Secteurs gouvernemental, de la défense et des transports ciblés dans quatre pays

Un nouveau bulletin hebdomadaire de renseignement sur les menaces de l'équipe de recherche ASEC d'AhnLab met en lumière la manière dont les ransomwares et les activités de fuite de données sur le dark web continuent de frapper un large éventail d'organisations, cette fois sur quatre pays. Le récapitulatif de la semaine 2 de septembre 2026 recense les publications sur le dark web et les activités de sites de fuite liées à des agences gouvernementales, des entités liées à la défense et des opérateurs de transport et d'aviation en Argentine, au Canada, en Allemagne et en Corée du Sud.

Les tags du rapport font référence à des organismes du secteur public et à des organisations de défense nationale aux côtés d'entreprises de transport et d'aviation, une combinaison qui reflète un schéma plus large que les chercheurs en sécurité suivent depuis des années : les attaquants privilégient les secteurs qui détiennent de grands volumes de données personnelles sensibles, exploitent des infrastructures critiques ou subissent des pressions pour maintenir les services sans interruption. Les agences gouvernementales et les opérateurs de transport correspondent étroitement à ce profil, car toute perturbation des services publics ou des horaires de vol et d'expédition crée une pression immédiate et visible pour résoudre rapidement un incident.

Parmi les noms d'acteurs de la menace cités dans le bulletin figurent des groupes suivis sous des étiquettes telles qu'AuditTeam et Lapsus, qui apparaissent tous deux dans la surveillance continue d'ASEC des forums du dark web et du deep web où les données volées sont annoncées, mises aux enchères ou divulguées purement et simplement. La présence de plusieurs groupes nommés dans un seul instantané hebdomadaire souligne qu'il ne s'agit pas du travail d'un acteur isolé mais d'un écosystème persistant et distribué d'opérations de ransomwares et d'extorsion de données.

Au cœur de l'économie du dark web des ransomwares : comment les données volées sont vendues

Les rapports sur les ransomwares et les fuites de données comme celui-ci existent parce qu'une économie souterraine fonctionnelle s'est développée autour des données volées. Une fois que les attaquants ont pénétré un réseau et exfiltré des fichiers, que ces données appartiennent à un ministère, à un contractant de la défense ou à la base de données clients d'une compagnie aérienne, ils disposent généralement de plusieurs façons de les monétiser.

La voie la plus directe est une demande de rançon : payez, sinon les fichiers volés seront publiés. Les groupes omettent de plus en plus le chiffrement et s'appuient uniquement sur la menace de divulgation, car la publication de données personnelles ou opérationnelles sensibles peut être tout aussi dommageable pour la réputation et la situation juridique d'une organisation victime que le verrouillage de ses systèmes. Lorsque les négociations échouent ou qu'une victime refuse de payer, les données finissent souvent par être publiées sur des sites de fuite dédiés hébergés sur le dark web, où elles peuvent être téléchargées, référencées ou vendues à d'autres acheteurs criminels.

C'est également là que les tactiques de pression entrent en jeu. De nombreux groupes imposent désormais des délais courts pour pousser les victimes à payer avant qu'elles n'aient eu le temps d'évaluer pleinement la violation ou de consulter un conseiller juridique. Si vous voulez comprendre pourquoi ces comptes à rebours sont devenus si agressifs, il vaut la peine de lire pourquoi les gangs de ransomwares ne donnent désormais que 7 jours aux victimes pour répondre, un changement qui a remodelé la façon dont les organisations, et leurs clients, vivent les répercussions d'une violation.

Signes avant-coureurs que vos données font peut-être partie d'une fuite

Si vous interagissez avec des services gouvernementaux, détenez un passeport ou une carte d'identité nationale, ou avez voyagé avec une compagnie aérienne ou utilisé un service de transport dans l'un des pays concernés, certains signes méritent votre attention. Des e-mails de réinitialisation de mot de passe inattendus ou des alertes de connexion que vous n'avez pas déclenchées sont souvent le premier indicateur que des identifiants liés à votre compte ont refait surface là où ils ne devraient pas être. Une augmentation soudaine d'e-mails ou de SMS de phishing référençant des détails personnels exacts, comme votre nom complet, vos dates de voyage ou un numéro de référence gouvernemental, peut également suggérer que vos informations faisaient partie d'un ensemble de données divulgué plutôt que d'une campagne de phishing aléatoire.

Les organisations qui subissent une violation confirmée notifient généralement les personnes concernées, mais cette notification peut arriver bien après la fuite réelle, parfois de plusieurs semaines. En attendant, les services de surveillance du dark web et les outils de notification de violation peuvent signaler si votre adresse e-mail ou vos données personnelles sont apparues dans des ensembles de données de fuite connus.

Ce que cela signifie pour vous

La plupart des individus ne peuvent pas contrôler si une agence gouvernementale, une compagnie aérienne ou une autorité de transport sur laquelle ils comptent subit une violation, mais il existe des mesures pratiques qui réduisent votre exposition une fois qu'une fuite se produit. Commencez par utiliser des mots de passe uniques pour chaque compte important, en particulier les portails gouvernementaux et les services liés aux voyages, afin qu'un seul identifiant divulgué ne se répercute pas sur d'autres comptes. Activez l'authentification multifacteur partout où elle est proposée, car elle reste l'un des moyens les plus simples de réduire la valeur des données de connexion volées.

Si vous apprenez qu'une organisation que vous utilisez a été nommée dans un incident de ransomware ou de fuite de données, n'attendez pas une notification officielle avant de vérifier vos comptes et votre activité de crédit. Étant donné la rapidité avec laquelle certains groupes poussent désormais à la publication des données une fois les délais initiaux dépassés, agir tôt compte plus que jamais.

Les récapitulatifs hebdomadaires comme celui d'ASEC rappellent utilement que les fuites de données sur le dark web liées aux ransomwares ne sont pas des événements rares et isolés, mais une caractéristique permanente du fonctionnement de la cybercriminalité à travers les secteurs et les frontières. Rester attentif aux notifications de violation, surveiller ses propres comptes et comprendre les tactiques de pression utilisées par les attaquants peut grandement contribuer à limiter les dégâts lorsque vos données se retrouvent prises dans la tourmente.