Attaque par rançongiciel Clop contre Software AG

Début octobre 2020, le gang du rançongiciel Clop (Cl0p) a piraté Software AG, le géant des logiciels d'entreprise basé à Darmstadt et l'une des plus grandes sociétés de logiciels d'Allemagne, dans une attaque à double extorsion combinant vol de données et l'une des plus importantes demandes de rançon publiquement rapportées à l'époque : environ 23 millions de dollars.

Ce qui s'est passé

Les attaquants ont compromis le réseau interne de Software AG le 3 octobre 2020, déployant le rançongiciel Clop pour chiffrer les systèmes après avoir déjà exfiltré de grands volumes de données. Software AG — qui compte plus de 5 000 employés et des activités dans plus de 70 pays — a été contrainte de fermer ses systèmes internes pour limiter la propagation.

Le 5 octobre, l'entreprise a publiquement révélé l'« attaque par maliciel », soulignant que ses services cloud destinés aux clients n'étaient pas affectés et que la perturbation se limitait à son réseau interne d'entreprise.

La rançon et la fuite

La note de rançon exigeait environ 23 millions de dollars — soit environ 2 083 bitcoins à l'époque — en échange d'une clé de déchiffrement et d'une promesse de ne pas publier les données volées. Software AG n'a pas payé. Lorsque les négociations ont échoué, Clop a mis sa menace d'extorsion à exécution, publiant des captures d'écran de documents sensibles sur son site de fuite du dark web.

Le butin volé était considérable : des dizaines de gigaoctets représentant plus d'un million de fichiers, dont des copies de passeports d'employés, des courriels internes et des documents financiers tels que des factures. Certains rapports évaluaient le total des données exposées à plus d'un téraoctet.

Attribution

Clop est exploité par un groupe de cybercriminalité à motivation financière associé au cluster de menaces plus large TA505, connu pour cibler des entreprises à forte valeur et pour avoir été pionnier de la double extorsion — voler des données avant le chiffrement pour faire pression sur des victimes qui pourraient autrement restaurer à partir de sauvegardes.

Pourquoi c'est important

L'attaque de Software AG fut un exemple précoce et très médiatisé de rançongiciel à double extorsion contre un grand éditeur de logiciels européen, démontrant que même une société logicielle sophistiquée pouvait voir son réseau interne paralysé. Le choix de ne pas payer, suivi de la divulgation publique des données par Clop, a illustré le dilemme central du rançongiciel moderne : refuser la rançon évite de financer les criminels mais n'empêche pas le préjudice réputationnel et de confidentialité d'une fuite publique. C'est devenu un point de référence dans les discussions européennes sur la résilience face aux rançongiciels, la stratégie de sauvegarde et la divulgation des violations — et un présage des campagnes ultérieures d'exploitation massive de Clop contre des outils de transfert de fichiers gérés comme MOVEit et Accellion.