Le ransomware ne se limite plus à chiffrer des réseaux et à exiger une rançon. Selon les informations d'EscudoDigital, le nombre de chercheurs et d'employés d'entreprises touchées par un ransomware qui reçoivent des colis intimidants à la porte de leur domicile augmente. Les menaces physiques envers les employés par le ransomware déplacent la pression du serveur vers le salon de la maison, et transforment quelque chose d'aussi banal qu'une adresse postale en une donnée sensible.
L'article original est bref et ne détaille ni le contenu des colis ni les groupes qui se cachent derrière. C'est pourquoi nous nous concentrons ici sur ce que l'on sait réellement et sur les mesures pratiques que toute personne peut prendre, qu'elle travaille ou non dans la cybersécurité.
Comment l'extorsion par ransomware arrive jusqu'à la porte de la maison
La logique de l'extorsion est simple : plus une victime subit de pression, plus elle est susceptible de payer. Pendant des années, cette pression a été numérique : fichiers chiffrés, menaces de publier des données, appels aux clients. L'envoi de colis intimidants ajoute une couche différente, car il vise à effrayer des personnes précises et pas seulement une organisation.
Selon les informations publiées, les destinataires incluent aussi bien des chercheurs qui suivent ces groupes que des employés d'entreprises ayant subi une attaque. Cela signifie qu'il n'est pas nécessaire d'être un expert en menaces pour être dans le collimateur : il suffit de travailler dans la mauvaise entreprise au mauvais moment.
L'objectif de ces tactiques est généralement l'intimidation. Un message qui arrive au domicile transmet que l'attaquant sait où tu vis, et cette sensation fait partie de la pression.
Comment les attaquants trouvent une adresse personnelle
La source n'explique pas comment ils obtiennent les adresses, il convient donc de parler en termes généraux. Une adresse personnelle est rarement un secret bien gardé. Elle peut apparaître à plusieurs endroits :
- Les fiches des intermédiaires de données (data brokers), qui collectent et vendent des profils avec nom, adresse et téléphone.
- Les registres publics, comme ceux des propriétés ou de constitution de sociétés, selon le pays.
- Les profils sociaux et professionnels, avec ville, employeur, photos du quartier ou publications géolocalisées.
- Les fuites antérieures, où des données personnelles d'autres incidents continuent de circuler.
- Les données internes de l'entreprise attaquée, si les intrus ont eu accès à des fichiers du personnel.
Ce dernier point est pertinent. Lorsque les attaquants passent du temps à l'intérieur d'un réseau, ils peuvent voir bien plus que les systèmes. Dans le cas d'une PME mexicaine qui a passé trois mois avec des attaquants cachés dans son réseau avant de s'en rendre compte, il est clair combien de marge peut exister entre l'intrusion et le moment où commence l'extorsion.
Réduire ton exposition : data brokers, registres publics et profils sociaux
L'anonymat total n'existe pas, mais il est possible de rendre beaucoup plus difficile la tâche de quelqu'un qui cherche à te localiser. Un bon point de départ :
- Cherche ton nom. Essaie avec ton nom et prénom, ton téléphone et ton adresse dans les moteurs de recherche et les annuaires de personnes. Note où apparaît ton domicile.
- Demande la suppression auprès des intermédiaires de données. Beaucoup proposent des formulaires d'exclusion. C'est un processus fastidieux et les données peuvent réapparaître, il convient donc de le répéter régulièrement.
- Vérifie les registres publics. Si ton adresse figure dans l'un d'eux, renseigne-toi pour savoir s'il existe une option d'utiliser une adresse alternative, comme celle d'une boîte postale ou d'un domicile professionnel.
- Nettoie tes profils. Retire la ville, le quartier, les photos avec des références reconnaissables de ta maison et les publications avec localisation en temps réel. Limite qui peut voir tes publications.
- Sépare le personnel du professionnel. Utilise un courriel et un téléphone différents pour les inscriptions et les achats, et évite de lier ton identité professionnelle à ta vie privée.
- Demande à ton entreprise. Si tu travailles dans la sécurité ou dans une organisation qui a subi une attaque, demande quelles données personnelles te concernant sont dans les systèmes internes et qui y a accès.
Que faire si tu reçois un colis menaçant
Si un envoi suspect ou intimidant arrive, ta priorité est ta sécurité :
- Ne l'ouvre pas si tu n'attendais pas le colis ou s'il te fait douter, et garde-le à l'écart des autres personnes, en particulier des enfants et des animaux de compagnie.
- Avertis les autorités et suis leurs indications. Une menace physique est une affaire policière, pas seulement informatique.
- Informe ton entreprise, son équipe de sécurité et le responsable de réponse aux incidents, afin qu'ils évaluent le risque pour d'autres collègues.
- Documente tout : photographies du colis, de l'expéditeur, de l'étiquette et de tout message associé, sans manipuler le contenu.
- Vérifie ton environnement numérique : change les mots de passe importants, active l'authentification à deux facteurs et vérifie si tes données sont apparues dans de nouvelles listes.
- Parle avec ta famille de ce qu'il faut faire face à des envois étranges ou des visites inattendues.
Ce que cela signifie pour toi
Si tu travailles dans la cybersécurité, ton adresse fait partie de ta surface de risque, au même titre qu'un serveur exposé. Si tu travailles dans n'importe quelle autre entreprise, la leçon est similaire : une brèche corporate peut finir par affecter ta vie privée. La bonne nouvelle, c'est que la plupart des mesures sont gratuites et à ta portée : limiter ce que tu publies, demander la suppression des listes et savoir à l'avance qui appeler.
Conclusion et prochaines étapes
Les menaces physiques envers les employés par le ransomware montrent que l'extorsion numérique peut franchir l'écran. Il n'y a pas de raison de paniquer, mais il y a lieu de se préparer. Cette semaine, consacre une demi-heure à auditer ta propre exposition : cherche ton nom, localise ton adresse dans les annuaires et demande la suppression, et vérifie la visibilité de tes profils publics. Ensuite, parcours le cas de la PME mexicaine attaquée pendant trois mois pour comprendre combien de temps les attaquants peuvent rester dans un réseau avant que l'extorsion ne commence. Moins tes données sont à la portée de n'importe qui, moins elles seront utiles à celui qui tente de t'intimider.
