Qilin revendique une attaque contre Exclusive Networks : le distributeur français de Palo Alto et CrowdStrike sous menace de publication

Le 26 avril 2026 ^[1], le groupe de ransomware Qilin ^[2] a revendiqué une cyberattaque contre Exclusive Networks ^[3], distributeur français de solutions de cybersécurité et de cloud présent dans plus de 60 pays ^[4] avec 2 800 collaborateurs ^[5]. La fuite a été rendue publique le lendemain, 27 avril 2026 ^[6]. Volume exfiltré: inconnu ^[7]. Le groupe menace de publier les données sensibles à défaut de négociation ^[8].

LES ENJEUX

Attaque de chaîne d'approvisionnement

Exclusive Networks distribue les solutions de Palo Alto, CrowdStrike et Fortinet dans plus de 60 pays. Une compromission de ses systèmes internes potentialise l'accès aux portails partenaires, aux configurations clients et aux identifiants revendeurs - un effet multiplicateur comparable aux précédents Kaseya et SolarWinds.

Cadre pénal et RGPD

Les articles 323-2 et 323-3 du Code pénal punissent jusqu'à 7 ans et 300 000 € l'extraction frauduleuse de données; l'article 83 RGPD permet des sanctions jusqu'à 4% du CA mondial, soit un plafond théorique d'environ 124 M€ pour Exclusive Networks.

Explosion des cyberattaques en France

Le volume mensuel d'attaques ciblant les réseaux français a été multiplié par 3 entre mai 2025 et février 2026 selon la Global Cyber Alliance, atteignant 1,3 million d'événements mensuels.

Modèle RaaS dominant

Qilin a revendiqué 170 des 594 attaques mondiales d'octobre 2025, soit 29% du total. Le groupe touche 15 à 20% de commission sur les rançons obtenues par ses affiliés.

Opacité d'Exclusive Networks

Aucun communiqué officiel, pas de notification CNIL/AMF/ANSSI documentée publiquement. Pour une société cotée soumise au règlement MAR et au RGPD, le silence prolongé fait peser un risque réputationnel et réglementaire majeur.

Précision liminaire indispensable. À la date de publication de cet article, aucune source indépendante n’a confirmé l’intrusion effective dans les systèmes d’Exclusive Networks ^[3]. Ce qui est documenté: la revendication publique de Qilin ^[9], l’inscription de l’entreprise sur son site d’extorsion, la menace de fuite ^[8]. Ce qui ne l’est pas: le périmètre réel de la compromission, la nature des données détenues, l’accès éventuel aux systèmes clients. Le terme « compromis » employé dans cet article reflète la revendication non démentie de Qilin, et non une démonstration technique indépendante.

Ce que cela signifie concrètement: un distributeur dont la cybersécurité représente 50% du chiffre d’affaires ^[10], qui a généré 1,6 milliard d’euros au seul premier semestre 2024 ^[11] et 3,1 milliards d’euros pro forma en 2023 ^[12], est désormais inscrit au tableau de chasse de l’un des groupes ransomware les plus actifs au monde. Exclusive Networks est l’intermédiaire commercial de Palo Alto Networks ^[13], avec lequel il a franchi le seuil du milliard de dollars de ventes annuelles en EMEA en 2025 ^[14], ainsi que de Fortinet ^[15] et CrowdStrike ^[16].

Une mécanique technique qui neutralise les EDR

Les chercheurs de Cisco Talos ^[18] ont décortiqué le mode opératoire de Qilin. Le malware débute par le sideloading d’une DLL malveillante baptisée msimg32.dll ^[19], chargée via une application légitime comme FoxitPDFReader.exe ^[20]. La DLL pirate transmet les appels API à la véritable msimg32.dll ^[21] pour préserver le comportement applicatif normal. Le payload final s’exécute entièrement en mémoire, sans jamais toucher le disque ^[22].

Le cœur de l’opération: le loader déploie deux pilotes noyau, dont rwdrv.sys ^[23], pour écrire en mémoire physique et désinscrire les callbacks de surveillance d’une liste codée en dur de plus de 300 noms de pilotes EDR ^[24]. Le malware écrase temporairement le callback CiValidateImageHeader pour désactiver Code Integrity ^[25]. Et un géo-fencing termine l’exécution si la locale système correspond à un pays post-soviétique ^[26]. Les techniques ne sont pas inédites, mais elles restent hautement efficaces selon Cisco Talos ^[27]. Traduit en clair: la quasi-totalité des défenses EDR du marché peuvent être neutralisées avant que le ransomware ne se déclenche.

Qilin: le RaaS dominant du paysage 2025

Apparue à l’automne 2022 ^[28], cette organisation cybercriminelle décrite comme russophone ^[29] est aussi tracée sous les noms Agenda, Gold Feather et Water Galura ^[30]. Elle est l’un des Ransomware-as-a-Service les plus actifs ^[31], avec plus de 40 victimes revendiquées par mois ^[32]. En octobre 2025, Qilin était responsable de 170 des 594 attaques ^[33] recensées par NCC Group, soit 29% du total mensuel mondial. Le groupe touche une commission de 15 à 20% ^[34] sur les rançons obtenues par ses affiliés. Sur ransomware.live, on dénombre 950 victimes revendiquées depuis septembre 2022 ^[17].

Selon Julien Mousqueton ^[35], fondateur de ransomware.live, « c’est l’une des deux franchises les plus visiblement actives actuellement, avec Akira ^[36] ». Qilin cible stratégiquement trois secteurs « où les paiements de rançons sont plus probables: l’industrie manufacturière, les services légaux et professionnels et les services financiers » ^[37], détaille Qualys ^[38]. La France figure parmi les pays les plus ciblés par les affiliés de Qilin, derrière les États-Unis ^[39].

Russophone: ce que l’attribution affirme et ce qu’elle ne prouve pas

L’attribution russophone de Qilin repose sur un faisceau d’indices techniques. Le plus solide: le géo-fencing post-soviétique codé dans le loader ^[26], qui interrompt l’exécution si la locale système correspond à un pays de la Communauté des États indépendants. C’est un marqueur classique des opérations cybercriminelles tolérées par Moscou, qui épargnent leur propre juridiction. Le ministère japonais des Affaires étrangères a publiquement évoqué une origine russe ^[40] à l’occasion de l’attaque contre Asahi.

Mais Valéry Rieß-Marchive ^[41], rédacteur en chef de LeMagIT, met en garde contre la lecture mécanique de ces indices: « On ne peut pas exclure une tentative de tromperie, où un acteur malveillant voudrait brouiller les pistes en reprenant des usages cohérents avec une autre zone géographique que la sienne » ^[42]. L’expert ajoute que « l’écosystème cybercriminel est bien plus mondialisé qu’on a généralement tendance à le présenter » ^[43]. Les affiliés du modèle RaaS peuvent opérer depuis n’importe où; seul le noyau opérationnel est probablement russophone. Concernant Qilin ^[2], le niveau de certitude reste celui d’un faisceau d’indices, non d’une preuve formelle.

Le précédent français: lycées, mairies, PME

L’attaque contre Exclusive Networks ^[3] s’inscrit dans une campagne française documentée depuis l’automne 2025. Près de 80% des lycées publics des Hauts-de-France ^[44] ont été paralysés depuis le 10 octobre 2025 ^[45]. Les mairies d’Elne et Font-Romeu-Odeillo-Via ^{[46] [47]} ont été frappées. « On n’avait plus rien, tout le fonctionnement du système informatique interne de la mairie ne marchait plus » ^[48], résume Nicolas Garcia, maire d’Elne ^[49]. Qilin affirme détenir plus d’un téraoctet de données ^[50] dans le seul dossier régional, dont copies de cartes d’identité, passeports, CV et relevés de notes ^[51].

Le cadre légal: ce que dit le Code pénal et le RGPD

Une cyberattaque par ransomware avec exfiltration et menace de publication n’est pas un fait divers: elle relève d’un arsenal pénal et réglementaire dense, trop rarement rappelé. Selon plusieurs sources, l’article 323-2 du Code pénal réprime le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données, et l’article 323-3 sanctionne l’extraction, la détention ou la transmission frauduleuse de données. Lorsque l’infraction est commise en bande organisée, des circonstances aggravantes s’appliquent - qualificatif qui s’applique structurellement à un RaaS comme Qilin.

Côté victime, l’article 33 du RGPD impose une notification à la CNIL dans les 72 heures suivant la connaissance d’une violation de données personnelles, et l’article 34 une information des personnes concernées en cas de risque élevé. L’article 83 plafonne les sanctions administratives à 20 millions d’euros ou 4% du chiffre d’affaires mondial annuel - rapporté aux 3,1 milliards d’euros pro forma 2023 d’Exclusive Networks ^[12], le plafond théorique avoisine les 124 millions d’euros. La loi de programmation militaire, qui transpose partiellement NIS2, élargit l’obligation de déclaration d’incident à l’ANSSI pour les opérateurs de services essentiels et entités importantes. Pour une société cotée, le règlement européen MAR (Market Abuse Regulation) impose enfin la divulgation sans délai de toute information privilégiée susceptible d’influencer le cours du titre.

Le silence d’Exclusive Networks

À ce jour, l’entreprise ^[3] n’a publié aucun communiqué officiel détaillant un éventuel incident de sécurité, son périmètre ou les mesures correctives engagées. Le marché ignore si une notification CNIL a été déposée, si l’ANSSI a été saisie au titre des obligations LPM, et si l’AMF a été informée au titre du règlement MAR. L’écart entre l’inscription de l’entreprise sur le site d’extorsion de Qilin les 26 et 27 avril 2026 ^{[1] [6]} et l’absence de communication de marché interroge.

Cette opacité n’est pas neutre. Pour les 2 800 collaborateurs ^[5], les centaines de revendeurs partenaires et les clients finaux dans 60 pays ^[4], chaque jour passé sans information officielle, c’est un jour sans capacité d’évaluer leur propre exposition: leurs identifiants de portail partenaire ont-ils été exfiltrés? Les configurations de leurs équipements distribués sont-elles compromises? Les éditeurs amont - Palo Alto Networks ^[13], Fortinet ^[15], CrowdStrike ^[16] - ont-ils été notifiés? Sur ces questions, le silence prévaut.

Supply chain: ce que la compromission d’un distributeur implique

Un distributeur de cybersécurité n’est pas une entreprise comme les autres dans l’ IT. Il agrège, par construction, des données sensibles que ne possède aucun de ses clients pris isolément: portails partenaires d’inscription, licences distribuées, configurations de référence, identifiants techniques de revendeurs, contrats-cadres avec les éditeurs, voire artefacts de support technique remontés depuis des déploiements clients. Une compromission au niveau du distributeur potentialise donc l’accès indirect à des centaines, voire des milliers, d’environnements clients en aval.

Les précédents canoniques sont connus. Selon plusieurs sources, l’attaque SolarWinds de 2020 a touché de nombreuses organisations via l’injection d’une porte dérobée dans une mise à jour logicielle. Plus pertinent encore pour un distributeur: l’attaque Kaseya de 2021, où un ransomware a exploité la chaîne logicielle d’un éditeur d’outils MSP pour frapper en cascade des entreprises clientes via un seul vecteur. Le mécanisme est invariant: un acteur central compromis = effet multiplicateur sur l’aval. Pour Exclusive Networks ^[3], distributeur de Palo Alto Networks ^[13], Fortinet ^[15] et CrowdStrike ^[16], la question n’est pas seulement « qu’a-t-on volé chez eux », mais « jusqu’où peut-on rebondir depuis chez eux ».

Le précédent Asahi: 50 millions d’euros et un cours qui plonge

Le 29 septembre 2025 ^[52], Qilin a paralysé le groupe japonais Asahi Breweries, brasseur de premier plan au Japon ^[53], dont le chiffre d’affaires semestriel 2025 atteint environ 1 360 milliards de yens (≈ 9 milliards de dollars) ^[54]. Le groupe a volé 27 Go de données et 9 300 fichiers ^[55], dont des secrets industriels. Pertes estimées: 9 milliards de yens ^[56], soit environ 50 millions d’euros ^[57]. L’action a chuté de 7% ^[58] le jour de l’annonce. Six jours ^[59] de paralysie. Douze nouveaux produits ^[60] reportés. Les concurrents Kirin et Sapporo ^[61] ont récupéré les parts de marché.

Asahi est un brasseur: le dégât s’arrête à ses portes. Exclusive Networks ^[3] est un distributeur; sa compromission ouvrirait potentiellement, par effet de chaîne, les portes des organisations qu’il sert. C’est l’écart de magnitude qui inquiète.

L’angle mort: trois fois plus d’attaques en neuf mois

Les données de la plateforme AIDE ^[62] opérée par la Cyber Alliance ^[63] documentent ce que peu commentent: entre mai-août 2025 et février 2026, le volume mensuel d’attaques ciblant les capteurs basés en France est passé de 400 000-500 000 ^[64] à plus de 1,3 million ^[65]. Soit une multiplication par 3 ^[66] en neuf mois. Les Pays-Bas concentrent 33,5% ^[67] du trafic d’attaques. Le Vietnam et l’Allemagne combinés représentent 29% ^[68]. La France elle-même n’émet que 1,5% ^[69] du trafic entrant.

Selon Statista, les cyberattaques devraient coûter plus de 129 milliards de dollars ^[70] à la France en 2024. Pour Clément Domingo ^[71], chercheur en sécurité, ce sont les données de huit Français sur dix ^[72] qui circulent sur des marchés noirs. Les chiffres parlent.

Recommandations techniques

Cisco Talos recommande aux organisations de surveiller toute activité suspecte de DLL sideloading ^[73] et les installations inattendues de pilotes comme rwdrv.sys et hlpdrv.sys ^[74]. Les techniques de Qilin restent détectables par des piles de défense multicouches correctement configurées ^[27]. Cibler la couche défensive avant de déployer le ransomware est désormais une phase opérationnelle standard pour les groupes sophistiqués ^[75].

Le verdict provisoire est sec. Un distributeur français qui pèse 3,1 milliards d’euros ^[12], partenaire de Palo Alto Networks, CrowdStrike et Fortinet, est revendiqué comme victime par un RaaS qui revendique 950 victimes en trois ans ^[17]. À défaut de communication officielle, la portée réelle du sinistre demeure inconnue - ce qui, en soi, est l’information centrale pour le marché et les clients.