LockBit 5.0 et Qilin frappent l'Europe le même jour : France et Allemagne visées

Les faits

Le 16 août 2026, deux groupes ransomware parmi les plus actifs de la scène cybercriminelle internationale ont revendiqué simultanément des attaques contre des entreprises européennes. LockBit 5.0 a ciblé Groupe Actua, réseau de cabinets de recrutement et d'intérim opérant principalement dans le nord et l'est de la France, tandis que Qilin a annoncé avoir compromis Motorenmaier GmbH, entreprise industrielle allemande spécialisée dans la mécanique de précision. Ces deux revendications, publiées le même jour sur les Data Leak Sites respectifs des deux groupes, s'inscrivent dans un contexte d'activité ransomware particulièrement intense en Europe en août 2026.

Pour Groupe Actua, LockBit 5.0 indique avoir exfiltré des données sensibles avant de procéder au chiffrement des systèmes — une pratique standard désormais connue sous le nom de "double extorsion". Les données potentiellement exposées dans ce type d'attaque contre un cabinet RH et d'intérim sont particulièrement sensibles : identités et coordonnées de centaines de milliers de candidats et salariés intérimaires, copies de pièces d'identité, RIB et coordonnées bancaires, contrats de travail, données de paie, et informations sur les entreprises clientes incluant des données contractuelles confidentielles. Dans le secteur du travail temporaire, la volumétrie des données personnelles hébergées est souvent massivement sous-estimée par les dirigeants.

LockBit 5.0 est la dernière itération du groupe LockBit, sévèrement touché par l'opération Cronos de février 2024 — action internationale coordonnée par Europol, le FBI et la NCA britannique ayant conduit à la saisie des serveurs, à l'arrestation de membres et à la publication des clés de déchiffrement. Malgré ces coups portés, LockBit s'est reconstitué rapidement. LockBit 5.0, apparu début 2026, intègre un chiffrement Salsa20 renforcé, des capacités d'exfiltration améliorées via des canaux chiffrés Tor, et un modèle RaaS (Ransomware-as-a-Service) encore plus décentralisé permettant aux affiliés d'opérer avec une autonomie accrue vis-à-vis des opérateurs centraux.

En France, LockBit 5.0 a enchaîné les victimes tout au long de 2026. Parmi les revendications documentées : Groupe MBM (spécialiste de la menuiserie et finitions intérieures, juin 2026), Setic Pourtier (fabricant de machines industrielles, début août 2026), et Dupouy et Associés – Crowe Horwath (cabinet comptable, également le 16 août 2026). Le fait que deux revendications françaises soient publiées le même jour — Groupe Actua et Dupouy et Associés — suggère l'activation simultanée de plusieurs affiliés RaaS ayant mené des intrusions parallèles, ou une coordination délibérée pour maximiser l'impact médiatique et la pression sur les victimes.

Du côté allemand, Qilin a annoncé l'attaque contre Motorenmaier GmbH avec une estimation d'intrusion initiale au 15 août 2026, suivie d'une exfiltration et d'un chiffrement le 16. Qilin a été classé groupe ransomware le plus actif par Cyble Research and Intelligence Labs pour le premier semestre 2026, avec 370 attaques revendiquées rien qu'en Amérique du Nord. En Europe, Qilin a montré un intérêt particulier pour le secteur industriel allemand, notamment les PME dans l'automobile, la mécanique de précision et les équipements industriels — des secteurs riches en propriété intellectuelle et disposant souvent de budgets sécurité insuffisants.

Qilin est une opération russophone bien établie, identifiable par des artefacts de code rédigés en langue russe et une politique documentée d'évitement des cibles situées dans les pays de la CEI (Russie, Biélorussie, Kazakhstan, etc.). Cette géopolitique du ransomware — protéger les alliés, frapper les adversaires — est partagée par la majorité des grands groupes russophones : LockBit, BlackCat/ALPHV, Cl0p. Elle a pour effet pratique de concentrer l'ensemble de la pression ransomware sur les économies occidentales, l'Europe et les Etats-Unis en tête.

Pour les organisations industrielles comme Motorenmaier GmbH, le risque dépasse la simple question de fuite de données. Le chiffrement des systèmes de contrôle de production peut entraîner un arrêt total de l'activité manufacturière, avec des pertes opérationnelles pouvant atteindre plusieurs centaines de milliers d'euros par jour dans les ateliers de mécanique de précision. Dans un contexte de supply chain encore tendue en Europe, chaque heure d'arrêt impacte des clients en aval qui peuvent à leur tour activer des pénalités contractuelles.

Ces revendications du 16 août 2026 s'inscrivent dans une tendance de fond documentée par l'ANSSI et l'ENISA : le nombre d'incidents ransomware en France a augmenté de 34% sur les douze derniers mois, avec une surreprésentation des PME et ETI dans les secteurs des services aux entreprises (RH, comptabilité, conseil) et de l'industrie manufacturière. Ces organisations disposent de données sensibles en volume, présentent souvent des failles de sécurité basiques non corrigées (VPN sans MFA, systèmes non patchés, sauvegardes non testées), et n'ont pas de SOC dédié pour détecter une intrusion avant qu'elle ne se transforme en incident majeur de plusieurs jours.

Impact et exposition

Les secteurs RH, travail temporaire, services aux entreprises et industrie manufacturière sont en première ligne de la menace ransomware européenne. Les PME et ETI sans équipe sécurité dédiée restent les cibles privilégiées de ces groupes : elles détiennent des données sensibles en grande quantité, ont souvent des failles basiques exploitables (accès RDP ou VPN sans MFA, patching insuffisant, sauvegardes accessibles depuis le réseau de production), et n'ont généralement pas la capacité de détecter une intrusion en phase initiale avant l'exfiltration et le chiffrement.

Recommandations

• Tester et vérifier l'isolation des sauvegardes selon la règle 3-2-1 : au moins une copie hors ligne ou sur stockage immuable (immutable backup), non accessible depuis le réseau de production
• Auditer tous les accès distants — VPN, RDP, SSH — désactiver ce qui est inutile et imposer le MFA sur tout le reste sans exception
• Activer l'authentification multifacteur sur l'ensemble des accès distants et des comptes administrateurs, y compris les comptes de service
• Mettre en place une surveillance des flux de données sortants pour détecter les exfiltrations massives avant le chiffrement (DLP, CASB, analyse NetFlow)
• Vérifier la couverture de l'assurance cyber pour les incidents ransomware, notamment les conditions relatives aux sauvegardes et aux délais de notification RGPD (72h pour signaler à la CNIL)