Next One, leader français de l’affichage publicitaire indoor, a été victime d’une cyberattaque par rançongiciel à la fin du mois de septembre 2026. Les pirates sont parvenus à chiffrer la base de données de son logiciel de gestion, mais également ses serveurs de sauvegarde. Conséquence immédiate : l’entreprise ne pouvait plus établir de devis, émettre de factures ou accéder à ses fichiers clients et prospects. L’incident a été révélé le 3 novembre par son prestataire informatique CRIF Informatique, qui détaille les opérations de sauvetage ayant permis à Next One de reprendre son activité.
Fondée en 2000, Next One est une entreprise française spécialisée dans l’affichage publicitaire dans les lieux de vie. Elle exploite notamment des panneaux et écrans publicitaires installés dans les bars, restaurants, salles de sport, cinémas, stades et toilettes d’établissements recevant du public. La société revendique un réseau de 40 000 panneaux répartis dans 10 000 établissements et 200 agglomérations françaises.
Une cyberattaque qui bloque toute la gestion commerciale de Next One
Selon le témoignage de CRIF Informatique, l’attaque s’est produite à la fin du mois de septembre 2026. En quelques heures, le système d’information de Next One s’est retrouvé paralysé par un rançongiciel.
Les cybercriminels ont notamment chiffré les fichiers de la base de données SQL Server utilisée par l’ERP WAVESOFT, un logiciel centralisant différentes opérations de gestion de l’entreprise.
Les fichiers MDF et LDF, indispensables au fonctionnement de cette base, sont devenus inaccessibles. Les équipes de Next One ont ainsi perdu l’accès à leurs informations commerciales et à plusieurs fonctionnalités essentielles.
Plus préoccupant encore, les serveurs de sauvegarde ont également été touchés par le chiffrement, empêchant une restauration immédiate des données.
Même les sauvegardes étaient chiffrées : une reprise d’urgence en moins de 48 heures
Face à cette situation, CRIF Informatique, prestataire chargé de l’accompagnement de Next One sur son logiciel WAVESOFT, est intervenu pour trouver une solution de continuité d’activité.
Moins de 48 heures après la découverte de l’incident, un serveur de secours était livré à Next One. Cet environnement temporaire a permis aux collaborateurs de recommencer à utiliser leur logiciel de gestion, alors que les infrastructures habituelles restaient indisponibles.
Le prestataire précise avoir mis gratuitement ce serveur à disposition pendant un mois, alors même que son contrat ne portait pas sur l’administration de l’infrastructure informatique compromise.
Cette remise en service ne signifiait toutefois pas que les données historiques avaient déjà été restaurées. Les opérations de récupération se poursuivaient en parallèle.
Des experts parviennent à reconstruire la base de données endommagée
La société française RECOVEO, spécialisée dans la récupération de données informatiques, a été mobilisée pour intervenir sur les fichiers chiffrés.
Les opérations ont notamment nécessité une extraction des données à bas niveau, des travaux spécifiques pour contourner le chiffrement affectant l’environnement de sauvegarde Veeam et la reconstruction de la base SQL Server endommagée.
Un autre problème est ensuite apparu : pendant les opérations de récupération, Next One avait recommencé à travailler sur le serveur de secours et créé de nouvelles informations commerciales.
Les équipes ont donc dû réconcilier les anciennes données récupérées avec les nouveaux devis, commandes, factures et fichiers clients créés pendant la période de secours.
Après plusieurs semaines d’intervention, l’environnement de production a finalement été remis en fonctionnement. Environ un mois après l’incident, Next One avait retrouvé une exploitation normale de ses outils de gestion.
Comment les pirates ont-ils pu compromettre les sauvegardes ?
La méthode initiale utilisée par les attaquants n’a pas été communiquée. La compromission des serveurs de sauvegarde montre néanmoins que le périmètre touché dépassait la seule base de données commerciale.
Dans les attaques par rançongiciel, les cybercriminels cherchent fréquemment à neutraliser les mécanismes de restauration afin de compliquer la reprise d’activité et d’augmenter la pression sur leur victime.
Un attaquant disposant de privilèges suffisamment élevés peut notamment tenter d’accéder aux serveurs de sauvegarde, de supprimer les points de restauration ou de chiffrer les fichiers disponibles.
Dans le cas de Next One, rien ne permet cependant de déterminer comment les pirates ont obtenu leurs accès ni si les systèmes de sauvegarde étaient directement accessibles depuis l’environnement compromis.
Une cyberattaque confirmée, mais aucune fuite de données annoncée
La cyberattaque contre Next One est confirmée par deux entreprises ayant participé aux opérations de reprise : CRIF Informatique et RECOVEO. Leurs témoignages détaillent les conséquences du chiffrement et les difficultés rencontrées pour récupérer les données.
En revanche, les communications publiées ne précisent pas l’identité du groupe responsable, l’existence d’une demande de rançon ou le montant des éventuelles pertes financières.
Aucune extraction ou diffusion de données personnelles de clients et de collaborateurs n’a été publiquement confirmée. Le chiffrement des fichiers ne permet pas, à lui seul, de conclure à leur vol.
L’affaire Next One illustre néanmoins une conséquence particulièrement critique des attaques par rançongiciel : lorsque les sauvegardes sont également compromises, une entreprise peut perdre simultanément l’accès à ses outils de travail et à ses moyens habituels de restauration. Dans ce cas, la mise en place d’une infrastructure temporaire et la reconstruction des données ont permis d’éviter une paralysie prolongée de l’activité commerciale.
Source originale : Cyberattaque.org.
