Le FBI, l’agence américaine de cybersécurité CISA et des polices européennes ont publié le 20 octobre le portrait détaillé du groupe de rançongiciel SafePay, crédité d’au moins 600 victimes depuis l’été 2024. Ses méthodes n’ont rien de spectaculaire : mots de passe faibles ou volés, VPN pas à jour, outils d’administration détournés, sauvegardes effacées. C’est justement ce qui rend cet avis utile pour une PME.
Ce qui s’est passé
L’avis est cosigné par le FBI, la CISA, le Secret Service américain, la police criminelle du Land allemand de Rhénanie-Palatinat et deux services de police britanniques (CISA, 20 octobre 2026). Il s’appuie sur des enquêtes menées jusqu’en août 2026. SafePay a touché des entreprises et des opérateurs de secteurs essentiels en Amérique, en Europe et en Australie.
Le chiffre de 600 est un minimum : les victimes qui paient la rançon n’apparaissent pas sur le site où le groupe publie les données volées (BleepingComputer, 21 octobre 2026). LeMagIT note que le groupe revendique publiquement moins de victimes que d’autres, mais parfois avec deux mois de retard (LeMagIT, 21 octobre 2026).
Comment l’attaque a fonctionné
Pour entrer, les attaquants utilisent des mots de passe trouvés dans des fuites ou devinés à force d’essais, des comptes VPN obtenus par hameçonnage, et cinq failles connues de pare-feu, de passerelles VPN et d’un logiciel de sauvegarde. Toutes ces failles étaient corrigées depuis 2024 au plus tard : il suffisait d’appliquer les mises à jour.
Une fois dans le réseau, ils se créent des comptes administrateurs, désactivent l’antivirus et se déplacent avec les outils que les informaticiens utilisent tous les jours : bureau à distance, logiciels de prise en main à distance, commandes d’administration. Rien qui ressemble à un virus.
Avant de frapper, ils copient les données vers un stockage en ligne, puis s’attaquent aux moyens de réparer : copies de secours de Windows désactivées, serveurs de stockage contenant les sauvegardes remis aux réglages d’usine. Ensuite seulement, ils chiffrent les fichiers. Si la victime ne paie pas, les données sont publiées, et le groupe passe aussi des appels téléphoniques pour faire pression.
Ce qu’on ne sait pas encore
- Le nombre de victimes en France : l’avis ne le donne pas.
- L’organisation exacte du groupe : groupe fermé selon BleepingComputer, liens étroits avec d’autres marques de rançongiciel selon LeMagIT.
- Comment les victimes ont repéré l’attaque : l’avis ne le décrit pas.
Ce que ça change pour une PME
- Activez la double authentification sur le VPN et sur tous les accès à distance, y compris ceux de vos prestataires. C’est la parade la plus simple contre les mots de passe devinés ou volés.
- Faites mettre à jour en priorité ce qui est visible depuis Internet : pare-feu, VPN, serveur de sauvegarde. Les failles utilisées ici avaient au moins deux ans.
- Gardez une sauvegarde que l’attaquant ne peut pas atteindre : débranchée, hors ligne ou non modifiable, et testez sa restauration. La fiche « Pourquoi et comment bien gérer ses sauvegardes ? » de Cybermalveillance.gouv.fr donne dix conseils simples.
- Préparez le jour J : la fiche réflexe « Rançongiciel : que faire si votre organisation est victime d’une attaque ? » mérite d’être imprimée et rangée là où on la trouvera, même sans ordinateur.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste de nos équipements visibles depuis Internet, et savons-nous en combien de jours une faille connue y est corrigée ?
- Tous les accès à distance, y compris ceux de nos prestataires, demandent-ils un second facteur en plus du mot de passe ?
- Avons-nous une sauvegarde que personne ne peut effacer depuis le réseau, et quand l’avons-nous restaurée pour la dernière fois ?
- Qui est prévenu si un nouveau compte administrateur est créé ou si l’antivirus est désactivé sur un poste ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Mots de passe et accès volés · Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 22 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.