« Ransom Busters » : de fausses entreprises de récupération dissimulent une arnaque liée aux rançongiciels

Une nouvelle variante d'un vieux manuel d'extorsion

Les gangs de rançongiciels ont longtemps compté sur la peur et l'urgence pour faire pression sur les victimes afin qu'elles paient. Aujourd'hui, selon des révélations sur un stratagème baptisé « Ransom Busters », au moins un affilié de rançongiciel a trouvé un nouvel angle : se faire passer pour les personnes mêmes censées aider les victimes à se rétablir.

Au lieu de simplement exiger un paiement puis de disparaître après l'attaque, cet acteur approcherait les victimes avec des offres d'assistance, se présentant comme un service de remédiation d'incident. Le piège, c'est que cette « aide » n'est pas neutre. Elle semble conçue pour détourner les paiements de rançon des canaux légitimes et les réorienter vers les poches du même écosystème criminel à l'origine de la brèche.

C'est un changement de tactique significatif. Les opérations de rançongiciels traditionnelles reposent sur une transaction simple, bien que brutale : chiffrer les données, exiger un paiement, fournir une clé de déchiffrement (peut-être). En insérant une fausse couche de récupération dans ce processus, les attaquants peuvent manipuler des victimes désespérées à deux reprises, une fois lors de la brèche initiale, et une autre fois pendant qu'elles cherchent un moyen d'en sortir.

Pourquoi les victimes sont particulièrement vulnérables à ce stratagème

Les organisations touchées par un rançongiciel fonctionnent souvent en mode crise. Les systèmes sont hors service, les dirigeants sont sous pression, et les décideurs cherchent désespérément une voie crédible pour restaurer les opérations. Cet environnement est précisément ce qui rend un faux « service de récupération » efficace. Les victimes ne vérifient pas nécessairement chaque offre d'aide d'un œil sceptique ; elles recherchent une résolution rapide.

Cette tactique s'appuie également sur une tendance plus large des acteurs de rançongiciels à brouiller la frontière entre attaquant et aidant. Elle fait écho à d'autres cas récents où des acteurs malveillants ont usurpé des rôles de confiance pour obtenir un accès ou de l'influence, comme le Silent Ransom Group se faisant physiquement passer pour du personnel informatique dans des cabinets d'avocats pour manipuler les employés de l'intérieur. Que l'usurpation se produise en personne ou via une fausse marque de récupération, l'objectif est le même : exploiter la confiance au moment précis où une organisation est la moins équipée pour vérifier à qui elle a réellement affaire.

Les groupes de rançongiciels ont également montré qu'ils étaient prêts à cibler un large éventail de secteurs lorsque l'occasion se présente, comme on l'a vu lorsque le groupe SpaceBears a frappé le fournisseur de télécommunications français Stellar. Des tactiques comme le stratagème « Ransom Busters » suggèrent que même après une attaque initiale, les victimes de tous les secteurs ne peuvent pas supposer que le danger est passé une fois les négociations entamées.

Les conséquences sur la vie privée des faux services de récupération

Les implications pour la vie privée vont ici au-delà de l'aspect financier. Lorsqu'une victime s'engage avec ce qu'elle croit être un service de récupération légitime, elle peut partager des détails sensibles sur son réseau, son exposition des données, sa prise de décision interne, et même sa volonté de payer. Si ce « service » est en réalité contrôlé par l'attaquant, ou affilié à lui, toutes ces informations retournent directement aux personnes responsables de la brèche.

Cela crée une boucle de rétroaction qui profite à l'attaquant à chaque étape : il est payé, il obtient des renseignements sur la façon dont la victime réagit, et il peut même avoir une seconde chance d'extraire de l'argent sous couvert d'une assistance légitime. Pour toute organisation déjà confrontée à des données compromises, ce genre de stratagème multiplie l'exposition au lieu de la résoudre.

Ce que cela signifie pour vous

Si votre organisation est un jour frappée par un rançongiciel, la pression pour trouver une solution rapide peut être intense, mais ce stratagème rappelle que toutes les offres d'aide en période de crise ne sont pas authentiques. Les entreprises de remédiation, les négociateurs et les consultants en cybersécurité doivent toujours être vérifiés de manière indépendante, idéalement par le biais de recommandations, de réputations établies ou de votre assureur cyber, plutôt que par des contacts qui surgissent de façon non sollicitée juste après une attaque.

Il vaut également la peine de se rappeler que les entreprises légitimes de réponse aux incidents n'apparaissent généralement pas de nulle part avec des offres non sollicitées immédiatement après une brèche. Toute démarche inattendue prétendant aider à la négociation de rançon ou à la récupération de données mérite un examen supplémentaire avant que des informations, ou de l'argent, ne changent de mains.

Points clés à retenir

• Vérifiez tout service de remédiation ou de négociation d'incident par des canaux indépendants et de confiance avant de vous engager, surtout s'ils vous contactent en premier.
• Impliquez rapidement les forces de l'ordre et votre assureur cyber ; ils peuvent aider à distinguer les partenaires de récupération légitimes des acteurs opportunistes.
• Évitez de partager des informations détaillées sur votre brèche, vos systèmes ou vos intentions de paiement avec toute partie dont les références n'ont pas été confirmées.
• Traitez les offres d'aide non sollicitées après une brèche avec le même scepticisme que vous appliqueriez à la note de rançon originale.

Des stratagèmes comme « Ransom Busters » montrent que l'extorsion par rançongiciel ne se termine pas toujours lorsque la note de rançon apparaît. Rester prudent quant à qui vous faites confiance dans les retombées d'une attaque est tout aussi important que de vous défendre contre la brèche initiale.