ShinyHunters pirate Clop et menace le gang de ransomware

Ce qui s'est passé

Dans un retournement de situation rarissime dans le milieu cybercriminel, le groupe ShinyHunters a annoncé vendredi 19 septembre 2026 avoir compromis le site de fuite du gang de ransomware Clop, aussi orthographié Cl0p. Ce portail Tor, que Clop utilise habituellement pour publier les données de ses victimes et les contraindre à payer une rançon, a été défacé et partiellement mis hors service. L'information a été rapportée en premier par BleepingComputer, qui a confirmé la défacement de manière indépendante.

Selon les éléments publiés par ShinyHunters et repris par plusieurs médias spécialisés dont SecurityOnline et DataBreaches.net, l'attaque a débuté en soirée. Le vecteur initial était une vulnérabilité de téléchargement de fichiers sans authentification dans Grav CMS, le gestionnaire de contenu open source sur lequel reposait l'infrastructure de Clop. Cette faille élémentaire a permis aux attaquants de déposer un fichier texte directement sur le serveur, contenant le message suivant : « THIS SITE HAS BEEN PWN3D BY SHINYHUNTERES - Maybe don't try to threaten us next time. » Le message incluait également un lien vers le propre portail de ShinyHunters.

Au-delà de la défacement, ShinyHunters affirme avoir escaladé son accès pour obtenir le contrôle complet du serveur. Le groupe revendique l'exfiltration de quatre catégories de données : le code source du site, les plugins Grav CMS personnalisés développés par Clop, les journaux système stockés sous /var/log, et — point le plus sensible — la clé privée du service onion Tor de Clop. Cette dernière revendication est particulièrement lourde de conséquences potentielles. Une clé privée de service onion permet à quiconque la détient d'opérer un site Tor sous l'adresse .onion existante, depuis des serveurs qu'il contrôle entièrement. En pratique, cela ouvrirait la voie à des usurpations d'identité vis-à-vis des victimes de Clop actuellement en négociation.

Le contexte de l'incident suggère qu'il s'inscrit dans un différend préexistant entre les deux groupes. La formulation « Maybe don't try to threaten us next time » implique que Clop aurait antérieurement tenté d'intimider ou d'extorquer ShinyHunters. Ce type de conflit intra-cybercriminel, bien que rare dans sa publicité, n'est pas sans précédent : des tensions entre groupes rivaux ont déjà abouti à des fuites de données, des dénonciations aux autorités, ou des attaques techniques directes. ShinyHunters a confirmé à BleepingComputer son intention d'extorquer Clop, publiant sur son site un compte à rebours de 72 heures pour que le gang prenne contact.

Clop est l'un des acteurs les plus actifs et les plus dévastateurs de l'écosystème ransomware mondial. Ses campagnes d'exploitation de vulnérabilités zero-day dans des logiciels de transfert de fichiers ont marqué les années récentes : exploitation de MOVEit Transfer en 2023 compromettant plusieurs milliers d'organisations, GoAnywhere MFT en début 2023, et Cleo Harmony/VLTrader/LexiCom fin 2024. La méthode opératoire repose sur l'exfiltration massive de données en amont du chiffrement, avec publication sur le site de fuite comme levier d'extorsion supplémentaire — une double contrainte financière et réputationnelle pour les victimes. Des actes d'inculpation ont été émis aux États-Unis contre plusieurs individus suspectés d'appartenir à Clop, bien que les arrestations restent rares en raison de la localisation présumée des opérateurs dans des pays non coopératifs.

ShinyHunters, de son côté, est un groupe spécialisé dans le vol massif de bases de données. Actif depuis 2020, il s'est illustré par des violations majeures : AT&T (110 millions d'abonnés, 2024), Ticketmaster (560 millions de dossiers, 2024), Santander Bank, Advance Auto Parts, et de nombreuses autres cibles. En 2023, des arrestations coordonnées par le FBI, Europol et la gendarmerie française avaient touché des membres présumés, mais le groupe a continué à opérer. L'attaque contre Clop marque une évolution dans le positionnement de ShinyHunters : passer de cible passive à acteur offensif contre d'autres groupes criminels.

Du côté de Grav CMS, la vulnérabilité exploitée — un téléchargement de fichiers sans contrôle d'authentification — appartient à la catégorie des failles les plus fondamentales de la sécurité applicative web. Ce type de vulnérabilité est référencé dans les listes OWASP Top 10 depuis des années, sous la catégorie A04:2021 (Insecure Design) ou A01 (Broken Access Control) selon la configuration. Qu'une infrastructure aussi critique pour un groupe générant des dizaines de millions de dollars par an repose sur un CMS configuré de manière aussi peu sécurisée illustre une réalité fréquemment observée : les groupes cybercriminels investissent massivement dans leurs capacités offensives tout en négligeant leur propre surface d'attaque défensive.

À l'heure de publication, Clop n'a émis aucune déclaration publique sur l'incident. Son site de fuite Tor reste compromis. BleepingComputer n'a pas été en mesure de vérifier indépendamment les revendications de ShinyHunters concernant le vol des clés privées, du code source ou des journaux — seule la défacement a été confirmée de façon indépendante. Les chercheurs en threat intelligence suivent de près l'évolution de la situation, notamment pour déterminer si les journaux server exfiltrés pourraient contenir des éléments d'identification des opérateurs ou de la liste des victimes de Clop.

Pourquoi c'est important

L'incident dépasse le cadre d'un simple conflit entre groupes cybercriminels. Il a des implications concrètes pour des organisations qui seraient actuellement en négociation avec Clop, ou qui anticipent une telle situation. Si ShinyHunters détient réellement la clé privée du service onion, une victime cherchant à contacter Clop via l'adresse .onion habituelle pourrait se retrouver face à un interlocuteur frauduleux, susceptible de détourner un paiement de rançon ou d'intercepter des communications sensibles. Ce risque n'est pas théorique : la compromission d'infrastructures de négociation ransomware a déjà entraîné des pertes financières pour des victimes qui avaient payé sans récupérer leurs données.

Sur le plan technique, l'incident met en lumière une lacune structurelle commune dans les déploiements de CMS : la négligence des configurations de sécurité de base pour les fonctionnalités d'upload. Grav CMS est un projet open source légitime et bien maintenu, mais comme tout logiciel, sa sécurité dépend de sa configuration. L'absence de contrôle d'authentification sur les endpoints de téléchargement de fichiers est une erreur de configuration, pas une faille zero-day. Pour les équipes SecOps, c'est un rappel que les audits de configuration doivent couvrir non seulement les systèmes internes, mais aussi tout CMS ou application web exposée, même à usage interne ou sur des réseaux partiellement isolés.

Pour les agences d'application de la loi — FBI, Europol, NCA britannique — l'opération de ShinyHunters représente une opportunité de renseignement involontaire. Si les journaux serveur de Clop sont effectivement exfiltrés et mis à disposition, ils pourraient révéler des informations sur l'infrastructure, les victimes non publiées, les affiliés du réseau, voire des éléments d'identification sur les opérateurs. La coopération entre les forces de l'ordre et la communauté des chercheurs en cybersécurité dans l'exploitation de tels incidents a déjà produit des résultats concrets — notamment lors du démantèlement d'opérations comme Hive ou BlackCat/ALPHV.

Enfin, cette situation illustre une tendance croissante dans l'écosystème cybercriminel : la montée des tensions internes et des conflits entre groupes pour le contrôle de ressources, de réputation ou de part de marché. À mesure que les opérations de ransomware génèrent des revenus toujours plus importants, elles attirent des acteurs secondaires cherchant à les cibler. Cette évolution complexifie le paysage des menaces pour les défenseurs, qui doivent désormais modéliser non seulement les attaquants primaires, mais aussi les acteurs susceptibles de perturber leurs opérations de façon indirecte.

Ce qu'il faut retenir

• ShinyHunters a défacé le site de fuite Tor de Clop le 19 septembre 2026, via un upload non authentifié dans Grav CMS — la défacement est confirmée par BleepingComputer.
• Les revendications de vol de clés privées Tor, code source et journaux serveur ne sont pas encore vérifiées indépendamment.
• Si votre organisation est en contact avec Clop, sécurisez vos canaux de communication et consultez un expert en réponse aux incidents avant tout paiement.