Sécurité · 13 novembre 2026
Nightspire revendique une attaque contre IMD Group : le risque cyber devient une question de gouvernance
Le groupe de rançongiciels Nightspire affirme avoir soustrait des données financières et des données de salariés à IMD Group, bien que cette violation n'ait pas été confirmée. L'affaire rouvre la question de la gestion des revendications de rançongiciels dans les sociétés cotées, entre les obligations de communication au marché, le GDPR et la NIS2.
Le 7 novembre 2026 à 04:10 UTC, un robot automatique a détecté une nouvelle entrée sur le site de revendication de Nightspire et l'a copiée sur ransomware.live, un agrégateur public accessible sans outils spécialisés. L'entrée indiquait IMD Group, Italie, date présumée de l'attaque le 14 octobre 2026, avec des données exfiltrées décrites comme des dossiers financiers et des données de salariés. Le même jour, le groupe a ajouté une société espagnole et une société britannique à ses revendications.
Lundi 9 novembre, plus de 48 heures après cette publication, aucun média italien n'en avait rapporté et aucun communiqué n'était apparu sur le circuit eMarket SDIR, où les sociétés cotées sur Euronext Growth Milan sont tenues de déposer les informations pertinentes. Si la cible est bien la holding bergamasque I.M.D. International Medical Devices S.p.A., cotée depuis juillet 2023 avec le symbole IMD, le marché a disposé pendant quarante-huit heures d'une information que l'émetteur n'a ni confirmée ni démentie, et l'a reçue d'un groupe criminel.
La revendication publiée par Nightspire est remarquablement sommaire. Elle mentionne deux catégories de données, dossiers financiers et données de salariés, sans échantillons, sans listes de fichiers, sans captures d'écran, et avec le champ du volume exfiltré fixé à zéro gigaoctet. Dans le jargon des sites de fuite, cela peut signifier deux choses opposées : soit le groupe n'a pas encore téléchargé le matériel et utilise la revendication comme levier de négociation dans la phase d'extorsion, soit le matériel est peu important ou inexistant et la revendication est un bluff pour forcer un paiement. Selon les analystes qui suivent Nightspire, ce groupe utilise des délais très courts, parfois de deux jours, et un langage menaçant au-dessus de la moyenne.
La date présumée de l'attaque, le 14 octobre, est significative. Entre le 14 octobre et le 7 novembre, vingt-quatre jours se sont écoulés, une fenêtre compatible avec le cycle typique de ces opérations : intrusion, présence silencieuse, exfiltration, chiffrement ou simple vol, demande de rançon, négociation, puis publication lorsque la négociation ne se déroule pas comme le groupe l'espère.
I.M.D. International Medical Devices est la société mère de trois entités opérationnelles, Technix, IMD Generators et Intermedical, toutes situées en Lombardie, avec plus de quarante ans d'histoire dans la conception et la production de systèmes radiologiques à rayons X, de générateurs et de monoblocs vendus en Italie et à l'étranger. Le bilan 2025 a enregistré un chiffre d'affaires de 34,3 millions d'euros, en baisse de 12,9 pour cent par rapport à l'année précédente, avec une capitalisation de l'ordre de vingt millions d'euros. C'est une société qui connaît et utilise le mécanisme de la communication réglementée.
Les données financières d'une société cotée, même petite, sont par définition du matériel susceptible d'affecter le prix. Les données de salariés d'un groupe manufacturier sont des données personnelles de travailleurs, donc du territoire GDPR. Un fabricant de dispositifs médicaux avec des dizaines de millions d'euros de chiffre d'affaires pourrait entrer dans les entités importantes aux fins de la NIS2 selon le secteur et la taille, bien que le statut effectif dépende de l'enregistrement et de la classification auprès de l'autorité compétente.
Nightspire est apparu sur les radars entre février et mars 2025, avec un site de revendication actif depuis mars et une croissance très rapide. En l'espace d'un an, les analystes comptent entre 220 et 330 victimes revendiquées, selon qui compte et comment déduplique.