:quality(90):no_upscale()){kind=logo}
Des agences américaines, britanniques et allemandes publient un avis conjoint concernant le ransomware SafePay
STATUT : Avis multinational conjoint NIVEAU DE GRAVITÉ : 6/10 PUBLIC CIBLE : Responsables gouvernementaux, de la défense et de la sécurité des infrastructures critiques
6 novembre 2026
·Blog
·Communications sécurisées
:quality(90):no_upscale())
Fin octobre, des agences américaines, britanniques et allemandes ont publié un avis conjoint concernant le ransomware SafePay, un groupe qui a touché au moins 600 victimes dans des secteurs d’infrastructures critiques en Amérique du Nord, en Amérique du Sud, en Europe et en Australie. Cet avis rassemble les résultats des enquêtes menées par le FBI, la CISA et les Services secrets américains, en collaboration avec les forces de l’ordre allemandes et britanniques. Il s’agit du dernier d’une série d’alertes multinationales émises cette année, une tendance qui illustre à quel point ces menaces ne connaissent pas de frontières.
Que s'est-il passé ?
Les services d'enquête de trois pays ont regroupé leurs investigations au sein d'un seul avis concernant un groupe dont les victimes se répartissent sur quatre régions.
Le 20 octobre, la CISA, le FBI et les Services secrets américains, en collaboration avec le Landeskriminalamt Rheinland-Pfalz (Allemagne), la National Crime Agency (Royaume-Uni) et la North West Regional Organised Crime Unit (Royaume-Uni), ont publié un avis conjoint #StopRansomware concernant SafePay.2 Ce communiqué présente des tactiques, des techniques, des procédures, des indicateurs de compromission et des recommandations fondées sur des enquêtes menées pas plus tard qu’en août 2026.1 La plupart des organismes à l'origine de cet avis sont des services chargés de l'application de la loi, ce qui reflète la nature criminelle de la menace.
SafePay est actif depuis août 2024 et a touché au moins 600 victimes dans plusieurs secteurs d'infrastructures critiques en Amérique du Nord, en Amérique du Sud, en Europe et en Australie.1 Les victimes sont réparties sur quatre régions et les auteurs de l'avis proviennent de trois pays. Un groupe opérant au-delà des frontières laisse des traces dans plusieurs juridictions, ce qui rend les conclusions communes plus utiles que le point de vue d'une seule agence.
Cet avis fait suite à une série d'alertes multinationales lancées cette année. En avril, le NCSC britannique et 15 partenaires internationaux issus de neuf autres pays ont publié des recommandations concernant des réseaux clandestins liés à la Chine.3 En septembre, le FBI, le NCSC et l’AIVD néerlandais ont chacun averti que des acteurs soutenus par des États utilisaient les applications de messagerie grand public comme principal vecteur d’attaque.4 L'alerte « CI Fortify », publiée en mai, émanait d'agences américaines, australiennes, britanniques et canadiennes.5
L'alerte SafePay elle-même énumère les moyens d'accès initiaux : identifiants exposés, attaques par force brute, hameçonnage et exploitation de systèmes exposés à Internet, y compris cinq vulnérabilités CVE datant de 2020 à 2024. Une fois à l'intérieur, les attaquants désactivent les logiciels de sécurité, modifient parfois les mots de passe des utilisateurs pour empêcher tout accès légitime, arrêtent le service de clonage de volume (Volume Shadow Copy Service) et réinitialisent les périphériques de stockage en réseau contenant des sauvegardes avant de voler les données et de les chiffrer.1
Ce qu'ils ont découvert et ce que cela signifie
Conclusion | Ce que cela signifie | Conséquence opérationnelle | Question ouverte |
Des organismes américains, britanniques et allemands ont publié un communiqué commun concernant SafePay ; la plupart des auteurs de ce communiqué sont des services chargés de l'application de la loi. | Plusieurs gouvernements souscrivent aux mêmes conclusions concernant un groupe dont les victimes proviennent de quatre régions différentes. | Les organisations présentes dans plusieurs de ces pays disposent d'un ensemble unique de stratégies et d'indicateurs, ce qui leur évite d'avoir à concilier des recommandations nationales distinctes. | Les autres pays comptant des victimes de SafePay se joindront-ils à cette recommandation ou publieront-ils la leur ? |
SafePay a touché au moins 600 victimes dans des secteurs d'infrastructures critiques en Amérique du Nord, en Amérique du Sud, en Europe et en Australie. | La portée du groupe s'étend au-delà des pays dont les agences ont rédigé l'avis. | Les organisations situées en dehors des pays auteurs sont confrontées aux mêmes tactiques et doivent considérer que cet avis s'applique également à elles. | Dans quelle mesure les organisations concernées situées dans des régions ne disposant pas d'organisme de rédaction reçoivent-elles systématiquement cet avis et en tiennent-elles compte ? |
Cet avis fait suite à d'autres alertes multinationales émises cette année, notamment les recommandations du NCSC concernant les réseaux clandestins, ainsi que les avertissements du FBI, du NCSC et de l'AIVD relatifs aux applications de messagerie grand public. | La coordination transfrontalière en matière de cybermenaces devient un moyen courant pour les gouvernements d'alerter les organisations dont ils assurent la protection. | Les avis conjoints méritent d'être considérés comme une catégorie à part, car ils signalent des menaces que plusieurs gouvernements jugent suffisamment graves pour émettre conjointement une alerte. | La planification des interventions au sein des organisations multinationales parvient-elle à suivre le rythme des alertes qui parviennent simultanément pour tous les pays ? |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
Un avis national concerne principalement les organisations du pays qui l'ont publié. | Selon l'alerte émise par SafePay, les auteurs proviennent de trois pays et les victimes se trouvent dans quatre régions ; les organisations situées bien au-delà des pays d'origine des auteurs sont donc confrontées aux mêmes tactiques. | BlackBerry®UEM applique les mêmes politiques de conformité des appareils et d'accès à l'ensemble de son personnel international, de sorte qu'un ensemble unique de contrôles s'applique aux collaborateurs de l'entreprise, quelle que soit leur juridiction. |
Une réponse à l'échelle internationale peut s'effectuer via les services habituels de messagerie électronique et de chat de l'entreprise, quel que soit l'endroit où se trouvent ses collaborateurs. | SafePay désactive les logiciels de sécurité et modifie parfois les mots de passe, privant ainsi certains utilisateurs légitimes d'accès ; par conséquent, une intervention coordonnée entre plusieurs pays et fuseaux horaires pourrait se heurter à l'absence de canal de communication interne opérationnel. | BlackBerry® AtHoc® est conçu pour joindre le personnel sur ses appareils mobiles et ses téléphones, en dehors du réseau et de la messagerie interne de l'organisation, afin de pouvoir contacter simultanément les équipes d'intervention dans plusieurs pays. |
Les avis conjoints sont des alertes générales qui contiennent peu de détails opérationnels. | La note d'information SafePay répertorie des CVE, des outils et des comportements spécifiques issus d'enquêtes récentes, que les équipes de sécurité peuvent utiliser pour tester l'efficacité de leurs contrôles. | BlackBerry AtHoc peut diffuser la liste de contrôle d'une note d'information aux équipes de chaque région avec accusé de réception. Les rapports de conformité de BlackBerry UEM permettent d'identifier les appareils qui répondent aux exigences qui en découlent. |
Mesures recommandées
IMMÉDIAT | Appliquez les recommandations de cet avis dans tous les pays où vous exercez vos activités et assurez-vous que les cinq vulnérabilités (CVE) qui y sont répertoriées ont été corrigées sur les systèmes connectés à Internet dans toutes les régions. |
IMMÉDIAT | Exiger l'authentification à plusieurs facteurs (MFA) pour le VPN et les comptes privilégiés dans toutes les régions, et enquêter sur les créations de comptes inattendues, les modifications des privilèges d'administration et les échecs d'authentification répétés. |
À COURT TERME | Conservez des sauvegardes hors ligne, chiffrées et immuables dans un emplacement distinct et testez la restauration, car SafePay réinitialise le stockage réseau qui héberge les sauvegardes. |
À COURT TERME | Déterminez comment les équipes d'intervention de chaque pays pourraient communiquer entre elles et avec la direction si les comptes de l'annuaire étaient bloqués et si la messagerie interne n'était pas disponible, puis testez ce canal en tenant compte des différents fuseaux horaires. |
EN COURS | Traiter les avis multinationaux communs comme des signaux distincts et hautement prioritaires, et désigner un responsable chargé de traduire chacun d'entre eux en mesures concrètes dans toutes les régions. |
Poste chez BlackBerry
L'alerte SafePay reflète le fait que les gouvernements reconnaissent qu'un groupe de ransomware opérant dans quatre régions ne peut être compris ni contré depuis l'intérieur d'un seul pays. Il en va de même pour les organisations qu’il cible. Une entreprise multinationale reçoit un seul avis et doit y donner suite simultanément dans tous les pays, alors que ses équipes de sécurité, ses dirigeants et ses intervenants locaux sont répartis sur plusieurs fuseaux horaires. Si une intrusion bloque les comptes et désactive les outils, cette coordination doit s’effectuer via un canal extérieur à ces systèmes et doit être mise en place avant l’intrusion, car elle ne peut pas être établie une fois les comptes bloqués.
Références :
1. #StopRansomware : le ransomware SafePay (CISA, FBI, Services secrets américains, Landeskriminalamt de Rhénanie-Palatinat, Agence nationale britannique de lutte contre la criminalité et Unité régionale de lutte contre le crime organisé du Nord-Ouest, #StopRansomware : rançongiciel SafePay, avis AA26-293A, 20 octobre 2026).
2. Réponse à l'avis de la CISA (AA26-293A) : #StopRansomware : le ransomware SafePay (AttackIQ, 21 octobre 2026).
3. Les agences internationales de cybersécurité publient de nouvelles recommandations pour se défendre contre les réseaux clandestins liés à la Chine (Centre national de cybersécurité du Royaume-Uni, avril 2026).
4. Le Royaume-Uni et ses alliés dévoilent un logiciel espion utilisé par des acteurs étatiques iraniens pour cibler des dissidents, des militants et des journalistes (Communiqués conjoints du FBI, du Centre national de cybersécurité britannique (NCSC) et de l’AIVD néerlandais, intitulés « Iranian Cyber Targeting of Dissidents, Activists and Journalists » (Ciblage cybernétique iranien des dissidents, militants et journalistes), publiés le 15 septembre 2026. Ils traitent du logiciel malveillant CHOSEN BRICK. Communiqué du NCSC et le communiqué PDF de l’IC3 du FBI. 15 septembre 2026).
5. La CISA dévoile une nouvelle initiative visant à renforcer les infrastructures critiques des États-Unis (CISA et partenaires internationaux, lignes directrices « CI Fortify », 5 mai 2026).
:quality(90):no_upscale())