{"id":20129,"date":"2026-10-26T12:09:49","date_gmt":"2026-10-26T11:09:49","guid":{"rendered":"https:\/\/citalid.com\/?p=20129"},"modified":"2026-10-26T12:15:38","modified_gmt":"2026-10-26T11:15:38","slug":"cl0p-ne-choisit-pas-un-secteur-il-choisit-un-logiciel","status":"publish","type":"post","link":"https:\/\/citalid.com\/fr\/resources\/cl0p-ne-choisit-pas-un-secteur-il-choisit-un-logiciel\/","title":{"rendered":"Cl0p ne choisit pas un secteur, il choisit un logiciel"},"content":{"rendered":"Sur les quelque 2 700 organisations touch\u00e9es par la campagne MOVEit de 2023, 84 % l\u2019ont \u00e9t\u00e9 par l\u2019interm\u00e9diaire d\u2019un fournisseur, selon l\u2019analyse de Cybersecurity Dive<\/a> fond\u00e9e sur les donn\u00e9es d\u2019Emsisoft et de KonBriefing. Elles n\u2019utilisaient pas MOVEit : leurs donn\u00e9es se trouvaient chez un prestataire, un cabinet ou le sous-traitant d\u2019un sous-traitant qui, lui, l\u2019utilisait.\r\n\r\nCe chiffre r\u00e9sume la m\u00e9thode de Cl0p mieux qu\u2019un long profil d\u2019acteur. Il explique aussi pourquoi la question \u00ab mon secteur est-il vis\u00e9 ? \u00bb ne suffit pas. La bonne question est plut\u00f4t : utilisons-nous ce type de logiciel, ou d\u00e9pendons-nous de quelqu\u2019un qui l\u2019utilise ?\r\n\r\nLors de notre dernier Threat Signal, Chouchane Chekherdemian, analyste Cyber Threat Intelligence chez Citalid, a pass\u00e9 en revue dix campagnes li\u00e9es \u00e0 Cl0p, d\u2019Accellion fin 2020 \u00e0 Windchill cet \u00e9t\u00e9. Ce qu\u2019il faut en retenir tient en trois mots : exposition, silence, preuve.\r\n

Une m\u00e9thode stable depuis six ans<\/h2>\r\nCl0p appara\u00eet en 2019 comme un ran\u00e7ongiciel classique, qui chiffre les fichiers d\u2019une entreprise jusqu\u2019au paiement. En 2020, il se dote d\u2019un site de fuite pour nommer les victimes qui refusent de payer. Depuis 2021 environ, ses grandes campagnes ne chiffrent plus rien : elles volent des donn\u00e9es en masse, puis font payer leur silence.\r\n\r\nDans la taxonomie Citalid, Cl0p est un mode op\u00e9ratoire d\u2019attaque (MOA) de type criminel affili\u00e9 : une organisation clandestine structur\u00e9e, aux capacit\u00e9s op\u00e9rationnelles significatives, qui agit pour le profit. Chouchane Chekherdemian appelle toutefois \u00e0 la prudence sur le nom. Les \u00e9diteurs de s\u00e9curit\u00e9 suivent des groupes proches sous leurs propres d\u00e9nominations, FIN11 chez Google par exemple, et ces p\u00e9rim\u00e8tres se recoupent sans se confondre. \u00ab Quand nous disons Cl0p, nous parlons d\u2019une marque et d\u2019une fa\u00e7on d\u2019op\u00e9rer, pas forc\u00e9ment d\u2019une \u00e9quipe fixe derri\u00e8re chaque campagne. \u00bb\r\n\r\nCette fa\u00e7on d\u2019op\u00e9rer ne varie pas. Cl0p trouve une faille dans un produit que de nombreuses organisations exposent sur internet, puis s\u2019attaque \u00e0 toutes en m\u00eame temps. Les outils de transfert de fichiers ont ouvert la s\u00e9rie, d\u2019Accellion fin 2020 \u00e0 MOVEit en 2023 puis Cleo fin 2024. Un ERP a suivi en 2025 avec Oracle E-Business Suite, puis cet \u00e9t\u00e9 la plateforme o\u00f9 les industriels conservent leurs donn\u00e9es d\u2019ing\u00e9nierie, PTC Windchill.\r\n\r\nLe rythme, lui, s\u2019acc\u00e9l\u00e8re. Pendant des ann\u00e9es, Cl0p a fonctionn\u00e9 par \u00e0 coups, avec des pauses d\u2019un an ou plus. Depuis fin 2024, une nouvelle campagne survient tous les trois \u00e0 huit mois. Cinq des dix campagnes \u00e9tudi\u00e9es ont d\u00e9marr\u00e9 entre octobre et d\u00e9cembre, et le groupe affectionne les week-ends f\u00e9ri\u00e9s am\u00e9ricains, quand les \u00e9quipes tournent en effectif r\u00e9duit : Memorial Day pour MOVEit, Thanksgiving pour une campagne contre des outils de partage de fichiers fin 2025. \u00ab L\u2019\u00e9chantillon est petit, nuance Chouchane. C\u2019est une tendance autour de laquelle s\u2019organiser, pas un calendrier sur lequel compter. \u00bb\r\n

Exposition : vos applications, et celles de vos fournisseurs<\/h2>\r\nUne application expos\u00e9e est une application que n\u2019importe qui peut atteindre en tapant son adresse, sans passer par le r\u00e9seau interne de l\u2019entreprise. Elle l\u2019est en g\u00e9n\u00e9ral pour une bonne raison : clients, fournisseurs et sous-traitants doivent s\u2019y connecter. \u00ab Imaginez une porte qui donne directement sur la rue, plut\u00f4t qu\u2019une porte int\u00e9rieure derri\u00e8re l\u2019accueil \u00bb, r\u00e9sume Chouchane Chekherdemian.\r\n\r\nCl0p vise un type tr\u00e8s pr\u00e9cis de porte sur rue : une application m\u00e9tier que des tiers doivent utiliser et qui concentre d\u00e9j\u00e0 beaucoup de donn\u00e9es. Une fois la porte franchie, l\u2019application fait l\u2019essentiel du travail. Elle rassemble les fichiers et sait d\u00e9j\u00e0 les lire, ce qui dispense l\u2019attaquant de se d\u00e9placer dans le reste du r\u00e9seau.\r\n\r\nLa campagne Windchill de l\u2019\u00e9t\u00e9 2026 l\u2019illustre. Fin juillet, les m\u00eames emails d\u2019extorsion sont arriv\u00e9s simultan\u00e9ment chez des centaines de salari\u00e9s de chaque entreprise vis\u00e9e, en invoquant une fuite de donn\u00e9es Windchill. PTC avait publi\u00e9 un correctif le 17 juin, mais selon l\u2019analyse de Ransom-ISAC rapport\u00e9e par Tech Times<\/a>, l\u2019exploitation aurait commenc\u00e9 d\u00e8s d\u00e9but juin, avant l\u2019existence de ce correctif. Moins de 100 serveurs Windchill \u00e9taient expos\u00e9s sur internet au 1er<\/sup> juin, selon Censys<\/a>. La cible \u00e9tait \u00e9troite, mais derri\u00e8re ces serveurs se trouvaient des plans et des nomenclatures, des donn\u00e9es qu\u2019on ne r\u00e9initialise pas comme un mot de passe. Le cas ne dit pas, en revanche, qui \u00e9tait aux commandes : les emails portent le nom de Cl0p, mais les chercheurs qui ont \u00e9tudi\u00e9 les intrusions parlent d\u2019un lien probable, pas confirm\u00e9.\r\n\r\nC\u2019est l\u00e0 que le constat sur MOVEit prend tout son poids. Le logiciel d\u00e9cide de qui est touch\u00e9 bien plus que le secteur ou la taille, et votre exposition inclut celle de vos fournisseurs. Un programme de gestion du risque fournisseur fond\u00e9 sur des questionnaires annuels capte mal ce risque, qui d\u00e9pend de ce que vos tiers exposent \u00e0 un instant donn\u00e9.\r\n\r\nLa premi\u00e8re action propos\u00e9e est simple \u00e0 \u00e9noncer : demander aux responsables d\u2019applications une liste unique de toutes les applications m\u00e9tier ouvertes sur internet qui contiennent des fichiers ou des donn\u00e9es, avec un responsable par ligne. Il faut ensuite y ajouter la colonne qu\u2019on oublie : la m\u00eame question pos\u00e9e \u00e0 vos fournisseurs critiques. Pour chaque ligne, reste \u00e0 se demander si l\u2019application doit vraiment faire face \u00e0 internet, et si oui, \u00e0 n\u2019ouvrir que le strict n\u00e9cessaire derri\u00e8re un pare-feu applicatif, en traitant chaque requ\u00eate bloqu\u00e9e comme une alerte.\r\n

Silence : sept semaines sans rien voir<\/h2>\r\nQuand on pense ran\u00e7ongiciel, on imagine des \u00e9crans noirs et une production \u00e0 l\u2019arr\u00eat. Avec Cl0p, c\u2019est l\u2019inverse. Rien ne casse, l\u2019activit\u00e9 continue, personne n\u2019appelle le support. Puis un jour arrive un email : nous avons vos fichiers, payez ou nous les publions. Ce que l\u2019on ach\u00e8terait alors, c\u2019est une promesse de silence faite par des criminels, inv\u00e9rifiable. Et qu\u2019on paie ou non, il faudra peut-\u00eatre pr\u00e9venir clients, partenaires et r\u00e9gulateurs. \u00ab Le vrai co\u00fbt porte sur la confiance, bien plus que sur l\u2019interruption d\u2019activit\u00e9 \u00bb, souligne Chouchane Chekherdemian.\r\n\r\nLe chiffrement des fichiers sur le serveur n\u2019y change pas grand-chose. Cl0p prend le contr\u00f4le de l\u2019application, et l\u2019application sait lire ses propres fichiers. \u00ab C\u2019est un coffre-fort avec la cl\u00e9 scotch\u00e9e sur la porte. \u00bb Le gain le plus rapide consiste donc \u00e0 vider ces serveurs de ce qui n\u2019a plus besoin d\u2019y \u00eatre : ce qui n\u2019y est pas ne peut pas \u00eatre vol\u00e9.\r\n\r\nLa campagne Oracle E-Business Suite de 2025 est le cas o\u00f9 le silence a \u00e9t\u00e9 total. D\u2019apr\u00e8s Google Threat Intelligence Group et Mandiant<\/a>, une activit\u00e9 suspecte appara\u00eet d\u00e8s le 10 juillet, et l\u2019exploitation de la faille commence d\u00e8s le 9 ao\u00fbt, alors qu\u2019Oracle ne la conna\u00eet pas encore. Pendant environ sept semaines, les donn\u00e9es sortent sans qu\u2019aucun avis, aucun article ni aucun correctif ne vienne d\u00e9clencher l\u2019alerte. \u00c0 partir du 29 septembre, des dirigeants de dizaines d\u2019entreprises re\u00e7oivent des emails d\u2019extorsion envoy\u00e9s depuis des comptes d\u00e9tourn\u00e9s, parfois accompagn\u00e9s de la liste de vrais fichiers issus de leurs syst\u00e8mes. Le correctif d\u2019urgence d\u2019Oracle, pour la faille CVE-2025-61882, n\u2019arrive que quelques jours plus tard. M\u00eame le correctif le plus rapide du monde n\u2019aurait pas emp\u00each\u00e9 le vol. Quant \u00e0 l\u2019auteur, Google reconna\u00eet les marqueurs habituellement associ\u00e9s aux campagnes de Cl0p sans aller jusqu\u2019\u00e0 une attribution formelle.\r\n\r\nCe cas n\u2019est pas isol\u00e9. Dans la plupart des dix campagnes, la faille a \u00e9t\u00e9 exploit\u00e9e avant d\u2019\u00eatre connue, et Cl0p passe g\u00e9n\u00e9ralement \u00e0 l\u2019extorsion publique une \u00e0 deux semaines apr\u00e8s l\u2019annonce de la faille, quand sa fen\u00eatre se referme. La cons\u00e9quence pratique est claire : quand une faille est annonc\u00e9e comme exploit\u00e9e dans l\u2019une de vos applications expos\u00e9es, il faut consid\u00e9rer que le compte \u00e0 rebours a commenc\u00e9 avant l\u2019annonce.\r\n\r\nDeux habitudes en d\u00e9coulent. La premi\u00e8re : conna\u00eetre le trafic sortant normal de chaque serveur de la liste, pour qu\u2019un serveur qui envoie soudain bien plus que d\u2019habitude, vers une destination nouvelle, \u00e0 trois heures du matin, soit rep\u00e9r\u00e9. La seconde : transformer chaque faille annonc\u00e9e en compte \u00e0 rebours, en corrigeant le jour m\u00eame et en recherchant, dans le m\u00eame ticket, les traces d\u2019une intrusion ant\u00e9rieure. \u00ab Un correctif ferme la porte pour l\u2019avenir. Il ne dit pas qui est d\u00e9j\u00e0 entr\u00e9. \u00bb\r\n

Preuve : ce que vous devrez d\u00e9montrer le jour de l\u2019email<\/h2>\r\nAvec Cl0p, l\u2019email d\u2019extorsion marque le d\u00e9but des co\u00fbts, et trois r\u00e9ponses en fixent largement l\u2019ampleur : est-ce r\u00e9el, depuis quand, et qu\u2019est-ce qui est sorti ?\r\n\r\nEst-ce r\u00e9el ? Pas toujours. Des fraudeurs ont d\u00e9j\u00e0 envoy\u00e9 de faux emails au nom de Cl0p sans aucune donn\u00e9e vol\u00e9e derri\u00e8re, si bien qu\u2019aucun email ni aucune mention sur un site de fuite ne doit \u00eatre pris pour argent comptant. Depuis quand ? C\u2019est l\u00e0 que vos journaux entrent en jeu. Qu\u2019est-ce qui est sorti ? C\u2019est la r\u00e9ponse dont tout le reste d\u00e9pend : qui notifier, que dire aux r\u00e9gulateurs et aux partenaires, et que r\u00e9pondre si quelqu\u2019un demande de payer.\r\n\r\nMOVEit montre, a posteriori, ce que la conservation des journaux peut apporter. Kroll a retrouv\u00e9 dans les journaux de serveurs de ses clients<\/a> des traces d\u2019activit\u00e9 compatibles avec l\u2019exploitation de la faille d\u00e8s avril 2022, et dans certains cas d\u00e8s juillet 2021, soit bien avant l\u2019attaque de mai 2023. Notre propre relecture des donn\u00e9es publi\u00e9es va dans le m\u00eame sens : les adresses utilis\u00e9es par Cl0p contre un autre outil de transfert de fichiers d\u00e9but 2023 avaient d\u00e9j\u00e0 scann\u00e9 des serveurs MOVEit l\u2019ann\u00e9e pr\u00e9c\u00e9dente. Une entreprise qui aurait cherch\u00e9 ces adresses dans ses journaux MOVEit au moment de leur publication aurait vu quelqu\u2019un sonder son serveur environ trois mois avant l\u2019attaque. \u00c0 condition d\u2019avoir encore ces journaux. \u00ab L\u2019information \u00e9tait publique. Ce sont les journaux qui n\u2019existaient plus. \u00bb\r\n\r\n

Citalid traduit des menaces comme Cl0p en sc\u00e9narios de pertes financi\u00e8res, \u00e0 partir de vos applications expos\u00e9es et de vos fournisseurs critiques.<\/p>Demander une d\u00e9mo<\/a><\/div><\/section>\r\n\r\nDeux actions en d\u00e9coulent. V\u00e9rifier d\u2019abord la dur\u00e9e de conservation des journaux d\u2019acc\u00e8s des applications de la liste, avec un an comme minimum raisonnable, \u00e0 fixer avec les \u00e9quipes juridiques et protection des donn\u00e9es puisque ces journaux contiennent aussi des donn\u00e9es personnelles. R\u00e9diger ensuite la proc\u00e9dure d\u2019extorsion maintenant, et non le jour J : un canal unique pour tout email revendiquant un vol, personne ne r\u00e9pond ni ne transf\u00e8re, quelqu\u2019un confronte la revendication \u00e0 vos propres journaux, et un contr\u00f4le des sanctions intervient avant m\u00eame d\u2019\u00e9voquer un paiement. Avec Cl0p, l\u2019email arrive en m\u00eame temps sur beaucoup de bureaux.\r\n

ShinyHunters, et ce que l\u2019\u00e9pisode dit de la prochaine campagne<\/h2>\r\nEn septembre, Cl0p a lui-m\u00eame \u00e9t\u00e9 pirat\u00e9. Le MOA rival ShinyHunters a pris le contr\u00f4le du serveur h\u00e9bergeant son site de fuite, par une faille du logiciel Grav qui le faisait tourner. Cl0p a reconnu aupr\u00e8s de BleepingComputer<\/a> que son installation n\u2019\u00e9tait pas \u00e0 jour, puis a d\u00e9plac\u00e9 son site vers une nouvelle adresse. L\u2019ironie n\u2019a \u00e9chapp\u00e9 \u00e0 personne : le groupe qui vit des logiciels non corrig\u00e9s s\u2019est fait pi\u00e9ger par un logiciel non corrig\u00e9.\r\n\r\nIl faut toutefois s\u00e9parer le confirm\u00e9 du revendiqu\u00e9. ShinyHunters affirme avoir r\u00e9cup\u00e9r\u00e9 le code du site, ses journaux, les cl\u00e9s de son ancienne adresse et la liste des entreprises qui ont pay\u00e9 Cl0p lors de la campagne Oracle, et r\u00e9clame un paiement \u00e0 huit chiffres. Au moment du webinaire, aucune preuve n\u2019avait \u00e9t\u00e9 montr\u00e9e et aucune liste publi\u00e9e. Pour les organisations qui ont pay\u00e9 Cl0p par le pass\u00e9, le conseil est n\u00e9anmoins d\u2019\u00eatre pr\u00eates : informer d\u00e8s maintenant les \u00e9quipes juridiques et communication, et s\u2019assurer que les traces de ce paiement sont conserv\u00e9es et faciles \u00e0 retrouver.\r\n\r\nL\u2019\u00e9pisode change-t-il les perspectives ? \u00ab Il ne change pas la m\u00e9thode, mais il pourrait changer le nom qui la porte \u00bb, r\u00e9pond Chouchane Chekherdemian. La marque a pris un coup public, et une extorsion ne fonctionne que si les victimes croient qu\u2019un paiement ach\u00e8te le silence. Citalid estime pourtant probable qu\u2019une nouvelle campagne de ce type, men\u00e9e par Cl0p ou par un acteur qui reprend sa m\u00e9thode, survienne avant fin mars, avec une vigilance maximale en fin d\u2019ann\u00e9e. \u00ab Je traiterais ce calendrier comme une d\u00e9cision d\u2019astreinte plut\u00f4t que comme une pr\u00e9vision : quelqu\u2019un de disponible pour corriger et fouiller les journaux de vos applications expos\u00e9es pendant Thanksgiving et les f\u00eates, parce que m\u00eame en Europe, c\u2019est le moment o\u00f9 les \u00e9diteurs et filiales am\u00e9ricains tournent au ralenti. \u00bb\r\n\r\n