En bref

  • Krybit, groupe RaaS multi-plateforme lancé en mars 2026, revendique l'attaque de ProHealth Medical Group (Singapour) avec 114 Go de données exfiltrées
  • Secteur santé en ligne de mire : dossiers patients, données sensibles — double extorsion chiffrement + menace de publication
  • Krybit cible Windows, Linux, ESXi et NAS dès son lancement — commission affilié 80/20 attractive pour des opérateurs expérimentés de groupes dissous

Les faits

Le 2 août 2026, le groupe de ransomware Krybit a publié sur son site de fuite une revendication d'attaque contre ProHealth Medical Group Pte Ltd, un prestataire de soins de santé primaires privé fondé dans les années 1990 et basé à Singapour. Le groupe affirme avoir exfiltré 114 gigaoctets de données avant de procéder au chiffrement des systèmes de l'organisation. ProHealth n'a pas encore fait de déclaration publique officielle confirmant l'incident, un schéma récurrent dans les cyberattaques contre des établissements de santé en Asie du Sud-Est.

Krybit est un groupe Ransomware-as-a-Service (RaaS) qui a lancé ses opérations en mars 2026, soit il y a moins de six mois. Malgré cette jeunesse, il a développé dès son lancement une infrastructure technique multi-plateforme : ses builders permettent de générer des ransomwares opérationnels pour Windows, Linux, ESXi (hyperviseur VMware) et NAS (Network Attached Storage, notamment Synology et QNAP). Cette couverture multi-plateforme, combinée à un modèle de commission de 80% pour l'affilié et 20% pour le groupe, positionne Krybit comme une alternative sérieuse aux groupes historiques pour des opérateurs expérimentés issus de structures dissoutes comme LockBit, ALPHV/BlackCat ou Hive.

Dans le secteur de la santé, les données médicales constituent un actif particulièrement précieux sur les marchés criminels. D'après les données Recorded Future de 2026, un dossier médical complet se vend entre 50 et 250 dollars sur les forums du dark web, contre 1 à 10 dollars pour un numéro de carte bancaire. La valeur des 114 Go exfiltrés chez ProHealth dépend de leur contenu exact, mais des éléments comme les historiques médicaux complets, les données génétiques et les informations d'identité constituent une ressource d'extorsion à double détente : d'abord contre l'organisation (payer pour éviter la publication), puis potentiellement contre les patients eux-mêmes.

Krybit pratique la double extorsion classique : chiffrement des données pour paralyser les opérations de la victime, combiné à l'exfiltration préalable pour alimenter la pression de publication. Les délais accordés aux victimes avant publication varient de 7 à 14 jours selon les groupes RaaS. Dans le cas ProHealth, la revendication est apparue le 2 août 2026 — plusieurs semaines après une éventuelle intrusion initiale, suggérant que les attaquants ont pris le temps de cartographier le réseau, identifier les données les plus sensibles et les exfiltrer avant de déclencher le chiffrement. C'est la signature des affiliés professionnels : pas de précipitation, un accès discret maintenu le temps nécessaire.

Selon les analyses de Halcyon.ai et Ransomwhere.org, Krybit a ciblé depuis son lancement plusieurs secteurs incluant la santé, les services professionnels, l'industrie et la distribution. La disponibilité native d'un builder ESXi est particulièrement préoccupante : VMware ESXi est l'hyperviseur dominant dans les infrastructures d'entreprise européennes, et un ransomware ESXi peut chiffrer simultanément l'ensemble des machines virtuelles hébergées sur un hyperviseur compromis, provoquant une indisponibilité totale en quelques minutes. Cette stratégie a été systématisée par INC Ransomware et Akira en 2026.

Les vecteurs d'accès initial utilisés par les affiliés Krybit dans le cas ProHealth n'ont pas encore été documentés publiquement. Mais les groupes RaaS exploitent généralement un ensemble limité de vecteurs : credentials exposés RDP ou VPN (achetés sur des marchés de courtiers d'accès initiaux ou obtenus par bruteforce), vulnérabilités non patchées sur des équipements périmétriques (Fortinet, Palo Alto, Ivanti), et spear-phishing ciblant des personnels administratifs. Dans le secteur de la santé, les équipes de facturation et RH sont des cibles privilégiées car elles manipulent régulièrement des pièces jointes et ont des accès étendus aux systèmes d'information.

En 2026, le secteur de la santé représente selon Breachsense 23% de l'ensemble des victimes de ransomware mondiales, en progression de 8 points par rapport à 2025. Cette surreprésentation s'explique par plusieurs facteurs structurels : tolérance zéro à l'interruption de service (les soins aux patients ne peuvent s'arrêter, ce qui crée une pression au paiement de rançon), faible maturité cybersécurité dans de nombreux établissements, données ultra-sensibles, budgets sécurité insuffisants face à la complexité des SI de santé, et parc applicatif vieillissant.

En France, le CERT-Santé de l'ANS (Agence du Numérique en Santé) a enregistré une hausse significative des incidents de ransomware dans le secteur depuis début 2026, avec des établissements publics (CHU, GHT) et privés (cliniques, laboratoires) dans le viseur. La réglementation NIS2, en vigueur depuis octobre 2024, impose aux acteurs de la santé significatifs une obligation de notification sous 24 heures à l'ANSSI en cas d'incident majeur, et des obligations de mise en conformité cyber qui restent inégalement appliquées.

Impact et exposition

Périmètre direct : ProHealth Medical Group et ses patients (données potentiellement exposées). Périmètre indirect : tout établissement de santé utilisant des plateformes ESXi non segmentées, des NAS Synology/QNAP/NetApp accessibles depuis le réseau interne, ou des systèmes Windows Server sans politique de moindre privilège. Les affiliés Krybit ciblent prioritairement les organisations avec des sauvegardes insuffisantes ou accessibles depuis le même réseau que la production.

Recommandations

  • Segmenter le réseau entre systèmes cliniques, administratifs et infrastructure (VLAN dédiés, firewall inter-zones strict)
  • Implémenter une sauvegarde 3-2-1 avec copie immuable — au moins une copie hors-ligne ou en object storage avec WORM (Write Once Read Many) non accessible depuis le réseau de production
  • Auditer les accès RDP et VPN exposés — supprimer les accès non nécessaires, imposer le MFA sur l'ensemble des accès distants sans exception
  • Vérifier et renforcer la configuration ESXi — désactiver les interfaces de gestion accessibles depuis Internet, patcher ESXi vers la dernière version, activer l'authentification forte sur vSphere
  • Former le personnel administratif et financier au phishing ciblé — dans le secteur de la santé, ces équipes constituent les vecteurs d'entrée initiaux les plus fréquents

Krybit peut-il cibler des établissements de santé français ?

Oui, et c'est une question de temps. Krybit est un RaaS : n'importe quel affilié peut utiliser ses builders pour attaquer des cibles en France, indépendamment de l'origine géographique du groupe central. Les établissements de santé français sont déjà ciblés régulièrement par d'autres groupes RaaS (INC Ransomware, Akira, Qilin). L'arrivée de Krybit avec un builder ESXi mature représente une menace supplémentaire. Les mesures de protection fondamentales — MFA, segmentation réseau, sauvegardes immuables, gestion des patches — restent les mêmes quel que soit le groupe attaquant.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit