BlackField frappe Nidec : 2 To de données volées, 2 millions de dollars de rançon

Les faits

Nidec Corporation, géant japonais de la fabrication de moteurs électriques pesant 17,2 milliards de dollars de chiffre d'affaires annuel et employant plus de 100 000 personnes dans une quarantaine de pays, a confirmé le 22 juin 2026 qu'une attaque ransomware avait visé sa filiale taïwanaise Nidec Chaun Choung Technology Corporation (Nidec CCI). L'auteur de l'attaque, le groupe BlackField, a publié sa revendication sur son site de fuite dédié, exigeant une rançon de 2 millions de dollars en échange de la non-divulgation des données exfiltrées.

BlackField est un groupe ransomware-as-a-service relativement récent, apparu dans le paysage des menaces au cours du premier semestre 2026. À la différence de groupes établis comme LockBit ou ALPHV/BlackCat, BlackField cible de manière préférentielle les filiales et sous-traitants de grands groupes industriels asiatiques, cherchant à maximiser la pression sur la maison-mère en visant des entités considérées comme moins bien protégées. Cette stratégie de l'attaque par la périphérie est documentée depuis 2023 mais continue de produire des résultats, comme le démontre l'incident Nidec CCI.

Le volume de données exfiltrées est significatif : selon les captures publiées par BlackField sur son site de fuite, plus de 2 To de fichiers ont été dérobés avant le déclenchement du chiffrement. Ces données comprennent des fichiers de ressources humaines incluant des informations personnelles d'employés, des documents financiers (bilans, budgets, contrats fournisseurs), des données de procurement et de chaîne d'approvisionnement, des documents de production industrielle et d'ingénierie, ainsi que des fichiers de configuration IT. Pour une entreprise fabricant des composants électroniques pour l'automobile, l'industrie et les data centers, la divulgation de fichiers d'ingénierie peut représenter un risque de propriété intellectuelle considérable au-delà du seul impact RGPD.

Nidec CCI est spécialisée dans la fabrication de systèmes de refroidissement thermique et de composants pour serveurs, équipements de data centers et appareils électroniques grand public. La filiale taïwanaise fournit des composants à plusieurs grands noms du secteur technologique mondial. Bien que Nidec n'ait pas encore communiqué sur les clients potentiellement impactés par la fuite de données, la nature industrielle et contractuelle de ces informations soulève des préoccupations au-delà de la seule Nidec Corporation.

La réponse opérationnelle de Nidec a suivi le protocole standard de gestion de crise ransomware : déconnexion des serveurs compromis, isolation des segments réseau affectés pour limiter la propagation, et déclenchement d'une investigation forensique. La société a indiqué dans son communiqué du 22 juin 2026 qu'elle n'avait pas encore confirmé que des données personnelles avaient été publiées en ligne, tout en reconnaissant la possibilité d'une fuite. Plusieurs médias spécialisés, dont Recorded Future News et BleepingComputer, rapportent que des négociations auraient été amorcées entre Nidec et BlackField, sans qu'aucun paiement ne soit confirmé à ce stade.

Nidec n'en est pas à sa première confrontation avec des groupes ransomware. En octobre 2024, la division vietnamienne Nidec Precision avait été ciblée par les groupes 8Base et Everest, qui avaient tenté d'extorquer l'entreprise indépendamment l'un de l'autre après avoir divulgué plus de 50 000 fichiers sensibles. Cette récurrence suggère que le groupe n'a pas procédé à une remédiation complète de ses processus de sécurité à l'échelle mondiale après le premier incident, ou que la segmentation entre les différentes filiales internationales reste insuffisante pour prévenir les compromissions en série.

L'incident s'inscrit dans un contexte plus large de ciblage systématique des entreprises japonaises en 2026. Selon le rapport d'intelligence de S-RM du 3 juillet 2026, au moins quatre grandes entreprises japonaises — dont l'assureur Aflac, le brasseur Sapporo, Nidec et l'opérateur télécom KDDI (14 millions de comptes email compromis, objet d'un article distinct sur ce site) — ont divulgué des incidents cyber significatifs au cours du seul mois de juin-juillet 2026. Cette concentration inhabituelle peut refléter soit une campagne partiellement coordonnée ciblant le tissu industriel japonais, soit l'effet de la maturité croissante des groupes ransomware à cibler les filiales asiatiques des multinationales.

Du point de vue tactique, les groupes ransomware ciblent les filiales pour plusieurs raisons structurelles. Les entités légales indépendantes de groupes internationaux disposent souvent de directions IT locales avec des budgets et des standards de sécurité inférieurs à ceux du siège. Elles partagent fréquemment des systèmes d'information avec la maison-mère (ERP, messagerie, VPN) créant des vecteurs de propagation latérale. La pression médiatique exercée sur le groupe global amplifie l'effet de la rançon bien au-delà de la capacité de paiement de la seule filiale. Nidec CCI représente exactement ce profil : filiale industrielle dans une région à forte densité de sous-traitance technologique, connectée aux systèmes globaux du groupe.

Impact et exposition

L'impact direct concerne Nidec CCI et potentiellement les partenaires commerciaux dont les données contractuelles figurent dans les 2 To exfiltrés. Si des données personnelles d'employés taïwanais ont été compromises, Nidec est soumise aux obligations de notification de la loi PDPA taïwanaise. Pour les partenaires et clients dont des données industrielles ou contractuelles pourraient être divulguées, le risque est principalement concurrentiel (accès aux conditions commerciales, aux feuilles de route produit) plutôt que réglementaire. Le risque de réputation pour Nidec Corporation dans son ensemble est significatif, en particulier vis-à-vis de clients du secteur automobile et des data centers pour lesquels la continuité de la chaîne d'approvisionnement est critique.

Recommandations

• Pour les partenaires de Nidec CCI : auditer les données partagées avec la filiale taïwanaise et évaluer si des informations confidentielles (tarifs, plans, contrats) ont pu être compromises
• Vérifier la segmentation réseau entre filiales et siège : une compromission d'une entité ne doit pas permettre un rebond vers les systèmes de la maison-mère
• Imposer des standards de sécurité minimaux (EDR, MFA, politique de patch) à toutes les filiales, indépendamment de leur taille ou localisation géographique
• Tester régulièrement les plans de réponse aux incidents à l'échelle du groupe, pas uniquement au niveau du siège social
• Monitorer les sites de fuite des groupes ransomware actifs pour détecter la mention de partenaires ou fournisseurs avant publication officielle large