NoName057(16) : alerte du M-CERT sur Marseille et La Rochelle, les volontaires payés en TON via DDoSia

Le M-CERT, centre de réponse aux incidents cyber du secteur maritime français, a adressé le 14 octobre 2026 une alerte par courriel aux ports, armateurs et prestataires signalant des attaques DDoS en cours ou imminentes du collectif prorusse NoName057(16), revendiquées contre le Grand Port Maritime de Marseille, Port Atlantique La Rochelle, Marfret, la Compagnie Maritime Nantaise et Genavir. L'alerte, non publiée sur les canaux officiels du M-CERT, est relayée par Journal du Coin et Bourse Inside, capture publiée sur X par @seblatombe.

Ce que dit l'alerte

• Émetteur : M-CERT (centre de réponse aux incidents cyber du secteur maritime).
• Diffusion : courriel direct aux ports, armateurs et prestataires. Pas de communiqué public sur le site du M-CERT ni sur ses réseaux au moment de l'alerte.
• Cibles revendiquées par le groupe : Grand Port Maritime de Marseille (incluant le portail d'autorisation), Port Atlantique La Rochelle, Marfret, Compagnie Maritime Nantaise, Genavir. FalconFeeds relaie également GTT (concepteur de cuves GNL).
• Recommandation : contacter la gendarmerie maritime en cas d'incident.
• Statut : revendications non confirmées par les cibles. Aucune interruption de service n'est publiquement établie à ce stade.

Figurer dans la liste du groupe signifie qu'une tentative est menée, pas qu'elle a abouti. Les analyses sur la vague précédente contre le port de Constanța soulignent cet écart entre revendication et impact mesuré.

Comment NoName057(16) rémunère

L'outil utilisé est DDoSia (Windows, Linux, macOS, Android, routeurs), que les volontaires installent pour prêter leur bande passante. Le dispositif de rémunération est documenté par l'enquête du média polonais Vot Tak avec les experts de RKS.Global, relayée par The Moscow Times, et détaillée par Journal du Coin :

• Unité interne : le dCoin. 1 dCoin ≈ 2 roubles (≈ 2,4 cents).
• Rendement typique : 500 000 requêtes réussies rapportent 50 dCoins, soit environ 1,20 $ par jour.
• Multiplicateurs : brancher plusieurs appareils ou parrainer un nouveau volontaire augmente les gains.
• Conversion : dCoins → TON (ou autres cryptomonnaies au choix du volontaire), puis liquide.
• Gamification : hiérarchie militaire, du simple soldat à « General Dosi », avec badges et classement.
• Vivier estimé par Europol après l'opération Eastwood : plus de 4 000 sympathisants actifs.

Chronologie opérationnelle

• 14–17 juillet 2025 — opération Eastwood : Europol et sept pays coupent plus de 100 serveurs du groupe, deux arrestations en France et en Espagne, deux mandats d'arrêt internationaux.
• Fin octobre 2025 — mi-mars 2026 : 1 530 opérations revendiquées par NoName057(16) après la reconstitution de l'infrastructure.
• Novembre 2025 : vague contre les élections municipales danoises.
• 22 décembre 2025 : vague en France, cibles revendiquées dont La Poste, La Banque Postale, aéroports régionaux.
• 8 octobre 2026 — Italie : site du ministère des Affaires étrangères visé ; les systèmes de protection ont contenu l'attaque, selon la communication officielle italienne.
• 14 octobre 2026 : alerte M-CERT sur le secteur maritime français.

Les chiffres TON

• Prix d'un dCoin : ~2,4 cents.
• Journée d'un volontaire moyen : ~1,20 $ en TON.
• 500 opérateurs à ce rythme : ~600 $/jour de masse salariale, ~220 000 $/an pour l'ensemble du vivier actif. L'ordre de grandeur reste symbolique à l'échelle d'une opération d'État.
• Attribution on-chain publique : non. Aucun wallet TON documentant les flux de rémunération DDoSia n'a été publié par Journal du Coin ou les sources secondaires à cette date. La traçabilité serait, sur TON, techniquement possible mais commande un travail d'attribution spécifique.

À surveiller

1. Publication d'un bulletin ANSSI ou CERT-FR. Le M-CERT a diffusé l'alerte en courriel ; une mise à jour publique côté ANSSI est le signal attendu d'une bascule en gestion inter-sectorielle.
2. Confirmation d'une interruption de service. Aucune des cibles revendiquées n'a confirmé de panne ; une déclaration formelle du Grand Port de Marseille ou de Port Atlantique La Rochelle changerait le dossier.
3. Suites judiciaires post-Eastwood. Les deux mandats d'arrêt internationaux de juillet 2025 n'ont pas été exécutés. Toute arrestation déplacerait le centre de gravité du dossier côté répression.
4. Attribution on-chain des flux TON. Les cabinets d'analyse (Chainalysis, TRM, Elliptic) ont publié des travaux sur les rails de rémunération cyber en 2024–2025 ; un wallet DDoSia documenté serait la pièce manquante.
5. Position du secteur maritime. France Cyber Maritime publie habituellement un panorama annuel ; la place qu'y prendra la vague portuaire 2025–2026 est le baromètre de l'ampleur réelle.

Contexte

L'alerte s'inscrit dans la troisième vague française documentée depuis l'opération Eastwood : décembre 2024 (collectivités), décembre 2025 (postes et aéroports), octobre 2026 (ports). Le mode de financement — cryptomonnaie de petits montants, gamification, modèle « pay-per-request » — rapproche NoName057(16) d'une plateforme de travail à la tâche davantage que d'un APT au sens classique. Côté actifs crypto, TON a été, depuis l'intégration à l'écosystème Telegram, l'un des rails privilégiés par les opérations à faible unité de paiement : rémunérations de modérateurs, airdrops promotionnels, et désormais rétributions DDoSia. L'enjeu réglementaire européen porte moins sur l'outil que sur les plateformes qui permettent la conversion dCoin → TON → fiat sans friction KYC — un angle que la DPCT française et les travaux PSAN français avaient commencé à adresser avant l'été.