Le gang russophone Cl0p vient de jeter près de cinquante noms d’entreprises sur son site de fuite, et parmi eux, deux mastodontes que tout le monde connaît. Shell, le géant pétrolier, se retrouve délesté d’environ 89 Go de documents internes, tandis que Philips, le fabricant néerlandais d’équipements médicaux, voit 13,5 Go de schémas techniques aspirés dans la nuit numérique. General Electric et la fintech Fiserv complètent ce tableau d’honneur macabre, revendiqué le 12 août 2026 par l’un des collectifs cybercriminels les plus redoutés de la planète.
Les documents dérobés chez Shell incluraient des dessins de projets d’installations énergétiques, des photographies de sites industriels, des scans de rapports d’inspection et des plans de projet, selon les déclarations des attaquants eux-mêmes. Chez Philips, le butin se composerait essentiellement de diagrammes PDF, de schémas et de dessins techniques. Aucun échantillon n’a encore été publié, ce qui laisse planer un doute savamment entretenu… car Cl0p maîtrise l’art du suspense autant que celui de l’intrusion.
Le mode opératoire du groupe n’a rien du ransomware classique qui verrouille vos fichiers et affiche un compte à rebours sur votre écran. Cl0p pratique l’extorsion pure, celle qui consiste à voler d’abord, menacer ensuite, publier enfin. Brandon Parsons, d’Ascent Solutions, résume la philosophie du gang avec une formule qui en dit long : « Ils ne ciblent pas une société précise, ils ciblent une faille zero-day précise. » Et c’est bien là que réside la puissance de frappe de ces opérations, dans l’exploitation systématique d’une vulnérabilité unique qui ouvre les portes de dizaines d’organisations d’un seul coup.
Le vecteur d’attaque reste officiellement indéterminé, mais deux pistes circulent déjà dans la communauté cyber. Plusieurs chercheurs en sécurité évoquent une faille zero-day dans Oracle E-Business Suite, ce logiciel tentaculaire utilisé par les grandes entreprises pour la finance, les achats et la gestion opérationnelle. Le Ransom-ISAC avait de son côté émis dès le 22 juillet un avertissement concernant l’exploitation active par Cl0p de vulnérabilités dans les logiciels d’ingénierie PTC Windchill et FlexPLM. Deux hypothèses, un même schéma qui rappelle furieusement la campagne MOVEit Transfer de l’été 2023, quand le groupe avait compromis des centaines d’organisations via une seule faille dans un outil de transfert de fichiers.
Shell a sobrement confirmé être « au courant d’un incident potentiel » et travailler avec ses équipes de sécurité. Un porte-parole a déclaré : « Nous travaillons avec nos équipes de sécurité et des experts pour enquêter. » Philips, de son côté, a adopté un ton plus affirmatif par la voix de ses communicants : « Philips a identifié et contenu une compromission cybernétique tentée d’un serveur d’entreprise spécifique lié à des données internes », ajoutant qu’aucun environnement client n’avait été affecté. GE a pour sa part activé ses protocoles de réponse cyber, tandis que Fiserv assure n’avoir trouvé aucune preuve de compromission de données clients.
Qui se cache derrière le sigle Cl0p (parfois orthographié Clop) ? Un collectif russophone actif depuis au moins 2019, lié aux clusters TA505 et FIN11, et dont le palmarès ferait pâlir n’importe quel service de renseignement. La campagne Accellion FTA en 2021, GoAnywhere MFT début 2023, MOVEit Transfer quelques mois plus tard, chaque opération a exploité une faille unique dans un logiciel de transfert ou de gestion d’entreprise pour ratisser large, très large.
La dimension géopolitique de cette affaire mérite qu’on s’y attarde, du moins pour qui s’intéresse à la sécurité des infrastructures critiques. Des plans d’installations énergétiques de Shell entre les mains d’un groupe affilié à la sphère russophone, cela pose la question de la sécurité physique de sites pétroliers et gaziers répartis sur plusieurs continents. Pour Philips, fabricant dont les équipements peuplent les hôpitaux du monde entier, la fuite potentielle de propriété intellectuelle représente un risque d’une tout autre nature, celui de voir des schémas de dispositifs médicaux circuler librement sur des forums clandestins.
Cl0p n’a pas besoin de chiffrer un seul octet pour paralyser ses victimes, et c’est peut-être ce qui rend ce groupe si redoutablement efficace dans un paysage cyber où la donnée volée vaut désormais bien plus qu’un disque dur verrouillé.
