The Gentlemen déverse 34 victimes de ransomware en moins de 21 heures

6 octobre 2026, 21 h 55 UTC. Le groupe de ransomware « The Gentlemen » publie sa première victime du lot, Greenbrook Engineering. 7 octobre 2026, 18 h 20 UTC. Le compteur atteint 34 victimes. 9 octobre 2026. Deloitte, plus de 74 milliards de dollars de chiffre d’affaires, apparaît sur le site de fuite du groupe. Pourquoi c’est important : une publication d’une victime toutes les quatre minutes pendant 80 minutes ne relève pas de la négociation — c’est la signature d’une chaîne d’exfiltration automatisée, et elle change l’horloge de réponse à un incident.

Un blitz de 34 victimes en 20 heures et demie

Les chiffres viennent de Ransom-DB, qui maintient une télémétrie continue des sites de fuite. Entre le 6 octobre à 21 h 55 UTC et le 7 octobre à 18 h 20 UTC, soit 20 heures et 25 minutes, The Gentlemen a inscrit 34 organisations dans son répertoire de publication. La répartition géographique donne la mesure du périmètre : 17 victimes aux États-Unis (50 %), 4 au Canada (11,8 %), puis 2 en France, 2 en Inde et 2 à Taïwan, le solde se dispersant entre l’Argentine, l’Australie, la République tchèque, le Danemark, Israël, Oman et l’Espagne.

Le pic de cadence est l’élément le plus instructif. Entre 00 h 18 et 01 h 38 UTC le 7 octobre, le groupe a publié 20 victimes, soit environ une toutes les quatre minutes. Aucun opérateur humain ne saisit, ne vérifie et ne met en ligne vingt dossiers à ce rythme en pleine nuit. Ransom-DB le formule sans détour : cette densité « indique une orchestration automatisée au sein du backend de la plateforme de fuite », ou un vidage massif conçu pour saturer les équipes d’intervention et les veilleurs open source.

Le profil des cibles raconte la même histoire que la cadence. Il va de cabinets médicaux de quartier et de districts scolaires ruraux jusqu’à des équipementiers de précision multinationales et à un opérateur de gaz naturel sud-américain. Le groupe frappe à la couche d’accès — VPN, pare-feu, passerelles distantes — puis exploite ce qu’il trouve à l’intérieur, sans retenue sectorielle.

Le pipeline automatisé derrière la cadence

L’hypothèse la plus solide, appuyée par la télémétrie historique, est qu’un pipeline d’exfiltration automatisé remplace désormais la publication interactive au cas par cas. Les opérateurs auraient mis en file d’attente des lots d’enregistrements, puis déclenché leur publication en rafale. L’effet recherché est triple : submerger les équipes IR, noyer les moniteurs OSINT, et créer un dommage de réputation simultané sur toutes les entités touchées.

Cette mécanique change un postulat de la réponse à incident. Le scénario classique — attaque, chiffrement, puis négociation étalée sur des semaines avant une éventuelle publication — cède la place à un modèle où les données volées sont conditionnées et publiées à vitesse industrielle dès que les demandes initiales sont ignorées. Une organisation qui découvre un compromis a désormais moins de temps, pas plus, pour mesurer l’ampleur de l’exfiltration avant qu’elle ne devienne publique.

Les indicateurs d’accès initial documentés par Ransom-DB confirment que le groupe ne réinvente rien : CVE-2024-3400 (injection de commande dans le VPN GlobalProtect de Palo Alto) et CVE-2023-4966 (détournement de session Citrix, « Citrix Bleed ») figurent parmi les portes d’entrée les plus exploitées, complétées par l’achat de comptes administratifs valides sur des forums. Pour l’exfiltration, les opérateurs utilisent des scripts Rclone qui poussent des archives chiffrées vers des stockages cloud type Mega et Wasabi (technique T1567.002), avant le chiffrement final (T1486).

Qui tombe : santé, éducation, énergie

La liste des victimes du blitz ne montre « aucune retenue opérationnelle » sur les secteurs sensibles, selon le vocabulaire de Ransom-DB. En santé : North Philadelphia Health System, MercyMed of Columbus, All Smiles Dental of Falls Church et Potomac Animal Hospital — des structures où une indisponibilité des systèmes a des conséquences directes sur les soins, sans parler des amendes HIPAA potentielles. En éducation : Northwestern Polytechnic (Canada), l’Université de Buraimi (Oman), All Souls St Gabriels School (Australie) et des districts scolaires publics d’Ansonia et de Santee aux États-Unis.

Le cas le plus lourd est énergétique. Transportadora de Gas del Norte (TGN), l’un des principaux réseaux de transport de gaz naturel d’Argentine, figure dans le lot — la preuve que le groupe ne se limite pas au marché intermédiaire et peut atteindre des infrastructures critiques. Le secteur manufacturier complète le tableau avec des cibles de précision : Jentech Precision Industrial et Ability Enterprise à Taïwan, Galil Engineering en Israël, Refako Autodele au Danemark, Kooltronic aux États-Unis.

The Gentlemen n’est pas un acteur émergent. Le groupe est documenté depuis le 9 septembre 2025, et Ransomnews recense plus de 1 000 victimes revendiquées sur l’ensemble de son cycle de vie. Le blitz d’octobre n’est donc pas un coup d’essai — c’est une montée en cadence assumée d’une opération déjà industrialisée.

Deloitte et la fin du « ça n’arrive qu’aux autres »

Deux jours après le blitz, le 9 octobre 2026, la base CTIWatch a relevé l’ajout de Deloitte au site de fuite du groupe, dans une campagne attribuée à The Gentlemen. La mention est sourcée RansomLook et s’accompagne du même caveat que toutes les inscriptions de ce type : une présence sur un site de fuite est une revendication, pas une preuve de compromission confirmée. Deloitte n’a pas commenté publiquement, et aucun détail d’exfiltration n’est publié au moment où nous écrivons.

L’événement reste significatif pour une raison qui ne dépend pas de la confirmation. Un cabinet de services professionnels de cette taille concentre des données de clients, des documents d’audit et des informations financières qui en font une cible d’extorsion de premier ordre — et son apparition sur une liste de fuite rappelle que la frontière entre « victime de taille moyenne » et « grande signature » n’existe plus dans les campagnes RaaS. The Gentlemen fonctionne en ransomware-as-a-service financièrement motivé, avec exfiltration et menace de divulgation publique comme levier principal.

Verdict

La recommandation tient en une ligne : traitez la divulgation automatisée comme un fait acquis, et non comme une possibilité. Concrètement, trois chantiers dominent.

Si votre surface d’accès distante tourne sur des équipements vieillissants, commencez par elle : le groupe entre par des failles de périmètre connues (CVE-2024-3400, CVE-2023-4966) et des comptes valides achetés. Patchez les passerelles VPN et les appliances de bordure, et imposez une authentification résistante au hameçonnage — FIDO2 ou validation par comparaison de nombre — partout où une session légitime peut être volée.

Si vous n’avez pas de sauvegardes immuables et hors ligne, c’est la priorité numéro deux. Une copie que l’attaquant peut aussi chiffrer n’est pas une copie : isolez-la du domaine, hors bande, avec des versions inaltérables. Si vous n’avez pas de visibilité sur l’exfiltration, corrigez-la avant l’incident : surveillez les flux sortants anormaux vers les stockages cloud grand public — le vecteur Rclone du groupe — et segmentez pour que le compromis d’une entité ne livre pas tout l’annuaire.

La leçon de fond est plus simple encore. Quand un groupe peut publier 20 victimes en 80 minutes, l’avantage temporel bascule du côté de l’attaquant. La seule parade est d’avoir déjà réduit la surface, déjà isolé les sauvegardes et déjà cartographié les flux avant que la première enveloppe ne s’ouvre.

Références

• Ransom-DB — The Gentlemen Ransomware Surge: 34 Victims Disclosed in Rapid 21-Hour Blitz
• CTIWatch — Deloitte, the gentlemen ransomware attack (octobre 2026)
• Ransomnews — The Gentlemen ransomware group: victims, status, activity
• Undercode News — The Gentlemen Ransomware Group Reportedly Lists 10 New Victims (12 octobre 2026)