Un pirate parvient à compromettre et à détourner 333 nœuds de sortie Tor à des fins d'espionnage de masse et de vol de clés d'accès SSH. L'initiative bouscule certaines certitudes sur ce réseau

En octobre 2026, une cyberattaque d'envergure a ciblé le réseau Tor. Un pirate a réussi à compromettre et à détourner 333 nœuds de sortie Tor, soit environ 10 % de la capacité totale de sortie du réseau. Découverte par un ingénieur suisse et rapidement neutralisée par le Projet Tor, cette opération met en lumière des techniques avancées d'interception de trafic.

L'objectif principal était l'espionnage de masse et le vol de clés d'accès/identifiants hautement sensibles

L'attaquant cherchait à intercepter les connexions des administrateurs système et développeurs utilisant Tor pour gérer leurs serveurs distants. Une fois les identifiants SSH volés, l'objectif était d'infecter les serveurs cibles avec des logiciels malveillants. L'attaque visait de plus à récolter le trafic de messagerie non chiffré transitant par le réseau.

More than 300 Tor exit nodes were hijacked in a campaign targeting SSH connections and unencrypted email. Attackers used a reused password to access a Tor management server, installed the Ebury Linux backdoor, and redirected selected traffic through attacker-controlled infrastructure. The incident is a reminder that anonymity doesn't automatically secure every connection. What additional protections do you need when using Tor to access sensitive systems? #Tor #Cybersecurity #NetworkSecurity

— Security Weekly Podcast Network (@SecWeekly) October 24, 2026

Contrairement aux vagues d'attaques précédentes où les pirates créaient leurs propres nœuds malveillants, les attaquants ont ici piraté des serveurs légitimes existants

Les nœuds Tor appartenaient à des serveurs déjà secrètement infectés par Ebury, un célèbre rootkit/backdoor Linux spécialisé dans le vol d'identifiants SSH et le détournement de serveurs.

Les attaquants ont modifié les politiques de sortie des nœuds Tor compromis. À partir du 2 octobre 2026, tout le trafic sortant via le port 22 (SSH) a été redirigé vers un groupe de 12 serveurs d'interception contrôlés par les pirates.

Les serveurs d'interception utilisaient des scripts (notamment basés sur la bibliothèque Python Paramiko) pour capturer les mots de passe des utilisateurs distants. En parallèle, ils bloquaient les ports de messagerie chiffrés pour forcer le trafic d'e-mails vers des protocoles en texte clair (downgrade), facilitant le sniffing des données.

Tor Network Node Attack A major security breach hit the Tor network when over 300 exit relays were hijacked by malicious actors.The compromised servers modified traffic policies to block encrypted ports and force plaintext routing. This allowed attackers to intercept sensitive unencrypted traffic and harvest login credentials—including SSH passwords. The exploit did not break Tor’s core onion routing math, but targeted vulnerable nodes running on hijacked infrastructure.The Tor Project swiftly intervened by purging the rogue relays from the network within days of discovery.

— GETH_BTC (@GETH_BTC) October 26, 2026

Quelles nouveautés cette attaque apporte-t-elle sur la connaissance du réseau Tor?

Historiquement, les attaques majeures sur Tor (comme celles ciblant les cryptomonnaies) reposaient sur des "fermes" de nœuds malveillants créées de toutes pièces par les attaquants. Ici, la nouveauté réside dans la capacité à compromettre massivement et simultanément des relais existants et gérés par des opérateurs indépendants.

L'enquête a révélé que certains nœuds Tor ont été piratés en raison de pratiques de sécurité basiques défaillantes chez leurs administrateurs (ex. : réutilisation de mots de passe sur les serveurs hébergeant le nœud).

Le fait que l'attaque ait pu absorber 10 % des nœuds de sortie en seulement quelques jours prouve que la topologie de Tor reste sensible à des modifications brutales de routage avant que les mécanismes d'alerte ne se déclenchent.

Attackers compromised over 300 Tor exit relays in early October to intercept SSH connections and steal login passwords. https://t.co/eTKsZaIM2N

— Israel (@f1tym1) October 23, 2026

Quelles leçons pour la filière IT dans son ensemble?

Cette cyberattaque offre des enseignements cruciaux pour les administrateurs système, les développeurs et les ingénieurs réseau. En effet, lors de l'attaque, SSH a fonctionné comme prévu : il a averti les utilisateurs que l'empreinte de la clé du serveur avait changé (à cause de l'interception). Les utilisateurs qui ont été piratés sont ceux qui ont ignoré cet avertissement et forcé la connexion. L'éducation des utilisateurs à la discipline de sécurité reste primordiale.

Divers publications spécialisées soulignent en sus que l'utilisation de clés SSH (Ed25519 ou RSA robustes) avec mot de passe de protection (passphrase), couplée à une authentification multifacteur (MFA), aurait rendu la capture des connexions par les serveurs d'interception totalement inutile.

Certains experts insistent sur le fait que Tor garantit l'anonymat de la source, mais pas la confidentialité du point de sortie jusqu'à la destination. Si le protocole applicatif final n'est pas chiffré (HTTP au lieu d'HTTPS, ou SSH intercepté), le nœud de sortie peut tout lire. En gros, le chiffrement de bout-en-bout est obligatoire pour assurer la sécurité de son infrastructure informatique.

Enfin, ceux qui déploient des services pour le bien commun (comme les relais Tor) doivent appliquer une sécurité maximale sur leurs serveurs : isolation des processus, interdiction de réutiliser des mots de passe et audits réguliers contre les rootkits comme Ebury. En d’autres termes, une hygiène stricte est requise pour les opérateurs d’infrastructures.

Source: Alertes de l’équipe de sécurité Tor

Et vous?

Quelles leçons tirez-vous personnellement de ce piratage sur le réseau Tor?

Voir aussi:

Les connexions aux services cachés du réseau Tor sont plus nombreuses dans les pays politiquement libres que dans ceux qui ne le sont pas, d'après des chercheurs

Une vulnérabilité permet le suivi d'utilisateurs sur les navigateurs Chrome, Firefox, Safari et Tor. Les utilisateurs sur VPN ou en mode incognito ne sont pas épargnés, selon FingerprintJS

Chat Control 2.0 : le Conseil de l'UE approuve un nouveau mandat favorisant la surveillance de masse, ravivant le débat sur le chiffrement et l'analyse côté client qui menacent la fiabilité des communications