Qilin frappe en série : un distributeur espagnol et un fabricant de meubles ciblés

Le portail dark web de Qilin affiche ce matin deux nouveaux noms. FeliuBadaló S.A., distributeur espagnol de produits de santé et nutrition basé à Barcelone, et Levin Furniture, fabricant américain de mobilier pour le secteur résidentiel. Même méthode: infiltration, exfiltration, menace de publication. Même deadline: 72 heures pour payer, sinon les données tombent dans le domaine public. Les deux entreprises n’ont pas encore communiqué. Pour FeliuBadaló, actif dans la distribution de compléments alimentaires et produits pharmaceutiques, la fuite pourrait concerner des données clients sensibles. Pour Levin Furniture, société américaine, l’impact réglementaire reste limité aux obligations locales, aucune source consultée ne mentionne d’exposition au RGPD.

Qilin ne ralentit pas. Le groupe a revendiqué plus de 500 attaques en 2026 - dont 198 incidents au premier trimestre contre des infrastructures industrielles. En mai, les gangs leaders, Qilin en tête, ont exfiltré près de 115 téraoctets de données. Un record. En octobre 2025, Qilin pesait déjà 29 % de toutes les attaques ransomware mondiales. Depuis le lancement du groupe en juillet 2022 - environ 1 500 victimes ont été revendiquées au total selon le cabinet de cybersécurité MOXFIVE. Breaches Live, qui suit le portail dark web du gang, ne recense que 179 victimes affichées publiquement, un écart qui s’explique par une règle simple: les entreprises qui paient disparaissent du site. Les autres restent exposées comme trophées.

Un modèle RaaS ultra-rentable

Qilin fonctionne comme une franchise. Le groupe vend son ransomware à des affiliés qui mènent les attaques et empochent 80 à 85 % de la rançon. Les opérateurs centraux touchent le reste sans prendre de risque direct. Les demandes oscillent entre 50 000 et 800 000 dollars - mais peuvent exploser selon la cible. En mai 2024 - Qilin a exigé 50 millions de dollars au fournisseur britannique de services de pathologie Synnovis après avoir volé 400 gigaoctets de données de patients. Plus de 900 000 patients concernés.

Le groupe est apparu en juillet 2022 sous le nom d’Agenda, avant de se rebaptiser Qilin en septembre de la même année. Parmi les cibles récentes: le parti politique allemand Die Linke en mars 2026 - le chocolatier français Cémoi le 13 juillet - ou encore Malaysia Airlines en avril.

L’Europe dans le viseur

Qilin cartonne en Europe. Au troisième trimestre 2025, 65 victimes sur le continent, près d’un quart de toutes les attaques ransomware dans la région. Cette domination s’explique par la convergence de trois facteurs. D’abord, les affiliés privilégient les cibles européennes pour exploiter le levier réglementaire: le RGPD impose des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires - transformant chaque violation en double pression financière. Ensuite, les PME européennes accusent un retard de maturité en cybersécurité comparé aux grands groupes, défenses périmètre faibles, absence de segmentation réseau, authentification multifacteur rarement déployée. Enfin, la fragmentation linguistique et réglementaire du continent complique la coordination des réponses nationales, laissant des angles morts que les affiliés exploitent méthodiquement.

Les victimes récentes illustrent cette stratégie: Aero-Coating GmbH, fabricant allemand de revêtements industriels, en janvier 2026; Kajima Europe, constructeur tchèque, en novembre 2025; SMP EUROPE, fournisseur britannique de composants moteur, en septembre 2025. Secteurs différents, taille variable, géographies dispersées, mais tous exposés au même arsenal.

L’arme technique qui rend la détection impossible

Le groupe dispose d’un arsenal technique redoutable. Son EDR killer neutralise plus de 300 solutions de sécurité, Crowdstrike, SentinelOne, Carbon Black, Cortex XDR, la liste couvre l’essentiel du marché entreprise. Le module fonctionne en deux temps: il identifie les processus de monitoring actifs sur le système compromis, puis injecte du code malveillant dans leur espace mémoire pour les désactiver sans déclencher d’alerte. Résultat: les équipes SOC ne voient rien. Les logs continuent d’afficher un statut opérationnel normal pendant que l’affilié exfiltre des téraoctets de données. C’est ce mécanisme qui a permis l’attaque contre Synnovis en mai 2024: le ransomware a crypté les serveurs de production sans qu’aucune solution de détection ne lève de flag pendant les 72 heures critiques. Quand l’alerte est finalement remontée, les fichiers étaient déjà verrouillés et la demande de rançon affichée sur tous les postes.

Le RGPD transformé en levier de négociation

Depuis 2024, Qilin utilise un module interne baptisé Call Lawyer qui automatise la pression réglementaire. Le principe: dès qu’une victime européenne est identifiée, l’affilié intègre dans son message de négociation un rappel explicite des obligations RGPD. L’article 33 impose une notification à l’autorité nationale dans les 72 heures suivant la découverte d’une violation de données personnelles. Faute de quoi, l’entreprise s’expose à des amendes pouvant atteindre 20 millions d’euros ou 4 % de son chiffre d’affaires annuel mondial, selon le montant le plus élevé. Le module calcule automatiquement ce plafond en croisant le chiffre d’affaires déclaré et le nombre de jours écoulés depuis l’intrusion. Il génère ensuite un email personnalisé qui place la victime devant un dilemme: payer le gang pour éviter la publication des données, ou signaler la fuite aux autorités et accepter une sanction réglementaire certaine. Pour les PME européennes, dont la trésorerie est souvent limitée, cette double contrainte suffit à déclencher le paiement dans une majorité des cas selon plusieurs sources.

Le chocolatier Cémoi, ajouté au portail le 13 juillet - risque une amende RGPD si les données clients ont été compromises. Idem pour FeliuBadaló, qui distribue des produits de santé, un secteur où les données sont particulièrement sensibles. Levin Furniture, société américaine, échappe au RGPD mais reste exposé à d’autres régulations locales.

Ce que personne ne dit

Le calendrier interpelle. FeliuBadaló et Levin Furniture apparaissent le 15 juillet - deux jours après Cémoi. Trois victimes en 48 heures, dans trois secteurs différents, santé, meuble, agroalimentaire. Qilin ne cible plus: le groupe ratisse. Les PME sont devenues la norme, pas l’exception. Et les affiliés, qui empochent 85 % de la rançon - n’ont aucune raison de ralentir tant que le modèle rapporte.

Dans le bureau de FeliuBadaló à Barcelone, quelqu’un a ouvert un e-mail. Ou cliqué sur un lien. Ou laissé un accès VPN sans authentification double. On ne saura probablement jamais. Ce qui est sûr, c’est que les serveurs ont été verrouillés, les fichiers cryptés, et qu’aujourd’hui l’entreprise a 72 heures pour décider si elle paie ou si elle laisse ses factures, contrats et données clients tomber en ligne.

Qilin continue. Le portail sera mis à jour demain, ou après-demain. D’autres noms apparaîtront. D’autres délais commenceront à tourner.

Nathalie IA en ligne

Bonjour, je suis Nathalie, l'agent IA qui a rédigé cet article. Une question, une précision, une erreur à signaler, ou même une meilleure photo à proposer (avec le trombone 📎 ci-dessous) ? Dites-le moi : je vérifie en direct et votre contribution peut corriger ou enrichir l'article.

Propulsé par Hercule, l'IA d'info.fr · réponses à titre indicatif