Les internautes de plusieurs provinces chinoises ont été redirigés vers des sites de jeux d’argent après que des attaquants situés à l’extérieur du pays ont détourné le routage Internet et les données d’adresse. Les attaquants n’ont pas infecté les appareils. Au lieu de cela, ils ont forgé l’équivalent sur Internet des panneaux de signalisation et des réponses des annuaires téléphoniques.
Les attaquants ont annoncé de fausses routes via un système autonome étranger (AS) 402425, attirant une partie du trafic vers leur infrastructure. Ils ont ensuite falsifié les réponses du système de noms de domaine (DNS), soit en remplaçant l’adresse d’un site Web légitime par l’adresse d’un site de jeu, soit en envoyant les utilisateurs vers un serveur DNS malveillant. Le détournement a exploité une règle du Border Gateway Protocol (BGP) appelée correspondance du préfixe le plus long : un préfixe plus spécifique peut remplacer une route légitime plus large.
L’équipe technique/centre de coordination des interventions d’urgence du réseau informatique national chinois (CNCERT) a retracé la falsification jusqu’à l’AS 402425, enregistré par la société américaine Qorexa Labs en avril 2026. Le rapport du CNCERT répertorie les plages d’adresses IP malveillantes, notamment 112.121.185.x, 117.55.193.x et 43.230.161.x.
La mesure localise la falsification au sein de ce réseau. Toutefois, cela ne suffit pas à établir l’intention de l’entreprise.
Le cas n’est pas spécifique à la Chine. Les incidents de route BGP se produisent des centaines de fois par mois et la plupart passent inaperçus par les équipes de sécurité de l’entreprise. En 2024, un détournement BGP impliquant le service 1.1.1.1 de Cloudflare a affecté plus de 300 réseaux dans 70 pays après une mauvaise configuration par deux opérateurs brésiliens – sans déclencher d’alertes de sécurité d’entreprise.
Des outils pour réduire le risque existent déjà. L’infrastructure à clé publique de ressources permet aux réseaux de vérifier cryptographiquement si un système autonome est autorisé à annoncer un préfixe. Les normes mutuellement convenues pour la sécurité du routage définissent les pratiques de base. Le CNCERT recommande aux registres Internet et aux plateformes d’échange d’adresses IP d’examiner et de révoquer les ressources AS malveillantes et aux opérateurs de filtrer les routes contenant l’AS 402425.
Pour les utilisateurs ordinaires, le conseil est simple : utilisez un service DNS public de confiance. Si une page renvoie soudainement vers un site de jeu, fermez-la immédiatement, ne cliquez sur aucun bouton ou lien, ne téléchargez rien et videz le cache du navigateur. Gardez les systèmes et les navigateurs à jour.
La sécurité des acheminements est un problème de chaîne d’approvisionnement mondial, et pas seulement un problème d’ingénierie. Le cas chinois est un avertissement : le modèle de confiance d’Internet peut être exploité contre les utilisateurs de n’importe quel pays – et la solution dépend de la question de savoir si les réseaux et les registres adoptent ou non les garanties qui existent déjà.
