AiLock revendique Hamilton Company et menace de signaler la fuite aux régulateurs
Le 26 août 2026, le groupe de ransomware AiLock a inscrit Hamilton Company, spécialiste américain de la robotique de laboratoire, sur son site de fuite, menaçant de publier les données faute de négociation. Le détail qui distingue AiLock : sa double extorsion menace de signaler la brèche aux régulateurs et de partager les données avec les concurrents — une pression qui change le calcul des victimes.
26 août 2026. Le groupe de ransomware AiLock inscrit Hamilton Company sur son site de fuite, avec un ultimatum sans détour : « la fuite complète sera publiée prochainement, à moins qu’un représentant de l’entreprise ne nous contacte via les canaux fournis ». La cible n’est pas anodine : Hamilton Company (hamiltoncompany.com) conçoit des systèmes de manipulation de liquides et de robotique de laboratoire, des équipements qu’on retrouve dans les laboratoires pharmaceutiques et de recherche. 27 août 2026. Les trackers de ransomware confirment la revendication, alors qu’AiLock enchaîne les victimes depuis des mois.
L’affaire mérite l’attention moins pour la victime que pour la méthode. AiLock pratique une double extorsion qui ajoute une menace inédite : signaler la brèche aux régulateurs, et partager les données volées avec les concurrents.
Qui est AiLock
AiLock est un groupe opérant en Ransomware-as-a-Service (RaaS), identifié pour la première fois en mars 2025 selon RansomLook. Le modèle RaaS signifie que le malware est loué à des affiliés qui mènent les intrusions, tandis que le cœur du groupe gère l’infrastructure, le chiffrement et le site de fuite. Cette division du travail explique la régularité des revendications : 51 publications au total à ce jour, 4 dans les trente derniers jours et 2 dans la dernière semaine, la dernière datant du 26 août 2026.
La liste des victimes antérieures dessine un ciblage éclectique, sans secteur privilégié : Sterling Industries (fabricant de dispositifs médicaux sous contrat), Raw Seafoods (mareyage), FUJIFILM Speciality Ink Systems (chimie des encres), Lewis Drug (chaîne de pharmacies), AJ Networks (location d’équipement) ou encore Integral Analytics (intelligence de données pour l’énergie). Cette dispersion est cohérente avec un modèle RaaS : les affiliés frappent là où ils trouvent une porte ouverte, pas selon une logique d’État-major.
La double extorsion version AiLock
La double extorsion est devenue la norme du ransomware : chiffrer les fichiers et menacer de publier les données volées. AiLock la pousse un cran plus loin. Selon RansomLook, le groupe menace de signaler la brèche aux régulateurs et de partager les données volées avec les concurrents si la rançon n’est pas payée.
Ce raffinement change le calcul économique de la victime. Un paiement ne garantit plus le silence, mais évite une double sanction : la publication sur le site de fuite d’un côté, et de l’autre l’obligation de notification aux autorités de protection des données — avec les amendes qui l’accompagnent — déclenchée non par la loi, mais par l’attaquant lui-même. La menace « concurrents » vise, elle, la valeur stratégique des données : pour un équipementier comme Hamilton, la divulgation de plans ou de données clients à un rival peut coûter plus cher que le chiffrement lui-même.
Le calendrier est serré : 72 heures pour répondre, jusqu’à 5 jours pour payer. Passé ce délai, le groupe promet la fuite des données et la destruction des outils de récupération — un message conçu pour empêcher la victime de compter sur ses sauvegardes.
Le détail technique qui compte
Sous l’angle purement technique, AiLock se distingue par son schéma de chiffrement hybride. Les fichiers sont chiffrés avec ChaCha20, un chiffrement de flux rapide, tandis que les métadonnées sont protégées par NTRUEncrypt, un algorithme de chiffrement post-quantique fondé sur les réseaux euclidiens. Le malware ajoute l’extension .AiLock aux fichiers, remplace leur icône par un cadenas vert et affiche un logo robot-crâne en fond d’écran.
Deux lectures s’imposent. La première est technique : ChaCha20 assure un chiffrement rapide des gros volumes, et NTRUEncrypt verrouille la clé de session d’une façon que même un futur ordinateur quantique aurait du mal à casser — les victimes ne peuvent donc pas espérer récupérer leurs fichiers sans la clé de l’attaquant, aujourd’hui comme demain. La seconde est opérationnelle : le malware est multithreadé, avec des threads dédiés au parcours des répertoires et au chiffrement (via des ports de complétion IOCP), ce qui accélère la progression dans l’arborescence et réduit la fenêtre de détection.
Hamilton Company, une cible révélatrice
Le choix de Hamilton Company n’est pas neutre. L’entreprise produit des automates de pipetage et des robots de laboratoire qu’on trouve dans la recherche pharmaceutique, les biotechs et les hôpitaux. Ce n’est pas de l’OT au sens industriel classique — pas de ligne de production à l’arrêt — mais c’est un fournisseur adjacent à l’OT : un compromis de ses systèmes ou de ses données peut se propager vers les clients du secteur de la santé, dont la tolérance à l’indisponibilité est nulle.
À ce stade, rien n’indique que Hamilton Company ait confirmé l’intrusion ni l’étendue des données compromises. La revendication est, pour l’instant, unilatérale — c’est précisément le fonctionnement de l’extorsion : la menace publique fait partie de la pression, avant même qu’une négociation ne commence.
Une vague, pas un incident isolé
La revendication contre Hamilton Company ne survient pas seule. Les 26 et 27 août, les trackers ont enregistré une grappe de publications simultanées : le groupe Qilin a revendiqué l’agence fédérale américaine ATF, et Aurora a visé l’intégrateur SAP ERPIS, menaçant de divulguer le code source et les bases financières. Trois groupes, trois victimes américaines, en l’espace de vingt-quatre heures.
Cette densité n’est pas un hasard. Les groupes de ransomware publient par vagues, et chaque vague remplit deux fonctions : saturer les équipes de réponse et les médias spécialisés, et normaliser l’extorsion comme un risque du quotidien. Pour un RSSI, la lecture est inverse : une vague de publications est le moment où les équipes de veille doivent remonter en alerte, car la probabilité qu’un partenaire, un fournisseur ou un client figure dans la liste suivante augmente mécaniquement.
Ce que ça change pour la défense
Trois leçons se dégagent, au-delà du cas particulier.
- La notification réglementaire devient une arme. Quand l’attaquant menace de signaler lui-même la brèche, la question n’est plus « faut-il notifier » mais « qui notifie en premier ». Préparer en amont le circuit de notification — DPO, autorités compétentes, clients affectés — retire à l’attaquant son levier de chantage.
- Les sauvegardes ne suffisent plus. AiLock promet de détruire les outils de récupération. Des sauvegardes immuables et hors ligne, testées en restauration, restent la seule contre-mesure crédible — pas une sauvegarde réseau que le malware peut chiffrer au passage.
- La segmentation compte autant que le correctif. Un fournisseur adjacent à l’OT doit isoler ses systèmes de production de ses systèmes d’information, et surveiller les mouvements latéraux. Le ransomware ne s’arrête pas à la machine qu’il a chiffrée.
Verdict
Si vous êtes un fournisseur du secteur santé ou pharmaceutique, traitez cette revendication comme un signal de votre propre exposition : les groupes RaaS frappent par opportunité, et votre secteur est une cible de choix. Vérifiez dès cette semaine que vos sauvegardes sont immuables et hors ligne, et que votre circuit de notification réglementaire est prêt à partir sans préavis.
Si vous négociez déjà avec un groupe de ransomware, intégrez la nouveauté : la menace de signalement aux régulateurs ne disparaît pas avec le paiement. Le silence ne s’achète plus — c’est une raison de plus pour privilégier la restauration et la notification proactive plutôt que le paiement.