Lazarus sur LinkedIn : quand la défense européenne paye le prix de sa dépendance aux IAM américains

Ce n'est pas une cyberattaque de plus. C'est un test de souveraineté.

En 2026, le groupe Lazarus — bras offensif cyber présumé de la Corée du Nord, documenté depuis des années par les agences de renseignement occidentales — a affiné une méthode qui devrait glacer le sang de tout DSI ou RSSI gérant des données sensibles dans le secteur de la défense européenne. La tactique est simple, redoutablement efficace, et elle exploite quelque chose que la plupart de nos organisations ont accepté sans y penser à deux fois : une plateforme américaine comme surface de contact professionnelle unique, couplée à des systèmes de gestion des identités et des accès — les IAM — hébergés hors de tout contrôle européen.

Lazarus ne force pas les portes. Il sonne à l'entrée de service, déguisé en recruteur, et attend qu'on lui ouvre. LinkedIn — propriété de Microsoft, donc acteur américain soumis au droit américain, au Cloud Act, et aux injonctions potentielles des autorités fédérales — est devenu le vecteur d'approche privilégié pour cibler des ingénieurs, des sous-traitants, des chefs de projet travaillant sur des programmes sensibles. Un message, une pièce jointe, un lien. Et si l'IAM en place ne détecte pas l'anomalie, si la gouvernance des accès est poreuse, si les jetons d'authentification ne sont pas compartimentés : c'est une intrusion latérale dans un système d'information de défense.

Je veux être clair d'emblée : ce n'est pas un problème de technologie. C'est un problème de stratégie. Et en Europe, en 2026, continuer à externaliser la gestion des identités vers des acteurs américains dans des secteurs aussi critiques que la défense, c'est une faute de gouvernance que les budgets IT vont finir par payer — doublement.

Lazarus et LinkedIn : anatomie d'une exploitation systémique

Depuis plusieurs années, les opérations attribuées à Lazarus dans le secteur de la défense suivent un schéma documenté par les agences européennes de cybersécurité, dont l'ANSSI en France et le BSI en Allemagne. Le groupe utilise des profils LinkedIn factices ou compromis pour établir une relation de confiance avec des cibles à haute valeur — ingénieurs systèmes, responsables de programmes d'armement, développeurs embarqués sur des projets OTAN ou nationaux.

L'ingénierie sociale précède systématiquement la compromission technique. On parle de semaines, parfois de mois de dialogue avant qu'un payload malveillant soit transmis — sous forme de document de poste, de fichier de présentation, d'un lien vers un outil de visioconférence piégé. Ce qui rend cette méthode particulièrement redoutable, c'est qu'elle contourne les défenses périmètriques traditionnelles : le mail est filtré, le web est inspecté, mais le message LinkedIn entrant d'un « consultant en recrutement défense » passe souvent sous les radars.

Mais là où le bât blesse économiquement et stratégiquement, ce n'est pas dans le vecteur d'entrée. C'est dans ce qui se passe après. Si l'IAM en place — celui qui gère les droits, les accès, les tokens d'authentification des collaborateurs — est hébergé dans un cloud américain, deux problèmes structurels se superposent.

Premier problème : la visibilité. Un IAM externalisé chez un acteur américain, c'est un IAM dont les logs, les alertes, les comportements anormaux sont analysés dans des infrastructures soumises à une juridiction étrangère. En cas d'incident, la chaîne de forensique est compliquée, parfois compromise. Les autorités européennes — judiciaires, militaires, ou industrielles — se retrouvent à demander des données à une entreprise qui répond d'abord à ses obligations légales américaines.

Deuxième problème : la résilience contractuelle. En 2026, le contexte géopolitique a rendu les relations transatlantiques structurellement instables. Les entreprises européennes de défense et leurs sous-traitants qui ont négligé de lire les clauses de continuité de service de leurs IAM américains découvrent qu'en cas de tension diplomatique, de sanction sectorielle, ou simplement de décision commerciale unilatérale, leur capacité à gérer les accès à leurs propres systèmes peut être suspendue, modifiée, ou monitorée sans leur consentement.

Le coût caché des IAM américains : une bombe budgétaire à retardement

Parlons argent. C'est souvent le seul langage qui fait bouger les comités de direction.

La migration vers un IAM souverain n'est pas gratuite. Personne ne prétendra le contraire. Mais le calcul économique que la plupart des DSI ont fait jusqu'ici est fondamentalement biaisé, parce qu'il n'intègre que les coûts visibles — licences, intégration, formation — et ignore les coûts systémiques d'une dépendance non maîtrisée.

Premier coût systémique : le risque tarifaire. Les acteurs américains dominant le marché des IAM ont, ces dernières années, procédé à des hausses de prix significatives sur leurs offres cloud, en particulier sur les fonctionnalités avancées de sécurité — authentification adaptative, gestion des accès privilégiés, analyses comportementales. Ces fonctionnalités, qui étaient parfois incluses dans des bundles, sont progressivement repackagées en modules additionnels facturés séparément. Pour une ETI européenne de taille moyenne, cela représente des surcoûts annuels non négligeables sur le budget IAM, sans amélioration fonctionnelle réelle — juste le maintien du niveau de protection existant.

Deuxième coût systémique : le coût d'un incident. Une compromission d'IAM dans un contexte de défense ou d'industrie sensible, ce n'est pas seulement le coût de la réponse à incident — containment, forensique, notification. C'est la perte de marchés, la disqualification sur des appels d'offres publics européens qui exigent désormais des niveaux de maturité cyber certifiés, et potentiellement des pénalités contractuelles si la compromission a affecté un maître d'œuvre ou un donneur d'ordre. Le coût réel d'un incident Lazarus réussi dans ce secteur se chiffre en millions, pas en milliers.

Troisième coût systémique : le coût de la dépendance à LinkedIn comme surface d'exposition. Aucune organisation ne peut aujourd'hui interdire à ses collaborateurs d'utiliser LinkedIn — c'est devenu un outil professionnel de facto. Mais elle peut — et doit — adapter sa gouvernance des identités pour que l'exposition sur cette plateforme américaine ne devienne pas un vecteur d'entrée vers ses systèmes critiques. Cela implique une segmentation forte des identités, une politique stricte de gestion des accès privilégiés, et une capacité de détection comportementale que seul un IAM maîtrisé, avec des logs accessibles et auditable en temps réel, peut fournir.

Il faut le dire clairement : budgéter un IAM souverain en 2026, c'est moins cher que de gérer les conséquences d'une intrusion Lazarus en 2027.

L'écosystème européen IAM existe. Arrêtons de faire semblant qu'il n'est pas à la hauteur.

J'entends encore, dans les cercles DSI, l'argument de la maturité. « Les solutions européennes d'IAM ne sont pas au niveau. » C'est faux. C'est peut-être vrai pour certaines organisations il y a cinq ans. En 2026, c'est une posture qui traduit soit un manque d'information, soit une forme de paresse stratégique confortable.

L'éditeur français Wallix, pour ne citer qu'un acteur — et je ne veux pas faire de catalogue — a construit une offre de gestion des accès privilégiés (PAM) qui est aujourd'hui déployée dans des environnements gouvernementaux et industriels parmi les plus exigeants d'Europe. Certifiée par l'ANSSI, référencée dans des programmes de défense nationaux, interopérable avec les grandes architectures Zero Trust. Ce n'est pas une solution de second rang. C'est une solution qui a fait le choix de la conformité réglementaire européenne comme avantage compétitif — ce qui, dans le contexte de NIS2 et du Cyber Resilience Act, devient un argument économique direct pour les entreprises qui doivent démontrer leur niveau de sécurité à leurs donneurs d'ordre.

Au-delà d'un acteur particulier, l'écosystème européen de l'identité numérique se structure autour de briques que les DSI commencent à avoir les moyens de combiner : protocoles ouverts (OpenID Connect, SAML), offres PAM souveraines, solutions de fédération d'identité hébergées sur des infrastructures certifiées SecNumCloud. Ce n'est pas une utopie. C'est un catalogue de produits disponibles, avec des intégrateurs européens capables de les déployer.

Ce qui manque encore, c'est la volonté politique interne dans les organisations. Et peut-être — soyons honnêtes — des directions générales qui posent enfin la question de la souveraineté numérique comme un critère de sélection dans les appels d'offres IT, au même titre que le prix et les fonctionnalités.

Ce que les DSI doivent faire maintenant : reprendre la main sur la gouvernance des identités

Lazarus ne disparaîtra pas. LinkedIn non plus. Et la pression sur les systèmes d'information des industriels de défense européens — et plus largement des ETI travaillant sur des données sensibles — va s'intensifier dans les années qui viennent. Ce n'est pas une prédiction alarmiste. C'est la lecture sobre d'un contexte géopolitique qui a structurellement changé depuis 2022.

Alors voici ce que je pense — et c'est mon rôle de le dire clairement — que les DSI et RSSI européens doivent inscrire à leur agenda stratégique, sans attendre la prochaine directive ou le prochain incident :

Cartographier l'exposition réelle de leurs identités. Pas les identités théoriques dans le SI, mais les identités réelles : qui a accès à quoi, depuis quelle surface, avec quel niveau de traçabilité. La compromission Lazarus commence souvent par un compte qui n'aurait pas dû avoir les droits qu'il avait.

Auditer la juridiction de leur IAM. Où sont hébergés les logs ? Qui peut y accéder ? Sous quelle loi ? En cas d'incident, quel est le délai d'accès aux données d'investigation ? Ces questions ne sont pas techniques. Elles sont stratégiques. Et elles ont des réponses chiffrables.

Intégrer le critère souveraineté dans les prochains cycles budgétaires IT. NIS2 est en vigueur. Le Cyber Resilience Act impose des obligations croissantes aux opérateurs européens. L'argument « nous avons choisi l'IAM américain parce que c'était 15% moins cher à l'époque » ne tient plus devant un comité d'audit ou un donneur d'ordre qui exige une certification de sécurité.

Engager la conversation avec les équipes RH et la direction générale sur LinkedIn. Ce n'est pas un sujet IT seul. La surface d'exposition via les réseaux sociaux professionnels dépend autant des comportements humains que des architectures techniques. Former les collaborateurs exposés — ceux qui travaillent sur des projets sensibles — à reconnaître les patterns d'approche de Lazarus, c'est de la cybersécurité préventive à coût quasi nul.

Conclusion : la souveraineté, c'est aussi une décision budgétaire

Lazarus sur LinkedIn, c'est une démonstration brutale que les chaînes de dépendance numérique que nous avons construites depuis vingt ans — plateformes américaines, IAM américains, clouds américains — sont des surfaces d'attaque que nos adversaires ont parfaitement cartographiées. Ils ne cherchent pas à briser nos murs. Ils passent par les portes que nous avons confiées à des acteurs qui n'ont pas les mêmes intérêts que nous.

Reprendre la main sur la gestion des identités, c'est un acte de souveraineté. Mais c'est aussi — et c'est ce que j'espère que ce papier aura démontré — un acte économiquement rationnel. La question n'est plus de savoir si les solutions européennes sont à la hauteur. Elles le sont. La question est de savoir si nos organisations ont le courage stratégique de faire le choix qui s'impose, avant que ce choix leur soit imposé par un incident.

En 2026, la fenêtre de transition est encore ouverte. Elle ne le sera pas indéfiniment.