EAU : sous le feu des cyberattaques dopées à l'IA

Les Émirats arabes unis (EAU) font face depuis le début de 2026 à une vague de cyberattaques sans précédent, dans le sillage du conflit ouvert fin février entre l'Iran d'un côté, Israël et les États-Unis de l'autre. Attribuées pour une large part à des acteurs liés à Téhéran, dont le groupe hacktiviste Handala, ces offensives visent les infrastructures critiques gouvernementales, énergétiques et financières. Leur particularité : un recours massif à l'intelligence artificielle, qui change l'échelle et la vitesse de la menace.

Le contexte : une guerre qui déborde dans le cyberespace

Selon Rest of World, les combats entre l'Iran, Israël et les États-Unis ont débuté fin février 2026. Dès ce mois-là, les autorités émiriennes ont repoussé des tentatives d'intrusion sur des plateformes gouvernementales et de déploiement de rançongiciels, tandis qu'une campagne visait des caméras connectées aux EAU, au Qatar, au Koweït et à Bahreïn. Les tentatives de piratage ont atteint environ 800 000 par jour, soit quatre fois le niveau d'avant-guerre, en provenance d'une vingtaine de pays et de plus de 40 organisations, dont des groupes liés à l'Iran.

Le chiffre de « 128 attaques majeures confirmées depuis le début de 2026 », avancé dans la première version de cet article, n'a pu être rattaché à aucune source publique et a été retiré.

Les acteurs : Handala et les Gardiens de la révolution

Le 12 avril 2026, Handala a revendiqué une attaque contre trois administrations de Dubaï (les tribunaux, le département foncier et l'autorité des routes et des transports), affirmant avoir détruit 6 pétaoctets de données et en avoir exfiltré 149 téraoctets. Ces revendications n'ont pas été vérifiées de façon indépendante, souligne Security Affairs, qui rappelle que Handala est largement considéré comme une façade du groupe Void Manticore, soutenu par l'Iran.

En septembre, le chef du Conseil de cybersécurité des EAU, Mohamed Al Kuwaiti, a désigné le Corps des Gardiens de la révolution islamique comme l'acteur « spécifique » derrière nombre de ces opérations, rapporte The National. Le pays comptait encore 640 000 attaques sur la seule journée du 15 septembre, un niveau inférieur aux premiers mois du conflit. Les secteurs visés se succèdent : institutions financières en juillet, aviation, énergie et éducation en août, des attaques détectées et contenues selon les autorités.

L'IA, accélérateur de la menace

À la différence des cyberattaques « classiques », les méthodes ont changé d'échelle. D'après le Conseil de cybersécurité, cité par Rest of World, l'IA rédige des courriels d'hameçonnage, recherche des failles logicielles et construit des programmes malveillants. Le délai entre la publication d'une vulnérabilité et son exploitation est passé de plusieurs jours à quelques heures, selon Check Point. Les humains continuent de choisir les cibles et le calendrier, mais l'automatisation multiplie le volume d'attaques à une vitesse qui met sous tension les capacités de détection.

Le coût de ces incidents est élevé dans la région. Le rapport d'IBM sur le coût des violations de données estimait en 2025 la moyenne au Moyen-Orient à 27 millions de riyals saoudiens par incident, en baisse de 18 % sur un an, selon IBM. L'affirmation d'un coût « presque deux fois supérieur à la moyenne mondiale » n'a pas pu être vérifiée et n'est pas reprise.

La riposte : une souveraineté cyber fondée sur l'IA

En mai 2026, les EAU ont lancé l'UAE Cyber Factory, un programme du Conseil de cybersécurité et de CPX Holding destiné à concevoir des systèmes de défense pilotés par l'IA, capables d'anticiper, de détecter et de répondre aux attaques. L'objectif affiché est une « souveraineté cyber nationale » : maîtriser de bout en bout ses propres outils de défense, plutôt que dépendre de solutions étrangères.

Enjeux pour les entreprises

Pour les groupes présents dans le Golfe, la situation émirienne combine trois risques : l'exposition directe des filiales et des partenaires locaux (banques, aéroports, énergéticiens), l'effet de rebond sur la chaîne d'approvisionnement numérique, et la désinformation qui accompagne les revendications hacktivistes, souvent exagérées pour maximiser l'effet psychologique. Distinguer une revendication d'une compromission avérée devient un enjeu de décision à part entière.

Ce que les équipes de veille doivent surveiller

• Les revendications sur les canaux hacktivistes (sites Tor, Telegram) visant des entités du Golfe, à confronter aux communiqués officiels avant toute conclusion, comme le détaille notre guide de veille des risques cyber par les signaux OSINT.
• Les alertes du Conseil de cybersécurité des EAU sur les secteurs visés, qui annoncent souvent les cibles suivantes.
• Les fuites de données mentionnant fournisseurs, clients ou filiales.
• L'évolution du conflit armé : chaque escalade militaire s'est accompagnée d'un pic cyber, à suivre avec une veille géopolitique du risque pays.
• Les nouvelles obligations régionales de notification d'incident, à intégrer à la veille réglementaire.

Sources

• Rest of World, UAE fights AI cyberattacks with AI defenses of its own (2026)
• Security Affairs, Iran-linked group Handala claims to have breached three major UAE organizations (2026)
• The National, Iran's IRGC behind « many » cyber attacks on UAE, says security chief (2026)
• IBM, Data breach costs drop 18 % in the Middle East (Cost of a Data Breach 2025) (2025)