Un incident qui révèle une fragilité structurelle
L’attaque par rançongiciel subie par Harvest SAS le 27 février 2025 n’est pas un simple épisode isolé du paysage cyber français. L’affaire révèle une vulnérabilité profonde de la place financière : la dépendance massive et souvent mal comprise aux éditeurs SaaS spécialisés. Lorsque l’un d’eux tombe, les effets se répercutent immédiatement sur des centaines d’établissements bancaires, d’assureurs et de sociétés de gestion.
Harvest, acteur majeur de la gestion de patrimoine numérique, a d’abord communiqué de manière prudente, évoquant un « cyber-incident » sans fuite identifiée. Mais le 10 avril, le groupe de rançongiciel Run Some Wares revendique publiquement l’attaque et publie des fichiers volés sur un site .onion. Les investigations indépendantes confirment alors une exfiltration massive : documents internes, comptabilité, ressources humaines, plans stratégiques, projets en cours, modèles d’intelligence artificielle, coffres de mots de passe et clés de chiffrement.
Ce qui semblait initialement une indisponibilité technique s’avère être une compromission profonde, susceptible d’exposer non seulement Harvest, mais aussi l’écosystème connecté à ses plateformes.
Une attaque bien orchestrée utilisant des méthodes établies
Les éléments disponibles montrent une intrusion via une machine virtuelle d’un prestataire, combinée à l’absence d’authentification multifacteur sur certains accès critiques. Une fois le premier accès obtenu, les attaquants ont utilisé des outils légitimes pour explorer le réseau, identifier les répertoires sensibles, préparer l’exfiltration et déployer leur charge de chiffrement.
Le déroulé correspond aux standards du ransomware en mode double extorsion : prendre la main sur les systèmes, voler les données, chiffrer les serveurs, puis diffuser progressivement les fichiers dans le but de contraindre la victime. Run Some Wares, qui s’est fait connaître par plusieurs attaques dans la finance, la comptabilité et l’industrie, applique une stratégie agressive visant à maximiser l’impact et la visibilité.
Attaque de la chaîne d'approvisionnement
Groupe RaaS
(Run Some Wares)
Tiers TIC
(Récolte)
Système d'information
(Axa, BPCE, MAIF, Amundi, Swiss Life, ...)
Une onde de choc pour les clients de Harvest
L’indisponibilité des services SaaS a entraîné une désorganisation majeure chez de nombreux acteurs financiers. Conseillers, banques et assureurs ont dû repasser à des traitements manuels pendant plusieurs jours : absence de synchronisation de portefeuilles, analyses impossibles, incapacité à produire certains reportings, retards réglementaires et frustration croissante des clients finaux.
La fuite de données ajoute un risque plus silencieux : campagnes de phishing ciblé, tentatives d’usurpation d’identité, exploitation de secrets techniques dérobés, et possibilité de rebond vers d’autres environnements si des clés ou coffres compromis sont réutilisés. La fragmentation de la communication initiale a renforcé l’inquiétude d’une partie des institutions connectées aux solutions d’Harvest.
Ce que l’affaire Harvest signifie pour la gestion des tiers TIC
L’incident intervient alors que les organisations financières sont soumises à un renforcement réglementaire majeur, notamment avec DORA pour les institutions financières et NIS2 pour les autres secteurs critiques. Les obligations liées aux fournisseurs TIC deviennent précises : pilotage centralisé des prestataires, registres actualisés, contractualisation renforcée, gestion des dépendances critiques, scénarios de résilience et capacité à maintenir les activités en cas de défaillance d’un éditeur technologique.
L’attaque montre que de nombreux établissements n’ont pas encore une vision suffisante de leur exposition réelle. Les tiers TIC ne sont pas de simples outils techniques : ce sont des maillons essentiels du fonctionnement quotidien et des risques opérationnels à part entière.
Comment éviter un nouveau scénario Harvest
La réduction du risque passe par des exigences techniques claires imposées aux prestataires : authentification forte généralisée, segmentation stricte des environnements, gestion rigoureuse des clés et secrets, supervision spécifique des accès distants et des infrastructures hébergées.
Elle passe aussi par une cartographie dynamique des tiers TIC, intégrant leurs interconnexions, leurs charges métier, les données confiées et leur impact potentiel en cas d’interruption.
Enfin, les tests de résilience doivent devenir réalistes : indisponibilité totale d’une plateforme SaaS critique, fuite publique de données, compromission de secrets techniques ou activation d’un plan de sortie. Les directions générales ont un rôle central : ce risque touche directement la continuité d’activité, la réputation et la conformité réglementaire.
Notre accompagnement
Stroople accompagne les dirigeants dans l’évaluation de leur surface d’attaque, y compris celle liée aux tiers technologiques. Nous renforçons la gouvernance, les contrats, la surveillance des environnements externes et la conformité aux règlements européens comme DORA et NIS2. Notre objectif : sécuriser durablement vos activités, protéger vos clients et démontrer que vos risques liés aux fournisseurs TIC sont maîtrisés.
Partager :
La cybersécurité à l'ère de l'IA
Téléchargez notre livre blanc pour obtenir la clarté et la perspective dont vous avez besoin.
Guide de conformité NIS2
Téléchargez le guide dès maintenant et faites le premier pas vers la maîtrise de la conformité NIS2.
Guide de conformité DORA
Téléchargez le guide de conformité DORA complet et prenez le contrôle de votre gestion des risques liés aux TIC et de vos obligations réglementaires.
