Les sanctions américaines pirates iraniens s’intensifient. Le Département du Trésor des États-Unis a annoncé de nouvelles mesures contre des acteurs cyber reliés à l’Iran, dans le cadre d’une campagne décrite comme une offensive économique “globale”, visant aussi les entités qui faciliteraient les capacités financières et opérationnelles de ces groupes.
L’annonce s’inscrit dans une opération baptisée Operation Economic Outcast. Selon Washington, l’objectif est de réduire les “liaisons” économiques qui soutiennent un régime iranien qu’il qualifie de sponsor d’actes terroristes, tout en ciblant plus largement les relais informatiques utilisés pour espionner, perturber et voler.
Une opération économique à l’échelle, avec un volet cyber
Dans sa communication, le Trésor présente l’action comme une campagne “sans précédent” impliquant l’ensemble des administrations. La logique est claire : l’État américain cherche à rompre, au niveau financier, des mécanismes qui permettent à des réseaux liés à l’Iran de fonctionner et d’obtenir des ressources.
Le dispositif prévoit des désignations qui touchent des entités, des individus et même des navires, répartis sur plusieurs domaines. Les communications mentionnent notamment des liens avec des secteurs comme le nucléaire, les missiles, le pétrole et, surtout, les réseaux cyber, y compris la sphère des actifs numériques.
Quel est le cœur des accusations contre les acteurs iraniens
Les nouvelles mesures visent notamment un groupe malveillant présenté comme affilié au Ministry of Intelligence and Security (MOIS). Le Trésor affirme que ce groupe serait derrière de nombreuses compromissions d’organisations associées aux infrastructures critiques américaines, ainsi que des vols motivés par l’intérêt financier.
Le message officiel insiste sur la double dimension : l’activité serait employée à des fins d’espionnage et d’objectifs politiques, tout en intégrant une dynamique d’enrichissement personnel. Autrement dit, l’objectif n’est pas uniquement de collecter des données, mais aussi de monétiser une partie des accès et des opérations.
Des désignations visant des membres liés à l’Institut Mabna
Parmi les personnes sanctionnées, cinq individus auraient été inculpés par le Département de la Justice américain la semaine précédente, dans le cadre d’actions visant des organisations aux États-Unis.
Ces personnes seraient membres de l’Institut Mabna, basé à Téhéran. Les noms cités sont :
- Behzad Mesri
- Mojtaba Ghal’eh-Kuhi
- Keyvan Fayyaz Ghareh Blagh
- Saber Shahbazi Balujeh
- Mohammad Reza Kadkhoda’i
- Arman Kahzadian
Le Trésor indique que certains de ces acteurs auraient mené une grande partie des activités de compromission, avec des intrusions et des exfiltrations de données visant plusieurs catégories d’entreprises américaines. Les secteurs cités incluent l’énergie, des contractants de défense, des institutions de santé, des sociétés de technologies de l’information et des acteurs financiers.
Intrusions, exfiltration et ciblage d’infrastructures critiques
Selon les éléments rapportés, les compromissions auraient eu lieu à partir d’au moins fin 2023. Les communications mentionnent aussi qu’en été 2024, les acteurs auraient pénétré plusieurs bureaux gouvernementaux locaux, étatiques et fédéraux aux États-Unis.
Un an plus tard, deux des personnes citées — Mojtaba Ghal’eh-Kuhi et Saber Shahbazi Balujeh — auraient ciblé une entreprise de télécommunications iranienne en y exfiltrant des données.
Cette chronologie illustre, pour Washington, une continuité opérationnelle : des actions menées contre des organisations américaines et des opérations en parallèle sur des cibles liées à l’écosystème local.
Accès pour l’espionnage, mais aussi opportunités financières
Les accusations présentées font ressortir une organisation capable de jouer sur plusieurs leviers. Le Trésor affirme que le groupe réaliserait des exploitations de réseaux informatiques “pour le compte” ou “au bénéfice” de la MOIS.
En parallèle, les activités seraient fortement motivées par un enrichissement personnel. D’après la communication, certains membres auraient priorisé des profits immédiats, y compris en ciblant des entreprises iraniennes, ce qui ferait évoluer les objectifs en fonction des opportunités.
Un cas mis en avant concerne Arman Kahzadian, accusé d’avoir mené des vols liés à la crypto. Le Trésor indique qu’il aurait pris le contrôle d’un portefeuille contenant plus de 30 000 dollars en Bitcoin à l’été 2023.
Des liens monétaires analysés sur la chaîne
Pour étayer les allégations, le récit s’appuie aussi sur des analyses de portefeuilles associés aux personnes sanctionnées. Les éléments mentionnent que l’analyse de TRM Labs sur 30 portefeuilles reliés aux cinq membres de l’Institut Mabna indique environ 16,8 millions de dollars reçus au total.
La communication cite également une concentration d’activité autour de Keyvan Fayyaz Ghareh Blagh : la société d’analytique blockchain associée au rapport aurait identifié 10 adresses ayant reçu ensemble 15,5 millions de dollars entre le 6 janvier 2018 et le 20 août 2026, représentant l’essentiel du volume en chaîne.
Pour Behzad Mesri, il est question de 1,2 million de dollars reçus entre le 12 juillet 2019 et le 22 août 2026, avec un solde résiduel combiné sur l’ensemble des adresses évalué à 202 662 dollars.
Le rôle des façades financières et la pression sur les échanges
Le Trésor souligne que le sujet ne se limite pas au piratage. Des rapports antérieurs cités dans l’article évoquent des sociétés-écrans au Royaume-Uni, décrites comme facilitant le financement opérationnel lié à l’IRGC. L’objectif pour les autorités américaines est de mettre sous contrainte l’écosystème qui rend ces transferts possibles.
Des analystes citent aussi l’existence de “marques” typiques d’un système de façades financières : en pratique, ces mécanismes constitueraient un cadre permettant de faire circuler des fonds entre plusieurs parties prenantes.
Dans ce contexte, la campagne vise à augmenter le coût et le risque pour les acteurs qui traiteraient encore avec l’Iran, avec un focus sur la partie “actifs numériques” de l’opération.
Sanctions secondaires : une pression étendue aux pays et aux plateformes
Au-delà de la cible directe, la communication mentionne une dimension dite de sanctions secondaires. L’idée est d’envoyer un signal aux pays et aux plateformes qui poursuivraient des activités avec l’Iran.
Selon Ari Redbord, responsable mondial des politiques chez TRM Labs, la pression maximale reposerait sur l’isolement du régime iranien, à la fois “sur” et “en dehors” de la chaîne numérique. Autrement dit : réduire l’accès aux ressources et aux canaux permettant de soutenir des opérations.
Récompense pour des informations sur des cyber-attaques
En parallèle, le programme Rewards for Justice du Département d’État annonce une récompense pouvant aller jusqu’à 10 millions de dollars. Elle serait versée pour des informations permettant d’identifier des personnes impliquées dans des activités cyber malveillantes contre des infrastructures critiques américaines, lorsqu’elles agissent sous la direction ou le contrôle d’un gouvernement étranger.
Un contexte plus large : campagnes cyber attribuées à l’Iran
L’article replace ces annonces dans un contexte plus vaste d’incidents attribués à des acteurs iraniens depuis des opérations de frappes aériennes lancées en février 2026 par les États-Unis et Israël.
Parmi les exemples cités : la compromission d’un compte e-mail personnel lié à Kash Patel, directeur du Federal Bureau of Investigation, ainsi que des attaques visant plus de trente utilités d’eau et d’assainissement dans au moins douze États américains.
La portée évoquée dépasse aussi les alliés : l’article mentionne des soupçons d’implication iranienne dans un arrêt de quatre jours d’une petite installation électrique au Royaume-Uni. Toutefois, il est précisé que le gouvernement britannique aurait indiqué l’absence de risque pour le système énergétique global, l’incident touchant un générateur à petite échelle.
Menace multi-facettes : collecte, perturbation et guerre d’information
Le récit évoque une analyse de SentinelOne décrivant l’activité comme une menace “à plusieurs volets”, composée de clusters distincts. Les missions peuvent varier : collecte de données, destruction, ingénierie sociale, compromission de services cloud, surveillance de dissidents et ciblage opportuniste d’actifs d’exploitation exposés.
Un point stratégique soulevé par un chercheur en sécurité est la capacité à réutiliser un accès compromis. Le même compte, le même prestataire ou la même porte d’entrée à distance pourrait servir à différentes fins — collecte de renseignements, ciblage en aval, ou perturbations sélectives — selon l’évolution de la tâche.
Enfin, l’article mentionne aussi l’émergence d’un écosystème “hacktiviste” pro-Iran, décrit comme décentralisé et hétérogène, utilisant des canaux comme Telegram et des sites web, des listes de cibles, des outils de DDoS “à la demande” et des données de brèches réutilisées.
Selon ces observations, l’impact recherché ne serait pas seulement technique : l’effet viendrait aussi de la vitesse, de la visibilité et du cadrage idéologique diffusé dans l’espace médiatique, avec une logique d’“information warfare” asymétrique à grande échelle.
Ce que ces sanctions changent pour les organisations
Pour les organisations concernées par la sécurité numérique, l’enjeu est double. D’une part, les intrusions décrites rappellent la nécessité de surveiller non seulement les tentatives d’accès, mais aussi les phases d’exfiltration et d’abus monétaire. D’autre part, la cible des sanctions inclut explicitement les canaux liés aux actifs numériques et aux relais opérationnels.
En pratique, cela renforce l’intérêt d’une approche structurée : durcissement des accès, réduction de la surface exposée, amélioration de la détection des comportements anormaux et suivi des risques liés aux dépendances (fournisseurs, environnements cloud, comptes tiers).
Conclusion
Avec Operation Economic Outcast, les sanctions américaines pirates iraniens cherchent à couper les leviers financiers et opérationnels permettant de soutenir des intrusions contre des infrastructures critiques. En combinant désignations, analyses de flux en chaîne, volet crypto et pression sur des relais supposés, Washington entend limiter la capacité de ces réseaux à agir — et à monétiser leurs accès.
Pour les acteurs du secteur public et privé, la leçon est nette : la cybersécurité ne concerne pas uniquement les accès techniques. Elle implique aussi de comprendre les circuits de financement, les dépendances externes et la manière dont les attaques se connectent aux conséquences réelles.
Source: https://thehackernews.com/2026/08/us-sanctions-iran-linked-hackers-behind.html
