Fairlife : Anubis publie 1 To après refus de Coca-Cola

Les faits

Le 16 juillet 2026, The Coca-Cola Company a notifié la SEC via un formulaire 8-K qu'une de ses filiales, Fairlife LLC, avait été victime d'un accès non autorisé à ses systèmes. L'incident, classifié comme événement ransomware, a conduit à la suspension temporaire des opérations de production dans les quatre usines américaines de Fairlife situées en Arizona, en Illinois, au New Hampshire et en New York.

Fairlife LLC est une joint-venture dont Coca-Cola détient la majorité des parts depuis son acquisition complète en 2020. L'entreprise produit des gammes de laits ultrafiltrés, de produits laitiers haute-protéine et de shakes nutritionnels sous la marque Fairlife, ainsi que Core Power, distribués dans plus de 40 000 points de vente aux États-Unis. Son chiffre d'affaires annuel est estimé à plus de 1,5 milliard de dollars en 2025.

Le vecteur d'intrusion identifié par les équipes de réponse aux incidents est CVE-2025-5777, surnommée CitrixBleed 2 par la communauté sécurité. Cette vulnérabilité affecte les appliances Citrix NetScaler ADC et Gateway et permet à un attaquant non authentifié d'induire une fuite mémoire pré-authentification, permettant la récupération de jetons de session actifs. En rejouant ces tokens, les opérateurs d'Anubis ont pu contourner toute authentification multifacteur et accéder aux environnements internes de Fairlife sans présenter d'identifiant valide. CVE-2025-5777 reprend le même mécanisme que CitrixBleed original (CVE-2023-4966) qui avait provoqué des compromissions massives entre fin 2023 et début 2024, notamment dans le secteur financier.

Une fois dans le réseau, les affiliés d'Anubis ont latéralisé vers les systèmes Nutanix hébergeant les charges de travail de production. Ils ont chiffré l'ensemble des serveurs Nutanix et exfiltré, selon leur propre déclaration, 1 To de données confidentielles comprenant des documents RH, des états financiers, des plans industriels, des bases de données clients et des contrats avec les distributeurs. Anubis a fixé une deadline au 27 juillet au matin pour le paiement d'une rançon dont le montant n'a pas été rendu public.

Coca-Cola a choisi de ne pas payer. La décision, conforme à la position de plus en plus répandue dans les grands groupes américains depuis les recommandations conjointes du FBI et de la CISA publiées en 2024, a eu pour conséquence directe la publication intégrale des données par Anubis sur son site de fuite hébergé sur le réseau Tor, le 28 juillet 2026. L'ensemble du dump de 1 To est désormais accessible aux acteurs malveillants, concurrents industriels et journalistes d'investigation. Les données RH concernent plusieurs milliers d'employés de Fairlife.

Le groupe Anubis opère selon un modèle RaaS (Ransomware-as-a-Service) documenté depuis mi-2024. Il se distingue par une phase d'extorsion double systématique et un usage intensif d'infrastructures VPN résidentiels pour masquer les déplacements latéraux. Selon les analyses du cabinet Recorded Future, ses affiliés ont ciblé préférentiellement le secteur agroalimentaire et la chaîne logistique froid en 2025-2026, visant des entreprises dont les systèmes OT sont souvent moins segmentés et plus difficiles à patcher que les environnements IT classiques.

Fairlife a déclaré avoir repris la majorité de ses opérations de production au 28 juillet 2026, soit environ dix jours après la découverte de l'incident. L'entreprise a engagé des experts forensiques externes, notifié les régulateurs américains concernés et commencé à informer individuellement les employés dont les données personnelles ont été compromises. Coca-Cola n'a pas divulgué le montant des pertes opérationnelles liées aux arrêts de production sur ses quatre sites.

L'incident intervient dans un contexte où le secteur agroalimentaire américain est identifié comme infrastructure critique par la CISA mais reste historiquement sous-investi en cybersécurité opérationnelle. Selon un rapport CISA de mars 2026, ce secteur représente moins de 3 % des budgets cybersécurité des secteurs critiques américains, contre 18 % pour l'énergie et 22 % pour le secteur financier. Trois incidents ransomware majeurs avaient déjà frappé l'agroalimentaire américain en 2025, tous exploitant des failles de périmètre sur des appliances réseau non mises à jour.

Impact et exposition

L'impact immédiat a été la suspension de production dans quatre usines américaines pendant environ dix jours, avec des ruptures de stock localisées sur certains produits à forte rotation — lait ultrafiltré haute-protéine, Core Power. L'impact secondaire est la mise en ligne de 1 To de données propriétaires incluant des formulations industrielles, des contrats distributeurs et des données personnelles d'employés de Fairlife.

Toute organisation utilisant des appliances Citrix NetScaler ADC ou Gateway non patchées contre CVE-2025-5777 est potentiellement exposée au même vecteur. CitrixBleed 2 a été massivement scannée et exploitée dès sa divulgation. Si votre appliance est exposée sur Internet et n'a pas reçu le correctif, des session tokens actifs ont pu être récupérés silencieusement, même sans trace visible dans les logs applicatifs.

Recommandations

• Immédiat : Vérifier la version de tous vos appliances Citrix NetScaler ADC et Gateway, appliquer le correctif CVE-2025-5777, invalider toutes les sessions actives après patch.
• Court terme : Auditer la segmentation réseau entre vos environnements IT et OT/production. Les hyperviseurs (Nutanix, VMware, Hyper-V) ne doivent pas être atteignables depuis les zones d'accès distant sans micro-segmentation stricte.
• Court terme : Revoir votre plan de continuité pour les environnements de production industrielle. La reprise après ransomware sur OT prend en moyenne 3 à 4 fois plus longtemps que sur des environnements IT classiques.
• Moyen terme : Mettre en place une surveillance spécifique des tokens de session sur les appliances de périmètre pour détecter les replays anormaux — signal caractéristique d'une exploitation de type CitrixBleed.