Ransomware et industrie européenne : comment Akira, TheGentlemen et Everest font plier les manufacturiers

Trois attaques, trois pays, trois semaines. L'industrie manufacturière européenne est devenue la cible prioritaire des grands groupes de ransomware en 2026. Ce n'est pas un hasard — c'est le résultat d'une stratégie délibérée exploitant des failles structurelles que le secteur refuse encore d'adresser sérieusement.

Un tableau de chasse européen qui s'allonge

Erowa AG (Suisse, automatisation industrielle) : 538 Go exfiltrés par Akira, annonce faite le 4 novembre 2026. Medienwerkstatt AG (Suisse, médias) : 130 Go menacés de publication par Akira en octobre 2026. Siwax Specialties Group (Suisse, chimie) : victime Akira depuis mars 2026. MegChem Engineering (Afrique du Sud, ingénierie industrielle) : revendiqué par TheGentlemen le 2 novembre 2026. Un fabricant japonais non nommé : revendiqué par Everest, 90 Go exfiltrés selon CYFIRMA.

Ce ne sont pas des incidents isolés. D'après le tracker PurpleOps, TheGentlemen a revendiqué 106 victimes dans 39 pays sur une période de 7 jours début novembre 2026. NCC Group rapporte une hausse de 23 % des attaques ransomware au troisième trimestre 2026 par rapport au trimestre précédent. Et le secteur industriel est systématiquement en tête du classement des cibles par volume d'attaques.

La question n'est pas "pourquoi l'industrie est-elle attaquée" — la réponse est évidente. La question est : pourquoi l'industrie continue-t-elle de se faire prendre aussi facilement, avec des mécanismes d'attaque documentés depuis des années ?

Le profil des victimes : PME de précision, haut de gamme technologique, bas de gamme sécurité

Erowa est un cas d'école. L'entreprise produit des systèmes de serrage et d'automatisation de précision déployés dans l'aérospatiale, le médical et les semi-conducteurs. Sa clientèle est internationale, ses produits sont intégrés dans des lignes de production critiques partout en Europe et en Asie. Sur le plan technologique de production, c'est une entreprise de pointe.

Mais comme la grande majorité des PME industrielles suisses, allemandes ou françaises, Erowa est probablement sous-dotée en ressources cybersécurité. Pas par négligence — par structure. Ces entreprises emploient entre 200 et 2 000 personnes, ont des budgets IT dimensionnés pour maintenir les outils métiers, pas pour déployer un SOC 24/7. Leur DSI gère les serveurs, les licences ERP et le helpdesk. La cybersécurité offensive — pentest, red team, threat intelligence — n'entre généralement pas dans leur périmètre de responsabilité habituel.

C'est précisément ce profil qu'Akira et ses équivalents ont appris à cibler. Les grandes entreprises du CAC40 ou du SMI suisse ont investi massivement en cybersécurité depuis les incidents retentissants de 2021-2023. Les PME industrielles, elles, restent dans l'angle mort. Elles sont assez grandes pour avoir des données valables à voler et à monnayer, mais pas assez pour avoir les défenses qui les protègeraient.

Les vecteurs d'entrée : toujours les mêmes, jamais corrigés

Akira est documenté en détail. Le FBI et la CISA ont publié conjointement un advisory complet en mai 2024, mis à jour en 2025, listant les vecteurs d'attaque du groupe. En premier : les VPN sans authentification multifacteur. Cisco AnyConnect, Fortinet FortiGate, Palo Alto GlobalProtect — avec des credentials volés via infostealer ou des accès achetés sur des marchés dark web, Akira entre.

En deuxième : le Remote Desktop Protocol exposé sur Internet. En 2026, des milliers d'équipements industriels européens sont encore accessibles via RDP depuis Internet, avec des credentials par défaut ou des mots de passe faibles. Des scans Shodan ou Censys les identifient en quelques minutes. Les courtiers d'accès initial (Initial Access Brokers, IAB) font ce travail en amont et revendent les accès à des groupes comme Akira pour des montants allant de quelques centaines à quelques milliers de dollars selon la taille de la cible.

En troisième : les équipements réseau non patchés. Les routeurs industriels, les firewalls, les équipements OT connectés au réseau IT sont souvent sous-maintenus. Certains fabricants ne publient plus de patches pour des équipements encore en service depuis 10 ans. D'autres publient des patches que les opérateurs n'appliquent pas, par crainte d'interruption de production.

Ce triptyque — VPN sans MFA, RDP exposé, équipements non patchés — est identique depuis 2021. Les groupes de ransomware n'ont pas eu besoin d'inventer de nouvelles techniques. Ils ont juste eu à attendre que le stock de cibles restant vulnérables à ces vecteurs classiques soit suffisamment large pour maintenir leur activité à volume élevé. Et force est de constater que ce stock est loin d'être épuisé.

La double extorsion : quand 538 Go deviennent une arme de négociation

Le modèle de la double extorsion — chiffrement des données combiné à l'exfiltration et à la menace de publication — a transformé l'économie du ransomware depuis 2020. Avant, les sauvegardes étaient la réponse universelle : on restaure, on repart, on ne paie pas. La double extorsion a rendu les sauvegardes insuffisantes.

Pour Erowa, même si l'entreprise dispose de sauvegardes parfaites et peut restaurer ses systèmes sans payer la rançon, elle reste confrontée à une autre question : que faire des 538 Go de données qui vont être publiées ? Ces données incluent des copies de passeports d'employés — obligation RGPD de notification de violation de données aux autorités (ANSSI côté français, OFCOM côté suisse, BfDI côté allemand). Des NDA et contrats clients — risque de rupture de relations commerciales, de litiges, d'avantages concurrentiels perdus. Des données de projets — secrets industriels potentiellement transférés à des concurrents ou des acteurs étatiques adverses.

La pression de publication crée un effet levier redoutable. Même une organisation avec une bonne hygiène de sauvegarde se retrouve dans une position délicate face à la menace de divulgation de données sensibles. Et Akira, comme les autres groupes professionnels, sait calibrer ses demandes de rançon en fonction de la capacité de paiement estimée de la victime — un chiffre qu'ils affinent grâce aux documents financiers préalablement exfiltrés.

OT/IT convergence : la bombe à retardement de l'industrie 4.0

La transformation numérique industrielle — Industrie 4.0, IIoT, jumeaux numériques, maintenance prédictive — a conduit à une convergence croissante des réseaux opérationnels (OT) et des réseaux informatiques d'entreprise (IT). Cette convergence est une nécessité technologique et économique. Elle est aussi un vecteur de risque majeur.

Pendant des décennies, les systèmes OT — automates programmables (PLC), systèmes de contrôle et d'acquisition de données (SCADA), interfaces homme-machine (HMI) — étaient isolés des réseaux IT par des "air gaps" physiques ou logiques. Cet isolement créait des contraintes opérationnelles (pas de mise à jour à distance, maintenance sur site obligatoire) mais offrait une protection de fait contre les cyberattaques.

Avec la convergence OT/IT, cet isolement a disparu ou été fortement réduit. Un attaquant qui prend pied sur le réseau IT d'une entreprise industrielle peut désormais, dans de nombreuses configurations, atteindre les systèmes OT via des passerelles mal sécurisées, des VLAN insuffisamment segmentés, ou des solutions d'accès à distance installées par les intégrateurs OT pour la maintenance. Les conséquences ne se limitent plus au vol de données ou au chiffrement de serveurs : elles peuvent inclure l'arrêt de lignes de production, la manipulation de paramètres process, ou — dans les cas les plus graves — des conséquences physiques.

Pour des entreprises comme Erowa, dont les produits sont déployés dans des environnements de production critiques chez leurs clients, une compromission OT chez eux représente également un risque indirect pour leurs clients. La chaîne de confiance entre un équipementier et ses clients inclut désormais implicitement la sécurité informatique de l'équipementier.

Ce que l'industrie doit faire — et ne fait pas encore

Les recommandations sont connues. Les frameworks existent : IEC 62443 pour l'OT, ISO 27001 pour l'IT, NIS2 pour les opérateurs européens d'importance vitale. Le problème n'est pas l'absence de cadres normatifs — c'est leur application effective dans les PME industrielles qui reste insuffisante.

Premier chantier, non négociable en 2026 : MFA sur tous les accès distants. VPN, RDP, accès administration, portails fournisseurs. Sans exception. Sans délai. Le coût d'un déploiement MFA sur une PME de 500 personnes est infime comparé au coût moyen d'un incident ransomware, estimé entre 1 et 5 millions d'euros toutes charges comprises pour une PME industrielle (rançon, restauration, communication de crise, pertes d'exploitation, amendes RGPD).

Deuxième chantier : la segmentation réseau. OT et IT sur des réseaux distincts, avec des règles de flux strictement définies et contrôlées. Les flux légitimes entre OT et IT (télémétrie, mise à jour, supervision) passent par des passerelles dédiées et auditées, pas par des trous dans le firewall ouverts "temporairement" par l'intégrateur il y a trois ans et jamais refermés.

Troisième chantier : la gestion des actifs. On ne peut pas protéger ce qu'on ne connaît pas. Un inventaire précis et maintenu à jour de tous les équipements IT et OT, avec leur version logicielle et leur statut de patch, est le préalable à toute stratégie de sécurité cohérente. Des outils comme Nessus, Tenable OT, Claroty ou Dragos permettent de réaliser cet inventaire même dans des environnements complexes.

Quatrième chantier : la gestion de crise. Les plans de réponse aux incidents ransomware doivent être testés — pas seulement écrits. Des exercices de simulation (tabletop exercises) permettent d'identifier les lacunes dans les procédures avant qu'elles ne soient exposées en conditions réelles. La chaîne décisionnelle, les contacts d'urgence, les procédures de communication clients et presse — tout cela doit être documenté, testé et maintenu à jour.

Conclusion

Le ransomware contre l'industrie manufacturière européenne n'est pas une menace émergente — c'est une réalité consolidée. Akira, TheGentlemen, Everest et leurs semblables ont fait de l'industrie leur terrain de chasse préféré parce que les défenses y sont faibles et les données y ont de la valeur. La réponse n'est pas de paniquer — c'est d'agir sur les fondamentaux : MFA, segmentation, gestion des actifs, plans de crise. Ces mesures ne font pas les unes de la presse, mais elles empêchent les 538 Go de finir sur un site de fuite.