ANALYSES
F5, code source volé par un acteur étatique : le risque systémique en attente
Le 15 octobre 2025, F5 a annoncé qu'un acteur étatique avait volé des parties du code source de BIG-IP et des informations sur des vulnérabilités non publiées, et la CISA a émis une directive d'urgence. L'analyse : le vol qui prépare les sinistres, exclusions pour acteurs étatiques, préjudice du fournisseur et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois d'octobre 2025 · par cybercoverinsurance
Le 15 octobre 2025, F5, l'un des principaux fabricants d'équipements de gestion du trafic et de sécurité pour les réseaux d'entreprise, a annoncé qu'un acteur étatique avait eu un accès prolongé à ses systèmes et avait volé des parties du code source de BIG-IP ainsi que des informations sur des vulnérabilités non encore publiées. Le même jour, la CISA a émis une directive d'urgence pour les agences fédérales. F5 avait découvert l'intrusion le 9 août et retardé l'annonce à la demande du ministère de la Justice.
Pour qui porte le risque cyber, le cas est un risque systémique en attente : il n'a produit aucun sinistre connu, mais il a mis entre les mains d'un acteur étatique le code et les vulnérabilités de produits installés en bordure de milliers de réseaux. Il touche trois thèmes : le cumul sur un fournisseur de sécurité, les exclusions pour acteurs étatiques et le préjudice subi par le fournisseur lui-même.
Ce que l'on sait
L'intrusion. Selon le formulaire 8-K de F5, l'entreprise a eu connaissance de la violation le 9 août 2025. L'auteur est décrit comme un acteur étatique très sophistiqué disposant d'un accès persistant de longue durée. Bloomberg a fait état d'au moins douze mois d'accès et a relié l'intrusion au logiciel malveillant BRICKSTORM, attribué à un groupe lié à la Chine. Le matériel volé comprenait des parties du code source de BIG-IP, des informations sur des vulnérabilités que F5 était en train de corriger et des données de configuration d'un petit pourcentage de clients. F5 a déclaré n'avoir constaté aucune exploitation des vulnérabilités (The Hacker News).
La directive. La directive d'urgence ED 26-01 de la CISA a imposé aux agences fédérales civiles d'inventorier les produits BIG-IP, de vérifier si les interfaces d'administration étaient accessibles depuis internet, d'appliquer les mises à jour avant le 22 octobre et de transmettre l'inventaire avant le 29 octobre. La CISA a parlé d'une « menace imminente » pour les réseaux fédéraux. F5 a renouvelé identifiants, certificats et clés de signature, avec l'appui de Mandiant et CrowdStrike (The Hacker News).
L'effet sur le fournisseur. Le 27 octobre, F5 a prévu pour l'exercice 2026 une croissance du chiffre d'affaires de 0 à 4 %, contre 10 % l'année précédente et une croissance moyenne à un chiffre attendue avant la violation. L'entreprise s'attend à des cycles de vente plus lents pendant que les clients évaluent et sécurisent leurs environnements, surtout au premier semestre. L'action a reculé de plus de 6 % après les résultats (SiliconANGLE).
Ce que l'on ne sait pas. Le nombre d'équipements BIG-IP exposés à internet avec des interfaces d'administration accessibles, les clients dont les données de configuration ont été dérobées et l'usage éventuel des informations volées dans des attaques ultérieures n'ont pas été rendus publics.
Le vol qui prépare les sinistres
Le code volé est une avance de temps. Avec le code source et la liste des vulnérabilités à corriger, un attaquant peut chercher des failles avant qu'elles ne soient fermées. Comme l'a noté Unit 42, trouver des failles exploitables prend du temps (The Hacker News). Le sinistre, s'il arrive, arrive plus tard, et chez de nombreux assurés à la fois.
Les produits sont en bordure du réseau. Les équipements BIG-IP gèrent le trafic vers les applications et les services, souvent exposés à internet. Une vulnérabilité exploitée sur ces équipements ouvre l'accès au réseau interne. C'est le même type de produit qui a produit par le passé des vagues d'exploitation de masse.
Une interface d'administration exposée est le facteur de risque. La directive a d'abord demandé aux agences de vérifier si les interfaces d'administration étaient accessibles depuis internet (The Hacker News). C'est une question simple à poser aux assurés, et une donnée qu'un scan externe peut confirmer.
L'acteur étatique et les exclusions
Un vol d'espionnage, pas un acte de guerre. Le vol de code par un groupe lié à un État relève du cyberespionnage. Les exclusions pour actes étatiques introduites ces dernières années visent en général des attaques qui altèrent le fonctionnement ou la sécurité d'un État. Le vol chez F5 y entre difficilement.
L'exploitation ultérieure est une autre histoire. Si un acteur étatique utilisait plus tard les vulnérabilités pour attaquer des infrastructures critiques, les mêmes exclusions pourraient jouer pour les assurés touchés. La même origine peut produire des sinistres payés dans un cas et exclus dans un autre, selon la cible et l'effet.
L'attribution est venue de la presse. F5 a parlé d'un acteur étatique sans le nommer. Le lien avec la Chine vient de Bloomberg (The Hacker News). Pour les libellés qui exigent une attribution officielle, l'écart entre les déclarations de l'entreprise et la presse compte.
Le préjudice du fournisseur
Le premier préjudice est commercial. F5 n'a pas déclaré de coûts directs significatifs, mais a réduit sa prévision de croissance (SiliconANGLE). Pour un fournisseur de sécurité, la confiance perdue se traduit en ventes reportées. C'est un préjudice réel que les polices cyber ne couvrent généralement pas : la perte de revenus futurs due à une atteinte à la réputation a une couverture limitée et définie de façon étroite.
La responsabilité envers les clients reste ouverte. Les clients dont les données de configuration ont été dérobées, ou qui seraient touchés à l'avenir par des vulnérabilités découvertes grâce au code volé, pourraient se retourner contre F5. Pour les assureurs d'un fournisseur de sécurité, la responsabilité civile professionnelle envers les clients est la branche la plus exposée.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Un acteur étatique a volé le code source et des vulnérabilités non publiées d'un produit installé en bordure de milliers de réseaux, créant un risque d'exploitation future chez de nombreux assurés à la fois.
Côté portefeuille, le cas F5 invite à savoir combien d'assurés utilisent les mêmes équipements réseau exposés à internet. Une vulnérabilité exploitée en masse sur ces produits est un scénario de cumul qui ne dépend pas d'un événement déjà survenu, mais d'une préparation déjà faite.