Un compte à rebours de 72 heures se termine par une fuite de données

Un groupe de ransomware se faisant appeler Deadlock a revendiqué la responsabilité d'une violation de LT Group et de sa filiale Fortune Tobacco Corp aux Philippines, affirmant avoir volé 14 836 fichiers totalisant 27 Go avant de publier des échantillons en ligne. Selon les informations rapportées sur l'incident, les attaquants ont donné à l'entreprise un délai de 72 heures pour répondre à leurs demandes d'extorsion. Lorsque ce délai a expiré sans paiement ni contact, le groupe a commencé à publier des échantillons de données comme preuve de la violation et comme moyen de pression pour une extorsion supplémentaire.

Il s'agit du scénario standard de double extorsion qui définit l'activité des ransomwares depuis plusieurs années maintenant : les attaquants ne se contentent pas de chiffrer les systèmes, ils exfiltrent d'abord discrètement les fichiers sensibles, puis menacent de les divulguer publiquement si une rançon n'est pas payée. Le chiffrement perturbe les opérations, mais le vol de données constitue souvent la menace la plus dommageable à long terme, surtout lorsque les fichiers volés comprennent des documents d'identité personnels et des dossiers financiers liés à des individus, et pas seulement à des systèmes d'entreprise.

Ce qui aurait été exposé

Les échantillons divulgués comprendraient apparemment des données de passeports contenant des informations de zone à lecture optique (MRZ), la bande encodée située en bas de la page photo des passeports qui contient le nom, la nationalité, la date de naissance, le numéro de passeport et la date d'expiration d'une personne dans un format normalisé. Les données MRZ sont particulièrement précieuses pour les voleurs d'identité car elles sont conçues pour être analysées par machine et peuvent être utilisées pour falsifier ou valider des documents de voyage et recouper des bases de données d'identité.

Parmi les échantillons divulgués figuraient également des coordonnées bancaires liées apparemment à PNB (Philippine National Bank) et à des comptes USD Holco. Combinées à des données d'identité au niveau du passeport, ce type d'informations financières donne aux attaquants une vision plus complète d'un individu, ce qui augmente le risque de phishing ciblé, de tentatives de prise de contrôle de comptes et de fraudes qui vont bien au-delà de la victime corporate initiale.

Pour LT Group et Fortune Tobacco Corp, un conglomérat philippin diversifié dont les intérêts couvrent le tabac, la banque et d'autres secteurs, une violation touchant des données de passeports et bancaires suggère que l'exposition pourrait s'étendre au-delà des dossiers commerciaux courants jusqu'aux informations personnelles appartenant aux employés, dirigeants ou partenaires commerciaux. Au moment du rapport, l'ampleur totale des personnes concernées n'avait pas été confirmée de manière indépendante.

Pourquoi cela s'inscrit dans un schéma plus large

L'approche de Deadlock reflète ici les tactiques observées dans le paysage des ransomwares tout au long de 2026. Les groupes privilégient de plus en plus les périodes de négociation courtes au profit de délais publics réduits conçus pour faire pression sur les victimes afin qu'elles paient rapidement avant que des dommages à la réputation ne s'installent. C'est une tactique psychologique délibérée : plus le délai est court, moins une organisation a de temps pour consulter un conseil juridique, notifier les régulateurs ou coordonner une réponse mesurée.

Cela reflète également une tendance où les attaquants deviennent plus efficaces pour monétiser les données volées même lorsque les rançons ne sont pas payées. Certains opérateurs de ransomwares ont commencé à expérimenter des moyens de rendre les messages d'extorsion plus difficiles à ignorer, comme on l'a vu dans des rapports sur des ransomwares qui impriment des notes de rançon physiques directement depuis les imprimantes de bureau compromises. Que Deadlock ait utilisé ou non des tactiques d'escalade similaires ici, la stratégie sous-jacente est la même : forcer une réponse avant que la victime n'ait le temps de réfléchir.

Les groupes de ransomwares ont également élargi leur ciblage bien au-delà des secteurs traditionnellement associés à la cybercriminalité. De récents avertissements du FBI concernant le Silent Ransom Group ciblant des cabinets d'avocats montrent que les attaquants sont prêts à s'attaquer à toute organisation détenant des données personnelles ou financières sensibles, en utilisant une ingénierie sociale de plus en plus sophistiquée en complément des méthodes d'intrusion traditionnelles. Les conglomérats de vente au détail, les fabricants et les institutions financières d'Asie du Sud-Est sont des cibles tout aussi viables qu'un cabinet d'avocats occidental, en particulier lorsqu'ils traitent la vérification d'identité au niveau du passeport pour leurs employés ou clients.

Ce que cela signifie pour vous

Si vous avez une quelconque relation avec LT Group, Fortune Tobacco Corp ou des services bancaires affiliés comme PNB, il vaut la peine de prendre cet incident au sérieux, même avant la confirmation officielle de l'ampleur complète. Les données MRZ de passeports combinées à des coordonnées bancaires constituent une base solide pour la fraude d'identité ; il est donc raisonnable de surveiller vos relevés financiers et de vous méfier des communications inattendues faisant référence à des détails de voyage ou bancaires.

Plus largement, cet incident rappelle que le ransomware n'est pas seulement un problème informatique, c'est un problème de vie privée personnelle. Une fois les fichiers exfiltrés, les dommages ne sont pas annulés en payant une rançon ou en restaurant les systèmes. Les données copiées restent copiées, et les échantillons divulgués ne représentent souvent qu'une fraction de ce que les attaquants détiennent réellement.

Points à retenir pratiques

Si vous pensez être lié à cette violation par le biais de votre emploi, de vos activités bancaires ou de vos relations commerciales avec LT Group ou Fortune Tobacco Corp, envisagez ces étapes : surveillez vos comptes bancaires et de crédit pour détecter toute activité inhabituelle, soyez sceptique face aux messages non sollicités faisant référence à des détails de passeport ou de compte, et envisagez de placer une alerte à la fraude auprès de votre banque si vous détenez des comptes dans des institutions concernées. Les organisations qui traitent des données d'identité au niveau du passeport devraient également examiner combien de temps ces dossiers sont conservés et si le chiffrement et les contrôles d'accès correspondent à la sensibilité de ce qui est stocké, car des incidents comme celui-ci montrent que même les grands conglomérats établis restent des cibles attrayantes pour les opérateurs de ransomwares prêts à attendre l'expiration d'un délai de 72 heures avant de passer à la divulgation publique.