Hacking, fuites et attaques : comment l’Iran a pénétré le principal think tank « sécuritaire » d’Israël
par Omer Benjakob
L’INSS et ses dirigeants - parmi lesquels d’anciens chefs du Mossad et du Renseignement Militaire - sont devenus une cible privilégiée de l’Iran. Une enquête de Haaretz basée sur plus de 100 000 courriels et messages révèle une campagne de six ans mêlant cyber, influence et tentatives d’assassinat.
En juin 2025, au plus fort de la première guerre d’Israël contre l’Iran, un missile balistique a frappé un quartier résidentiel près de l’Université de Tel Aviv. L’explosion a également été ressentie à l’Institut d’Études de Sécurité Nationale (INSS), où les portes et fenêtres en verre ont volé en éclats. Le directeur adjoint du think tank a informé le conseil d’administration qu’aucun membre du personnel n’avait été blessé, mais les a également informés d’un autre front où l’Iran avait fait mouche : les cyberattaques contre l’institut et ses responsables.
Ces attaques n’étaient pas nouvelles. Elles avaient commencé au moins cinq ans avant la guerre. Haaretz est au courant de ces attaques, y compris du courriel envoyé au conseil d’administration et d’autres incidents sensibles, car le groupe de hackers Handala - affilié au ministère iranien du Renseignement (MOIS) - a publié plus de 100 000 courriels et fichiers appartenant au personnel de l’INSS au cours des deux derniers mois, avec des données allant jusqu’à la fin de l’année 2025.
Une enquête de Haaretz basée sur des dizaines de milliers de courriels, fichiers et messages WhatsApp a révélé que les récentes fuites - publiées quelques jours après le début de la guerre en mars - n’étaient que la partie émergée de l’iceberg. Des années avant que Handala ne déverse en ligne le matériel volé, l’Iran l’utilisait déjà dans le cadre d’une opération de renseignement plus large incluant des agents locaux et même des tentatives d’assassinat visant des personnalités israéliennes, y compris des hauts responsables de l’institut.
Bien que formellement indépendant et ne faisant pas partie de l’establishment sécuritaire, en pratique, le personnel de l’INSS entretient des liens étroits avec les organismes de défense et gouvernementaux.
Pendant au moins six ans, l’institut a été le point focal d’une offensive cybernétique iranienne multi-étapes visant à collecter et à utiliser des informations sur des responsables israéliens, passés et présents. L’enquête révèle également une grave lacune dans les défenses d’Israël, laissant d’anciens responsables du renseignement et des chercheurs vulnérables et confrontés à des menaces réelles.
L’INSS est dirigé par l’ancien chef de la Direction du Renseignement Militaire de l’IDF (connue sous le nom d’Aman), le général de division (rés.) Tamir Hayman, qui a remplacé le général de division (rés.) Amos Yadlin, également un ancien chef de l’Aman.
Bien que formellement indépendant et ne faisant pas partie de l’establishment sécuritaire, en pratique son personnel entretient des liens étroits avec les organismes de défense et gouvernementaux. Bon nombre de ses chercheurs sont d’anciennes hautes figures du Mossad et d’autres services de sécurité qui restent étroitement liés à l’establishment de la défense, participent à des forums sensibles et sont invités à des simulations et à des jeux de guerre. « Du point de vue de l’Iran, ce n’est pas un organisme de recherche. C’est une branche de l’Aman, du Shin Bet et du Mossad », a déclaré à Haaretz un ancien haut responsable de la sécurité.
Des piratages aux tentatives d’assassinat
Handala a passé des années à cibler des sites et des responsables sécuritaires israéliens tout en se présentant comme un groupe hacktiviste pro-palestinien (le nom fait référence à une célèbre figure de bande dessinée symbolisant le peuple palestinien). Le mois dernier, les USA ont confirmé que le groupe est en fait une unité cybernétique au sein du ministère iranien du Renseignement, Handala servant comme l’un des nombreux fronts utilisés pour masquer ses origines étatiques.
Sa spécialité est ce que l’on appelle les opérations de piratage et de fuite (hack-and-leak), utilisant le matériel volé par d’autres pirates non pas à des fins de renseignement, mais d’influence. Il a publié du matériel qu’il prétend avoir pris sur les téléphones de l’ancien Premier ministre Naftali Bennett, du chef de cabinet du Premier ministre Benjamin Netanyahou, Tzachi Braverman, et de l’ancien chef d’état-major de l’armée, Herzi Halevi.
Attaques iraniennes contre l’INSS
2020 Usurpation de l’identité du directeur des affaires étrangères de l’institut pour contacter des chercheurs israéliens en sécurité
2022 Piratage de la messagerie du chef de l’INSS Amos Yadlin ; tentative d’attirer Tzipi Livni à une fausse conférence à l’étranger
2022 Raz Zimmt : Des hackers iraniens divulguent mon livre une semaine avant sa publication officielle
2024 Microsoft alerte l’INSS que la messagerie d’un chercheur a été compromise par un acteur opérant depuis Téhéran
2024 Inculpation déposée contre un couple israélien recruté par les renseignements iraniens pour surveiller un chercheur de l’INSS
En avril, pendant la guerre, Handala a publié des courriels provenant des comptes de six hautes figures de l’INSS : Raz Zimmt ; Tamir Hayman ; Sima Shine, chercheuse senior et ancienne chef de la division recherche du Mossad ; Laura Gilinsky, directrice adjointe des partenariats stratégiques ; Deborah Oppenheimer, ancienne chef des affaires étrangères ; et le Dr Ilan Steiner, directeur financier et des opérations.
Handala a qualifié l’INSS de « bras de recherche et d’analyse du Mossad » et a affirmé avoir volé plus de 400 000 fichiers classifiés. Haaretz a analysé plus de 99 000 fichiers, totalisant plus de 33 gigaoctets de texte et d’images. La plupart semblent authentiques, et une grande partie du contenu est administratif. Mais enfouies dans les fuites se trouvent ce que les professionnels de la cybersécurité appelleraient une mine d’or : des mots de passe pour les caméras de sécurité de l’institut, son réseau Wi-Fi, et le compte Zoom utilisé dans sa salle de conférence.
Une invitation à une réunion envoyée à un invité a même révélé le code de la porte principale du bâtiment. La même invitation expose les noms de militaires d’unités telles que l’unité 8200 (un pilier central du renseignement des signaux et de la cyber-guerre de l’armée), tandis que d’autres documents identifient des diplomates et de hauts responsables de l’OTAN.
Yossi Karadi, chef de la Direction nationale du cyber, a récemment décrit les risques et comment les efforts numériques iraniens alimentent le domaine physique. Les hackers tentent d’accéder aux caméras de sécurité pour affiner les frappes de missiles, et les informations recueillies via des cyberattaques sont utilisées pour soutenir des tentatives d’assassinat contre des personnalités israéliennes, y compris des responsables de la sécurité, des universitaires et des scientifiques.
La chaîne d’infection
La manière dont les Iraniens ont infiltré les systèmes de l’INSS est exposée dans les documents qu’ils ont divulgués.
En octobre 2019, le responsable informatique de l’institut a averti le personnel : « L’institut est constamment sous cyberattaques et tentatives d’intrusion dans vos boîtes aux lettres ». En novembre 2020, des pirates ont usurpé l’identité de la directrice des affaires étrangères de l’époque, Deborah Oppenheimer, et ont envoyé à des chercheurs d’autres instituts un rapport volé sur les serveurs de l’INSS avant sa publication.
Le rapport était un appât. Les boîtes aux lettres à l’intérieur et à l’extérieur de l’institut ont été compromises à maintes reprises. On ne sait pas qui a été piraté en premier, mais à la fin de l’année 2021, les pirates avaient déjà accès au compte Gmail du directeur de l’époque, Amos Yadlin.
Fin 2021 ou début 2022, les pirates ont utilisé le compte de Yadlin pour tenter d’attirer l’ancienne ministre des affaires étrangères Tzipi Livni à l’étranger. Elle s’est méfiée de la formulation, a appelé Yadlin, et ensemble ils ont contacté Check Point. La société a déterminé que le message faisait partie d’une opération iranienne qui avait pris le contrôle d’autres comptes de hauts responsables israéliens. L’opération a été exposée en juin 2022, quelques semaines après que le Shin Bet a déclaré avoir déjoué un complot iranien visant à attirer de hauts responsables israéliens à l’étranger pour les enlever. Livni n’était pas seule.
En 2022, Raz Zimmt a écrit à un collègue britannique que des hackers iraniens avaient divulgué son livre une semaine avant sa publication. Au cours des mois et années qui ont suivi, comme les fuites le montrent, les chercheurs ont été ciblés à maintes reprises. En décembre 2024, Zimmt et le général de brigade (rés.) Udi Dekel ont reçu un faux courriel prétendant provenir du président d’un célèbre think tank émirati. Dekel a repéré la menace, mais le matériel divulgué montre que dans les mois qui ont suivi, les Iraniens ont réussi à pénétrer les comptes de Zimmt.
Les fichiers divulgués incluent, ironiquement, un groupe WhatsApp intitulé « menaces cyber sur les chercheurs au Moyen-Orient », documentant plus de dix incidents distincts.
En 2025, des hackers iraniens ont usurpé l’identité du professeur Meir Litvak, chercheur senior associé au Centre Alliance pour les études iraniennes à l’Université de Tel Aviv. Dans un échange dans le groupe, Litvak a dit à ses collègues que « quelqu’un de désagréable » envoyait des courriels en son nom. Des dizaines de spécialistes de l’Iran ont été ciblés.
Dans le même groupe de discussion, plus de 20 chercheurs israéliens sur l’Iran ont partagé en temps réel les différentes tentatives de l’Iran pour les pirater avec de faux courriels d’hameçonnage (phishing) avec la société de cyberdéfense ClearSky. Son PDG Boaz Dolev a examiné les courriels de Litvak et a trouvé un PDF malveillant conçu pour voler les identifiants Gmail. Un chercheur, Ashkan Safaei Hakimi, a répondu : « Soyez prudent. Ils ont essayé de pirater ma messagerie il y a deux ans avec un courriel similaire sous le nom de Meir ».
Le matériel divulgué montre que l’INSS a engagé des sociétés privées de cyber au fil des ans pour essayer de se défendre - et a reçu une assistance bénévole de sociétés de cybersécurité telles que Check Point et ClearSky, ainsi que l’aide de la Direction nationale du cyber. Selon des informations obtenues par Haaretz, les agences de sécurité officielles n’ont pas été impliquées dans les efforts de défense.
Le matériel divulgué comprend l’accès aux caméras de sécurité de l’INSS, les mots de passe de son Wi-Fi et du compte Zoom de sa salle de conférence. Une entrée de calendrier numérique a même révélé le code d’entrée du bâtiment aux opérateurs iraniens.
En 2024, la menace cyber est devenue physique : le 31 octobre, un communiqué du Shin Bet a été posté sur le groupe WhatsApp des chercheurs : un couple de Lod a été accusé d’avoir exécuté des tâches pour les renseignements iraniens pendant trois ans, y compris la photographie de sites tels que le quartier général du Mossad. Quelques jours plus tôt, le directeur adjoint de l’INSS avait informé le personnel que le Shin Bet lui avait dit qu’un de leurs collègues était sous surveillance. Ce qui a le plus alarmé la discussion de groupe était également le fait que la surveillance concernait un membre du personnel de l’INSS que les Iraniens avaient cherché à assassiner. L’homme avait suivi sa voiture et repéré sa maison pendant plusieurs jours. Selon le Shin Bet, le donneur d’ordre avait demandé au couple de localiser un assassin potentiel.
La correspondance interne divulguée par les Iraniens complète ce que le Shin Bet n’a pas dit et l’identifie explicitement. « Tout le monde m’appelle. Ils pensent que c’est moi », a écrit Sima Shine ce matin-là dans une discussion d’équipe, mais un autre employé a clarifié qu’elle-même était la cible.
Les attaques ne se sont pas arrêtées. Les fuites montrent un flux constant de nouveaux avertissements. Il y a un an, la société de cybersécurité Volexity a alerté l’INSS qu’un « acteur étatique » avait compromis l’un des comptes de messagerie de ses chercheurs et l’utilisait pour hameçonner des cibles dans des instituts de recherche aux USA. En réponse, le responsable de la cybersécurité de l’institut a déconnecté tous les appareils liés à ce compte.
En septembre 2025, Ilan Steiner, Directeur financier et des opérations de l’INSS, a reçu une alerte Google concernant une activité suspecte sur son compte Gmail personnel. L’avertissement a été envoyé à son adresse électronique de l’INSS, qui a ensuite été divulguée.
La bataille pour l’influence
Les fuites exposent également les projets de puissance douce (soft power) de l’INSS et les efforts d’influence ciblant l’Iran, ainsi que ses tentatives de projeter son influence à l’étranger et en Israël. Elles révèlent des initiatives censées rester confidentielles, y compris les identités de certains donateurs, parmi lesquels un homme d’affaires irano-usaméricain luttant contre le programme nucléaire iranien.
Le matériel montre que les chercheurs de l’INSS ont participé à un effort du ministère israélien des Affaires de la Diaspora pour contrer les réseaux d’influence iraniens et chiites en Allemagne et en Autriche. Le ministère a reçu une proposition d’une société privée israélienne, Maisha Group, qui incluait la production de « rapports d’incrimination », basés en partie sur du renseignement humain (HUMINT). L’INSS a déclaré à Haaretz que le projet n’a finalement pas été réalisé.
Dans un effort séparé, l’INSS a mené un projet pilote de plusieurs mois utilisant un outil développé par la société israélienne de cyber-renseignement Cognyte pour surveiller les médias sociaux et suivre les campagnes d’influence iraniennes dans le monde. L’institut a déclaré ne pas avoir acheté d’outils de surveillance à la société.
Les fuites documentent également un vaste projet de contre-influence de l’INSS financé en partie par le ministère de la Défense et la Direction nationale du cyber, en coordination avec le Shin Bet, le Mossad et le Renseignement Militaire.
La Direction nationale du cyber, qui a aidé l’INSS pendant des années, a déclaré : « Les instituts de recherche et les organismes académiques sont une cible attrayante pour les cyberattaquants, et au cours des dernières années, nous avons identifié et bloqué des dizaines d’incidents cyber dans ce secteur ».
Elle a ajouté que le cas de l’INSS souligne la nécessité de la Loi sur la défense cyber maintenant en cours d’élaboration, qui « vise à établir des normes contraignantes pour les organismes critiques et à renforcer la résilience de l’ensemble de l’économie ».
Merde alors, moi qui croyais que le Mossad détenait le monopole en matière de cyber-attaques 🧐
Ce genre d’article fait plaisir à lire. Depuis l’assassinat de Soleimani par Trump (donc par Israël), l’Iran au lieu de se lamenter comme font tous les voisins de l’état-voyou a affûté ses couteaux. Et là, Ha'aretz ne parle que d'un think-tank...Beaucoup à l'extérieur d’Israël savent que les renseignements Iraniens ont réussi à pénétrer des forteresses officielles à plusieurs reprises.