Cl0p ne choisit pas un secteur, il choisit un logiciel

Sur les quelque 2 700 organisations touchées par la campagne MOVEit de 2023, 84 % l’ont été par l’intermédiaire d’un fournisseur, selon l’analyse de Cybersecurity Dive fondée sur les données d’Emsisoft et de KonBriefing. Elles n’utilisaient pas MOVEit : leurs données se trouvaient chez un prestataire, un cabinet ou le sous-traitant d’un sous-traitant qui, lui, l’utilisait.

Ce chiffre résume la méthode de Cl0p mieux qu’un long profil d’acteur. Il explique aussi pourquoi la question « mon secteur est-il visé ? » ne suffit pas. La bonne question est plutôt : utilisons-nous ce type de logiciel, ou dépendons-nous de quelqu’un qui l’utilise ?

Lors de notre dernier Threat Signal, Chouchane Chekherdemian, analyste Cyber Threat Intelligence chez Citalid, a passé en revue dix campagnes liées à Cl0p, d’Accellion fin 2020 à Windchill cet été. Ce qu’il faut en retenir tient en trois mots : exposition, silence, preuve.

Une méthode stable depuis six ans

Cl0p apparaît en 2019 comme un rançongiciel classique, qui chiffre les fichiers d’une entreprise jusqu’au paiement. En 2020, il se dote d’un site de fuite pour nommer les victimes qui refusent de payer. Depuis 2021 environ, ses grandes campagnes ne chiffrent plus rien : elles volent des données en masse, puis font payer leur silence.

Dans la taxonomie Citalid, Cl0p est un mode opératoire d’attaque (MOA) de type criminel affilié : une organisation clandestine structurée, aux capacités opérationnelles significatives, qui agit pour le profit. Chouchane Chekherdemian appelle toutefois à la prudence sur le nom. Les éditeurs de sécurité suivent des groupes proches sous leurs propres dénominations, FIN11 chez Google par exemple, et ces périmètres se recoupent sans se confondre. « Quand nous disons Cl0p, nous parlons d’une marque et d’une façon d’opérer, pas forcément d’une équipe fixe derrière chaque campagne. »

Cette façon d’opérer ne varie pas. Cl0p trouve une faille dans un produit que de nombreuses organisations exposent sur internet, puis s’attaque à toutes en même temps. Les outils de transfert de fichiers ont ouvert la série, d’Accellion fin 2020 à MOVEit en 2023 puis Cleo fin 2024. Un ERP a suivi en 2025 avec Oracle E-Business Suite, puis cet été la plateforme où les industriels conservent leurs données d’ingénierie, PTC Windchill.

Le rythme, lui, s’accélère. Pendant des années, Cl0p a fonctionné par à coups, avec des pauses d’un an ou plus. Depuis fin 2024, une nouvelle campagne survient tous les trois à huit mois. Cinq des dix campagnes étudiées ont démarré entre octobre et décembre, et le groupe affectionne les week-ends fériés américains, quand les équipes tournent en effectif réduit : Memorial Day pour MOVEit, Thanksgiving pour une campagne contre des outils de partage de fichiers fin 2025. « L’échantillon est petit, nuance Chouchane. C’est une tendance autour de laquelle s’organiser, pas un calendrier sur lequel compter. »

Exposition : vos applications, et celles de vos fournisseurs

Une application exposée est une application que n’importe qui peut atteindre en tapant son adresse, sans passer par le réseau interne de l’entreprise. Elle l’est en général pour une bonne raison : clients, fournisseurs et sous-traitants doivent s’y connecter. « Imaginez une porte qui donne directement sur la rue, plutôt qu’une porte intérieure derrière l’accueil », résume Chouchane Chekherdemian.

Cl0p vise un type très précis de porte sur rue : une application métier que des tiers doivent utiliser et qui concentre déjà beaucoup de données. Une fois la porte franchie, l’application fait l’essentiel du travail. Elle rassemble les fichiers et sait déjà les lire, ce qui dispense l’attaquant de se déplacer dans le reste du réseau.

La campagne Windchill de l’été 2026 l’illustre. Fin juillet, les mêmes emails d’extorsion sont arrivés simultanément chez des centaines de salariés de chaque entreprise visée, en invoquant une fuite de données Windchill. PTC avait publié un correctif le 17 juin, mais selon l’analyse de Ransom-ISAC rapportée par Tech Times, l’exploitation aurait commencé dès début juin, avant l’existence de ce correctif. Moins de 100 serveurs Windchill étaient exposés sur internet au 1^er juin, selon Censys. La cible était étroite, mais derrière ces serveurs se trouvaient des plans et des nomenclatures, des données qu’on ne réinitialise pas comme un mot de passe. Le cas ne dit pas, en revanche, qui était aux commandes : les emails portent le nom de Cl0p, mais les chercheurs qui ont étudié les intrusions parlent d’un lien probable, pas confirmé.

C’est là que le constat sur MOVEit prend tout son poids. Le logiciel décide de qui est touché bien plus que le secteur ou la taille, et votre exposition inclut celle de vos fournisseurs. Un programme de gestion du risque fournisseur fondé sur des questionnaires annuels capte mal ce risque, qui dépend de ce que vos tiers exposent à un instant donné.

La première action proposée est simple à énoncer : demander aux responsables d’applications une liste unique de toutes les applications métier ouvertes sur internet qui contiennent des fichiers ou des données, avec un responsable par ligne. Il faut ensuite y ajouter la colonne qu’on oublie : la même question posée à vos fournisseurs critiques. Pour chaque ligne, reste à se demander si l’application doit vraiment faire face à internet, et si oui, à n’ouvrir que le strict nécessaire derrière un pare-feu applicatif, en traitant chaque requête bloquée comme une alerte.

Silence : sept semaines sans rien voir

Quand on pense rançongiciel, on imagine des écrans noirs et une production à l’arrêt. Avec Cl0p, c’est l’inverse. Rien ne casse, l’activité continue, personne n’appelle le support. Puis un jour arrive un email : nous avons vos fichiers, payez ou nous les publions. Ce que l’on achèterait alors, c’est une promesse de silence faite par des criminels, invérifiable. Et qu’on paie ou non, il faudra peut-être prévenir clients, partenaires et régulateurs. « Le vrai coût porte sur la confiance, bien plus que sur l’interruption d’activité », souligne Chouchane Chekherdemian.

Le chiffrement des fichiers sur le serveur n’y change pas grand-chose. Cl0p prend le contrôle de l’application, et l’application sait lire ses propres fichiers. « C’est un coffre-fort avec la clé scotchée sur la porte. » Le gain le plus rapide consiste donc à vider ces serveurs de ce qui n’a plus besoin d’y être : ce qui n’y est pas ne peut pas être volé.

La campagne Oracle E-Business Suite de 2025 est le cas où le silence a été total. D’après Google Threat Intelligence Group et Mandiant, une activité suspecte apparaît dès le 10 juillet, et l’exploitation de la faille commence dès le 9 août, alors qu’Oracle ne la connaît pas encore. Pendant environ sept semaines, les données sortent sans qu’aucun avis, aucun article ni aucun correctif ne vienne déclencher l’alerte. À partir du 29 septembre, des dirigeants de dizaines d’entreprises reçoivent des emails d’extorsion envoyés depuis des comptes détournés, parfois accompagnés de la liste de vrais fichiers issus de leurs systèmes. Le correctif d’urgence d’Oracle, pour la faille CVE-2025-61882, n’arrive que quelques jours plus tard. Même le correctif le plus rapide du monde n’aurait pas empêché le vol. Quant à l’auteur, Google reconnaît les marqueurs habituellement associés aux campagnes de Cl0p sans aller jusqu’à une attribution formelle.

Ce cas n’est pas isolé. Dans la plupart des dix campagnes, la faille a été exploitée avant d’être connue, et Cl0p passe généralement à l’extorsion publique une à deux semaines après l’annonce de la faille, quand sa fenêtre se referme. La conséquence pratique est claire : quand une faille est annoncée comme exploitée dans l’une de vos applications exposées, il faut considérer que le compte à rebours a commencé avant l’annonce.

Deux habitudes en découlent. La première : connaître le trafic sortant normal de chaque serveur de la liste, pour qu’un serveur qui envoie soudain bien plus que d’habitude, vers une destination nouvelle, à trois heures du matin, soit repéré. La seconde : transformer chaque faille annoncée en compte à rebours, en corrigeant le jour même et en recherchant, dans le même ticket, les traces d’une intrusion antérieure. « Un correctif ferme la porte pour l’avenir. Il ne dit pas qui est déjà entré. »

Preuve : ce que vous devrez démontrer le jour de l’email

Avec Cl0p, l’email d’extorsion marque le début des coûts, et trois réponses en fixent largement l’ampleur : est-ce réel, depuis quand, et qu’est-ce qui est sorti ?

Est-ce réel ? Pas toujours. Des fraudeurs ont déjà envoyé de faux emails au nom de Cl0p sans aucune donnée volée derrière, si bien qu’aucun email ni aucune mention sur un site de fuite ne doit être pris pour argent comptant. Depuis quand ? C’est là que vos journaux entrent en jeu. Qu’est-ce qui est sorti ? C’est la réponse dont tout le reste dépend : qui notifier, que dire aux régulateurs et aux partenaires, et que répondre si quelqu’un demande de payer.

MOVEit montre, a posteriori, ce que la conservation des journaux peut apporter. Kroll a retrouvé dans les journaux de serveurs de ses clients des traces d’activité compatibles avec l’exploitation de la faille dès avril 2022, et dans certains cas dès juillet 2021, soit bien avant l’attaque de mai 2023. Notre propre relecture des données publiées va dans le même sens : les adresses utilisées par Cl0p contre un autre outil de transfert de fichiers début 2023 avaient déjà scanné des serveurs MOVEit l’année précédente. Une entreprise qui aurait cherché ces adresses dans ses journaux MOVEit au moment de leur publication aurait vu quelqu’un sonder son serveur environ trois mois avant l’attaque. À condition d’avoir encore ces journaux. « L’information était publique. Ce sont les journaux qui n’existaient plus. »

Deux actions en découlent. Vérifier d’abord la durée de conservation des journaux d’accès des applications de la liste, avec un an comme minimum raisonnable, à fixer avec les équipes juridiques et protection des données puisque ces journaux contiennent aussi des données personnelles. Rédiger ensuite la procédure d’extorsion maintenant, et non le jour J : un canal unique pour tout email revendiquant un vol, personne ne répond ni ne transfère, quelqu’un confronte la revendication à vos propres journaux, et un contrôle des sanctions intervient avant même d’évoquer un paiement. Avec Cl0p, l’email arrive en même temps sur beaucoup de bureaux.

ShinyHunters, et ce que l’épisode dit de la prochaine campagne

En septembre, Cl0p a lui-même été piraté. Le MOA rival ShinyHunters a pris le contrôle du serveur hébergeant son site de fuite, par une faille du logiciel Grav qui le faisait tourner. Cl0p a reconnu auprès de BleepingComputer que son installation n’était pas à jour, puis a déplacé son site vers une nouvelle adresse. L’ironie n’a échappé à personne : le groupe qui vit des logiciels non corrigés s’est fait piéger par un logiciel non corrigé.

Il faut toutefois séparer le confirmé du revendiqué. ShinyHunters affirme avoir récupéré le code du site, ses journaux, les clés de son ancienne adresse et la liste des entreprises qui ont payé Cl0p lors de la campagne Oracle, et réclame un paiement à huit chiffres. Au moment du webinaire, aucune preuve n’avait été montrée et aucune liste publiée. Pour les organisations qui ont payé Cl0p par le passé, le conseil est néanmoins d’être prêtes : informer dès maintenant les équipes juridiques et communication, et s’assurer que les traces de ce paiement sont conservées et faciles à retrouver.

L’épisode change-t-il les perspectives ? « Il ne change pas la méthode, mais il pourrait changer le nom qui la porte », répond Chouchane Chekherdemian. La marque a pris un coup public, et une extorsion ne fonctionne que si les victimes croient qu’un paiement achète le silence. Citalid estime pourtant probable qu’une nouvelle campagne de ce type, menée par Cl0p ou par un acteur qui reprend sa méthode, survienne avant fin mars, avec une vigilance maximale en fin d’année. « Je traiterais ce calendrier comme une décision d’astreinte plutôt que comme une prévision : quelqu’un de disponible pour corriger et fouiller les journaux de vos applications exposées pendant Thanksgiving et les fêtes, parce que même en Europe, c’est le moment où les éditeurs et filiales américains tournent au ralenti. »