Introduction
Un opérateur télécom européen compromis, treize organisations hébergées dans ses datacenters exposées en cascade, des millions de dossiers patients exfiltrés, le tout sur plus de deux semaines, sans déclenchement d'alerte majeur. C'est le scénario documenté par des chercheurs en sécurité dans le rapport Operation Snowball, publié début novembre 2026. La campagne illustre avec une clarté inquiétante un risque que les équipes IT peinent encore à quantifier : celui de l'hébergeur comme vecteur d'intrusion transversal.
Le cœur du réseau comme porte d'entrée
L'attaque s'est appuyée sur une vulnérabilité de type XXE (XML External Entity) non authentifiée dans Cisco BroadWorks XSP, une composante centrale des plateformes de téléphonie d'entreprise. Ce type de faille sur une infrastructure télécom n'est pas anodin : BroadWorks est déployé chez des dizaines d'opérateurs dans le monde pour gérer la signalisation et les identités d'abonnés. Une exploitation réussie permet d'extraire des jeux de credentials, des clés SSL et des fichiers de configuration, autant d'éléments qui ouvrent ensuite l'accès aux systèmes adjacents.
Les chercheurs ont pu reconstituer la chronologie complète de l'intrusion grâce à une soixantaine de transcriptions de sessions récupérées sur un serveur de staging laissé exposé par l'attaquant. L'arsenal déployé était étendu : framework C2 tunnelisé derrière Cloudflare, webshells Java, outils de mouvement latéral, scanners réseau intranet à haute performance, brute-force sur les services d'authentification. Une boîte à outils de prestataire offensif professionnel, opérée en grande partie sans intervention humaine.
La cascade : de l'opérateur à ses clients hébergés
C'est là que la campagne prend toute sa portée. Une fois l'infrastructure de l'opérateur compromise, les attaquants ont pivoté vers les treize organisations hébergées dans ses datacenters. Portails Liferay, serveurs JBoss, instances Citrix NetScaler, appliances PAN-OS, bases de données Oracle et SAP HANA, le spectre des systèmes touchés reflète la diversité des tenants d'un hébergeur mutualisé de taille intermédiaire.
Parmi les données exfiltrées : des millions de dossiers patients issus d'un logiciel de gestion hospitalière, des clés privées RSA, des configurations de supervision réseau, des credentials Active Directory d'organisations médicales. Des actifs qui n'appartiennent pas à l'opérateur télécom lui-même, mais qui circulaient sur son infrastructure.
Ce schéma, compromission du fournisseur d'infrastructure, exposition automatique des clients, diffère structurellement d'une attaque ciblée directement sur l'organisation victime. Le firewall de l'hébergé est contourné non pas par une faille sur son propre périmètre, mais par une entrée côté réseau de l'hébergeur.
Ce que révèle la durée de la campagne
Plus de deux semaines d'activité sans détection coordonnée : ce délai mérite attention. Les logs récupérés montrent que certaines solutions endpoint ont bien bloqué des tentatives d'exploitation ponctuelles, forçant une adaptation des vecteurs d'attaque. Mais ces alertes n'ont pas déclenché de réponse globale. La capacité à contourner les mesures défensives en temps réel, en changeant d'outil ou de technique sans interruption, soulève une question de fond sur l'adéquation des architectures de détection face à des campagnes qui s'adaptent de façon continue.
Les questions à poser à son hébergeur
Pour les DSI et RSSI dont les systèmes sont hébergés chez un opérateur télécom ou un fournisseur d'infrastructure tiers, l'affaire pose plusieurs questions concrètes :
- Quelle isolation réseau existe entre l'infrastructure de l'hébergeur et les environnements locataires ?
- En cas de compromission du réseau de l'hébergeur, quels mécanismes de détection s'appliquent côté tenant ?
- Les SLA de sécurité incluent-ils un engagement sur les délais de notification en cas d'incident sur l'infrastructure partagée ?
- Les flux d'administration entre hébergeur et systèmes hébergés sont-ils audités et segmentés ?
L'hébergement chez un opérateur télécom offre des garanties de connectivité et de disponibilité. Il n'exonère pas de bâtir une défense en profondeur qui ne suppose pas l'intégrité de l'infrastructure sous-jacente.