Ce que publient les groupes de ransomware, par type de document

Que veut dire « publié » ?

Un groupe de ransomware, ou rançongiciel, procède en général en trois temps. D’abord une revendication : il nomme l’entreprise sur son propre site. Ensuite, parfois, un échantillon montré comme preuve. Enfin, si l’entreprise ne paie pas, les fichiers eux-mêmes, souvent sous forme d’archives que peut télécharger quiconque connaît l’adresse.

Une revendication peut être fausse ou exagérée : un groupe peut citer une entreprise qui n’a pas été attaquée, ou dire qu’il détient plus qu’il n’a. OwlyScan indexe ce qui a été mis en ligne et ne vous dit pas si une revendication est vraie.

Quels types de documents trouve-t-on dans les fichiers ?

Type par type, ce qu’il expose et à qui il importe.

• Contrats et devis. Prix, conditions, délais, signatures. Ils concernent les clients et les fournisseurs dont les conditions y sont écrites, et les concurrents. Une police d’assurance publiée détaille ce que l’assureur paierait, ligne à ligne.
• Factures et coordonnées bancaires. Qui a acheté quoi, à quel prix, et les comptes sur lesquels arrivent les paiements. Elles concernent les clients et les fournisseurs nommés dessus.
• Dossiers RH et pièces d’identité. Contrats de travail, bulletins de paie, vérifications d’antécédents, copies de passeports et de cartes d’identité. Ils concernent d’abord les salariés et les candidats, qui n’ont pas choisi d’y figurer.
• Archives de messagerie. Messages et pièces jointes : qui a négocié quoi avec qui. Parfois la liste des messages est publiée aussi, avec expéditeur, destinataire et date, ce qui permet de chercher dans une boîte avant d’ouvrir le moindre message. Elles concernent quiconque a écrit à l’entreprise.
• Plans techniques et spécifications. Fichiers de CAO, nomenclatures, schémas électriques, réglages de machines et de robots, souvent dans les formats d’échange envoyés aux sous-traitants. Ils concernent les clients de l’entreprise et ses concurrents.
• Exports de bases de données. Listes de clients, historiques de commandes, stocks, parfois sous forme d’export d’une application laissé sur un partage de fichiers. Ils concernent les personnes et les entreprises listées.
• Mots de passe et accès. Tableurs et fichiers texte nommés pour ce qu’ils contiennent, bases de gestionnaires de mots de passe, profils VPN, certificats avec leur clé privée, réglages de connexion. Ils concernent le propriétaire des systèmes qu’ils ouvrent.
• Code source et configuration. La majeure partie de ce qui ressemble à du code vient de bibliothèques tierces. Ce qui compte, c’est l’historique des versions, les réglages de déploiement et les applications maison. Ils concernent l’entreprise et les partenaires reliés à ses applications.
• Scans et photos. Bons de livraison, pages signées. Un scan peut ne porter pour nom que la date et l’heure de sa création : son nom ne dit rien. Ils concernent ceux qui les ont signés ou qui y apparaissent.

Les pièces comptables et d’achats forment une grande part de ce que nous voyons : grands livres, factures fournisseurs, bons de commande, tarifs. Ce qui a été supprimé est publié avec le reste, corbeille comprise, et des fichiers dont le nom porte une année vieille de plusieurs décennies figurent dans des publications récentes.

Qui est nommé dans ces fichiers ?

Surtout d’autres personnes et d’autres entreprises que la victime. Un contrat a deux parties, une facture un client, un e-mail un expéditeur et un destinataire, un bulletin de paie un salarié. Les clients, les fournisseurs et les salariés de la victime sont nommés, alors qu’ils n’ont pas été attaqués et ne figurent sur aucune liste.

Nous avons compté une seule fois, sur une seule publication. Dans les fichiers d’un fournisseur de services aux entreprises, publiés par un groupe de ransomware en 2026, 99 des 104 grands groupes de notre liste apparaissent par leur domaine de messagerie ou de site web. Le décompte date du 10 novembre 2026. C’est un cas et non un taux, et cela ne dit pas que ces groupes ont été attaqués : le fournisseur l’a été. Comment nous avons compté.

Si une entreprise avec laquelle vous travaillez a été touchée, lisez que faire quand un fournisseur est victime d’un ransomware.

Dans quels formats et quelles langues ?

Ce sont les formats d’un bureau : tableurs, PDF, traitements de texte, présentations, messages e-mail, images et fichiers de bases de données. Les tableurs sont très fréquents : la paie, les tarifs, les listes de clients et les stocks y sont tenus.

Les fichiers arrivent souvent dans des archives de type ZIP, parfois dans d’autres archives. Nous les ouvrons, y compris celles qui en contiennent d’autres, et nous indexons ce qu’elles renferment. Une publication peut aussi n’être qu’une liste de dossiers et de noms de fichiers, qui montre comment l’entreprise est organisée, pas ce que disent ses documents. C’est pourquoi une recherche dans le texte compte plus qu’une liste de fichiers : le nom d’un client est rarement dans un nom de fichier.

Ce que nous indexons n’est pas qu’en anglais : nous trouvons des documents en espagnol, allemand, français, néerlandais, italien, japonais, coréen, chinois, polonais et turc, entre autres. Cherchez dans la langue de votre entreprise et de ses partenaires.

Pourquoi la liste des victimes ne suffit-elle pas ?

Une liste de victimes dit qui a été attaqué, pas qui se trouve dans les fichiers. Votre entreprise n’y figure que si elle a été attaquée, alors qu’elle peut être nommée dans un contrat, une facture ou un e-mail d’une entreprise qui l’a été. Une liste est aussi faite de revendications, qui peuvent être fausses. Pour savoir si vous êtes dans les fichiers, cherchez ce qu’ils disent.

Comment chercher votre propre entreprise ?

Commencez par la recherche gratuite. Saisissez le nom de votre entreprise tel qu’il figure sur vos factures, puis votre domaine. Aucun compte n’est nécessaire. Elle indique combien de documents correspondent et de quel type ils sont, avec les noms masqués ; vous n’en lisez pas le texte. Comment fonctionne la recherche gratuite.

Access est un abonnement pour votre entreprise. Il montre tels quels les enregistrements sur votre propre domaine, garde masqués les noms des autres entreprises et relie votre assistant IA aux mêmes données par MCP, une façon standard de connecter un assistant à une source de données. Ce que contient Access.

Une recherche sans résultat n’est pas la preuve d’une absence. Un nom peut être écrit autrement, un document peut manquer à notre index et un groupe peut publier plus tard. Relancez la recherche dans une à deux semaines.

Questions fréquentes