Opération criminelle russophone pluriannuelle Cl0p / TA505 exploitant des zero-days dans des produits de transfert de fichiers managés (MFT) pour rançonner massivement : Accellion FTA (2020), GoAnywhere MFT (2023), MOVEit Transfer (2023), Cleo (2024).
La campagne d’exploitation massive Cl0p est une opération criminelle russophone pluriannuelle qui a transformé en arme des vulnérabilités zero-day dans des logiciels de transfert de fichiers managés (MFT) pour rançonner des milliers d’organisations à travers quatre vagues distinctes.
Les quatre vagues
Vague 1 — Accellion FTA (déc 2020 – fév 2021) : ~100 organisations (Kroger, Jones Day, Stanford Medical, Banque centrale de Nouvelle-Zélande).
La campagne a établi : que les produits MFT sont une infrastructure à risque systémique ; que l’extorsion pure de données sans chiffrement est viable à grande échelle ; que les campagnes à vagues multiples sont désormais un modèle criminel-opérationnel soutenu. L’opération reste active à la date de rédaction.
Des chercheurs ont signalé que Cl0p exploitait CVE-2026-12569 sur des serveurs PTC Windchill et FlexPLM exposés sur Internet pour voler des données d'ingénierie, en envoyant des e-mails d'extorsion aux victimes à partir du 20 juillet 2026.
Victim
PTC Windchill and FlexPLM customers (Cl0p campaign)
Le groupe de cosmétiques Estée Lauder a révélé que des attaquants exploitant une faille d'Oracle E-Business Suite avaient accédé à son système RH en août 2025, exposant numéros de sécurité sociale, données de passeport et bancaires, informations de santé et dossiers d'emploi.
Un acteur d'extorsion se réclamant de Cl0p a exploité une faille zero-day d'Oracle E-Business Suite (CVE-2025-61882) pour voler des données dans les environnements ERP de clients, puis a envoyé des e-mails d'extorsion en masse à des dirigeants à partir de fin septembre 2025.
Victim
Clients d'Oracle E-Business Suite (vague d'extorsion Cl0p)
Cl0p a exploité la CVE-2023-34362 dans MOVEit Transfer de Progress Software pour rançonner plus de 2 700 organisations, dont la BBC, British Airways et le département américain de l’Énergie.
Victim
Progress Software MOVEit Transfer (2 700+ en aval)