En bref : fin décembre 2024, le groupe de rançongiciel Space Bears affirme avoir compromis une base de données d’Atos et menace de la publier. Après enquête, Atos réfute : aucune infrastructure gérée par le groupe n’aurait été compromise, aucune donnée n’aurait été consultée ni chiffrée. Les fichiers évoqués portant le nom d’Atos se trouveraient sur l’infrastructure externe d’une tierce partie, sans lien avec ses systèmes.
La recherche « atos cyberattaque » renvoie presque toujours au même épisode : la revendication publiée par Space Bears le 28 décembre 2024. Ce groupe de hackers affirme avoir compromis une base de données du groupe Atos et fixe un ultimatum avant diffusion. Atos ouvre une enquête dès le lendemain, puis conclut qu’aucun de ses systèmes n’a été touché. À ce jour, aucune preuve publique n’est venue contredire ce démenti. L’affaire mérite pourtant d’être comprise en détail, car elle illustre un risque que beaucoup de dirigeants sous-estiment : celui des données qui circulent chez leurs partenaires et sous-traitants.
Atos cyberattaque de décembre 2024 : les faits établis
Le point de départ est un message posté sur le site vitrine de Space Bears, la page sur laquelle les groupes de rançongiciel exposent leurs victimes supposées. Atos y figure, accompagné d’une affirmation classique dans ce milieu : des données auraient été dérobées et seraient publiées si aucun accord n’intervenait avant l’échéance fixée. La presse spécialisée relaie l’information le 29 décembre 2024, en pleine période de fêtes, moment souvent choisi par les attaquants parce que les équipes sont réduites.
Atos communique rapidement. Dans un premier temps, le groupe indique avoir connaissance de la revendication et mener des vérifications. Quelques jours plus tard, sa position devient nette : selon l’entreprise, aucune infrastructure gérée par Atos n’a été compromise, aucune donnée n’a été consultée ou chiffrée, et aucune rançon n’a été demandée à ses équipes. Les éléments évoqués contenant le nom d’Atos proviendraient d’un environnement externe appartenant à un tiers, non connecté aux systèmes du groupe.
Ce qui reste, en revanche, invérifiable de l’extérieur : l’identité de ce tiers, la nature exacte des fichiers concernés et leur ancienneté. Ni Atos ni Space Bears n’ont publié d’élément permettant de trancher sur ces points, et il serait imprudent de combler ce vide par des suppositions.
Chronologie de l’affaire Space Bears contre Atos
Les dates permettent de distinguer ce qui relève de l’allégation, de la communication officielle et de la conclusion d’enquête.
| Date | Événement | Source de l’information |
|---|---|---|
| 28 décembre 2024 | Space Bears ajoute Atos à sa liste de victimes et affirme avoir compromis une base de données | Site de fuite du groupe de hackers |
| 29 décembre 2024 | Atos indique avoir connaissance de la revendication et lancer une enquête | Déclaration du groupe relayée par la presse |
| Fin décembre 2024 | Atos conclut qu’aucune de ses infrastructures n’a été compromise et évoque une infrastructure tierce | Communiqué d’Atos |
| Début janvier 2025 | La presse spécialisée titre sur le fait qu’Atos réfute les allégations de Space Bears | Médias spécialisés en cybersécurité |
Ce séquençage rapide, en moins d’une semaine, est en soi une information : un démenti formulé aussi vite suppose que les équipes de réponse à incident ont pu examiner les journaux et les systèmes concernés sans découvrir de trace d’intrusion.
Space Bears : profil du groupe de hackers qui affirme avoir frappé Atos
Space Bears apparaît dans le paysage des rançongiciels au printemps 2024. Le groupe se distingue par un site de fuite au graphisme soigné, presque institutionnel, qui tranche avec l’esthétique habituelle de ces plateformes. Plusieurs analystes en menace le rattachent à l’écosystème du rançongiciel Phobos, une famille de logiciels malveillants largement diffusée auprès d’affiliés.
Son mode opératoire suit le schéma de la double extorsion : chiffrer les systèmes de la victime quand c’est possible, et surtout menacer de publier les données exfiltrées. Les cibles revendiquées sont majoritairement des organisations de taille moyenne, dans des secteurs variés. L’inscription d’un nom aussi connu qu’Atos sur sa page constituait donc, pour le groupe, un coup de publicité considérable, qu’elle soit fondée ou non.
Ce point est essentiel pour lire l’affaire avec recul : pour un groupe criminel, la notoriété d’une victime affichée attire des affiliés, impressionne les cibles suivantes et augmente la pression dans les négociations en cours. La revendication est aussi un outil marketing.
Pourquoi Atos réfute : l’hypothèse d’une infrastructure tierce
La ligne de défense d’Atos repose sur une distinction simple, mais souvent mal comprise du grand public : des données qui mentionnent une entreprise ne sont pas forcément des données volées dans ses systèmes. Un fichier peut contenir le nom d’Atos parce qu’il provient d’un client, d’un fournisseur, d’un intégrateur ou d’un ancien partenaire ayant travaillé avec le groupe. Si ce tiers est piraté, le nom d’Atos peut apparaître dans le butin sans que ses propres serveurs aient été approchés.
Cette situation est fréquente. Une grande entreprise de services numériques échange chaque année des volumes considérables de documents : contrats, plans de projet, listes de contacts, extractions de bases de données de test. Ces fichiers se retrouvent dans des dizaines d’environnements qu’elle ne contrôle pas. Le démenti d’Atos ne dit donc pas que rien n’a fuité nulle part, il dit que ses infrastructures n’ont pas été compromises. La nuance compte, notamment pour les clients qui se demandent s’ils doivent agir.
Revendication de rançongiciel ou fuite réelle : comment faire la différence
L’épisode Atos n’est pas isolé. Les groupes de hackers exagèrent, recyclent d’anciennes fuites ou attribuent à une grande marque des données subtilisées chez un petit prestataire. À l’inverse, certaines entreprises minimisent un incident réel. Quelques critères aident à se faire une opinion.
- La publication d’échantillons : un groupe qui détient réellement des données diffuse souvent un extrait pour prouver ses dires. L’absence d’échantillon ne prouve rien, mais sa présence permet une vérification.
- La date des documents : des fichiers anciens peuvent provenir d’une fuite déjà connue, remise en circulation pour créer l’événement.
- La précision du démenti : une entreprise qui affirme qu’aucune donnée n’a été consultée ni chiffrée s’engage davantage qu’une formule vague sur une « enquête en cours ».
- Les obligations réglementaires : en cas de violation de données personnelles, une notification à la CNIL est généralement attendue dans les 72 heures, ce qui laisse parfois des traces publiques.
Le même raisonnement s’applique quand une revendication vise un secteur entier. Notre dossier consacré à la Cyberattaque banques françaises montre comment des annonces spectaculaires se révèlent parfois partielles ou décalées par rapport aux faits.
Atos groupe : pourquoi la moindre alerte cyber pèse lourd
Si la revendication de Space Bears a eu autant d’écho, c’est aussi en raison du contexte. En 2024, Atos traverse une restructuration financière majeure, suivie de près par l’État en raison de ses activités jugées stratégiques : supercalculateurs, systèmes critiques pour la défense, cybersécurité. Le groupe a également été le partenaire informatique des Jeux olympiques et paralympiques de Paris 2024, un événement qui a concentré des tentatives d’attaques très nombreuses.
Atos vend par ailleurs des services de cybersécurité : centres opérationnels de sécurité, réponse à incident, investigation numérique, ou encore offres de type Managed Detection and Response (MDR), soit la détection et la réponse managées aux menaces. Une compromission avérée aurait donc touché directement sa crédibilité commerciale. La suite plaide plutôt en sa faveur : en septembre 2025, le groupe annonce un contrat-cadre de 326 millions d’euros sur quatre ans avec la Commission européenne, portant notamment sur des services de cybersécurité. Un tel contrat se négocie difficilement avec un fournisseur soupçonné d’une faille majeure non résolue.
Ce que l’affaire Atos enseigne aux dirigeants de PME
Une petite entreprise n’a pas l’exposition médiatique d’Atos, mais elle partage le même angle mort : ses données vivent aussi chez les autres. Comptable, hébergeur, éditeur de logiciel de facturation, agence web, plateforme de paie : chacun détient une partie de votre information. Si l’un d’eux est piraté, c’est votre nom qui peut apparaître sur un site de fuite, avec les questions de vos clients qui suivent.
Recenser les prestataires qui détiennent vos données
La première mesure est une simple liste : qui stocke quoi, sous quelle forme, avec quel accès. Elle permet, le jour où une alerte tombe, de savoir en quelques minutes si un fournisseur cité dans la presse vous concerne. Ce recensement sert aussi à vérifier les clauses de sécurité et de notification d’incident prévues dans vos contrats.
Former les équipes à reconnaître les arnaques qui suivent une fuite
Après une revendication très médiatisée, les escrocs profitent de l’actualité : faux courriels de « mise à jour de sécurité », appels se présentant comme un support technique, demandes de changement de coordonnées bancaires. Une démarche structurée de Sensibilisation cybersécurité réduit nettement ces risques, et elle est de plus en plus regardée par les assureurs lors de la souscription.
Les mêmes réflexes valent pour les achats en ligne du quotidien de l’entreprise : vérifier l’adresse du site, se méfier des paiements inhabituels, ne jamais saisir ses identifiants depuis un lien reçu. Notre article Sécurité et bons réflexes pour naviguer sur adivak.com et effectuer un achat détaille ces gestes avec un exemple concret. De la même façon, l’accès aux espaces bancaires professionnels mérite une vigilance particulière, comme le montre notre guide Cyberplus Alsace sur la connexion sécurisée à son espace en ligne.
Relire son contrat d’assurance cyber sous l’angle du risque fournisseur
Beaucoup de contrats cyber couvrent les incidents survenus sur les systèmes de l’assuré, mais traitent différemment ceux qui naissent chez un prestataire. Il est utile de vérifier avec son assureur ou son courtier plusieurs points : la prise en charge des frais de gestion de crise quand la fuite vient d’un tiers, la garantie responsabilité civile si des données de clients sont exposées, l’accès à une assistance d’urgence, et la couverture des pertes d’exploitation liées à l’indisponibilité d’un fournisseur. Les réponses varient selon les contrats, d’où l’intérêt de poser la question avant tout incident.
Cette réflexion ne concerne pas que les entreprises très numérisées. Un artisan qui bricole son atelier se pose déjà des questions de couverture pour ses travaux matériels ; il gagne à appliquer la même logique à son logiciel de devis, à sa messagerie ou à son site de prise de rendez-vous.
Erreurs fréquentes face à une fuite revendiquée et bons réflexes
L’actualité autour d’Atos a donné lieu à de nombreuses réactions hâtives. Voici les écueils les plus courants, et l’attitude à privilégier.
- Tenir la revendication pour acquise : le site d’un groupe criminel n’est pas une source fiable. Attendre les éléments vérifiables avant de communiquer.
- Ignorer complètement l’alerte : même démentie, une fuite chez un tiers peut contenir des informations exploitables pour du hameçonnage ciblé. Rester attentif aux messages inhabituels.
- Contacter les attaquants : toute prise de contact avec un groupe de rançongiciel doit passer par des spécialistes et, le cas échéant, l’assureur.
- Oublier de documenter : noter la date de l’alerte, les vérifications menées et les échanges avec les prestataires facilite les démarches ultérieures.
- Communiquer trop tôt ou trop vaguement : la méthode d’Atos, une première déclaration prudente puis une conclusion précise, est un bon modèle de communication de crise.
Pour signaler un incident ou obtenir une aide de premier niveau, le dispositif public Cybermalveillance.gouv.fr reste une ressource accessible aux TPE et PME, gratuite et orientée vers des prestataires référencés.
Atos a-t-il réellement été piraté par Space Bears ?
Selon les conclusions de son enquête communiquées fin décembre 2024, non. Atos affirme qu’aucune de ses infrastructures n’a été compromise et qu’aucune donnée n’a été consultée ni chiffrée. Aucune preuve publique contraire n’a été apportée depuis.
D’où viendraient les données attribuées à Atos par les hackers ?
D’après Atos, les fichiers mentionnant son nom se trouveraient sur l’infrastructure externe d’une tierce partie, sans connexion avec ses systèmes. L’identité de ce tiers n’a pas été rendue publique.
Space Bears est-il rattaché au rançongiciel Phobos ?
Plusieurs chercheurs en sécurité associent Space Bears à l’écosystème Phobos, dont le code est utilisé par de nombreux affiliés. Ce lien relève de l’analyse technique et non d’une revendication officielle du groupe.
Un client d’Atos doit-il prendre des mesures après cette alerte ?
Aucune action spécifique n’a été recommandée par Atos. La prudence consiste surtout à surveiller les messages inhabituels qui exploiteraient l’actualité et à vérifier auprès de son interlocuteur habituel toute demande sortant de l’ordinaire.
Une fuite survenue chez un sous-traitant entre-t-elle dans une assurance cyber ?
Cela dépend du contrat. Certaines polices couvrent la gestion de crise et la responsabilité civile même si l’incident naît chez un prestataire, d’autres l’excluent ou le plafonnent. Il faut relire les conditions générales et particulières, et interroger son assureur en cas de doute.
