Une opération de ransomware jusqu’alors inconnue, se faisant appeler ExfilSquad, a fait une entrée particulièrement agressive sur la scène de l’extorsion, en publiant 14 revendications de violations distinctes en une seule journée. Parmi les noms associés au site de fuite du groupe figurent Microsoft et Zenith Bank, deux organisations dont la taille et la notoriété garantissent qu’elles retiendront l’attention, que les revendications résistent ou non à un examen approfondi.

Ce dernier point est important. Les sites de fuite des ransomwares sont, par conception, des outils marketing pour les groupes criminels. Une longue liste de victimes publiée dès le premier jour vise à signaler une capacité opérationnelle et à attirer la couverture médiatique, mais elle ne confirme pas automatiquement qu’une violation a eu lieu, que des données ont réellement été exfiltrées ou que le groupe dispose de l’accès qu’il prétend avoir. Savoir comment interpréter ces revendications est tout aussi important que d’y réagir.

Un nouveau groupe émerge : ce que revendique ExfilSquad

Le lancement d’ExfilSquad est surtout remarquable par son volume. Quatorze revendications de violations publiées en une seule fois représentent un lot important pour un groupe entièrement nouveau, ce qui place ExfilSquad dans la même conversation que des opérations de ransomware-as-a-service plus établies, qui ont mis des mois, voire des années, à construire leur infrastructure et leurs réseaux d’affiliés. Les nouveaux groupes regroupent parfois d’anciennes intrusions non publiées avec de nouvelles pour donner à leur site de fuite une apparence plus active qu’elle ne l’est réellement, et il arrive aussi qu’ils recyclent sous une nouvelle marque des données issues de violations déjà divulguées ailleurs.

La présence d’une entreprise comme Microsoft dans la liste attirera probablement une attention démesurée en raison de sa seule notoriété, mais les grandes entreprises sont également des cibles fréquentes d’intrusions réelles comme de fausses revendications, précisément parce que la valeur de leur marque rend toute allégation digne d’intérêt. L’inclusion de Zenith Bank suit un schéma similaire, observé dans tout l’écosystème des ransomwares, où les institutions financières constituent des cibles attractives en raison de la sensibilité des données clients et de la pression visant à éviter les conséquences réglementaires et réputationnelles.

À ce stade, les revendications doivent être considérées comme non vérifiées. Cela ne signifie pas qu’il faille les écarter, mais que les lecteurs et les organisations concernées doivent attendre une confirmation, qu’elle provienne des entreprises elles-mêmes, de chercheurs indépendants en sécurité ou de preuves forensiques telles que des échantillons de données publiés sur le site de fuite.

Pourquoi la vérification de la crédibilité est importante pour les revendications de fuite de ransomware

Le modèle d’extorsion par ransomware repose sur la pression, et la pression fonctionne mieux lorsqu’elle est publique. Les groupes publient des noms de victimes, parfois accompagnés de comptes à rebours ou d’échantillons de fichiers, afin de pousser les organisations à payer avant une échéance. Cette dynamique est devenue plus courante à mesure que le volume global de l’activité ransomware a augmenté ; des données récentes sur les tendances des ransomwares à l’horizon 2026 montrent un doublement du nombre de victimes d’une année sur l’autre, parallèlement à une hausse des tactiques d’extorsion qui n’impliquent pas toujours le chiffrement des fichiers.

Une analyse de crédibilité examine généralement plusieurs facteurs : le groupe a-t-il publié des échantillons de données vérifiables, la victime présumée a-t-elle reconnu un incident, le groupe a-t-il des antécédents de revendications exactes, et les détails techniques correspondent-ils aux méthodes d’intrusion connues. Les nouveaux groupes sans antécédents méritent une attention particulière, car les revendications exagérées ou entièrement fabriquées ne sont pas inédites dans cet espace, surtout lorsqu’un groupe tente d’établir rapidement une réputation.

Il convient également de rappeler que, même lorsqu’une revendication de violation est exacte, la quantité et la sensibilité des données volées peuvent varier considérablement. Les recherches ont montré à maintes reprises que la détection accuse un retard important par rapport au vol de données ; une étude récente a révélé que près de la moitié des victimes de ransomware perdent des données avant même de détecter l’attaque, ce qui signifie que l’écart entre une intrusion et la divulgation publique peut s’étendre sur des semaines, voire des mois.

Ce que cela signifie pour vous

Si vous êtes client, employé ou partenaire de l’une des organisations citées, la démarche la plus utile pour le moment est la patience, associée à des précautions de base. Surveillez les déclarations officielles de Microsoft ou de Zenith Bank, car les grandes organisations dotées d’équipes de sécurité dédiées publient généralement des recommandations lorsqu’un incident authentique est confirmé. Dans l’intervalle, il est raisonnable de vérifier la sécurité de vos propres comptes, en particulier la réutilisation des mots de passe et l’authentification multifacteur, car toute violation impliquant des identifiants peut avoir des répercussions bien au-delà de la cible initiale.

Pour les entreprises de manière plus générale, le déploiement rapide d’ExfilSquad rappelle que le paysage des ransomwares continue de s’étendre, rendant plus difficile la distinction entre le signal et le bruit. De nouveaux groupes émergent, se rebaptisent ou se séparent d’opérations existantes en permanence, et certaines recherches suggèrent que les outils d’IA aident les attaquants à agir plus vite et de manière plus convaincante que par le passé. Les organisations devraient considérer chaque revendication publiée sur un site de fuite comme digne d’enquête, sans y croire automatiquement, tout en prenant le risque sous-jacent suffisamment au sérieux pour vérifier leur propre exposition.

Les entreprises qui subissent un incident confirmé doivent également être conscientes que leur réponse a une portée juridique. Payer une demande d’extorsion peut entraîner un risque réglementaire selon l’affiliation du groupe, et les entreprises qui envisagent de payer une rançon doivent comprendre l’exposition aux sanctions que cela implique avant de prendre cette décision.

Points d’action concrets

Pour les particuliers : surveillez les communications officielles des organisations citées, activez l’authentification multifacteur lorsqu’elle est disponible et évitez de réutiliser les mots de passe d’un service à l’autre.

Pour les entreprises : vérifiez les revendications de violation par l’intermédiaire de votre propre équipe de sécurité ou de sources de renseignement sur les menaces fiables avant de réagir publiquement, maintenez des plans de réponse aux incidents à jour et assurez-vous que les systèmes de sauvegarde et de détection sont testés régulièrement afin que les intrusions soient détectées avant qu’une exfiltration de données à grande échelle ne se produise.

L’arrivée d’ExfilSquad ajoute un nom de plus à un champ déjà encombré de groupes de ransomwares, et ses 14 victimes alléguées méritent un examen minutieux plutôt qu’une alarme immédiate. Pour toute personne liée aux organisations citées, l’approche la plus sûre consiste à rester informé par des canaux vérifiés, à renforcer l’hygiène de sécurité personnelle et organisationnelle, et à considérer les revendications non vérifiées des sites de fuite comme un appel à la prudence, et non comme une confirmation.