Bayer revendiqué par le ransomware Black X : 68 000 mots de passe exposés

Black X revendique Bayer : 68 000 mots de passe et un écosystème partenaires compromis

Le 9 octobre 2026, le groupe ransomware Black X a publié une revendication d'attaque contre Bayer AG, le géant pharmaceutique et chimique allemand dont le siège est à Leverkusen. La date de découverte de la violation coïncide avec celle de la publication, ce qui peut indiquer soit que Black X a rendu l'incident public le jour même de sa détection par Bayer, soit que le groupe cherchait à maximiser la pression de négociation en frappant simultanément la cible et les médias spécialisés. À date de publication, Bayer n'a émis aucun communiqué officiel confirmant ou infirmant les faits rapportés.

Black X est un groupe ransomware opérant selon le modèle Ransomware-as-a-Service (RaaS), actif depuis plusieurs mois dans les secteurs industriels et de santé en Europe et en Amérique du Nord. Contrairement aux groupes les plus médiatisés comme LockBit ou Cl0p, qui ont fait l'objet d'opérations de démantèlement par les forces de l'ordre internationales, Black X n'a pas encore subi de tels revers, ce qui lui permet d'opérer avec une relative continuité opérationnelle et d'attirer des affiliés expérimentés à la recherche d'une infrastructure stable et rémunératrice.

L'analyse de l'empreinte des infostealers associés à l'attaque, réalisée par plusieurs plateformes de threat intelligence dont HookPhish et Ransomware.live, révèle l'ampleur potentielle de la compromission. Les données disponibles indiquent 39 employés Bayer directement compromis, 792 utilisateurs dont les identifiants ont été collectés, et 601 ensembles d'identifiants de prestataires tiers. Sur le plan des données d'authentification, l'analyse recense 68 736 mots de passe exposés dont 2 478 qualifiés de critiques, ainsi que 1 123 cookies de session dont 16 critiques — des cookies permettant de contourner l'authentification multifacteur en rejouant des sessions valides.

La présence de 601 identifiants de prestataires tiers est particulièrement préoccupante. Elle signale que la compromission ne se limite pas au périmètre informatique interne de Bayer mais s'étend à son vaste écosystème de partenaires commerciaux et scientifiques — fournisseurs de matières premières, prestataires de recherche clinique (CRO), distributeurs pharmaceutiques ou sous-traitants de la chaîne d'approvisionnement. Dans l'industrie pharmaceutique, ces partenaires ont fréquemment accès à des données de recherche clinique confidentielles, des formules propriétaires ou des données d'essais cliniques en cours, ce qui élève considérablement le niveau de risque potentiel de cet incident.

Le vecteur d'intrusion initial n'est pas encore confirmé publiquement. Cependant, la combinaison d'un grand nombre de mots de passe exposés et de cookies de session compromis oriente les analystes vers l'utilisation préalable d'infostealers — des logiciels malveillants légers conçus pour extraire silencieusement les identifiants stockés dans les navigateurs web, les gestionnaires de mots de passe et les applications d'entreprise. Cette technique, popularisée par des familles comme Redline Stealer, LummaC2 ou Vidar, permet à des affiliés RaaS d'accumuler des accès valides pendant des semaines avant de déclencher le ransomware proprement dit au moment jugé le plus propice.

Bayer est l'une des plus grandes entreprises pharmaceutiques mondiales, avec un chiffre d'affaires dépassant 40 milliards d'euros et des opérations dans plus de 100 pays. Le groupe est structuré en trois divisions majeures : Pharmaceutiques (oncologie, cardiologie, gynécologie), Consumer Health (Aspirin, Bepanthen, Aleve) et Crop Science (produits agrochimiques et semences). Une interruption même partielle de ses systèmes informatiques aurait des répercussions directes sur les chaînes de production médicamenteux, les systèmes de pharmacovigilance réglementaire et les dizaines d'essais cliniques en cours à travers le monde.

Ce n'est pas la première fois que Bayer se retrouve dans la ligne de mire d'acteurs malveillants. En 2019, le groupe avait déjà confirmé une intrusion sophistiquée attribuée au groupe Winnti (APT41, lié à la Chine), ciblant ses données de recherche en biotechnologie. Bayer avait alors choisi de surveiller l'attaquant pendant plusieurs mois avant d'intervenir — une stratégie dite living off trusted access qui avait permis de mieux comprendre les techniques adverses tout en préservant des preuves forensiques. Cette histoire montre que Bayer est une cible récurrente pour des acteurs aux motivations diverses, espionnage industriel comme ransomware financier.

En l'absence de confirmation officielle de Bayer, il est impossible de déterminer si les données revendiquées par Black X ont réellement été exfiltrées ou si la revendication contient des éléments gonflés pour maximiser la pression. Cette tactique est bien documentée dans les opérations ransomware : publier une revendication avec des métriques impressionnantes pousse la victime à entamer des négociations plus rapidement, même quand une partie des données provient de sources publiques ou d'achats sur des marchés criminels plutôt que d'une véritable exfiltration ciblée depuis les systèmes de la victime.

L'industrie pharmaceutique, cible permanente des ransomwares en 2026

L'attaque contre Bayer s'inscrit dans une tendance documentée : l'industrie pharmaceutique et les sciences de la vie demeurent l'un des secteurs les plus ciblés par les opérateurs ransomware en 2026, selon le rapport State of Ransomware de BlackFog. La valeur des données dans ce secteur est triple — propriété intellectuelle sur les molécules et formules, données cliniques confidentielles portant sur des milliers de patients, et capacité à perturber des chaînes d'approvisionnement en médicaments critiques. Cette combinaison crée un levier de pression maximal pour extorquer des rançons substantielles.

La directive NIS2 classe l'industrie pharmaceutique parmi les entités essentielles dans plusieurs États membres de l'UE, impliquant des obligations de déclaration d'incident sous 24 heures pour la notification initiale et 72 heures pour le rapport détaillé. Le silence de Bayer à ce stade soulève des interrogations sur le respect de ces délais. Si l'attaque est confirmée, l'Autorité fédérale allemande de cybersécurité (BSI) et potentiellement l'autorité de protection des données (BfDI) devront être notifiées dans les délais réglementaires requis par NIS2 et le RGPD.

L'aspect chaîne d'approvisionnement mérite une attention particulière. Les 601 identifiants de tiers compromis illustrent comment une attaque contre un acteur majeur peut créer un effet de ricochet sur l'ensemble de son écosystème de partenaires. Des PME fournisseurs ou des CRO travaillant avec Bayer pourraient faire face à des tentatives d'intrusion secondaires utilisant ces identifiants dérobés. Dans l'industrie pharmaceutique, où les essais cliniques impliquent des dizaines de partenaires sur plusieurs continents en accès permanent aux mêmes systèmes de données, cet aspect est particulièrement critique et difficilement maîtrisable sans gouvernance des identités rigoureuse.

Enfin, l'émergence de Black X comme groupe capable de s'en prendre à un acteur du calibre de Bayer témoigne de la dynamique de régénération continue de l'écosystème ransomware. Chaque démantèlement d'un groupe majeur libère des affiliés expérimentés qui rejoignent ou créent de nouvelles entités opérationnelles. Black X hérite ainsi du savoir-faire accumulé par ses prédécesseurs, rendant l'efficacité de la répression policière seule insuffisante pour endiguer durablement la menace ransomware dans les secteurs critiques comme la pharmacie ou la santé.

Ce qu'il faut retenir

• Black X a revendiqué une attaque contre Bayer le 9 octobre 2026, exposant potentiellement 68 736 mots de passe et les identifiants de 601 partenaires tiers de la chaîne pharmaceutique.
• L'industrie pharmaceutique reste une cible privilégiée des ransomwares en 2026 en raison de la valeur des données et de la criticité opérationnelle des chaînes de production médicamenteux.
• Les entreprises du secteur doivent surveiller l'exposition de leurs identifiants sur les marchés d'infostealers, implémenter le MFA universel et détecter les mouvements latéraux avant le déclenchement du ransomware.