Attaque par rançongiciel contre INA Group

Le soir du 14 février 2020, INA Group — la plus grande compagnie pétrolière de Croatie et exploitant de sa plus importante chaîne de stations-service — a été frappé par une attaque par rançongiciel qui a chiffré plusieurs de ses serveurs informatiques dorsaux. INA est majoritairement influencé par le groupe MOL hongrois et le gouvernement croate, ses deux principaux actionnaires.

Ce qui s'est passé

Vers 22h00 heure locale, le rançongiciel Clop a chiffré une partie de l'infrastructure d'entreprise d'INA. Clop, apparu pour la première fois en 2019, était activement déployé contre des organisations européennes par le groupe d'attaquants à motivation financière TA505. Le maliciel est connu pour désactiver les produits de sécurité — y compris Windows Defender — en modifiant des valeurs de registre avant de commencer à chiffrer les fichiers.

L'attaque a touché les systèmes administratifs plutôt que les terminaux de point de vente qui gèrent les achats de carburant. En conséquence, INA a souligné que les clients pouvaient toujours acheter du carburant et payer en espèces, avec des cartes INA et des cartes bancaires dans ses stations.

Impact

Le chiffrement a paralysé toute une série de services destinés aux clients et à l'administration :

• L'enregistrement et l'utilisation des cartes de fidélité
• L'émission des factures
• La vente de recharges téléphoniques mobiles
• L'émission des vignettes électroniques (autocollant de péage autoroutier)
• Le paiement des factures de gaz

INA a déclaré « prendre des mesures pour remédier » à la perturbation et a travaillé à rétablir les systèmes touchés. L'entreprise n'a pas confirmé publiquement de demande de rançon ni si un paiement avait été effectué.

Pourquoi c'est important

L'incident INA a été un exemple marquant de rançongiciel frappant une infrastructure énergétique critique en Europe centrale et orientale, et il a illustré une leçon récurrente : même lorsque la technologie opérationnelle et les circuits de paiement restent en ligne, la perte de l'informatique administrative — facturation, fidélité, recharges, vignettes électroniques réglementaires — dégrade un service à l'échelle nationale et érode la confiance des clients.

Il s'inscrivait également dans la campagne plus large TA505 / Clop qui visait de grandes entreprises européennes en 2019-2020, préfigurant le virage ultérieur du groupe vers des tactiques de vol de données assorti d'extorsion, notamment l'exploitation massive de l'outil de transfert de fichiers MOVEit en 2023. Pour la Croatie, l'attaque contre une compagnie énergétique stratégiquement importante et partiellement détenue par l'État a accru l'attention du gouvernement et de l'industrie sur la protection des services essentiels contre les rançongiciels.