Le constructeur ferroviaire suisse Stadler Rail a confirmé avoir refusé de payer une rançon de 12,3 millions de dollars (₣10 000 000) exigée par le gang d’extorsion Everest après que des attaquants ont volé des données techniques via la plateforme de partage de fichiers d’un fournisseur. Cette révélation est intervenue dans le même cycle d’actualité qu’un développement distinct mais connexe : le groupe lié à l’État russe Laundry Bear a ciblé des serveurs de messagerie Zimbra non corrigés. Ensemble, ces deux histoires illustrent comment des acteurs de la menace alignés sur la Russie mènent des opérations parallèles, l’une contre les chaînes d’approvisionnement industrielles, l’autre contre l’infrastructure de messagerie d’entreprise, et pourquoi les organisations de toutes tailles doivent prendre les deux au sérieux.

L’attaque par ransomware derrière le refus de Stadler Rail

Selon un reportage du Record, le gang de ransomware Everest a revendiqué le vol de données techniques appartenant à Stadler Rail, non pas en pénétrant directement le réseau du constructeur ferroviaire, mais en compromettant une plateforme de partage de fichiers exploitée par l’un de ses fournisseurs. Everest a ensuite exigé environ 12,3 millions de dollars en échange de la non-divulgation ou de la non-vente des fichiers volés. Stadler Rail a refusé de payer.

C’est une décision significative. Les refus de rançon sont souvent présentés comme de simples actes de défi, mais ils comportent un risque opérationnel réel : si un gang met sa menace à exécution, les données techniques volées (schémas d’ingénierie, détails des fournisseurs, documentation interne) peuvent être publiées ou vendues à des concurrents et à d’autres groupes criminels. Le choix de Stadler Rail de ne pas payer reflète un changement plus large chez les grandes entreprises industrielles, dont beaucoup considèrent désormais le paiement de rançons comme une récompense pour des modèles criminels plutôt qu’une résolution de l’exposition sous-jacente.

Pourquoi une violation chez un fournisseur est aussi grave qu’un piratage direct

Ce qui rend cette affaire particulièrement instructive, c’est que le point de compromission initial n’était pas l’infrastructure propre de Stadler Rail, mais le système de partage de fichiers d’un fournisseur. C’est un schéma courant dans les attaques par ransomware modernes : les groupes criminels cherchent de plus en plus le maillon faible d’une chaîne d’approvisionnement plutôt que d’attaquer de front une cible principale bien défendue. Un seul fournisseur avec des contrôles d’accès laxistes ou des logiciels non corrigés peut devenir le point d’entrée d’une opération de vol de données bien plus vaste.

Cette dynamique n’est pas propre à l’industrie ferroviaire. Des compromissions de chaîne d’approvisionnement ont déjà exposé des données gouvernementales et d’entreprise sensibles via des logiciels tiers de confiance, comme en témoignent les retombées du piratage de SolarWinds qui a exposé tous les e-mails de Treasury.gov. La leçon est constante : la posture de sécurité d’une organisation n’est aussi solide que celle des fournisseurs et partenaires avec lesquels elle partage des données.

Laundry Bear, lié à la Russie, accentue la pression sur les serveurs Zimbra

Parallèlement à l’affaire Stadler Rail, des informations ont signalé que Laundry Bear, un groupe de menace lié à la Russie, a ciblé des serveurs de messagerie Zimbra non corrigés. Les logiciels de collaboration et de messagerie web non corrigés sont depuis longtemps un point d’entrée privilégié pour les acteurs alignés sur des États cherchant à récolter des identifiants ou à maintenir un accès persistant aux communications d’une organisation.

Cette campagne s’inscrit dans un schéma que les agences de sécurité ont signalé à plusieurs reprises. Le directeur du GCHQ a récemment lancé l’un des avertissements les plus directs de mémoire récente concernant les cyberopérations russes incessantes contre les infrastructures critiques et les institutions démocratiques. Par ailleurs, les autorités américaines ont perturbé un réseau de routeurs compromis lié à l’unité de renseignement militaire russe, le GRU. Que la cible soit le fournisseur d’un constructeur ferroviaire ou un serveur de messagerie non corrigé, le fil conducteur est le même : les groupes alignés sur la Russie sondent des infrastructures largement disponibles et souvent négligées pour obtenir un accès, et pas seulement les réseaux gouvernementaux qui font la une des journaux.

Ce que cela signifie pour vous

La plupart des lecteurs ne gèrent pas de serveurs Zimbra et ne fabriquent pas de trains, mais les risques sous-jacents de cette histoire s’appliquent largement. Si vous utilisez un service, qu’il s’agisse d’une plateforme de réservation de voyages ou d’un programme de fidélité, qui partage vos données avec des fournisseurs tiers, ces données ne sont aussi sécurisées que les défenses du fournisseur. Une violation chez un fournisseur dont vous n’avez jamais entendu parler peut tout de même exposer des informations liées à vous, qu’il s’agisse d’un compte professionnel, d’un fichier partagé ou de détails personnels traités en votre nom.

Pour les entreprises, la leçon est tout aussi directe : la gestion des correctifs et la supervision des fournisseurs ne sont pas des éléments facultatifs. Les logiciels non corrigés, qu’il s’agisse d’un serveur de messagerie ou d’un outil de partage de fichiers, restent l’un des moyens les plus courants pour les attaquants de prendre pied, et les refus de rançon ne fonctionnent comme moyen de dissuasion à long terme que si les vulnérabilités sous-jacentes qui ont permis aux attaquants d’entrer sont véritablement corrigées.

Mesures concrètes à retenir

  • Si vous travaillez avec des fournisseurs ou des sous-traitants, demandez comment ils gèrent les correctifs et les contrôles d’accès pour les systèmes de fichiers partagés, et pas seulement pour votre propre réseau.
  • Prenez au sérieux tout avis de violation chez un fournisseur, même si votre organisation n’a pas été directement piratée ; les données peuvent quand même être exposées par l’intermédiaire d’un tiers.
  • Maintenez à jour rapidement les logiciels de collaboration et de serveur de messagerie ; les systèmes non corrigés restent un point d’entrée majeur pour les ransomwares comme pour les intrusions liées à des États.
  • Soutenez une politique de non-paiement des rançons lorsque c’est possible, car le paiement peut financer d’autres attaques sans garantir que les données ne seront pas divulguées malgré tout.
  • Restez informé sur l’activité cybernétique alignée sur la Russie affectant les infrastructures critiques et les logiciels d’entreprise, car ces campagnes ciblent souvent des outils largement utilisés plutôt que des victimes isolées.