BGP Hijack visant Orange France
Rapport v6.0 — Vol d'AS gouvernemental identifié

Confirmation publique par Doug Madory, Director of Internet Analysis chez Kentik — co-auteur de la revue technique du rapport v3.0 — de la réponse d'Orange France et du retrait de la route frauduleuse.

Visualisation Kentik BGP Route Viewer — Reachability / Visibility

Capture du 21–22 avril 2026 sur Kentik BGP Route Viewer (Synthetics), montrant la chute de visibilité du préfixe 90.98.0.0/15 à 17:27 UTC.

Investigation réseau passive depuis Toulouse, France — AS39405 Eurofiber France SAS · IP publique : 141.0.204.194 · Outils : MTR, dig, whois, curl, openssl, API RIPE.

2.1 — MTR vers 90.98.1.1 depuis Toulouse (AS39405)

IP publique  : 141.0.204.194
FAI          : AS39405 Eurofiber France SAS — Toulouse, FR
Cible        : 90.98.1.1 (IP dans le préfixe ciblé)

Résultat MTR :
 1. 192.168.x.x             — Gateway LAN
 2. 141.0.204.1             — Eurofiber PoP Toulouse
 3. 195.66.224.x            — Eurofiber backbone
 4. 193.251.128.x           — Orange France AS3215 (backbone)
 5. 193.251.129.x           — Orange AS3215
 6. 193.251.252.x           — Orange AS3215 core
 7. 193.251.254.x           — Orange AS3215
 8. 90.98.1.1               — DROP silencieux (ICMP timeout)
                               * Hop 10 — paquet droppé

→ Trafic arrive dans backbone Orange AS3215 (193.251.x.x)
→ Droppé silencieusement — IP 90.98.1.1 non assignée
→ Comportement normal d'une IP inutilisée dans un /15 Orange

2.2 — Vérification RPKI en temps réel (API RIPE Routinator)

curl "https://rpki-validator.ripe.net/api/v1/validity/AS41128/90.98.0.0/15"

{
  "validated_route": {
    "route": {
      "origin_asn": "AS41128",
      "prefix": "90.98.0.0/15"
    },
    "validity": {
      "state": "unknown",
      "description": "No VRP Covers the Route Prefix"
    }
  },
  "validating_roas": [],
  "status": "unknown",
  "validator": "routinator"
}

→ Résultat : UNKNOWN — Aucun ROA Orange France pour ce préfixe
→ Même résultat pour AS3215/90.98.0.0/15 (le légitime)
→ La vulnérabilité structurelle est INTACTE

2.3 — État BGP.tools (temps réel · 22 avril 2026)

BGP.tools avait listé deux domaines actifs via FDNS (Passive DNS) dans l'espace des préfixes 90.98.0.0/15 et 92.183.128.0/18. Investigation complète effectuée le 22 avril 2026.

Sous-domaines identifiés — crt.sh (44 entrées)

n8n.girste.com        → 90.99.200.241  (automatisation de workflows)
terminal.girste.com   → 90.99.200.241  (accès shell web)
admin.girste.com      → 90.99.200.241  (panneau admin)
prod1.girste.com      → 90.99.200.241  (infra de production)
prod2.girste.com      → 90.99.200.241
prod3.girste.com      → 90.99.200.241
prod4.girste.com      → 90.99.200.241
wpprod1.girste.com    → 90.99.200.241  (WordPress production)
wpprod2.girste.com    → 90.99.200.241
wpprod3.girste.com    → 90.99.200.241
me.girste.com         → 90.99.200.241
test33.girste.com     → 90.99.200.241
minecraft.girste.com  → 90.99.200.241
netdata.girste.com    → 90.99.200.241  (monitoring Netdata)
monit.girste.com      → 90.99.200.241  (monitoring processus)
... (35 sous-domaines au total · source : crt.sh)

→ TOUS les sous-domaines pointent encore sur 90.99.200.241
→ Aucune mise à jour DNS depuis la suspension du hijack (21 avr. 2026)

Corrélation temporelle — Domaines dans le hijack

Chaîne complète validée par BGP.tools le 22 avril 2026. L'ensemble de la structure reste opérationnelle bien que la route frauduleuse ait été retirée du DFZ. Découverte v6.0 : AS398290 (Parlement canadien) volé et actif.

L'enquête complémentaire du 27 avril 2026 a permis d'identifier formellement l'infrastructure matérielle utilisée par les attaquants : G-Core Labs S.A. (AS199524), un fournisseur IaaS/CDN basé au Luxembourg, louant des IPs à un client final situé en Ouzbékistan.

5.1 — Client final : GCL-CUSTOMER-UZ

5.2 — Préfixes IP identifiés

Total : 8 blocs /24 (7 actifs) — environ 1792 adresses IP.

5.3 — Comportement réseau

Le 28 avril 2026, Spamhaus a signalé de nouvelles routes suspectes dans le pool MCI/SAE. L'enquête a révélé que AS398290 (House of Commons, Canada) a été volé et est utilisé pour annoncer frauduleusement 167.32.0.0/16.

6.1 — AS398290 — House of Commons (Canada)

6.2 — Préfixes MCI/SAE identifiés

6.3 — Preuves ARIN WHOIS

# ARIN WHOIS AS398290
ASNumber:       398290
ASName:         HOC
OrgName:        House of Commons
Address:        111 Wellington St, Ottawa, ON, Canada
RegDate:        2020-04-14

6.4 — Activité BGP en temps réel

{
  "origin": "398290",
  "visibility": {
    "ris_peers_seeing": 331,
    "total_ris_peers": 331
  },
  "first_seen": "2023-11-30",
  "last_seen": "2026-04-29"
}

Note méthodologique : Rapport produit le 29 avril 2026 (v6.0). Investigation OSINT passive — uniquement des sources publiques. Aucun système n'a été sondé activement. Découverte majeure : vol de l'AS du Parlement canadien.