Une vague de cyber-défaçages massive a frappé plusieurs déclinaisons ougandaises de sites web majeurs, dont Google, YouTube et Microsoft. Derrière cette opération coup de poing se trouve un acteur qui fait parler de lui : KingShell.

Les faits : Une paralysie ciblée des domaines ougandais

Le 18 mai 2026, la plateforme de surveillance des cyberattaques Zone-H a enregistré une série impressionnante de signalements en provenance d’Ouganda. En l’espace de quelques heures, les versions locales des sites internet les plus visités au monde ont vu leur page d’accueil remplacée par un message de piratage (un defacement).

Parmi les victimes de premier plan, on retrouve les extensions territoriales de l’Ouganda (ccTLD .ug) :

Pour les utilisateurs locaux tentant de se connecter à ces services, la surprise a été totale. Au lieu de la barre de recherche Google ou de l’interface YouTube habituelle, un écran noir et rouge sang affichait fièrement le message : « OWNED BY KINGSHELL ».

Le mode opératoire : Un piratage de serveurs ou un détournement DNS ?

L’analyse de l’image de défaçage partagée par les attaquants sur youtube.co.ug donne de précieux indices technologiques. Le fond d’écran imite le style visuel de la matrice informatique avec un texte en ligne de commande : [=ROOT@VOLKAN-PJA ] - $./exploit.sh --target=SYSTEM --mode=total_pwnage.

De plus, la mention explicite présente sur leur visuel, « UGANDA TOP LEVEL DOMAINS GET DOWN » (Les domaines de premier niveau de l’Ouganda tombent), oriente fortement les experts vers une méthodologie précise :

• L’hypothèse du piratage DNS (DNS Hijacking) : Il est hautement improbable que le groupe KingShell ait réussi à s’introduire simultanément dans les serveurs ultra-sécurisés de Google et de Microsoft de manière indépendante. La piste privilégiée est une compromission du registre national ougandais gérant l’extension .ug, ou d’un important fournisseur d’accès local. En modifiant les serveurs de noms (DNS), les hackers ont pu rediriger le trafic légitime de ces grands sites vers leur propre serveur malveillant affichant la page de revendication.

Qui est « KingShell » ?

Le groupe KingShell semble utiliser les codes classiques de l’activisme informatique et du hacktivisme à vocation de démonstration de force.

• Identité visuelle : L’arrière-plan de leur page intègre discrètement un croissant et une étoile, des symboles rappelant fortement le drapeau turc ou des mouvements cyber-nationalistes associés.
• Canal de communication : Le groupe ne cherche pas à se cacher. Il signe ses attaques en affichant un lien direct vers un canal de discussion de l’application sécurisée Telegram : t.me/kingshelll, une méthode courante pour recruter, revendiquer des exploits ou publier des données volées.

Quel impact pour la cybersécurité régionale ?

Bien que le défaçage de site web soit souvent considéré comme du « cyber-vandalisme » n’endommageant pas directement les infrastructures critiques, le fait de pouvoir détourner des domaines appartenant à Google ou Microsoft démontre une faille systémique majeure dans la gestion de la sécurité Internet en Ouganda.

Cette attaque rappelle celle subie par d’autres pays d’Afrique de l’Est par le passé et met en lumière l’urgence pour les autorités de régulation locales de renforcer la sécurité des serveurs DNS nationaux (notamment via le déploiement de protocoles comme DNSSEC) afin d’éviter que des millions d’utilisateurs ne soient redirigés à leur insu vers des sites de phishing ou de distribution de logiciels malveillants.