Dossier inc-gentlemen-claude-exposed-serversMalware assisté par IAMondial
Des affiliés des rançongiciels INC et The Gentlemen exposent des journaux de sessions d'IA (Claude, Kimi) et 46 builds de chiffreurs INC sur des serveurs ouverts
SOCRadar a découvert sept serveurs exposés liés à des affiliés des rançongiciels INC et The Gentlemen, contenant 8 257 messages d'IA répartis sur 133 sessions, du code source, des identifiants volés, des espaces de travail de victimes et 46 builds de chiffreurs INC propres à chaque victime. Les opérateurs utilisaient OpenCode avec des modèles hébergés par OpenRouter, dont Claude Opus 4.6 et Kimi K3, et reformulaient les requêtes refusées en évaluations de sécurité autorisées. Des humains validaient les étapes de l'IA, et SOCRadar n'a pas pu confirmer que les chiffreurs préparés avaient été déployés. Les chercheurs ont commencé leurs investigations fin septembre 2026.
MoyenneAttaque avec l’IAStatut: Enquête en coursDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 21 oct. 2026
- Lieu
- Mondial
- Cible
- 62 organisations identifiées par SOCRadar, dont 36 aux États-Unis, avec une exposition allant de la reconnaissance à l'extorsion
- Gravité
- Moyenne
- Vérification
- Rapporté par la presse ou des chercheurs fiables
- Déclenché par
- Affiliés opérant avec INC Ransomware et The Gentlemen Ransomware
- Type d’acteur
- Criminel
- Secteur
- Inconnu
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
SOCRadar a découvert sept serveurs exposés liés à des affiliés des rançongiciels INC et The Gentlemen, contenant 8 257 messages d'IA répartis sur 133 sessions, du code source, des identifiants volés, des espaces de travail de victimes et 46 builds de chiffreurs INC propres à chaque victime. Les opérateurs utilisaient OpenCode avec des modèles hébergés par OpenRouter, dont Claude Opus 4.6 et Kimi K3, et reformulaient les requêtes refusées en évaluations de sécurité autorisées. Des humains validaient les étapes de l'IA, et SOCRadar n'a pas pu confirmer que les chiffreurs préparés avaient été déployés. Les chercheurs ont commencé leurs investigations fin septembre 2026.
Impact: 8 257 messages et 46 builds de logiciels malveillants exposés, offrant aux chercheurs un aperçu des outils assistés par IA des acteurs. Le nombre de victimes et les pertes ne sont pas précisés.
Qui l’a déclenché
Acteur: Affiliés opérant avec INC Ransomware et The Gentlemen Ransomware
Attribution: Les chercheurs relient les serveurs exposés (répertoires ouverts sur 45.227.254[.]43 et six autres retrouvés via des fichiers de configuration et des identifiants) à des affiliés d'INC et de The Gentlemen.
Mobile: Inconnu ; opérations de rançongiciel, recourant apparemment à l'IA pour soutenir les intrusions et le développement de logiciels malveillants.
Comment c’est arrivé
Vecteur d’attaque: IA (Claude) utilisée dans le flux de travail d'intrusion ; découverte via des répertoires ouverts accessibles publiquement sur des serveurs opérationnels.
Cause racine: Les opérateurs ont laissé leur propre infrastructure accessible publiquement, exposant fichiers de configuration, identifiants, journaux de conversations avec l'IA et builds de logiciels malveillants.
Chronologie
- Signalé par GBHackers
Réponse
Les chercheurs ont mené l'enquête et publié leurs conclusions. Aucun démantèlement ni arrestation n'est mentionné.
Statut actuel: Enquête en cours
Mises en garde de la recherche auxquelles ce cas correspond
- Observée dans des incidents réels L’IA rend les cyberattaques plus faciles, plus rapides et plus massives · CAIS
- Observée dans des incidents réels Criminels et pirates étatiques utilisent l’IA dans leurs cyberattaques · International AI Safety Report
- Observée dans des incidents réels Acteurs malveillants et usages abusifs · MIT AI Risk Repository
Comparé aux recherches publiées par plusieurs instituts sur les risques de l’IA, sur la page Recherche et réalité.
Sources (nouvel onglet)
Citer ce dossier
Des affiliés des rançongiciels INC et The Gentlemen exposent des journaux de sessions d'IA (Claude, Kimi) et 46 builds de chiffreurs INC sur des serveurs ouverts. AI Threat Watch, dossier inc-gentlemen-claude-exposed-servers, 21 oct. 2026. https://aithreat.io/fr/cases/inc-gentlemen-claude-exposed-servers/
Lien permanent: https://aithreat.io/fr/cases/inc-gentlemen-claude-exposed-servers/
Dossiers liés
Le même type d'incident, du plus récent au plus ancien.