Évaluation du nouveau plan de cybersécurité du Mexique

Executive Summary

Le Mexique a récemment dévoilé un nouveau Plan national de cybersécurité qui sera mis en œuvre pour le reste de cette décennie. Le plan proposé pose les bases pour répondre aux principales menaces de cybersécurité identifiées par le Mexique, notamment le crime organisé, les menaces géopolitiques et les menaces émergentes de l’intelligence artificielle (AI). Ce plan intervient à un moment critique, alors que des incidents cybernétiques répétés dans des institutions fédérales, étatiques et locales au Mexique ont mis en lumière la nécessité d’une réponse nationale plus coordonnée afin de réduire le risque de vol de données, de ransomwares, de perturbations de services et de dommages à la réputation institutionnelle.

Insikt Group analyse des tendances cyber de 2020 à 2026 a révélé que le Mexique a historiquement été principalement touché par les ransomwares, les logiciels malveillants financiers, la fraude et le hacktivisme. La violation et le vol de données, le crime organisé et le blanchiment d’argent, ainsi que la cybercriminalité parrainée par l’État ont également représenté des menaces importantes. Le gouvernement, la santé et les secteurs financier ont été les principales cibles de la cyber acteur malveillant, et les ransomwares restent la principale menace pour les organisations mexicaines. Le Mexique reste également une cible attrayante pour l’activité cybernétique parrainée par l’État en raison de sa forte intégration avec la chaîne d’approvisionnement américaine, de sa base manufacturière liée au nearshoring et de sa cybergouvernance sous-développée.

Le Mexique fait partie des cinq premiers pays au monde avec le plus de victimes documentées de voleurs d’informations et de cartes de paiement volées. Nos recherches ont indiqué que DarkForums est le forum dark web accès spécial le plus populaire où acteur malveillant discuter des cyberattaques ciblant le Mexique. Les organisations mexicaines de trafic de drogue (DTO) sont connues pour exploiter les réseaux chinois de blanchiment d’argent (CMLN) pour leurs produits de la drogue, s’appuyant sur la cryptomonnaie pour masquer leur flux de fonds illicites et sollicitant la cybercriminalité en tant que service pour échapper aux arrestations.

La Coupe du Monde de la FIFA 2026, en cours et coorganisée par le Mexique, constituera un premier test de la capacité du pays à maintenir ses opérations et à accéder aux services numériques dans un contexte de tourisme accru et de surveillance internationale. Face à cette dynamique, les organisations mexicaines devraient renforcer leur capacité à détecter les menaces cybernétiques, prioriser la visibilité des menaces et renforcer la planification des incident réponses. Ils devraient également former le personnel et le public à la cybersécurité de base, en mettant l’accent sur la compréhension pratique de la manière de réagir rapidement et efficacement en cas d’incident.

Key Findings

Le positionnement en cybersécurité du Mexique

Le 4 décembre 2025, le Plan national de cybersécurité 2025–2030 du Mexique (ci-après le Plan) a été publié par l’Agence mexicaine pour la transformation numérique et les télécommunications (ATDT). Le Plan vise à actualiser la politique fédérale mexicaine en matière de cybersécurité pour l’environnement actuel de menaces et à créer un écosystème de politique de sécurité numérique plus sécurisé et résilient. Bien que le Plan ne crée pas à lui seul de nouvelles politiques ou cadres juridiques cybernétiques, il définit une série de références et d’indicateurs pour orienter les progrès en ce sens. En fin de compte, comme le prétend l’ATDT dans le Plan, il s’agit d’une tentative du Mexique de devenir un leader régional du cyber-système. Le Mexique a été classé comme nation de « Niveau 2 » dans l’Indice mondial de cybersécurité 2024 de l’Union internationale des télécommunications (UIT), ce qui le place aux côtés du Canada, de l’Équateur et de l’Uruguay parmi les plus hauts pays d’Amérique latine pour avoir démontré un engagement fort en faveur de la cybersécurité (le Brésil et les États-Unis sont les seuls pays des Amériques à figurer en Niveau 1). Cependant, l’UIT identifie la coopération internationale comme un domaine de croissance, et le Mexique est généralement perçu par les experts en cybersécurité comme étant en retard par rapport aux normes internationales en matière de renforcement des capacités institutionnelles. Une fois mis en œuvre, l’ATDT affirme que le Plan « placera le Mexique à la pointe de la cybersécurité régionale, contribuant non seulement à la protection de ses propres actifs numériques et de sa population, mais aussi au renforcement de la cybersécurité régionale en Amérique latine et dans les Caraïbes.

Le Plan intervient à un moment crucial pour la cybersécurité au Mexique, après plusieurs incidents cybernétiques très médiatisés qui ont mis en lumière la nécessité d’une plus grande résilience et coordination. Ces dernières années, les institutions fédérales ont fait face à de graves violations et perturbations, notamment une fuite très médiatisée par des hacktivistes en 2022 de fichiers sensibles provenant du Secrétariat de la Défense nationale du Mexique (SEDENA), une attaque par ransomware en 2022 contre le Secrétariat des Infrastructures, des Communications et des Transports (SICT), une attaque ransomware BlackByte en 2023 contre la Commission nationale des eaux (CONAGUA), et une attaque RansomHub en 2024 affectant le Bureau de la Présidence du conseiller juridique. Les institutions étatiques et locales ont également fait l’objet d’incidents signalés ou suspectés, notamment l’exposition de 2024 des courriels du gouvernement de Mexico et une intrusion en 2025 concernant le réseau de transport Va y Ven du Yucatán. Ces incidents montrent que les risques cybernétiques du Mexique ne se limitent pas à une seule agence ou secteur, et qu’une capacité nationale de réponse fragmentée et non coordonnée peut rendre les institutions publiques vulnérables au vol de données, aux interruptions de service, aux ransomwares et aux dommages à la réputation.

Le Plan national de cybersécurité 2025–2030 du Mexique définit une approche progressive et progressive pour mettre à jour les capacités cybernétiques du pays au cours des six prochaines années. Cela inclut :

Au moment de la rédaction, les reporting publiques indiquent que les activités identifiées dans la phase de fondation de 2025 ont été achevées. Cependant, Insikt Group n’a pas réussi à trouver suffisamment de sources publiques pour vérifier les progrès sur les principaux éléments de la phase d’expansion en 2026. Par exemple, alors que le sénateur Jesús Lucía Trasviña Waldenrath du parti au pouvoir MORENA a présenté un projet de loi promouvant la coordination de la cybersécurité en janvier 2026, il n’est pas clair si cette proposition est liée à la Loi générale sur la cybersécurité prévue dans le Plan. Il n’a pas encore été soumis au vote, et Insikt Group n’a identifié aucune autre proposition législative au moment où nous rédiges ces lignes. De même, Insikt Group ne parvient pas à déterminer si un Campagne d’éducation en cybersécurité à large échelle visant les employés fédéraux (« APF Cibersegura », prévu pour le deuxième trimestre 2026) ou si une création prévue d’une plateforme en ligne pour une académie de formation virtuelle pour les employés gouvernementaux (prévue pour le deuxième trimestre 2026) a été mise en œuvre comme prévu.

Le calendrier du Plan est important compte tenu de la visibilité et de l’exposition internationales actuellement accrues du Mexique. La Coupe du Monde de la FIFA 2026, qui a débuté le 11 juin 2026 et se déroule au Canada, au Mexique et aux États-Unis, mettra les infrastructures numériques, les services publics, les systèmes de transport, les réseaux de télécommunications, les plateformes de billetterie, le secteur de l’hôtellerie et les systèmes gouvernementaux locaux du Mexique sous une pression et un contrôle inhabituels. Les trois villes hôtes du Mexique — Mexico, Guadalajara et Monterrey — seront des points de contact pour les visiteurs internationaux, la couverture médiatique, l’activité commerciale et les opérations de sécurité publique, ce qui en fera des cibles attractives pour les cybercriminels, les hacktivistes et potentiellement des acteurs étatiques cherchant des perturbations, des gains financiers ou un impact sur la réputation. Comme l’a montré Insikt Group dans des recherches précédentes sur des événements sportifs majeurs tels que les Jeux olympiques de Paris 2024 et la Coupe du Monde de la FIFA 2022 au Qatar, des rassemblements de masse comme ceux-ci sont probablement des cibles pour des cybercriminels ciblant des secteurs critiques avec des ransomwares, des hacktivistes cherchant à perturber en raison de conflits géopolitiques, des acteurs étatiques engagés dans des opérations d’espionnage et d’influence, et des menaces à la sécurité physique provenant d’organisations criminelles et de groupes extrémistes. Lors des Jeux olympiques de 2024, Insikt Group identifié plusieurs cas où le groupe d’État chinois RedLima s’est engagé dans des opérations opportunistes de cyberespionnage contre certains participants ou des organisations affiliées aux Jeux olympiques.

Ce plan s’appuie sur des années d’efforts mexicains pour élaborer la politique de cybersécurité du pays. Le Mexique a publié une Stratégie nationale de cybersécurité en 2017, et bien que certains critiques aient suggéré qu’elle privilégiait les droits numériques au détriment des menaces cybernétiques et manquait de clarté et de coordination institutionnelle, elle a été largement saluée comme un pas dans la bonne direction. Cependant, parce qu’elle a été publiée à la fin de l’administration 2012–2018 de l’ancien président Enrique Peña Nieto, sa mise en œuvre a été essentiellement dépassée par l’élection présidentielle de 2017. Le successeur de Peña Nieto, Andrés Manuel López Obrador, a largement dépriorisé la politique cybernétique durant ses six années d’administration — et la question est restée en veille jusqu’à l’entrée en fonction de la présidente actuelle, Claudia Sheinbaum, en 2024.

En conséquence, le Mexique est entré dans l’administration Sheinbaum sans une stratégie nationale complète de cybersécurité, malgré la présence d’un organisme national de incidentréponse en CERT-MX, un CERT national chargé d’aider à prévenir, atténuer et répondre aux cybermenaces affectant les institutions mexicaines et hébergé par la Garde nationale. De plus, le Mexique dispose de CSIRT militaires, dont l’équipe incidentréponse associée au Secrétariat national de la défense (SEDENA-CSIRT) et le CSIRT-SEMAR, l’équipe incidentréponse de la Marine. Il s’agit d’équipes sectorielles axées sur l’identification, la gestion et la réponse aux incidents cybernétiques au sein de l’écosystème de la défense et militaire mexicain. Avec l’annonce du Plan, le Mexique vise à encourager une coordination renforcée et des normes communes, et à créer un mécanisme civil unique et unifié pour soutenir les agences fédérales.

Threat Analysis

Le Plan national de cybersécurité proposé identifie trois menaces principales de cybersécurité pour le Mexique : le crime organisé, les menaces géopolitiques et les menaces émergentes AI . Le Plan reconnaît les menaces posées par les groupes acteur malveillant cyber et parrainés par l’État, l’espionnage industriel et gouvernemental, le ciblage des infrastructures critiques, la Campagne de désinformation lors des élections, le hacktivisme et l’accessibilité généralisée des AI, que les cybercriminels peuvent exploiter pour faire avancer des stratagèmes tels que le phishing et les deepfakes pour fraude, l’automatisation et l’escalade des attaques, et l’évasion des contrôles de détection et de sécurité. Insikt Group mené des recherches complémentaires sur le cyberpaysage des menaces, contexte des menaces au Mexique depuis 2020, ce qui soutient ces résultats et apporte des informations supplémentaires. Nous pensons que le paysage des menaces et le contexte des menaces cybercriminels a été défini par six tendances persistantes : activités parrainées par l’État, ransomware, logiciels malveillants et fraudes financiers, violation et vol de données, hacktivisme, ainsi que crime organisé et blanchiment d’argent. La plupart des incidents cybernétiques touchant le Mexique semblent motivés par des raisons financières. Le Mexique fait partie des pays les plus ciblés d’Amérique latine et possède la deuxième économie de la région. Les secteurs gouvernemental, de la santé et financier ont été fortement exposés. Cette décennie a été marquée par une augmentation régulière de la fréquence des attaques, une victimologie plus large et un impact opérationnel croissant. Le plan de cybersécurité proposé par le Mexique définit des mesures explicites pour se préparer au ransomware, qui est la principale menace que nous avons identifiée.

Ransomware, les logiciels malveillants financiers et la vente de données dark web illustrent les risques cybernétiques persistants. Le secteur public mexicain a régulièrement été ciblé, probablement en raison d’une dépendance excessive aux systèmes hérités, d’une maturité cybernétique insuffisante et de la concentration de données précieuses, souvent sensibles, telles que des informations personnelles identifiables (PII). Insikt Group a observé de nombreuses références à des compromis affectant les gouvernements des États mexicains, les municipalités, les registres civils et les services publics. Le secteur financier fait face à des risques uniques à plusieurs niveaux, car acteur malveillant ont ciblé directement les entreprises et les consommateurs pour obtenir un premier accès. Le Mexique a également connu des intrusions cybernétiques à forte tension géopolitique et des fuites de documents causées par l’hacktivisme.

acteur malveillant sont opportunistes, cherchant souvent à exploiter des faiblesses techniques, psychologiques et organisationnelles. En période de tensions sociales et politiques, l’attention se fragmente et l’équilibre des charges de travail devient difficile ; La vigilance sécuritaire peut en souffrir. Les équipes de sécurité peuvent être surchargées ou être redirigées, créant potentiellement des failles dans la détection. Les émotions des équipes peuvent également être exacerbées, permettant acteur malveillant exploiter le sentiment d’urgence imminent et la demande croissante d’informations. acteur malveillant peuvent planifier des cyberattaques ciblées lors de crises publiques car les perturbations ou retards opérationnels peuvent être confondus avec des effets liés aux troubles, rendant l’attribution plus difficile et leur permettant de s’intégrer dans la masse.

Étant donné que la Stratégie nationale de cybersécurité de 2017 n’a jamais été réalisée et qu’aucune mise à jour sur sa mise en œuvre n’a jamais été fournie, ce Plan national de cybersécurité proposé a déjà fait des progrès plus significatifs vers la mise en œuvre de sa vision.

Activités parrainées par l’État

Insikt Group estime que le Mexique est une cible attrayante pour les activités cybernétiques parrainées par l’État en raison de sa profonde intégration avec la chaîne d’approvisionnement américaine, de sa base manufacturière liée au nearshoring et de sa cybergouvernance sous-développée. Il y a eu plusieurs cas d’activités parrainées par l’État affectant des organisations au Mexique ces dernières années, y compris certaines activités parrainées par l’État chinois probablement visant à acquérir des données de recherche et des propriétés intellectuelles précieuses en télécommunications. En février 2025, Insikt Group révélé que TAG-141 (FamousSparrow) avait déployé le malware SparrowDoor contre l’Universidad Nacional Autónoma du Mexique, probablement dans le cadre d’un Campagne d’accéder à des recherches dans des domaines liés aux télécommunications, à l’ingénierie et à la technologie. Insikt Group a trouvé d’autres cas de TAG-141 ciblant des instituts de recherche remontant à 2022. De plus, le TGR-STA-1030 lié à l’Asie a été observé cibler au moins 70 organisations gouvernementales et d’infrastructures critiques pour mener du cyberespionnage, et deux ministères mexicains auraient été compromis, probablement en raison d’annonces commerciales internationales. Le Mexique a également été soumis à des programmes de travailleurs informatiques à distance parrainés par la Corée du Nord, et en janvier 2025, un ressortissant mexicain a été inculpé pour avoir facilité un dispositif visant plusieurs entreprises américaines et européennes afin de générer des revenus pour la Corée du Nord.

En fin de compte, bien que le Plan national de cybersécurité reconnaisse que les tensions géopolitiques augmentent le risque d’espionnage cybernétique gouvernemental et corporatif, il ne fournit pas plus de détails sur des plans spécifiques pour traiter les menaces cybernétiques liées à des États étrangers, si ce n’est en insistant sur la nécessité d’une coordination fédérale et étatique, d’un protectiondes infrastructures critiques et de incident de réponse.

Rançongiciels

Insikt Group estime que les ransomwares constituent la menace dominante pour les organisations opérant au Mexique. Attaque par ransomware impose des charges financières importantes aux entreprises, allant des paiements de rançons et des réparations, aux coûts de correction jusqu’à la réputation et l’atteinte à la réputation de la marque, pouvant même entraîner la perte de clients. L’ATDT a rapporté que le Mexique compte le deuxième plus grand nombre de victimes de ransomware documentées en Amérique latine (après le Brésil), ayant identifié 155 victimes entre novembre 2019 et septembre 2025, dont seize incidents ont été divulgués par sources officiels et cinq par des sourcesnon officielles. Selon le Plan, les sources de violation de la cybersécurité incluent les communications officielles, les conférences de presse et les rapports publics de Banxico (la Banque centrale du Mexique). Cependant, le Plan ne mentionne pas les victimes de groupes de ransomware démantelés par les forces de l’ordre internationales (telles que Maze, Conti et Hive).

De janvier 2020 à avril 2026, Insikt Group identifié et documenté 223 incidents de ransomware impliquant 64 groupes de ransomware et plus de 100 victimes à travers le Mexique. Les données collectées dans notre tableau Victimologie contiennent toutes les victimes de ransomware publiquement connues listées sur les blogs associés au ransomware. Les principaux groupes de ransomware ayant impacté les Entité mexicains cette décennie sont LockBit Gang (BITWISE SPIDER, DEV-0396, Flighty Scorpius), Qilin (Agenda), CL0P (FANCYCAT), Kazu et ALPHV (BlackCat), comme illustré dans la Figure 1. Les principales industries concernées étaient le gouvernement, la fabrication, les technologies de l’information et l’alimentation et les boissons, comme le montre la Figure 2.

Graphique linéaire montrant la fréquence des attaques menées par les principaux groupes de ransomware au Mexique, menés par LockBit Gang, suivi par Qilin, CL0P, Kazu et ALPHV.
Figure 1 : Les cinq principaux groupes de ransomware impactant le Mexique en 2025 (sources : Recorded Future)
un graphique en ligne représentant l’impact des ransomwares sur les secteurs gouvernemental, hors États-Unis, de la fabrication, des technologies de l’information, de l’alimentation et des boissons, ainsi que des services professionnels.
Figure 2 : Les cinq principales industries touchées par les groupes de ransomware au Mexique en 2025 (sources : Recorded Future)

Un ransomware généralisé Campagne fortement impacté les infrastructures gouvernementales et d’autres prestataires de services essentiels. LockBit était le leader incontesté, ayant mené le plus d’attaques par ransomware contre Entité au Mexique, soit un total de 61. Cependant, début 2024, les opérateurs et infrastructures de LockBit ont été perturbés par les forces de l’ordre américaines, britanniques et autres forces de l’ordre internationales lors de l’opération Cronos.

En mars 2026, l’Institute for Security and Technology (IST), un think tank basé aux États-Unis, a lancé le México Ransomware Task Force pour faire face à la menace croissante des ransomwares qui pèse sur les infrastructures critiques et l’économie numérique du Mexique. Cela s’inscrit dans de nombreux objectifs énoncés dans le Plan proposé en priorisant la surveillance et l’atténuation des ransomwares. Les quatre piliers du Groupe de Travail Ransomware du Mexique sont : Dissuader, Perturber, Préparer et Réagir.

Logiciels malveillants financiers et fraude

Insikt Group a constaté que les logiciels malveillants financiers et la fraude restent des problèmes majeurs au Mexique. Bien que le Plan ne propose pas explicitement de solutions directes pour atténuer cette menace croissante, il reconnaît la montée des deepfakes AI et l’importance d’un investissement accru dans les solutions et les talents en cybersécurité. Le Plan reconnaît que la Coupe du Monde de la FIFA 2026 est un événement international majeur et que le Mexique doit donc garantir la sécurité numérique des infrastructures critiques, des services essentiels, des systèmes financiers, des plateformes en ligne et d’autres actifs technologiques associés à son hébergement. Le Plan propose également plusieurs projets pour promouvoir le développement des capacités humaines et la culture de la cybersécurité, notamment l’introduction d’un Campagne national de sensibilisation à la cybersécurité destiné au grand public afin de l’informer des risques quotidiens tels que le phishing, l’ingénierie sociale et les deepfakes, et de les éduquer sur les protection des données sur les réseaux sociaux et l’utilisation sécurisée des services financiers numériques.

D’après les résultats du rapport « 2025 Year in Review : Malicious Infrastructure » de Insikt Group, le Mexique figurait parmi les cinq pays ayant le plus de victimes des voleurs d’information. En 2025, AsyncRAT, DanaBot et KV-Botnet étaient respectivement les trois principales familles de malwares, en fonction du nombre de victimes uniques, et DanaBot, Beavertail et LummaC2 étaient en tête des infections observées au Mexique. Le Mexique faisait également partie des cinq pays les plus grands émetteurs de cartes volées sur le dark web en Amérique latine, avec environ 162 000 enregistrements au premier trimestre 2026. En 2025, environ 780 000 cartes de paiement au Mexique ont été exposées sur le dark web. Insikt Group estime que cela pourrait être dû à la forte population du Mexique et à sa position de deuxième économie de la région, ce qui en fait une cible recherchée.

Actif depuis 2022, le botnet Fenix a commencé à cibler les utilisateurs des services gouvernementaux, en particulier
Personnes contribuables au Mexique en 2024. Insikt Group a constaté que le botnet exploite souvent la saison fiscale en se faisant passer pour des portails gouvernementaux officiels tels que le Service d’administration fiscale (SAT) et le Service des impôts internes (SII). L’infrastructure botnet Fenix comprend deux couches : Tier 1 pour la livraison de charges utiles, C2 et panneaux de contrôle d’hébergement ; et Tier 2, un « serveur central » probablement dédié à la collecte et à la gestion des données. Les opérateurs tirent parti de leur expertise régionale et collaborent probablement avec l’écosystème cybercriminel plus large (par exemple, les affiliés aux ransomwares) pour vendre un accès initial à but lucratif.

Insikt Group a observé des opérations de malwares persistantes et motivées financièrement ciblant le secteur bancaire, les plateformes fintech et les consommateurs individuels au Mexique. Parmi les chevaux de Troie bancaires les plus prolifiques actifs ces dernières années figurent Mispadu, Grandoreiro et Casabaneiro (Mekotio). En 2024, une variante du Mispadu Stealer a ciblé les institutions financières et cryptomonnaies au Mexique. Grandoreiro est observé en train de cibler des victimes au Mexique depuis au moins 2020, au début de la pandémie mondiale de COVID-19. En 2022, une variante de Grandoreiro a été observée exploitant une TTPs d’évasion par détection améliorée et comportait plusieurs nouvelles fonctionnalités : keylogging, application automatique des mises à jour à elle-même, injection web, exécution de commandes, manipulation des fenêtres de bureau, attraction des victimes vers des URL autrement malveillantes, imitation de mouvements de souris ou de clavier, et génération de domaines C2 via un algorithme de génération de domaines (DGA). Dans ce Campagneparticulier, les leurres de phishing se sont fait passer pour des responsables gouvernementaux ou ont fait référence à des prêts hypothécaires. En 2024, Casabaneiro (Mekotio) a été observé ciblant des systèmes financiers dans plusieurs pays d’Amérique latine, dont le Mexique, affichant la capacité de produire de fausses fenêtres contextuelles bancaires pour capturer les Identifiantsbancaires, capturer des captures d’écran, enregistrer les frappes clavier et accéder aux données du clipboard.

Violation de données et vol

Le Plan met en lumière la menace que représentent les violations et le vol de données pour le Mexique, avec un accent particulier sur l’activité des groupes de ransomware. Cependant, beaucoup d’individus acteur malveillant des systèmes de compromission et vendent des données violées sans recourir à des rançongiciels ou à des tactiques d’extorsion. Ces violations de données sont souvent circulées, recyclées et revendues à des fins lucratives.

En tirant parti de la Recorded Future Intelligence Operations Platform, Insikt Group trouvé près de 500 références à des publications sur dark web forums d’accès spécial lorsque le Mexique a été considéré comme la cible d’une cyberattaque entre janvier 2020 et avril 2026. Ces références couvrent 26 industries et 308 noms d’utilisateur uniques. Les forums dark web à accès spécial les plus populaires utilisés par acteur malveillant Entité ciblant au Mexique étaient DarkForums, suivis de BreachForums 2, Altenen Forum, Leakbase Forum (saisis) et T00ls Forum. Ces forums sont considérés comme de bas niveau car ils sont facilement accessibles et couramment utilisés pour divulguer et vendre des données volées.

Le Mexique a connu ces dernières années des fuites de données très médiatisées. En 2024, des données issues du système de presse présidentielle appartenant à plus de 300 journalistes ont été divulguées (1, 2, 3). En février 2026, la Commission nationale des assurances et des cautions (CNSF) a rendu publique par un avis officiel qu’un acteur malveillant inconnu avait obtenu un accès non autorisé, ce qui a conduit à la révélation d’une identification intermédiaire Identifiants. En utilisant la plateforme Recorded Future Intelligence Operations, Insikt Group identifié une référence dark web sur DarkForums issue de la acteur malveillant « adrxx » affirmant avoir divulgué ces données. En 2025, le acteur malveillant « Mexicnon » a mis aux enchères 23 000 cartes de paiement émises au Mexique sur le forum Exploit de premier ordre.

Hacktivisme

La position géographique du Mexique entre les États-Unis et le reste de l’Amérique latine l’expose à un risque géopolitique unique. Les menaces identifiées par le Plan incluent l’espionnage gouvernemental et industriel, les attaques contre des infrastructures critiques, la désinformation et la désinformation Campagne pendant les élections, ainsi que le hacktivisme à motifs politiques.

Insikt Group a identifié des tendances hacktivistes qui ont touché le Mexique ces dernières années. Le groupe hacktiviste Chronus Team est apparu fin 2025, ciblant principalement des institutions en Amérique latine, notamment au Mexique, en Argentine, au Brésil et en Bolivie. Début 2026, le groupe hacktiviste a revendiqué la responsabilité de fuites de données importantes affectant des organisations publiques dans les secteurs de l’éducation, de l’assurance, des forces de l’ordre, de la santé et du gouvernement au Mexique. Son modus operandi inclut des dégradations du web, des fuites de données via les canaux Telegram, ainsi que des affiliations laxes avec d’autres groupes hacktivistes et criminels pour attirer l’attention et accroître sa réputation. La méthode de ciblage du groupe vise également à attirer l’attention des médias, ce qui peut exagérer ses capacités, entraînant la propagation de la peur, de l’incertitude et du doute (FUD). Chronus Team affirme vouloir exposer les vulnérabilité de sécurité tout en démontrant des motivations financières à travers des ventes et offres exclusives de données. Le groupe a subi des changements structurels en mars 2026 en fusionnant avec Mexican Mafia Team pour former « Chronus Mafia », reflétant ainsi une expansion de son champ d’action. Les tactiques courantes incluent l’ingénierie sociale, le phishing et l’exploitation de protocoles de sécurité faibles dans tous les secteurs. Dans l’ensemble, les opérations de Chronus Team reflètent un mélange d’hacktivisme et de cybercriminalité à motivation financière dans un paysage en rapide évolution de menaces informatiques en Amérique latine. Un autre groupe hacktivista, Guacamaya, a compromis le Secrétariat de la Défense nationale du Mexique en 2022, comme mentionné plus haut. Ce groupe a fixé des objectifs en fonction de leur estime qu’ils contribuent au déclin environnemental et à la répression des populations indigènes en Amérique latine.

Crime organisé et blanchiment d’argent

Le Plan identifiait la cybercriminalité organisée comme une menace importante pour la cybersécurité mexicaine. Tout en reconnaissant le nouveau rôle que joue la Garde nationale dans la lutte contre cette menace, le Plan propose la création d’un CSOC (Centre national des opérations de cybersécurité [SOC]) et le
Le CSIRT NATIONAL DE LA APF (CSIRT-APF) est des solutions civiles dédiées pour prévenir, détecter, analyser et répondre aux incidents affectant les institutions fédérales. Bien que les DTO mexicains ne soient pas explicitement mentionnés dans le Plan, nous estimons que les membres du DTO ont et continueront de compter sur la cybercriminalité en tant que service pour surveiller, intimider et même tuer des informateurs qui ont été surpris en coopération avec les forces de l’ordre.

Les restrictions sur la fuite de capitaux en Chine ont également créé une opportunité que les CMLN et les TO mexicains ont appris à exploiter. En 2024, TRM Labs a rapporté qu’une filiale notoire du cartel de Sinaloa utilisait la cryptomonnaie pour blanchir les produits de la drogue. L’opération Fortune Runner, dirigée par le gouvernement américain, a entraîné l’inculpation et l’arrestation de nombreux participants à cette activité criminelle.

Un diagramme de flux, allant des sources chimiques et des pilules de Chine à la fabrication de fentanyl au Mexique, la contrebande du produit vers les États-Unis par voie terrestre et maritime, la distribution de fentanyl via des groupes criminels locaux et les réseaux sociaux, puis le blanchiment des profits via des marchandises en argent comptant et le cryto aux États-Unis. Chine et Mexique
Figure 3 : Des mesures décrivant la chaîne mondiale d’approvisionnement du fentanyl qui mettent en lumière comment les drogues illicites sont finalement blanchies. (sources : Drug Enforcement Administration)

Il a été prouvé que les DTO mexicains exploitent les CMLN pour nettoyer leurs produits illicites de drogues. En conséquence, les courtiers chinois ont une présence établie depuis longtemps dans les régions contrôlées par des organisations criminelles transnationales telles que le cartel de Sinaloa et la Cártel de Jalisco Nueva Generación (CJNG), facilitant le blanchiment d’argent pour les deux groupes. Les CMLN utilisent un système commercial dans lequel les associés en Chine achètent des biens de grande valeur (tels que des appareils électroniques, des bijoux et des vêtements), les envoient au Mexique et les vendent pour générer des revenus légitimes en pesos locaux pour les DTO. Cette méthode a gagné en popularité après les règles mexicaines de 2010 contre le blanchiment d’argent (AML), qui ont fixé des limites aux dépôts en espèces en USD, poussant les DTO à s’appuyer sur l’économie informelle instaurée par le système bancaire clandestin chinois (CUBS), augmentant ainsi la dépendance à ces CLMN.

Mitigations

Le Plan national de cybersécurité du Mexique constitue une base importante pour renforcer la cyber-résilience du pays. Alors que le Mexique cherche à émerger comme un centre régional de cybersécurité, et que le pays coorganise actuellement la Coupe du Monde de la FIFA 2026 dans trois villes, la vision stratégique du Plan pourrait potentiellement bénéficier aux organisations opérant au Mexique en fournissant de nouveaux outils que les agences fédérales, les opérateurs d’infrastructures critiques, les gouvernements des États et municipalités, les organisations du secteur privé et les particuliers peuvent utiliser pour réduire le risque cybernétique. Cependant, il est clair que le Mexique fait face à des menaces particulières sous forme d’activités parrainées par l’État, de ransomwares, de logiciels malveillants financiers, de violations de données, de hacktivisme et de crime organisé. En tenant compte des opportunités et des menaces possibles, Insikt Group recommande que les organisations opérant au Mexique envisagent les mesures d’atténuation suivantes :

Outlook

La Coupe du Monde de la FIFA 2026 sera un premier test de la cyber-résilience du Mexique et devrait probablement guider la mise en œuvre du Plan national de cybersécurité. Le Mexique accueille des matchs à Mexico, Guadalajara et Monterrey, soumettant les systèmes gouvernementaux, les aéroports, les opérations des stades, les réseaux de transport, les hôtels, les fournisseurs de télécommunications, les systèmes de paiement et les services numériques accessibles au public à un contrôle accru. Le risque cybernétique autour du tournoi devrait être accru, car l’événement crée un environnement riche en cibles pour les groupes de ransomware, les hacktivistes, les fraudeurs, les voleurs d’identification et les réseaux de désinformation cherchant à gagner ou perturber financièrement (voir l’évaluation de la menace de la Coupe du Monde FIFA 2026 de Insikt Groupici). Si un incident cybernétique survient, il influencera probablement le débat public sur la cybersécurité au Mexique et attirera une attention internationale accrue sur toute lacune perçue.

C’est significatif, car dans les mois à venir, le Mexique passera très probablement de la phase de planification à la mise en œuvre de son Plan. Bien que le Plan fournisse un plan pour une meilleure coordination cybernétique, sa mise en œuvre dépendra en grande partie de la loi fédérale sur la cybersécurité proposée, qui doit être présentée en 2026 par le parti au pouvoir, le Mouvement national de régénération (MORENA), qui, avec ses alliés, détient une majorité majoritaire au Congrès. Selon le Plan, la loi définira les obligations légales, les pouvoirs institutionnels et les mécanismes réglementaires nécessaires pour faire respecter la vision énoncée dans le Plan. À mesure que le processus législatif progresse, le débat se concentrera probablement sur les pouvoirs des autorités nationales de cybersécurité, les préoccupations en matière de vie privée, les obligations de conformité du secteur privé et les implications en matière de protection des données. Même si la loi est adoptée en 2026, la mise en œuvre se déroulera probablement progressivement sur plusieurs années — comme le précise le Plan — à mesure que des agences mexicaines comme l’ATDT émettront des réglementations plus détaillées et établiront les cadres institutionnels nécessaires pour garantir la conformité.

En regardant plus loin, l’environnement de risque cybernétique au Mexique sera probablement encore plus examiné internationalement dans un contexte de coopération sécuritaire accrue entre les États-Unis et le Mexique. Ces dernières années, Washington a cherché à élargir sa coordination sur les questions de sécurité avec ses homologues mexicains, en mettant particulièrement l’accent sur la lutte contre le crime organisé et le trafic illicite de drogue. Cependant, les préoccupations liées au cyberespace sont également devenues une part importante de ces discussions en cours sur la sécurité, et ont conduit à la création en 2022 d’un groupe de travail États-Unis-Mexique sur les questions cybernétiques. Alors que les deux pays explorent des moyens de coopérer en matière de politique de sécurité, la cybersécurité continuera presque certainement de gagner en importance en tant que pilier central de la relation bilatérale. La capacité du Mexique à mettre en œuvre le Plan et à renforcer la cyberrésilience façonnera non seulement sa posture cybernétique nationale, mais aussi sa crédibilité en tant que partenaire de sécurité, de commerce et de technologie pour les États-Unis.

Découvrez les points de vue d'experts, les rapports et les outils pour renforcer votre stratégie de cybersécurité.

/research/latin-america-and-the-caribbean-cybercrime-landscape
/research/2026-fifa-world-cup-threats
/research/latin-american-governments-targeted-by-ransomware
Voir toutes les ressources