La prochaine campagne de Cl0p, et ce qu'elle implique pour vous

Depuis six ans, Cl0p construit ses campagnes sur une logique stable. En 2023, il a exploité un outil de transfert de fichiers, en 2025 un ERP, et cet été une plateforme de gestion des données d’ingénierie, exposant à chaque fois des milliers d’organisations d’un seul coup. Il s’agissait pour la plupart de PME et d’ETI de l’industrie, des services aux entreprises et de bien d’autres secteurs. Ce qui relie ces victimes tient moins à leur secteur qu’aux logiciels qu’elles utilisent : Cl0p sélectionne une catégorie d’application que les entreprises exposent sur internet, puis s’attaque à l’ensemble des organisations qui en dépendent.

En septembre, Cl0p a essuyé un revers inattendu lorsque le mode opératoire rival ShinyHunters a pris le contrôle de son site de fuite. Tout ce que nous observons laisse pourtant penser que la méthode derrière ses campagnes reste intacte.

Au cours de cette session de 30 minutes, Chouchane Chekherdemian, analyste Cyber Threat Intelligence chez Citalid, s’appuiera sur notre analyse de dix campagnes liées à Cl0p, d’Accellion à Windchill, pour répondre à trois questions :

– Exposition : quelles applications exposées sur internet, du transfert de fichiers à l’ERP et au PLM, entrent dans le périmètre de Cl0p, y compris celles exploitées par vos fournisseurs critiques.
– Discrétion : pourquoi le compte à rebours de l’extorsion démarre à la divulgation publique de la faille plutôt qu’au vol des données, et ce que cela implique pour votre détection.
– Preuve : ce que vous devrez être en mesure de démontrer dès réception de l’email d’extorsion, à savoir depuis combien de temps les attaquants sont présents et quelles données ont quitté votre environnement.

Vous repartirez avec une série d’actions concrètes à vérifier dès le lundi matin.