Le groupe Leakers$ détourne des panneaux LED publics en Égypte, en Malaisie et au Brésil

Un panneau publicitaire au-dessus de l'axe du 26 Juillet, à Gizeh, sur l'autoroute qui relie Le Caire aux banlieues ouest de la ville, a diffusé une vidéo sexuellement explicite le jeudi 29 octobre 2026. Un texte superposé à l'image indiquait « Leaked by: Ch, 19ylegal never and nivex », accompagné d'un identifiant Telegram, @LeakersGov. CNN a rapporté l'incident le lendemain.

À lire aussi: La branche japonaise de Sony, fournisseur d'accès, annonce une fuite de 2,6 millions d'enregistrements · Une campagne de pare-feu a exposé 70 000 identifiants. Les sessions VPN sont le vrai risque..

À ce moment, des détournements similaires avaient été signalés en Malaisie et au Brésil. Gizmodo et The Verge ont réuni les informations le 1er novembre, et un groupe se présentant comme Leakers$ a revendiqué la campagne.

Trois pays, trois propriétaires, trois enquêtes. Ce que ces affaires ont en commun, c'est le type de cible : un écran public dont le contenu arrive par un réseau, et un attaquant qui affirme s'en être pris aux systèmes derrière l'écran plutôt qu'au matériel lui-même.

Trois pays, trois exploitants

L'écran égyptien appartenait à Al Arabia United, selon le ministère de l'Intérieur. L'entreprise est une coentreprise égypto-saoudienne créée en 2022 par United Media Services, la branche médias du service de renseignement général égyptien, et par Arabian Contracting Services, cotée en Arabie saoudite. The Cairo Report, cité par Gizmodo, évalue le parc à environ 1 926 panneaux, dont 239 numériques, répartis entre Le Caire, Gizeh, Alexandrie et la côte nord.

La propriété compte ici parce qu'elle détermine qui doit répondre. United Media Services est la branche médias d'un service de sécurité, et Arabian Contracting Services est cotée en Arabie saoudite : cet exploitant rend donc des comptes à la fois à un organisme d'État et à des actionnaires publics. La réponse égyptienne est passée par les canaux officiels : un communiqué du ministère, un communiqué de l'entreprise et une procédure judiciaire.

La description du mécanisme par le ministère est brève et précise. Al Arabia United avait sous-traité à une entreprise internationale non nommée, et le site web de cette entreprise a été attaqué. En conséquence, selon le ministère, les images ont été diffusées dans plusieurs autres pays en même temps. Il a indiqué que des poursuites judiciaires avaient commencé et que l'entreprise internationale avait suspendu ses diffusions. Al Arabia United a déclaré de son côté avoir détecté un accès non autorisé à un écran, l'avoir éteint par précaution et enquêter avec les autorités.

« dans plusieurs autres pays, simultanément. »

Le cas malaisien était municipal. Le conseil municipal de Kluang, dans le Johor, a confirmé que plusieurs écrans LED publics avaient été piratés pour diffuser un contenu obscène et a déclaré les avoir éteints, rapporte The Star. La police a ouvert une enquête après la plainte d'un homme de 42 ans, qui avait reçu des captures d'écran et des vidéos des panneaux par WhatsApp.

Au Brésil, le panneau se trouvait sur une avenue près de la BR-343, à Campo Maior, dans le Piauí. Ferreira & Ferreira Publicidade e Comunicação a confirmé une cyberattaque à G1, indiqué avoir éteint l'équipement immédiatement, déposé une plainte et présenté des excuses.

Le point d'entrée, selon le groupe

Leakers$ a livré sa version de la méthode à The Cairo Report. Le groupe affirme avoir exploité une vulnérabilité dans le logiciel utilisé pour transmettre du contenu aux écrans LED, et non des faiblesses dans des panneaux physiques individuels. Un représentant a indiqué que quatre participants, travaillant sous les pseudonymes Never, 19ylegal, CH et Nivex, avaient trouvé des milliers de systèmes exposés grâce à un scan aléatoire automatisé d'environ deux heures. Ces systèmes étaient, selon le groupe, joignables par des pages et des interfaces web dépourvues de protections de base.

Chaque élément de ce récit vient du groupe. Aucun avis de fabricant ni CVE n'a été publié pour la faille décrite, et aucun travail forensique publié ne relie les trois incidents nationaux à un seul bogue. Les autorités égyptiennes, malaisiennes et brésiliennes ont confirmé qu'un accès non autorisé avait eu lieu ; elles n'ont pas nommé de cause technique racine.

Le groupe affirme aussi ne pas chercher de dons ni de rançons et ne pas être une opération de rançongiciel, présentant son activité comme la révélation d'infrastructures mal sécurisées. Le vendredi suivant les détournements, il a publié une déclaration politique sur l'Égypte. Ce cadrage invite au scepticisme, car diffuser un contenu explicite sur une route publique est un choix quant à ceux qui absorbent le coût du message, et les personnes prises dans le trafic sur l'axe du 26 Juillet n'ont pas eu leur mot à dire.

Une compromission de site web peut atteindre un coin de rue

Le récit du ministère égyptien décrit une chaîne à deux maillons : un site d'entreprise a été attaqué, et des écrans de plusieurs pays ont montré le résultat. Le premier maillon relève de la sécurité web ordinaire. Le second est celui qui atteint le public. Un panneau qui tire sa playlist d'un système de gestion à distance hérite de la sécurité de ce système, et personne devant l'écran ne peut dire si la playlist était autorisée.

L'Égypte indique que des poursuites ont commencé. Elle n'a pas nommé l'entreprise internationale, publié de rapport d'incident, ni précisé combien d'écrans hors d'Égypte ont été atteints par le même canal. Ces lacunes laissent ouverte la question principale : le point faible était-il le site d'un fournisseur, la manière dont le contenu en était poussé, ou les deux ?

Le calendrier suggère que les trois pays n'ont pas été des accidents séparés. Mais la simultanéité est aussi ce à quoi ressemble une playlist programmée, et confirmer une intrusion commune exigerait des journaux que personne n'a publiés.

La partie transfrontalière compte pour les exploitants partout. Le ministère a déclaré que les images avaient atteint plusieurs pays à la fois, ce qui est le comportement d'un pipeline de contenu partagé quand il fonctionne comme prévu. Le même accès qui permet à un annonceur de programmer une campagne dans une région permet à quiconque détient le compte de programmer autre chose. Aucun contrôle frontalier ne se trouve entre le système de contenu et le panneau.

Un schéma plus ancien que cette campagne

Des écrans publics ont déjà été détournés. Ceux de Jakarta ont été touchés en 2016, ceux de Brisbane en 2022 et ceux de Bagdad en août 2023, selon les incidents que cite Gizmodo. L'affichage numérique est une technologie opérationnelle qui vit dehors, souvent achetée comme un service géré, et le contrat qui la couvre porte d'ordinaire sur la disponibilité et la portée publicitaire, pas sur la réponse aux incidents.

Une défiguration de site web peut être annulée en un après-midi. Un écran au-dessus d'une autoroute ne le peut pas, et le public ne peut pas fermer un onglet.

Les recommandations du secteur reconnaissent elles-mêmes cet écart. Le document de l'OAAA est écrit pour les exploitants de panneaux, ce qui est le bon public pour un avertissement sur les mots de passe par défaut. Le récit égyptien suggère que le site du fournisseur devrait figurer sur la même liste, car l'écran est la dernière étape d'une chaîne qui commence ailleurs.

Ce que les faits établissent, et ce qu'ils n'établissent pas

Trois choses sont établies. Un contenu sexuellement explicite est apparu sur des écrans publics dans trois pays le 29 octobre ou autour de cette date. Les autorités ou les exploitants de chaque pays ont confirmé un accès non autorisé. Et Leakers$ a revendiqué l'opération, avec un identifiant Telegram sur l'écran égyptien qui correspond à l'identité publique du groupe.

Presque tout le reste s'accompagne d'une réserve. L'attribution repose sur les publications du groupe et sur la confirmation officielle que quelqu'un est entré. La vulnérabilité logicielle est la description du groupe, pas une conclusion d'enquête. Les accès revendiqués en Irak et en Chine bénéficient d'une confirmation indépendante plus mince et doivent être lus comme des affirmations tant que des exploitants ou des autorités locales ne disent pas le contraire.

Les informations publiées portent jusqu'ici sur le contrôle des écrans, pas sur le vol de données. Rien dans les comptes rendus de CNN, The Star ou G1 ne décrit de dossiers clients dérobés, et le communiqué du ministère égyptien porte sur l'accès à la diffusion, pas sur une exfiltration. Cela peut changer à mesure que les enquêtes avancent, mais il n'existe aucune preuve en ce sens pour l'instant.

La version égyptienne porte aussi l'autorité d'un ministère plutôt que celle d'un cabinet forensique indépendant. Elle dit qu'un site web a été attaqué. Elle ne dit ni comment, ni par qui, ni si le même accès a atteint la Malaisie et le Brésil. La simultanéité des horaires est compatible avec une intrusion commune, mais seuls les journaux de l'entreprise non nommée pourraient l'établir.

Ce qu'il faut suivre

Un avis de fabricant ou un CVE pour le logiciel de transmission de contenu ferait passer la revendication centrale du groupe du statut d'affirmation à celui de fait documenté, et donnerait à chaque exploitant quelque chose de concret à corriger. Sans cela, le secteur reste avec la description d'une faille et aucun moyen de vérifier si ses propres systèmes la présentent.

Viennent ensuite les enquêtes. L'affaire policière malaisienne et la plainte brésilienne peuvent produire des détails techniques que le ministère égyptien n'a pas fournis. La procédure égyptienne peut nommer l'entreprise internationale, ce qui permettrait aux autres clients de ce fournisseur d'évaluer leur propre exposition. Il faudra surveiller si l'un des trois publie une cause racine plutôt qu'une déclaration d'accès non autorisé.

Les affirmations concernant l'Irak et la Chine ont besoin d'une confirmation ou d'un démenti local avant d'entrer dans un décompte des pays touchés.

Et il faudra voir ce que les exploitants changent. Les identifiants par défaut, les interfaces de gestion exposées et la séparation entre un site public et le système qui pousse le contenu vers les écrans sont tous des points vérifiables. Savoir si le secteur traite cette semaine comme un avertissement ou comme une anomalie apparaîtra dans les documents d'achat bien avant de réapparaître dans un autre titre.

Les contrats peuvent bouger avant le tableau technique. L'entreprise non nommée qui a perdu le contrôle de son site est désormais une ligne dans l'évaluation des risques de ses clients, et ceux-ci ont une raison de demander quel était réellement l'accès du fournisseur à leurs écrans. Les autres clients de ce fournisseur ont besoin de son nom pour vérifier leur propre exposition, et l'Égypte ne l'a pas révélé.

Couverture : « محور 26 يوليو.JPG » par لا روسا, CC BY-SA 4.0, via Wikimedia Commons (l'axe du 26 Juillet en Égypte), recadrée en 16:9.