Cleo, le second MOVEit : un logiciel de transfert de fichiers et des centaines de violations

Archives : reconstitution rédigée en novembre 2026

Thème du mois de décembre 2024 · par cybercoverinsurance

En décembre 2024, deux vulnérabilités des produits de transfert de fichiers de Cleo ont été exploitées massivement. Le groupe Clop a revendiqué les attaques, annoncé des dizaines de victimes à la fin du mois puis en a listé des centaines dans les mois suivants. Parmi les entreprises qui ont ensuite confirmé un vol de données figurent Hertz, avec environ un million de personnes notifiées, et les écoles publiques de Chicago, avec environ 700 000.

Le cas reproduit presque à l'identique MOVEit, la campagne menée par le même groupe en 2023. Un seul logiciel, présent dans de nombreuses entreprises sans être central pour aucune, devient la porte d'entrée d'un vol de données à grande échelle. Pour qui porte le risque cyber, Cleo est le deuxième exemple d'un scénario de cumul qui se répète désormais : de nombreux sinistres similaires, sur la même période, issus d'une seule cause technique.

Ce que l'on sait

Les vulnérabilités. La première, CVE-2024-50623, touche Cleo Harmony, VLTrader et LexiCom. Elle avait été rendue publique en octobre 2024 et permet de déposer et télécharger des fichiers sans restriction. Le 13 décembre, la CISA l'a inscrite à son catalogue des vulnérabilités exploitées, en signalant son usage dans des attaques par ransomware. Huntress a découvert que le correctif d'octobre ne suffisait pas, ce qui a fait apparaître une seconde faille, CVE-2024-55956, permettant à un utilisateur non authentifié d'exécuter des commandes. L'exploitation des deux a commencé au plus tard le 3 décembre. Le 15 décembre, Shadowserver comptait 930 serveurs encore vulnérables, dont environ 720 aux États-Unis (Cybersecurity Dive).

La revendication. Le 9 décembre, Huntress signalait au moins 10 entreprises dont les serveurs Cleo étaient compromis. Clop a ensuite déclaré être à l'origine des attaques et avoir continué à exploiter le logiciel après le correctif d'octobre. Le groupe a dit ne pas connaître le nombre exact de victimes, mais en a parlé comme de « pas mal » (SC Media). En décembre, il a publié sous forme masquée les noms de 66 victimes présumées, révélés les 14 et 15 janvier 2025. Environ 20 % des victimes listées relèvent de la supply chain et de la logistique, contre 2,8 % pour l'ensemble des ransomwares, et environ 80 % sont nord-américaines (ZeroFox).

Les confirmations. En avril 2025, Hertz a indiqué que des données clients avaient été dérobées par un acteur ayant exploité les vulnérabilités de Cleo en octobre et décembre 2024. Parmi les données : noms, coordonnées, dates de naissance, cartes de paiement et permis de conduire. Hertz a déclaré n'avoir aucune preuve d'un impact sur son propre réseau (ITPro). Hertz a notifié 1 000 175 personnes. Autres confirmations liées à Cleo : Chicago Public Schools (700 000 personnes), Western Alliance Bank (22 000), Champion Home Builders et WK Kellogg. À cette date, Clop avait ajouté plus de 350 victimes sur son site de publication (Comparitech).

Le précédent. La campagne MOVEit de 2023, également menée par Clop, a touché près de 2 800 organisations (SC Media).

Ce que l'on ne sait pas. Le nombre total d'entreprises dont les données ont réellement été dérobées, combien ont payé et le coût global de la campagne ne sont pas publics. Toutes les revendications de Clop ne sont pas vérifiées.

Un outil périphérique, un dommage central

Le transfert de fichiers n'est pas un système critique, mais il touche des données critiques. Cleo, comme MOVEit, sert à échanger des fichiers avec clients, fournisseurs et partenaires. Ce n'est pas le cœur de l'entreprise et il n'a souvent pas de responsable de haut niveau. Mais les fichiers qui y transitent contiennent des fichiers clients, des commandes, des données de paiement et des documents du personnel.

Le dommage est le vol, pas l'arrêt. Clop n'a pas bloqué les systèmes des victimes. Le groupe a copié des données et exigé un paiement pour ne pas les publier. Pour la police, le sinistre type n'est pas une perte d'exploitation mais une violation de données : investigation numérique, notifications, assistance aux personnes, frais juridiques et éventuelles réclamations de tiers.

Les données ne sont pas sur les systèmes de l'assuré, mais l'assuré en répond. Hertz a déclaré que son propre réseau n'avait pas été touché. Les données ont été dérobées sur un système de transfert de fichiers. Pour qui porte le risque, le point clé est que les données personnelles appartiennent à l'assuré même lorsqu'elles transitent par un logiciel tiers, et que la responsabilité envers les personnes reste la sienne.

Des correctifs qui ne corrigent pas

Le correctif d'octobre ne suffisait pas. CVE-2024-50623 avait été corrigée en octobre. Huntress a montré que le correctif pouvait être contourné, et l'exploitation s'est poursuivie jusqu'à un second correctif en décembre (Cybersecurity Dive). Une entreprise qui avait mis à jour sans tarder pouvait donc rester exposée.

Le questionnaire demande si l'on corrige, pas ce qui reste exposé. Les questions sur la gestion des correctifs mesurent la discipline. Elles ne disent pas quelles applications sont accessibles depuis internet. Pour un logiciel de transfert de fichiers, la question utile est de savoir si le serveur est public, et s'il doit l'être. Rapid7 a recommandé précisément de retirer les produits Cleo de l'accès public (SC Media).

La durée d'exposition compte plus que le délai de correction. Entre le 3 et le 15 décembre, des centaines de serveurs sont restés vulnérables. Pour qui porte le risque, la date de début de l'exploitation détermine quelles polices sont concernées et quelle période de garantie répond.

Cumul : le schéma se répète

Deux campagnes du même groupe en moins de deux ans. MOVEit en 2023, Cleo en 2024. Le schéma est le même : une vulnérabilité inconnue dans un logiciel de transfert de fichiers, exploitée à grande échelle en quelques jours, puis des mois de revendications et de notifications. Un tel événement n'est plus une exception, c'est un scénario de sinistre à modéliser.

La traîne des sinistres est longue. Les victimes ont été révélées par étapes : noms masqués en décembre, noms visibles en janvier, données publiées à partir de janvier, confirmations officielles jusqu'en avril 2025 et au-delà. Un portefeuille touché voit arriver les déclarations de sinistre pendant des mois, pas toutes en même temps. Une provision calculée en janvier aurait été incomplète.

Le cumul se concentre par secteur. Selon ZeroFox, la logistique et la supply chain pesaient bien plus que d'habitude parmi les victimes. Un logiciel répandu dans un secteur crée un cumul sectoriel : un assureur avec de nombreux logisticiens en portefeuille était plus exposé qu'un assureur diversifié.

Les clauses d'événement unique deviennent décisives. Plusieurs sinistres issus de la même vulnérabilité peuvent constituer un seul événement au titre de la réassurance ou de l'agrégation des franchises. Les conditions qui définissent « événement » et « cause commune » déterminent le poids de la campagne dans les comptes d'un assureur.

Ce qu'il faut apporter aux renouvellements

Impact pour les assureursÉlevé

Un seul logiciel de transfert de fichiers a produit des centaines de violations de données en quelques mois, reproduisant le schéma de MOVEit.

Côté portefeuille, le travail utile consiste à savoir combien d'assurés utilisent le même logiciel de transfert de fichiers et combien l'exposent sur internet. La donnée se recueille par une question dans le questionnaire ou par un scan externe. Avec MOVEit et Cleo comme précédents, un scénario « MFT » avec des centaines de sinistres de violation de données dans le même trimestre est une base raisonnable pour tester limites et réassurance.

Sources

• Cybersecurity Dive – vulnérabilités, dates d'exploitation et serveurs exposés
• SC Media – revendication de Clop et comparaison avec MOVEit
• ZeroFox – liste des victimes et répartition par secteur
• ITPro – confirmation de Hertz et autres victimes
• Comparitech – notifications de Hertz et décompte des victimes