Stéganographie : l'art de dissimuler des informations dans des fichiers anodins et les risques en cybersécurité

La stéganographie n'a rien d'une nouveauté. Déjà au temps d'Hérodote, on racontait comment on tatouait un message sur le crâne rasé d'un esclave ou comment on cachait des infos dans des objets du quotidien. L'idée reste toujours la même : faire passer quelque chose d'important sans que personne ne s'en doute. Sauf que depuis l'arrivée du numérique, cette technique a pris une dimension bien plus concrète pour qui travaille dans la cybersécurité. Aujourd'hui, elle sert à la fois pour des usages légitimes et, de plus en plus souvent, comme un outil discret dans les mains d'attaquants.

Le principe est limpide. On planque une information sensible à l'intérieur d'un support qui paraît parfaitement innocent : une photo, un fichier son, parfois un simple texte. L'œil humain ne voit rien. L'oreille non plus. Seul celui qui connaît la clé ou la méthode peut récupérer ce qui était caché.

Comment fonctionne la stéganographie dans les images

C'est le cas le plus fréquent et celui qui pose le plus de soucis aux équipes de défense. Dans une image numérique, chaque pixel porte des valeurs de rouge, de vert et de bleu. Sur 8 bits par composante, on peut modifier le dernier bit, celui de poids le plus faible, sans que ça change quoi que ce soit à l'apparence. C'est la fameuse méthode LSB, Least Significant Bit. Une teinte passe de 128 à 129, et personne ne s'en rend compte. Pourtant, en récupérant ces bits modifiés sur des centaines de milliers de pixels, on reconstitue un message complet, une clé ou même un petit bout de code.

Le truc marche particulièrement bien avec les PNG ou les BMP. Avec les JPEG, c'est un peu plus retors à cause de la compression, mais des variantes existent en jouant sur les coefficients après transformation. En pratique, une image de plusieurs mégaoctets peut facilement transporter plusieurs centaines de kilo-octets de données sans que le fichier grossisse de manière suspecte ou que son apparence change.

Comment cacher un message dans une image sans que ça se voie ? Exactement comme ça. Et ça circule partout : pièces jointes, sites web, réseaux sociaux. Difficile de tout bloquer sans paralyser l'activité normale.

On peut aussi planquer des infos dans du son ou dans du texte, en jouant sur le choix de synonymes ou sur des espaces invisibles. Mais pour les attaques informatiques, les images restent le support de prédilection.

Stéganographie et cryptographie : deux logiques bien distinctes

Beaucoup les mélangent, pourtant elles ne répondent pas au même besoin. La cryptographie rend un contenu illisible sans la bonne clé. Tout le monde comprend qu'il y a quelque chose de protégé, mais on ne peut pas le lire. La stéganographie, elle, cache jusqu'à l'existence du message. C'est la différence entre un coffre-fort qu'on voit et un compartiment secret dans une statue qui a l'air normale.

En fait, les attaquants les combinent souvent. Ils chiffrent d'abord leur charge, puis ils la dissimulent via stéganographie dans une image. Résultat : même une analyse rapide ne détecte rien d'anormal. Le fichier passe pour un banal visuel.

Quand la stéganographie entre dans les cyberattaques

C'est là que la technique devient un vrai sujet pour les équipes de threat intelligence. Les acteurs malveillants l'utilisent à plusieurs moments d'une opération.

Pour livrer un malware, par exemple. Au lieu d'envoyer un exécutable qui va immédiatement attirer l'attention, ils envoient une image tout à fait banale. Dedans se cache le vrai code. Une fois sur la machine cible, un petit script l'extrait et l'exécute. Dans la campagne SteganoAmor, observée au printemps 2025 contre des acteurs du trading pétrolier en Iran et qui s'est étendue à des opérateurs maritimes, les attaquants ont fait télécharger une image JPG depuis un site public. Cette image contenait une charge cachée qui s'exécutait directement en mémoire, contournant les protections classiques.

Pour l'exfiltration aussi. Une fois les données volées, plutôt que de les envoyer en masse de façon détectable, le malware les intègre discrètement dans des images qui sortent du réseau. Les flux ont l'air légitimes. Les outils de détection de fuites de données ont souvent du mal à repérer le signal dans le bruit.

On retrouve cette approche dans plusieurs familles récentes, que ce soit pour télécharger des modules supplémentaires ou pour communiquer avec des serveurs de commande sans se faire remarquer. La tendance se confirme depuis quelques années, avec même des variantes qui tirent parti de l'IA pour rendre les images encore plus naturelles.

Le point c'est que ça rend la détection beaucoup plus compliquée. Les fichiers ont l'air normaux, leurs métadonnées peuvent être propres, et les signatures traditionnelles ne servent à rien.

Comment se protéger contre ces techniques de dissimulation

La stéganalyse existe. On analyse les distributions statistiques des bits ou les anomalies dans les coefficients des JPEG. Mais en vrai, c'est limité. Un attaquant un minimum soigneux évite les patterns trop évidents, et traiter des volumes importants de fichiers avec ces méthodes reste coûteux.

La meilleure réponse aujourd'hui, c'est de ne plus faire confiance aux fichiers par principe. Les solutions de Content Disarm and Reconstruction, souvent appelées CDR, démontent l'image, enlèvent tout ce qui n'est pas strictement nécessaire (métadonnées, zones inutilisées, etc.) et reconstruisent une version propre. Certaines versions avancées ajoutent même du bruit contrôlé aux pixels pour perturber d'éventuelles données cachées, sans altérer la qualité visible.

En pratique, pour une organisation, ça passe par une posture zero trust sur tout ce qui entre : aucune image n'est considérée sûre par défaut. On nettoie systématiquement les métadonnées, on restreint les formats autorisés, on couple ça à de l'analyse comportementale une fois le fichier ouvert. Et on surveille les anomalies dans les flux sortants, parce que c'est souvent là que les données exfiltrées via stéganographie finissent par sortir.

Disons que la plupart des antivirus classiques passent à côté si tout semble un simple fichier image. Il faut creuser plus loin, regarder ce qui se passe vraiment une fois le fichier traité.

Au bout du compte, la stéganographie rappelle une chose simple : en cybersécurité, les apparences trompent souvent. Une photo de vacances ou un visuel publicitaire peut très bien transporter autre chose que des pixels. Et plus on s'habitue à creuser, mieux on dort.