Le géant ferroviaire suisse Stadler refuse la rançon de 12,3 M€ d'Everest

mark · 23 Juillet 2026

Les gangs de ransomware ne s'attaquent plus seulement aux hôpitaux et aux banques. Ils visent maintenant les rails qui déplacent des pays entiers.

À la mi-juillet, le constructeur ferroviaire suisse Stadler Rail s'est retrouvé face à une demande de rançon de 12,3 millions de dollars. Le coupable : Everest, un groupe de ransomware russophone qui grave son nom dans les infrastructures critiques depuis 2020. BMW, Collins Aerospace et même le réseau électrique national suédois ont été dans le collimateur d'Everest. Cette fois, c'était au tour du secteur ferroviaire.

Mais voici la partie qui compte : Stadler a dit non.

La violation était une ombre dans la chaîne d'approvisionnement

D'abord, clarifions les faits — il ne s'agissait pas d'une intrusion généralisée sur le réseau. Everest a récolté des identifiants de connexion compromis sur une plateforme d'échange de données utilisée par l'un des fournisseurs de Stadler. Cela a permis aux attaquants d'accéder à des fichiers techniques du fournisseur. Les propres systèmes de Stadler sont restés intacts. Les usines continuaient de fonctionner. Les trains roulaient. Aucune donnée critique pour la sécurité n'a été divulguée et aucune information personnelle n'a été compromise.

Les gangs de ransomware prospèrent grâce à la panique. Ils comptent sur la honte, la peur et la pression opérationnelle de la victime pour forcer un paiement. La réponse de Stadler a tout coupé avec une phrase simple et claire : "Stadler ne paiera en aucun cas une rançon."

Pour une entreprise dont la réputation roule littéralement sur la confiance — vous ne voulez pas être connu comme le géant ferroviaire qui capitulent face aux extorsionnistes.

Qui est Everest et pourquoi est-il un problème ferroviaire ?

Everest n'est pas un hacker adolescent dans sa chambre. C'est un syndicat financièrement motivé, russophone, opérationnel depuis environ 2020. Sa spécialité est le vol de données et l'extorsion — ils volent des fichiers et menacent de les publier ou de les vendre. Contrairement au ransomware classique qui chiffre vos disques, Everest sait que certaines violations sont pires si vos secrets se retrouvent sur le marché public.

Sa liste de victimes ressemble à un who's who de complexité industrielle :

• BMW (automobile)
• Collins Aerospace (avionique)
• Svenska kraftnät (réseau électrique suédois)
• et maintenant une chaîne d'approvisionnement ferroviaire suisse

Le secteur ferroviaire attire plus d'attention car il se trouve à l'intersection de la logistique stratégique, de la convergence OT/IT et de cycles de correction lents. L'ENISA a publié un rapport de mai 2026 qui plaçait le secteur ferroviaire dans une zone de risque cybernétique. Seuls 35 % des opérateurs ferroviaires testent régulièrement l'efficacité de leurs contrôles de sécurité. La moitié évalue de manière ad hoc. Seul un quart teste régulièrement la continuité d'activité et la reprise après sinistre.

Cela signifie que lorsque Everest — ou un autre groupe — s'infiltre par la porte d'un fournisseur, la majorité des organisations liées au secteur ferroviaire auraient du mal à répondre à une question fondamentale : Savons-nous seulement que nous avons été touchés ?

Ce que révèle l'attaque de la chaîne d'approvisionnement

Cette violation était un classique du "suivre la confiance". Le fournisseur a probablement été choisi en raison de sa relation de confiance avec Stadler. La compromission n'a pas nécessité de zero-days, de sophistication de phishing au-delà de la moyenne ou une seule vulnérabilité dans les systèmes centraux de Stadler. Il a suffi d'un identifiant volé.

Pour les opérateurs du Moyen-Orient qui observent de près — intégrateurs, opérateurs de flotte et les agences qui les construisent — la leçon est spécifique :

1. L'identité du fournisseur est l'identité de sécurité. Le mot de passe de votre fournisseur est votre périmètre.
2. La segmentation des données ne signifie pas "nous avons des dossiers". Cela signifie que les fournisseurs ne devraient pas pouvoir atteindre toutes les données les uns des autres via des portails partagés.
3. La réponse aux incidents est désormais une compétence de la chaîne d'approvisionnement. La découverte est venue de déclarations publiques, et non d'une surveillance interne.
4. Le refus de rançon est une stratégie valable lorsque les données ne sont pas critiques et que la production n'est pas affectée.

L'essentiel pour les opérateurs

Le ransomware n'est pas un problème que l'on externalise à un SOC unique. C'est un défi de conception à l'échelle du système. Le secteur ferroviaire apprend cette leçon à la dure, un portail de fournisseur à la fois.

Pour les organisations qui construisent des infrastructures ferroviaires et de mobilité de nouvelle génération — de la billetterie autonome aux systèmes de signalisation intégrés OT — voici le plan d'action : réduisez votre surface de confiance, segmentez l'accès des fournisseurs comme si votre réseau en dépendait (car c'est le cas), et prenez la décision de refuser la rançon avant que la demande n'atterrisse dans votre boîte mail.

Stadler vient de prouver que le refus est possible. Désormais, le reste de l'industrie doit adopter cette posture.

Sources: BleepingComputer, Railway Gazette International, SwissInfo, SC Media