Akira ransomware revendique Erowa : 538 Go de données volées au fabricant suisse

Les faits

Le groupe de ransomware Akira a publié le 4 novembre 2026 sur son site de fuite une entrée concernant Erowa AG, société suisse basée à Büron (canton de Lucerne), spécialisée dans les systèmes de serrage et d'automatisation pour l'industrie de précision. L'information a été confirmée par plusieurs services de surveillance de leak sites dont Ransomware.live, FalconFeeds.io et ThreatMon, qui ont signalé l'entrée en temps réel.

Selon les revendications d'Akira, 538 gigaoctets de données ont été exfiltrés depuis les systèmes d'Erowa. Le groupe liste plusieurs catégories de données volées : informations personnelles des employés incluant copies de passeports, adresses et numéros de téléphone, contrats et accords commerciaux, informations sur les clients, données de projets en cours, accords de non-divulgation (NDA), et autres documents internes. Erowa n'a pas, à la date de publication de cet article, émis de communication officielle confirmant ou infirmant l'attaque.

Erowa AG est un acteur industriel de référence dans le domaine de la fabrication de précision. Ses produits — systèmes de serrage à points zéro, palettes d'automatisation, robots de chargement — sont déployés dans des secteurs critiques : technologie médicale, aérospatiale, automobile, semi-conducteurs, outillage et moule, ingénierie mécanique, et énergie. Ses clients incluent des sous-traitants et des équipementiers de premier rang européens. La sensibilité potentielle des données volées est donc élevée : NDA et données de projets clients peuvent contenir des plans techniques, des spécifications de production ou des données d'essais pour des industries stratégiques.

La temporalité de l'attaque s'inscrit dans une série. Akira a revendiqué en octobre 2026 l'attaque contre Medienwerkstatt AG, groupe de médias suisse, avec 130 Go de données menacées de publication. En mars 2026, Siwax Specialties Group, chimiste suisse, figurait déjà dans le tableau de chasse d'Akira. Cette concentration géographique sur la Suisse n'est pas anodine : le tissu industriel suisse, avec son dense réseau de PME de précision hautement spécialisées souvent sous-dotées en ressources cybersécurité, constitue une cible structurellement attractive pour les groupes de ransomware.

Akira est un groupe de ransomware apparu en mars 2023. Il opère en mode Ransomware-as-a-Service (RaaS) et a rapidement constitué un tableau de chasse impressionnant. Selon le FBI et la CISA, qui ont publié conjointement un advisory en mai 2024, Akira avait à cette date compromis plus de 250 organisations et collecté environ 42 millions de dollars de rançons. Depuis, le groupe a continué d'opérer avec une cadence élevée. Il est connu pour cibler prioritairement les VPN sans authentification multi-facteurs — notamment Cisco ASA et Fortinet — et pour exploiter des credentials volés via infostealer.

Le vecteur d'intrusion chez Erowa n'est pas encore documenté publiquement. Historiquement, Akira privilégie les points d'entrée VPN (Cisco AnyConnect, Fortinet FortiGate) sur lesquels l'authentification multifacteur n'est pas activée, ainsi que les services RDP exposés sur Internet. Une fois à l'intérieur, le groupe pratique une exfiltration massive avant le chiffrement — la double extorsion étant son modèle opérationnel standard depuis son lancement.

Pour les entreprises industrielles de la zone DACH (Allemagne, Autriche, Suisse), cette attaque illustre une réalité : la sophistication technologique de la production ne se traduit pas systématiquement par une posture de sécurité informatique équivalente. Les OT/IT convergence, les systèmes SCADA et les automates programmables industriels (PLC) restent souvent connectés à des réseaux d'entreprise insuffisamment segmentés, créant des voies de latéralisation supplémentaires une fois qu'un attaquant a pris pied sur le réseau IT.

D'après le tracker PurpleOps, le groupe TheGentlemen — concurrent direct d'Akira en termes de volume — a revendiqué 106 victimes dans 39 pays sur une période de 7 jours début novembre 2026. Et NCC Group rapporte une hausse de 23 % des attaques ransomware au troisième trimestre 2026 par rapport au trimestre précédent, avec le secteur industriel comme première cible par volume. L'attaque contre Erowa s'inscrit dans cette tendance lourde.

Impact et exposition

Les organisations à risque immédiat sont celles qui ont des relations commerciales avec Erowa — fournisseurs, clients, sous-traitants — dont les informations contractuelles ou les NDA figurent dans les 538 Go exfiltrés. Les employés d'Erowa dont les données personnelles ont été volées (passeports, coordonnées) sont également exposés à des risques d'usurpation d'identité et de phishing ciblé. Plus largement, toute entreprise manufacturière européenne utilisant des VPN sans MFA ou des RDP exposés doit considérer sa propre exposition à des groupes comme Akira.

Recommandations

• Activer immédiatement l'authentification multifacteur sur tous les accès VPN et RDP — priorité numéro un contre Akira
• Patcher les équipements Cisco ASA, Fortinet FortiGate et Palo Alto Networks en priorité — vecteurs favoris du groupe
• Segmenter les réseaux OT/IT pour limiter la latéralisation en cas de compromission du réseau d'entreprise
• Vérifier les partenaires et fournisseurs potentiellement affectés par la fuite Erowa — contacts à surveiller pour des campagnes de spear-phishing
• Mettre en place une surveillance des leak sites pour détecter toute mention de l'organisation ou de ses partenaires