D1R affirme avoir piraté Synopsys, Bosch et Arm : Synopsys dément formellement

Le 13 juillet 2026, un groupe rançongiciel jusqu'alors inconnu, baptisé D1R, a fait son apparition sur le dark web et a lancé une revendication fracassante : il aurait piraté Synopsys, un géant américain de la conception de semi-conducteurs, et dérobé une base de données d'environ 40 000 clients professionnels. Le groupe a ensuite affirmé avoir utilisé ces données pour identifier et compromettre deux clients de Synopsys — le géant allemand de l'automobile Bosch et le concepteur de puces britannique Arm. En quelques jours, Synopsys a publiquement démenti ces allégations, affirmant que son enquête n'avait trouvé aucune preuve d'intrusion. Cet article présente un récit factuel de ce qui s'est passé, les réponses de chaque entreprise, et l'état actuel de la situation.

Ce que D1R a revendiqué

D1R a inscrit trois victimes sur son site de fuite basé sur Tor le 13 juillet 2026 : Synopsys (États-Unis), Bosch (Allemagne) et Arm (Royaume-Uni) . Les allégations du groupe comprenaient :

• L'exploitation d'une vulnérabilité dans le site web de Synopsys pour accéder à une base de données clients professionnelle contenant environ 40 000 entrées .
• En utilisant cette base de données (incluant un fichier nommé TARGETLIST.txt), D1R a affirmé avoir identifié puis piraté Bosch et Arm comme cibles secondaires .
• Concernant Bosch, D1R a spécifiquement revendiqué le vol de données de mise en œuvre du module CAN Bosch — une propriété intellectuelle d'ingénierie sensible — et a fixé un délai de 11 jours à Bosch pour négocier avant que les données ne soient divulguées publiquement .
• D1R a également cité Arm, alléguant une intrusion incluant des outils internes comme "l'Athena Download Manager" .

Le groupe a posté ce qu'il présentait comme le code de mise en œuvre du module CAN Bosch sur son site de fuite, affirmant le publier "gratuitement pour tous les ingénieurs et passionnés d'automobile" .

La réponse de Synopsys : "Aucune preuve d'intrusion"

Synopsys a déclaré publiquement que son enquête n'avait trouvé aucune preuve d'accès non autorisé à ses systèmes ou à des données techniques de clients . Points clés issus de plusieurs médias spécialisés en cybersécurité :

• Synopsys a indiqué que l'acteur malveillant n'avait pas contacté l'entreprise pour formuler une demande de rançon .
• SecurityWeek a rapporté que l'examen de Synopsys n'avait trouvé aucune preuve que l'intrusion alléguée ait réellement eu lieu .
• Plusieurs analystes en sécurité ont noté que la "preuve" de D1R — une capture d'écran présentée comme preuve des données Bosch — semblait composite ou recyclée à partir de fuites plus anciennes, jetant un doute supplémentaire sur la légitimité de la revendication .

La situation est compliquée par le fait que Synopsys avait subi une fuite de données réelle distincte au début de l'année 2026 (divulguée aux autorités du Massachusetts en avril 2026) impliquant des numéros de sécurité sociale et des informations médicales exposées — mais il s'agissait d'un incident différent, sans lien avec les allégations de D1R en juillet .

La réponse de Bosch : Enquête en cours, pas de confirmation

Bosch n'a pas publié de démenti public détaillé. Selon des sources de surveillance du dark web, l'entreprise avait 11 jours pour prendre contact et négocier . Les rapports de sécurité indiquent que Bosch enquêtait sur les allégations mais n'avait pas confirmé d'intrusion directe dans ses propres systèmes . Au moment des derniers rapports (14-15 juillet 2026), aucune fuite majeure de données de propriété intellectuelle de Bosch n'avait été vérifiée de manière indépendante .

Le statut d'Arm

Arm a été citée comme victime, mais les allégations spécifiques de D1R concernant Arm ont fait l'objet de moins de vérifications indépendantes que celles concernant Bosch .

Où en est la situation

Élément	Statut
Revendication de D1R	A piraté Synopsys via une vulnérabilité web, volé une base de données clients de 40 000 entrées, puis utilisé cela pour s'infiltrer chez Bosch et Arm.
Position de Synopsys	L'enquête n'a trouvé aucune preuve d'intrusion. L'acteur malveillant n'a jamais contacté Synopsys .
Position de Bosch	Enquête en cours ; pas de confirmation de compromission directe. D1R a publié ce qu'il prétend être le code CAN de Bosch sur son site de fuite .
Preuves de D1R	Largement jugées faibles — les captures d'écran semblent être remaniées ou fabriquées .
Statut d'Arm	Citée comme victime, mais les allégations spécifiques de D1R concernant Arm ont reçu moins de vérifications indépendantes .
Conclusion	Allégations non fondées, situation non résolue. Le poids des preuves (enquête interne de Synopsys, manque de preuves crédibles de D1R, absence de demande de rançon) suggère que D1R pourrait exagérer ou fabriquer son accès. Cependant, l'extorsion via la chaîne d'approvisionnement ne peut être totalement exclue tant que Bosch et Arm n'auront pas terminé leurs propres enquêtes.

Point clé à retenir

Synopsys nie fermement l'intrusion et n'a trouvé aucune preuve étayant les allégations de D1R. Bosch évalue toujours la situation. Des analystes indépendants ont émis des doutes significatifs sur la crédibilité de D1R, mais la situation reste ouverte au 15 juillet 2026.