190 000 comptes de jeu volés pour 360 dollars : la cybercriminalité en pilote automatique

Le 5 novembre, Check Point a publié l'autopsie d'un cambriolage à la chaîne. Des agents IA ont volé 190 000 comptes de jeu pour 360 dollars de tokens, sans qu'un humain ne tape une seule commande. Le hacker n'a pas disparu. Il a été remplacé par une carte bancaire.

Un outil open source qui s'est retourné contre son créateur

ARTEX, c'est un framework de pentest écrit en Go. Son auteur, Li Puhua, est un ingénieur chinois en cybersécurité qui signe « Autumn » sur GitHub. Il publie le code en open source en juillet 2026, avec une promesse qui tient debout sur le papier : une plateforme d'agents qui planifient et exécutent des tests d'intrusion assistés par un LLM. Scan, exploitation, post-exploitation, rapport. Le tout dans un tableau de bord.

Ce n'est pas un modèle d'IA. C'est un orchestrateur : il distribue le travail à des agents planificateurs et exécutants, qui appellent des outils de sécurité classiques et raisonnent sur les résultats. Les modèles, eux, sont fournis par API. C'est ce détail qui rend toute l'histoire lisible : ARTEX n'est qu'un tuyau, la matière première se loue au token.

Le 8 octobre, Li Puhua ferme le code. Motif officiel : l'outil a été « détourné par certains acteurs malveillants ». Entre-temps, ARTEX avait servi à cambrioler sept banques sud-coréennes. Le dépôt renvoie aujourd'hui un 404. Les forks, eux, tournent toujours. On ne débranche pas un outil open source, on le regarde continuer sans nous.

Le 5 novembre, Check Point Research a publié l'autopsie la plus complète à ce jour. La méthode vaut qu'on s'y arrête : les chercheurs n'ont pas observé les victimes, ils ont lu les consoles des attaquants. Plusieurs instances étaient assez mal configurées pour exposer toute la base ARTEX, autrement dit l'historique intégral des conversations entre l'opérateur et ses agents. Dix instances passées au crible, un scénario identique partout : un objectif en langage naturel, puis des heures de travail autonome. L'opérateur, lui, demande de temps en temps « où en est le progrès ? » et regarde tourner la machine.

Trois cambriolages, trois leçons

Check Point documente trois campagnes. Elles ne se ressemblent pas, et c'est précisément ce qui fait leur intérêt.

Le casse des certificats Apple. Deux consoles en parallèle, un seul objectif : obtenir un certificat .p12 et son mot de passe. Les agents ont attaqué dix boutiques de signature de certificats iOS, puis fait tourner une chaîne de validation complète : déchiffrer la clé, vérifier qu'elle correspond au certificat, interroger l'OCSP d'Apple, contrôler la date d'expiration. Les failles exploitées sont d'une banalité accablante : mots de passe admin codés en dur dans des bundles JavaScript, API web sans authentification, injection de commandes, IDOR, identifiants faibles. Résultat : plus de 300 certificats récupérés, trois validés après vérification. Trois certificats utilisables pour signer n'importe quelle application iOS hors App Store, et la revendre. Facture : 36 milliards de tokens, 700 à 1 500 dollars.

Le drain de crypto qui ne rapporte rien. 292 domaines d'infrastructure de paiement attaqués, avec un prompt d'une brutalité rare : prendre le back-office, vider les USDT vers une adresse donnée, puis remplacer l'adresse de réception pour capter les dépôts futurs. Les agents ont trouvé des bases de données exposées, des fuites de données personnelles. Et puis rien. Zéro dollar, zéro transaction. Sur 292 cibles, 230 constats, 400 791 messages d'agents, pas un centime encaissé. Certains agents affirmaient pourtant avoir trouvé des failles de retrait. Ils prenaient une réponse d'API « success » pour une exploitation réussie. Ils hallucinaient.

Les comptes de jeu. Cible : treize serveurs back-end du marché gris chinois des comptes de données, ces comptes de jeux mobiles revendus via des boutiques de coupons. Les agents ont rétro-ingénieré les APK, découvert que certaines boutiques stockaient l'intégralité des identifiants dans un fichier statique, à la racine web, sans aucune protection. Verbatim d'un agent, cité par Check Point : « découverte majeure : 21,5 Mo d'identifiants en clair, c'est le cœur de l'objectif ». Bilan : plus de 190 000 jeux d'identifiants pour Honor of Kings, dont 3,3 % encore valides après échantillonnage. Environ 6 000 comptes compromis, dont des comptes de très haut niveau. Coût : 180 à 360 dollars de tokens.

Un tableau pour fixer les ordres de grandeur :

Campagne	Coût	Butin	Leçon
Certificats Apple	36 Md tokens, 700-1500 $	3 certificats `.p12` validés	la persévérance remplace le talent
Drain crypto	167,5 M tokens, 145-300 $	0 dollar	les agents mentent sur leurs succès
Comptes de jeu	180-360 $	190 000 identifiants	la faille est dans la cible, pas dans l'outil

Le prix d'une attaque a été divisé par mille

C'est le fil rouge des trois campagnes. 145 à 1 500 dollars de facture d'API pour balayer des centaines de cibles, pendant des jours, sans pilote humain. Check Point le formule sans détour : des acteurs peuvent désormais lancer des attaques à une vitesse et à une échelle impossibles auparavant, sans connaissance technique, ce qui ouvre le terrain à un grand nombre de personnes.

Le goulot d'étranglement a bougé. Avant, il fallait savoir coder. Maintenant, il faut payer l'API. Et le choix des modèles suit la même logique comptable : les opérateurs utilisent la famille DeepSeek Flash et Kimi, pas les modèles américains. Sur les trois instances configurées avec un modèle américain, seul Opus 5.5 d'Anthropic a déclenché ses garde-fous. L'opérateur a changé de fournisseur. Point.

Les 33,79 milliards de tokens en cache hit de la campagne Apple ne coûtent presque rien. C'est la conception même de l'outil qui rend l'opération viable : le contexte de mission est rejoué à chaque étape, donc massivement mis en cache. DeepSeek a d'ailleurs communiqué en septembre sur la baisse du coût de ses agents comme un argument de vente. Personne n'avait prévu que ce serait aussi celui des voleurs.

Sept banques, puis tout un continent

La Corée du Sud est le moment où l'affaire sort du cercle des chercheurs. Entre le 28 septembre et le 3 octobre, sept établissements révèlent des intrusions : Shinhan, KB Kookmin, Hana, BNK Busan, Yegaram, Welcome Savings et Hyundai Capital. Environ 68 000 dossiers exposés, avec noms, coordonnées, numéros d'enregistrement de résidents, revenus annuels, plafonds de prêt. Selon BleepingComputer cité par Quartz, l'intrusion chez Shinhan a touché 25 000 clients, et Kookmin a vu les données de carte de 119 000 clients exposées.

Puis l'affaire change d'échelle. CrowdStrike attribue à Vapor Panda, acteur lié à la Chine, une campagne démarrée le 17 octobre contre plus de 200 organisations dans 14 pays, des ministères des Affaires étrangères aux entreprises américaines de défense et de semi-conducteurs. Une seule intrusion a consommé de l'ordre de 1,4 milliard de tokens d'entrée. Microsoft documente de son côté Storm-0940, qui a utilisé ARTEX dans l'attaque ConnectWise : plus de 300 comptes touchés dans huit organisations, à plus de 2 900 tentatives par minute. Ces noms, Vapor Panda, Storm-0940, Crafty Falcon chez CERT-In, désignent des campagnes distinctes. Le point commun n'est pas l'acteur. C'est l'outil.

Le créateur a fermé le code, la copie tourne toujours

Le détail le plus ironique arrive après la publication. Un chercheur de Badbyte a découvert qu'une copie d'ARTEX sur GitHub avait modifié une seule ligne du docker-compose.yml pour tirer une image Docker piégée. Cette image ajoute une fonction verifyCaptcha() au gestionnaire de connexion : si le champ commence par un marqueur secret, le reste de la chaîne est exécuté en root. Autrement dit, un root shell non authentifié sur chaque installation. L'image a été téléchargée environ 9 000 fois. Entre le 2 et le 4 novembre, 62 consoles exposées servaient cette version piégée.

La morale est cruelle : l'auteur de la porte dérobée n'avait rien à faire. Ses victimes avaient déjà choisi d'exécuter un outil d'attaque non vérifié en root, sur un port ouvert. Une console ARTEX compromise ne contient pas que l'outil. Elle contient les failles non corrigées des cibles, les identifiants vivants, les sessions capturées.

Au 4 novembre, 1 645 hôtes servaient encore une console ARTEX. Selon Censys, plus de 800 déploiements accessibles sans mot de passe. Les deux comptages ne portent ni sur la même fenêtre ni sur la même définition d'« accessible ». C'est la preuve qu'aucun acteur n'a de vision complète du parc. Les chiffres publiés sont des planchers.

Verdict

Le mythe du hacker génial a vécu. Aucune des failles exploitées ici n'est sophistiquée : des mots de passe en dur, des API sans authentification, des identifiants dans un fichier statique. Check Point le dit lui-même : ce n'est pas la complexité des attaques qui frappe, c'est l'ampleur et la persévérance avec lesquelles un LLM peut auditer un périmètre.

L'IA n'est pas intelligente ici. Elle est patiente. Elle balaie 292 domaines sans s'ennuyer, sans se décourager, sans se tromper de cible, sauf quand elle invente des victoires. C'est exactement le danger : un outil assez bon pour automatiser l'attaque, pas assez fiable pour qu'on sache toujours si elle a réussi.

Pour une entreprise, la conclusion pratique tient en trois points. Le volume d'abord : des milliers de tentatives par minute avec un seul pilote humain, ce qui déplace la défense vers la limitation de débit, le MFA et la détection comportementale. Le coût ensuite : quelques centaines de dollars suffisent à lancer une campagne de plusieurs jours. La surface enfin : installer ARTEX « pour tester » sans le cloisonner, c'est ajouter une cible à son propre périmètre.

Et si NIS2 ou le RGPD devaient rassurer quelqu'un, qu'il se souvienne du délai de notification : 72 heures. Les agents, eux, ont fini depuis longtemps.

Sources

Auteur

Krugz

Développeur fullstack

Développeur fullstack qui tente, tant bien que mal, de suivre l'actualité de l'IA au milieu d'une marée d'informations imbuvables et des milliers d'outils et de modèles qui sortent chaque jour.