Conflit Israël-Iran : que sait-on de "Predatory Sparrow", ces hackers qui s'en prennent au régime iranien ?

C'est un groupe d'oiseaux bien offensifs. Les "Predatory Sparrows", "Moineaux prédateurs" en français, ont mené des attaques mardi 17 juin 2025 contre Sepah, une banque publique iranienne, puis le lendemain contre un groupe privé iranien de cryptomonnaies. Ils sont bien connus, car ils ont revendiqué plusieurs actions spectaculaires ces dernières années, mais leur origine reste opaque.

Ils se sont d'abord présentés "comme des hacktivistes, piratant pour le bien, notamment en soutien des manifestations de 2022", explique Amir Rashidi, un Iranien responsable cybersécurité et droits numériques pour l'ONG Miaan. Mais il estime qu'ils sont "liés à un acteur étatique", même s'il n'en a "pas la preuve concrète". D'abord à cause "de la nature de leur travail et de leurs cibles".

Des activités qui ont débuté en 2021

En effet, l'un de leurs premiers faits d'armes remonte à 2021, lorsqu'ils ont revendiqué sur Twitter avoir bloqué le système de paiement des pompes à essence, paralysant une bonne partie des automobilistes pendant quelques jours. Ces "moineaux" ont aussi revendiqué les cyberattaques, en juin 2022, de trois sites de production d'acier, affirmant que "ces entreprises étaient sujettes aux sanctions internationales et continuaient leurs activités malgré les restrictions", et que cette action était une réponse à "l'attaque de la République islamique". Les images de vidéosurveillance, utilisées comme preuve de leur attaque, montrent un incendie sur l'une des lignes de productions. Puis en décembre 2023, ils s'en sont à nouveau pris au système de paiement des pompes à essence.

L'attaque des "Predatory Sparrows" contre la banque Sepah a "perturbé les distributeurs de billets", c'est-à-dire que par endroits, "vous pouvez aller retirer de l'argent, mais en allant à l'intérieur de la banque", explique Amir Rashidi, dont toute la famille vit en Iran. Le lendemain, mercredi 18 juin, ils s'en sont pris à Nobitex, une plateforme d'échange de cryptomonnaies, affirmant avoir détruit 90 millions de dollars. "Ils ont volé de l'argent, et l'ont ensuite détruit ! Si j'étais un hacktiviste, je ne détruirais pas l'argent, je le donnerai à un groupe", note le militant.

"Ils auraient pu aller sur "khamenei.ir" [du nom du guide suprême] et poster des messages, cibler les Gardiens de la révolution. Ça, c'est de l'hacktivisme ! Pas cibler des civils !", fustige Amir Rashidi. "Peut-être qu'ils veulent que les gens soient en colère, descendent dans la rue et renversent le gouvernement, je n'en sais rien !", interroge le spécialiste.

"Trop puissants"

Par ailleurs, c'est le degré de sophistication de ces attaques qui fait dire aux spécialistes que le groupe est forcément adossé à un acteur étatique. "Ils sont trop puissants pour être juste des hacktivistes", résume Amir Rashidi.

"Le niveau d'information et le degré d'intrusion sont très importants. Pour mener ces attaques, pas besoin d'être nombreux, mais il faut connaître le hardware [le matériel informatique] et le software [le système d'exploitation], et ça ne se trouve pas sur Google", plaisante le militant. Pour pirater les stations essence et la banque, "ils ont trouvé le moyen de pirater des individus, et quand ils ont eu accès à des serveurs sensibles, ils ont procédé à des blocages", explique Ali, un chercheur iranien en cybersécurité.

Pour le type d'attaque de cette ampleur, il faut savoir si les personnes visées "utilisent des Android ou des Iphone", par exemple, et "ça, il n'y a que les renseignements qui peuvent le savoir", poursuit-il. Et ce type d'attaque peut se préparer pendant des années : "Tu infiltres un réseau, tu observes, tu regardes comment le système fonctionne, et tu tiens prêt pour l'attaque", ajoute Amir Rashidi.

Est-ce Israël qui est derrière ces attaques ? "Difficile à dire", répondent les deux spécialistes. Amir Rashidi renvoie vers le New York Times, qui avait mis en lien, après la première attaque des pompes à essence, les activités de ce groupe avec Israël. "Cette attaque a été attribuée à Israël par deux responsables de la défense américaine, qui ont parlé sous couvert d'anonymat", expliquait le quotidien américain en 2021.