Ransomware Emperador frappe AB InBev : 3,9 Go Azure volés, rançon d'un million

Les faits

Le 25 octobre 2026, le groupe de ransomware Emperador a publié sur son site de fuite dark web une revendication ciblant AB InBev, le plus grand brasseur mondial avec des marques emblématiques telles que Budweiser, Corona, Stella Artois, Leffe et Hoegaarden. Fondé à Louvain (Belgique), AB InBev réalise un chiffre d'affaires annuel de plus de 57 milliards de dollars et emploie environ 155 000 personnes. Selon la revendication, Emperador affirme avoir exfiltré 3,9 gigaoctets de données sensibles issues des systèmes internes, dont des actifs stockés sur l'infrastructure cloud Azure. La demande de rançon s'élève à un million de dollars en Bitcoin.

La revendication détaille le contenu exfiltré avec une précision inhabituelle pour un groupe aussi récent : 329 244 alertes de social listening (surveillance mondiale des réseaux sociaux), 2 510 emails internes issus de plusieurs filiales d'AB InBev, environ 19 000 journaux d'accès (access logs), des enregistrements du portail GBS (Global Business Services), des certificats PKI (Public Key Infrastructure) internes, et 3,2 Go d'assets Azure Blob. AB InBev n'a émis aucune confirmation officielle de l'incident à la date de publication de cet article. La vérification indépendante des preuves publiées est en cours selon plusieurs journalistes spécialisés suivant le dossier.

La présence de certificats PKI internes dans les données revendiquées est l'élément le plus préoccupant. Dans les entreprises de la taille d'AB InBev, la PKI interne gère potentiellement des milliers de certificats pour l'authentification machine, le chiffrement TLS des communications internes, la signature de code applicatif, et les accès VPN. Si les clés privées associées ont effectivement été exfiltrées — ce qu'Emperador n'affirme pas explicitement mais ne dément pas — la réponse à incident devrait inclure une révocation complète et une re-émission de tous les certificats concernés. Sans les clés privées, les certificats seuls permettent néanmoins une cartographie détaillée de l'architecture interne et des serveurs de l'entreprise, utilisable pour préparer une attaque ultérieure.

Les 19 000 access logs représentent un actif de renseignement de première valeur : ces journaux révèlent des patterns d'authentification, des adresses IP internes, des noms de comptes de service, des séquences de connexion et potentiellement des identifiants de sessions. Les 2 510 emails internes peuvent alimenter des campagnes de spear-phishing ultra-personnalisées ciblant des employés d'AB InBev ou de ses partenaires dans les semaines à venir. Les 329 244 alertes de social listening révèlent la stratégie de communication et les sujets sensibles surveillés par l'entreprise — une information précieuse pour contextualiser des attaques d'ingénierie sociale.

Concernant la revendication Azure, les analystes de la firme Rescana qui ont examiné les preuves publiées par Emperador soulignent que le lot de 3,2 Go d'assets Azure Blob manque de contexte technique permettant de confirmer une compromission directe de l'environnement Azure d'AB InBev. Il pourrait s'agir de fichiers issus d'un vecteur d'entrée différent : compromission d'un prestataire tiers ayant accès au tenant Azure, credential stuffing sur un portail exposé, ou vol d'un SAS token (Shared Access Signature). Une revendication mentionnant des fichiers Azure n'implique pas nécessairement une faille dans l'infrastructure Microsoft elle-même.

Emperador est un groupe relativement récent, observé pour la première fois en septembre 2026 selon les analyses de Breachsense et de la plateforme ransomware.live. En six semaines, il a revendiqué plusieurs victimes de profil international dont A-RMS (gestion des risques, États-Unis). Son mode opératoire privilégie l'exfiltration avant chiffrement — double extorsion classique — mais se distingue par un focus marqué sur les données d'identité numérique : certificats, credentials, tokens d'accès. Ce positionnement suggère une sophistication opérationnelle supérieure à la moyenne des nouveaux entrants, et possiblement des connexions avec des acteurs établis ayant opéré sous d'autres noms.

Ce type d'incident illustre la convergence croissante entre ransomwares traditionnels et techniques d'espionnage industriel. Les groupes modernes ne cherchent plus seulement à chiffrer et extorquer : ils cartographient l'infrastructure, volent les actifs d'identité et monétisent les données indépendamment du paiement de la rançon. Un groupe ayant exfiltré des certificats PKI internes peut revendre ces données à des acteurs de l'espionnage industriel, les utiliser pour des attaques ultérieures contre les partenaires de la victime, ou simplement les publier pour maximiser la pression. Selon Recorded Future, le coût moyen d'un incident impliquant la compromission de certificats PKI dépasse 2,3 millions de dollars en 2026, hors montant de la rançon.

L'incident s'inscrit dans une tendance de fond : le secteur FMCG (Fast-Moving Consumer Goods) — agroalimentaire, boissons, cosmétiques — est de plus en plus ciblé par les ransomwares. Ces entreprises sont perçues comme ayant la capacité financière de payer des rançons élevées pour éviter toute perturbation de leur chaîne d'approvisionnement ou atteinte réputationnelle sur leurs marques grand public. L'attaque précédente majeure dans ce secteur remonte à juin 2021, quand JBS Foods avait payé 11 millions de dollars à REvil pour débloquer ses systèmes de traitement de viande en Amérique du Nord et en Australie.

Impact et exposition

L'impact immédiat concerne AB InBev et ses filiales mondiales, mais la compromission potentielle de certificats PKI et d'access logs étend la surface de risque à l'ensemble des partenaires, prestataires et systèmes interconnectés. Les employés dont les emails ont été exfiltrés sont des cibles prioritaires pour du spear-phishing dans les semaines à venir. Investisseurs, partenaires et fournisseurs d'AB InBev doivent redoubler de vigilance face à toute communication prétendument issue de l'entreprise, même si elle semble légitime.

Recommandations

• Partenaires et prestataires d'AB InBev : traiter toute demande inhabituelle par canal alternatif, même si l'email semble légitime
• Auditer vos propres politiques PKI : les certificats internes et leurs clés privées doivent être dans des HSM (Hardware Security Modules), pas sur des serveurs de fichiers ou dépôts cloud
• Auditer les accès Azure Blob Storage : activer les journaux d'accès complets, vérifier les SAS tokens actifs, restreindre les permissions au strict nécessaire
• Mettre en place des alertes sur l'émission de nouveaux certificats depuis votre CA interne
• Tester régulièrement vos procédures de révocation PKI — elles doivent fonctionner sous pression, pas seulement sur le papier