ShinyHunters pirate le site de fuite de Clop : une leçon de sécurité pour les professionnels

Selon le rapport 2026 de Cybersecurity Ventures, les ransomwares ont infligé 20 milliards de dollars de pertes à l’économie mondiale. Mais en ce mois de septembre 2026, un événement encore plus spectaculaire s’est produit : le groupe ShinyHunters a piraté le site de fuite de données du ransomware Clop. Non contents de défigurer la page, ils affirment avoir volé des données sensibles et menacent de rançonner leurs confrères. Comment une opération aussi audacieuse a-t-elle été possible ? Quelles en sont les conséquences pour le monde de la cybercriminalité ? Cet article propose une plongée détaillée dans l’attaque, ses origines et les leçons que tout responsable sécurité peut en tirer.

Les origines du conflit : une vendetta entre cybercriminels

ShinyHunters justifie son action par des représailles suite à des menaces de mort proférées par un représentant de Clop. Le conflit trouve sa source dans la campagne d’extorsion massive menée par Clop contre les serveurs Oracle E-Business Suite à l’automne 2025. En octobre 2025, Clop exploitait la vulnérabilité zero-day CVE-2025-61882 pour dérober des données à des organisations du monde entier. Selon les estimations de Recorded Future, cette campagne aurait touché plus de 1500 entreprises, dont de nombreuses en France. Oracle a confirmé que l’exploit correspondait à celui utilisé par Clop.

À la même période, un groupe se faisant appeler “Scattered Lapsus$ Hunters”, identifié comme proche de ShinyHunters, a divulgué une preuve de concept de l’exploit. Ils affirmaient que le code leur appartenait et que Clop l’avait détourné sans autorisation. Oracle a confirmé que l’exploit divulgué correspondait à celui utilisé par Clop.

ShinyHunters est un groupe notoire dans le monde cybercriminel, actif depuis 2019 et connu pour avoir revendu des bases de données volées à de grandes entreprises comme Tokopedia, Wattpad ou encore Microsoft. Leur capacité technique n’est plus à prouver, et cette attaque contre Clop en est une nouvelle démonstration.

C’est dans ce contexte que les tensions sont montées d’un cran. ShinyHunters rapporte qu’un membre de Clop l’a contacté en privé avec cette menace :

“I have more money than you and all of your people combined, I’ll kill you soon” - message en russe attribué à un représentant de Clop, selon ShinyHunters.

Cette menace, que BleepingComputer n’a pas pu vérifier indépendamment, a été la goutte d’eau qui a poussé ShinyHunters à passer à l’action directe contre l’infrastructure de Clop.

En France, cette rivalité trouve un écho particulier. Le CERT-FR a signalé que des organisations françaises des secteurs de la santé et de la finance ont été ciblées par Clop durant cette campagne. Ainsi, cet épisode souligne l’importance pour les entreprises françaises de suivre les recommandations de l’ANSSI en matière de sécurité des applications web et de gestion des vulnérabilités.

Les détails du piratage du site de fuite de Clop : une vulnérabilité simple exploitée avec brio

L’exploitation d’une faille de téléchargement dans Grav CMS

L’attaque a débuté le vendredi 18 septembre 2026 dans la soirée. ShinyHunters a ciblé le site de fuite de Clop, qui tournait sous Grav CMS, un système de gestion de contenu flat-file open source. Le groupe a découvert que le serveur exposait un endpoint de téléchargement de fichiers sans aucune authentification. Cette vulnérabilité permettait à quiconque de déposer un fichier arbitraire sur le serveur, simplement en envoyant une requête HTTP POST.

Grav CMS, par défaut, ne propose pas de fonction d’upload publique. Toutefois, si un administrateur active une fonctionnalité d’upload ou installe un plugin qui l’ajoute, il est crucial de restreindre son accès. Dans le cas de Clop, cette fonctionnalité était accessible à tous, sans vérification préalable.

Selon les experts, ce type de faille est bien connu et figure régulièrement dans les listes de vulnérabilités critiques. L’ANSSI, dans son guide de sécurisation des CMS, insiste sur la nécessité de n’autoriser les téléchargements qu’aux utilisateurs authentifiés et de valider le type et la taille des fichiers.

ShinyHunters a exploité cette brèche pour uploader un petit fichier texte. Le fichier a été placé sur le serveur et était accessible via l’URL du site Tor. BleepingComputer a pu confirmer la présence du fichier en le téléchargeant directement depuis l’infrastructure de Clop.

Le message de provocation

Le fichier texte contenait le message suivant :

THIS SITE HAS BEEN PWN3D BY SHINYHUNTERES #Skids10p - Maybe don’t try to threaten us next time

Ce message était accompagné d’un lien vers le site de fuite de ShinyHunters. Il s’agissait d’un premier avertissement, signe que ShinyHunters avait pris le contrôle symbolique du serveur. Le hashtag #Skids10p pourrait faire référence à des compétences (skid = script kiddie), marquant une forme de mépris.

Le défacement complet et l’humiliation de Clop

Imaginez que votre site web soit soudainement remplacé par une image de Pokémon et un message moqueur : c’est exactement ce qui est arrivé à Clop. Quelques heures après le premier upload, ShinyHunters a procédé à la seconde phase de l’attaque : le défacement complet du site. La page d’accueil a été remplacée par un ASCII art d’Umbreon, le Pokémon utilisé comme logo par ShinyHunters. Le message suivant s’affichait : “rooting your systems since ‘19 ;)” ainsi qu’un lien vers leur propre site Tor. Le même ASCII art avait été utilisé en août 2020 pour défigurer le forum HackForums, une attaque également revendiquée par ShinyHunters. Le chercheur VXDB a confirmé cette similarité.

À l’heure actuelle, le site défiguré est toujours servi depuis l’infrastructure de Clop, selon ShinyHunters. Le groupe a ainsi démontré sa capacité à pénétrer un site protégé par Tor, un message fort en direction de leurs rivaux.

Que risquent Clop et les autres groupes ransomware ?

Le vol de données : codes source, logs et clés Tor

Au-delà de l’humiliation publique, ShinyHunters revendique un accès complet au serveur et le vol de nombreuses données. Voici la liste des éléments qu’ils affirment avoir récupérés :

• Codes source du site de fuite et des plugins Grav CMS personnalisés. Ces derniers, notamment la gestion des fuites de données, pourraient contenir des informations critiques sur les méthodes d’escroquerie.
• Journaux système contenus dans le dossier /var/log, incluant les connexions SSH, les accès à la base de données et potentiellement les adresses IP des administrateurs et des visiteurs. Ces logs sont une mine d’or pour identifier les acteurs de Clop.
• Clés privées du service onion Tor qui permettent de faire fonctionner l’adresse .onion du site. Leur compromission est l’aspect le plus dangereux de l’attaque.

Si les clés Tor sont valides, ShinyHunters peut héberger un site frauduleux avec la même adresse .onion sur des serveurs qu’il contrôle. Cela lui permettrait de rediriger les victimes de Clop vers un site contrôlé, d’intercepter les communications destinées à Clop, ou de nuire à leur réputation en faisant passer des messages compromettants.

Selon IBM Security, le coût moyen d’une violation de données en 2025 est de 4,24 millions de dollars. Bien que Clop soit un groupe criminel, la valeur des données volées est immense pour eux : preuves d’activités, listes de victimes potentielles, accès à des bases de données d’entreprises.

Voici un tableau récapitulatif des données compromises et de leurs implications :

Une menace d’extorsion inédite

ShinyHunters a clairement annoncé ses intentions : extorquer Clop. Le groupe examine actuellement les données volées et prévoit de publier un message sur son propre site de fuite pour exiger que Clop les contacte sous 72 heures. “Going to extort them”, a déclaré un membre à BleepingComputer.

Cette situation est quasi inédite dans l’univers de la cybercriminalité. Si ShinyHunters parvient à ses fins, cela pourrait changer la dynamique entre les groupes. Les conséquences pour Clop pourraient être dévastatrices : perte de crédibilité, exposition potentielle aux autorités judiciaires, et difficultés à recruter ou à maintenir des relations avec d’autres acteurs.

De plus, les données volées, notamment les logs et les codes source, pourraient être transmises aux forces de l’ordre, comme le FBI ou la police française, permettant de démanteler une partie de l’infrastructure de Clop. Ce serait un coup dur pour le ransomware, qui a déjà été sous le feu des projecteurs après ses campagnes précédentes.

Impact sur la confiance dans les sites de fuite

Cet incident remet en question la sécurité des sites de fuite utilisés par les ransomwares. Traditionnellement, ces sites sont hébergés sous Tor et bénéficient d’une certaine aura d’invulnérabilité. Or, cette attaque montre que même ces infrastructures sont vulnérables, surtout si elles utilisent des CMS mal configurés. Les groupes ransomware vont peut-être renforcer la sécurité de leurs sites à l’avenir, mais en attendant, l’exemple de Clop est un avertissement pour tous.

Les leçons pour sécuriser vos infrastructures : anticiper les attaques

Cinq mesures essentielles à mettre en œuvre

Cette affaire, bien que se déroulant dans la sphère criminelle, offre des leçons universelles pour toute organisation qui héberge des données sensibles. Les points suivants sont cruciaux pour éviter un scénario similaire :

1. Contrôler les téléchargements de fichiers : N’autorisez les uploads que via des formulaires authentifiés, validez le type de fichier (MIME), la taille, et scannez les fichiers avec un antivirus. Désactivez toute fonctionnalité d’upload non essentielle. Par exemple, si votre CMS n’a pas besoin d’upload public, désactivez-le complètement.
2. Maintenir les systèmes à jour : Appliquez les correctifs de sécurité dès qu’ils sont disponibles. Les CMS et leurs plugins sont des cibles fréquentes. Suivez les avis de sécurité de l’éditeur et les CVE. Une veille active est indispensable.
3. Protéger les logs : Stockez les journaux système sur une partition séparée, avec des droits d’accès stricts. Centralisez les logs via un SIEM et assurez une rotation régulière. Les logs sont une mine d’informations pour un attaquant.
4. Sécuriser les clés cryptographiques : Les clés privées (Tor, TLS, SSH) doivent être stockées hors ligne, dans un HSM ou un coffre-fort numérique. Limitez leur accès et effectuez des rotations régulières. Leur compromission peut entraîner une perte de contrôle totale.
5. Segmenter les services : Ne mélangez pas plusieurs applications sur le même serveur. Utilisez des conteneurs ou des machines virtuelles pour isoler les services. En cas de compromission, la segmentation limite les dégâts.

Exemple de configuration Grav CMS sécurisée

Voici un extrait de configuration YAML pour Grav CMS qui désactive l’upload public :

security:
  upload:
    enable: false
    allowed_types: []
    max_file_size: 0

Si vous devez conserver une fonction d’upload, assurez-vous de restreindre les types de fichiers aux formats nécessaires (ex: images, PDF) et de valider le contenu.

Normes et recommandations

En France, la conformité au RGPD exige des mesures techniques appropriées pour protéger les données personnelles. L’ANSSI recommande de suivre le guide de sécurisation des applications web, qui couvre notamment les CMS. La norme ISO 27001 propose un système de management de la sécurité de l’information qui inclut la gestion des actifs, des accès et des incidents.

Selon l’ANSSI, 60 % des incidents de sécurité en 2025 étaient dus à des erreurs de configuration ou à des vulnérabilités connues non corrigées. Ce cas en est une illustration parfaite.

De plus, cette attaque montre l’importance d’une politique de sécurité des systèmes d’information robuste, incluant la surveillance continue et la réponse aux incidents.

Qu’est-ce qui empêcherait une attaque similaire contre votre propre CMS ? Avez-vous vérifié que vos téléchargements de fichiers sont sécurisés ? Profitez de cet incident pour auditer vos configurations.

Conclusion : la cybersécurité, une exigence sans exception

Le piratage du site de fuite de Clop par ShinyHunters est un événement sans précédent qui démontre que la sécurité est une exigence universelle. Que vous soyez une entreprise légitime ou un acteur illicite, les conséquences d’une négligence technique sont les mêmes : perte de contrôle, humiliation publique, et impacts financiers.

Cet incident rappelle l’importance de la défense en profondeur, de la gestion des correctifs et de la vigilance constante. Il offre également une occasion rare d’observer les dynamiques internes du monde cybercriminel.

Pour les professionnels de la cybersécurité, il s’agit d’un cas d’étude riche en enseignements. Nous continuerons de suivre l’affaire et ses suites. En attendant, n’oubliez pas : la cybersécurité n’est jamais acquise, elle se travaille chaque jour.