécurité ne consiste donc pas uniquement à connaître ses faiblesses techniques. Elle implique également de comprendre qui pourrait chercher à les exploiter, pourquoi, à quel moment et avec quelles conséquences pour l’activité.

Le système d’information peut être identique à celui de la veille. Le contexte, lui, peut avoir complètement changé plus vite que l'on pense.