Les plus grandes sociétés de private equity au monde sont touchées par des appels téléphoniques.

Les plus grands gestionnaires d’actifs alternatifs du monde —Blackstone, Apollo, KKR, Bain, TPGBridgewater a été ciblé récemment dans une campagne de ransomware. Cette attaque a réussi à contourner tout le système de sécurité du site en faisant en sorte que quelqu’un prenne le téléphone portable personnel des employés pour accéder aux données sensibles.

C’est le mécanisme en question. Ce n’est pas une exploitation de type “zero-day”. Ce n’est pas non plus une fuite dans la chaîne d’approvisionnement d’une bibliothèque de logiciels critiques. Une personne dans un autre pays appelle votre employé, utilise le numéro du service informatique indiqué sur l’identificateur d’appel, prétend qu’il y a une instruction urgente pour mettre à jour les clés de sécurité, et lui demande de se rendre au service passkeyhelpdesk.[Vous allez sur le site .com et entrez votre mot de passe. Si l’employé le fait – et apparemment certains le font – les pirates obtiennent le code MFA en temps réel par téléphone, et peuvent donc entrer dans l’établissement.

L’équipe de renseignement en matière de menaces de Google a identifié72 sites web malveillantsLe groupe a été créé, chacun avec des sous-domaines spécifiques à chaque entreprise. Cela permettait que le tout semble suffisamment légitime pour que le piège fonctionne. Le groupe est identifié sous le nom UNC6671.Récemment renommé de BlackFile en Redact.Ces entreprises, qui opèrent également sous les noms de Pink, Helix et Falcon, ont mené cette campagne contre environ 200 organisations pendant environ cinq semaines. De janvier à mai, elles ont reçu 10,7 millions de dollars en bitcoins. Certaines victimes non identifiées ont payé des rançons. Il est incertain si les sociétés de capital-risque ont été effectivement piratées.

Reuters ne pouvait pas confirmer cela. Aucune entreprise n’a confirmé cela. Toutes ont refusé de donner des commentaires. L’attaque est réelle, la cible est bien identifiée… mais le taux de succès n’est pas élevé.

L’annonce de presse prétend que cela est plus important qu’il n’est en réalité.

Le rapport a été publié le 6 août. Dès le 7 août, les médias financiers ont commencé à parler de cette situation : BX, APO et KKR ont tous été affectés par ce rapport sur les pirates informatiques. Blackstone a chuté de 1,9 % le jour même. Apollo a chuté de 1,3 %. KKR a chuté de 2,2 %. Ces variations sont attribuées à la menace posée par les pirates informatiques.

En réalité, ces actions ne flottent pas à cause d’une campagne de phishing incertaine et non confirmée. Elles ont diminué tout au long de l’année pour des raisons réelles qui influencent les chiffres.

Blackstone est en baisse de 13,4 % sur la période écoulée. Son rendement annuel moyen est de -21,8 %. Son cours se situe à 133 $, soit moins de 55 $ par rapport au plus haut niveau de 190 $. KKR est également en baisse de 19 % sur la période écoulée, avec un rendement annuel moyen de -27,6 %. Son cours se situe à 103 $, bien en dessous du plus haut niveau de 152 $. Apollo est en baisse de 11,6 % sur la période écoulée. Aucune de ces entreprises ne connaît une bonne performance en 2026. Cette baisse est due à des facteurs tels que les fluctuations des taux d’intérêt, l’incertitude quant aux transactions, la pression sur les valeurs des actifs illiquides, et – dans le cas de Blackstone – les résultats financiers qui ne correspondent pas aux attentes, ainsi que la pression liée aux changements dans les frais de gestion.

Le rapport du hacker est arrivé un jour où les actions étaient déjà en baisse. C’est ainsi que fonctionnent les informations du marché.

La vraie chose étrange, c’est l’interface.

Mais mettons de côté le cadre général pour l’instant, et regardons plutôt le mécanisme réel en jeu. En effet, l’attaque elle-même est vraiment intéressante du point de vue des procédures de sécurité.

Ce sont parmi les institutions financières aux ressources les plus importantes, qui se soucient énormément de la conformité et qui subissent des audits de sécurité. Elles gèrent des milliards de dollars d’actifs illiquides. Elles disposent de équipes spécialisées en cybersécurité, de plateformes pour détecter et réagir aux menaces, de systèmes de surveillance des points d’entrée, ainsi que de politiques visant à éviter de cliquer sur des liens inconnus. Et ce qui permet à ces attaques de réussir, c’est que quelqu’un appelle les personnes par leur téléphone personnel.

C’est une faille d’interface. La couche de sécurité de l’entreprise s’arrête à la frontière entre le appareil personnel de l’employé et une appelée provenant d’une personne qui semble compétente et qui demande à l’employé de faire quelque chose que l’entreprise lui a vraiment demandé de faire – par exemple mettre à jour les clés de connexion, une véritable initiative de sécurité. Mais cela se passe sur un site faux.

Les pirates informatiques ne sont pas très sophistiqués au sens traditionnel. Les analystes de Google ont décrit leurs tactiques comme étant « à basse technologie » et « vraiment efficaces ». Ils utilisent une infrastructure appelée “Adversary-in-the-Middle” – en fait, un proxy qui se place entre la victime et la page de connexion fictive, afin d’intercepter les identifiants et les tokens de sécurité en temps réel. Mais la sophistication technique est plutôt basique, typique des attaques par phishing. Ce qui rend ces attaques efficaces, c’est l’ingénierie sociale : le falsification du numéro d’appel pour montrer le vrai numéro du service client, cibler les téléphones personnels où la détection des endpoints corporatifs n’est pas active, et demander exactement ce que la victime est prête à fournir.

Le groupe a également changé son focus au cours de l’été. De avril à mai, il s’est concentré sur le secteur de la fabrication, du immobilier, des soins de santé et de l’assurance. En juin, son focus s’est porté sur les technologies et l’hôtellerie. En juillet, il s’est concentré sur les sociétés financières, les cabinets d’avocats et les agences de notation de crédit – des organisations où les données volées permettent de obtenir des paiements élevés. La cible des fonds privés est logique selon le modèle commercial de extorsion : ces entreprises possèdent les termes des accords, les données des entreprises qu’elles gèrent, les informations sensibles liées aux fusions-acquisitions, ainsi que les identités des clients. Tout cela constitue des éléments qui permettent aux entreprises de payer des sommes importantes.

Ce qui vous protège réellement contre cela

La solution ne consiste pas à ajouter une autre couche de technologie. Il s’agit plutôt d’éliminer l’interface que les pirates exploitent. Il faut imposer des clés de sécurité FIDO2 qui ne puissent pas être piratées – des clés de sécurité basées sur du matériel physique ou correctement liées, et non celles qui permettent encore à un opérateur vivant de vous guider dans l’entrée du code. Il faut également obliger que toutes les mises à jour de sécurité se fassent via des endpoints gérés par l’entreprise, et non via les téléphones personnels. Il faudrait intégrer le système de connexion unique, afin que les employés ne puissent pas être trompés pour réinitialiser leurs mots de passe sur des applications secondaires. Il faut également supprimer le canal qui relie la voix d’un inconnu à vos identifiants.

Le blog de menace de Google dit essentiellement la même chose, mais avec plus de jargon : utiliser des authentificateurs résistants au phishing, imposer des contrôles de session, et limiter l’authentification aux sources réseau fiables.

Le point économique est que, malgré l’argent que ces entreprises dépensent en matière de cybersécurité – et elles le font certainement – la vulnérabilité ne réside pas dans les systèmes eux-mêmes. Elle réside dans l’hypothèse selon laquelle les humains sont aussi sécurisés que le réseau d’entreprise. Ce n’est pas le cas. Les humains ne constituent pas une source de sécurité.

Qui se soucie vraiment ?

Oui, les actions ont baissé. Le rapport sur le hacker est une histoire réelle, concernant une campagne menée contre des entreprises réelles, avec des motivations financières réelles. Mais la baisse des actions n’a rien à voir avec l’attaque. L’attaque a eu lieu un mardi. La baisse des actions, quant à elle, s’est produite un an plus tard.

L’implication structurelle pour les investisseurs concernant ces entreprises ne réside pas dans le fait que certains groupes de ransomware aient volé un numéro de service client. Elle réside plutôt dans la capacité des entreprises à maintenir leurs revenus et leurs valeurs des actifs, alors que l’environnement macroéconomique continue de faire croire que les capitaux privés sont trop élevés depuis le début de l’année 2025. Les pirates informatiques ne sont qu’une autre coûteuse dépense liée au fonctionnement d’une entreprise à grande échelle : il s’agit du coût de disposer de 10 000 employés, chacun possédant un appareil capable d’accéder au service Microsoft 365, et chacun ayant parfois besoin de répondre à des appels inconnus.

C’est là que ça devient étrange. Les organisations financières les plus complexes et les plus bien financées du pays disposent d’un budget annuel de sécurité de 10 millions de dollars. Leur point faible, c’est un employé nommé Dave qui a reçu une appel téléphonique.