Une fuite présumée de données internes appartenant à Silent Ransom Group (SRG), une opération de cyber-extorsion associée à des attaques contre de grands cabinets d'avocats, a exposé des adresses de cryptomonnaies liées à des millions de dollars de paiements de rançon. Selon la société d'analyse blockchain Chainalysis, le matériel donne aux enquêteurs un aperçu rare de l'endroit où l'argent des victimes a abouti. La fuite des portefeuilles crypto de Silent Ransom Group est une étude de cas utile sur la manière dont les pistes de rançon sont suivies, et sur ce que les particuliers peuvent faire pour réduire leur propre exposition.
Ce que la fuite de SRG a révélé sur les paiements de rançon
La principale conclusion, selon les informations rapportées, est que la fuite présumée des données internes de SRG incluait des adresses de cryptomonnaies liées à des millions de dollars de paiements de rançon. Chainalysis a analysé ces adresses et les a reliées à l'activité d'extorsion du groupe. SRG est associé à des attaques contre de grands cabinets d'avocats, des organisations qui détiennent des dossiers clients sensibles et ont de bonnes raisons d'éviter toute exposition publique.
Il convient d'être prudent sur ce qui est établi et ce qui ne l'est pas. La fuite est décrite comme présumée, de sorte que l'origine et l'exhaustivité des données ne sont pas entièrement confirmées dans les informations dont nous disposons. Ce que la source indique, c'est que Chainalysis a relié les adresses exposées à des paiements de rançon totalisant des millions de dollars. Nous n'avons ici aucun détail sur les victimes individuelles, les montants spécifiques des paiements ou la manière dont les données ont fuité, et nous ne spéculerons pas à leur sujet.
Comment Chainalysis trace les portefeuilles crypto jusqu'aux groupes d'extorsion
Beaucoup de gens supposent que les paiements en cryptomonnaies sont anonymes. En pratique, la plupart des grandes blockchains sont des registres publics. Chaque transaction est visible, et seul le lien entre une adresse et une identité réelle est masqué. Les sociétés d'analyse blockchain s'efforcent de combler cet écart.
Une fuite comme celle-ci aide de manière directe. Lorsque les données internes d'un groupe nomment des adresses de portefeuilles, les analystes disposent d'un point de départ confirmé. À partir de là, ils peuvent suivre les fonds lorsqu'ils circulent entre les portefeuilles, et remonter le fil pour voir quels paiements entrants correspondent à des transactions de victimes connues. Une seule adresse vérifiée peut servir d'ancrage à une carte bien plus vaste de l'activité.
C'est la même approche générale que celle qui sous-tend d'autres actions répressives. Nous l'avons abordée dans notre rapport sur les sanctions de l'UE, des États-Unis et du Royaume-Uni contre « Stern » de Trickbot pour plus de 300 millions de dollars de rançons, où l'analyse blockchain de Chainalysis faisait partie du tableau. Le traçage n'annule pas une attaque, mais il augmente le coût et le risque pour les criminels qui dépendent de l'encaissement.
Pourquoi les cabinets d'avocats et les services grand public continuent d'être ciblés
Les groupes d'extorsion ont tendance à privilégier les victimes dont les données sont précieuses et dont la réputation est fragile. Les cabinets d'avocats correspondent à ce profil : ils détiennent des informations confidentielles sur leurs clients, et une menace de publication peut créer une pression qui dépasse le coût de la restauration des systèmes. C'est la logique derrière l'extorsion par vol de données, où la menace est de divulguer des fichiers plutôt que de simplement les verrouiller.
La même logique s'applique à toute entreprise qui stocke des données personnelles sur ses clients, des prestataires de soins de santé aux services en ligne. Si vous êtes client d'un cabinet qui a été compromis, vos informations peuvent faire partie de ce qui a été volé, même si vous n'avez rien fait de mal. C'est pourquoi les effets en aval d'un incident comme celui-ci dépassent largement l'organisation qui a été attaquée.
Ce que cela signifie pour vous
La plupart des lecteurs ne seront jamais une cible directe de rançon, mais beaucoup sont touchés indirectement lorsqu'une organisation en laquelle ils ont confiance est compromise. Trois points pratiques découlent de cette histoire :
- Les paiements laissent une trace. L'argent des rançons n'est pas aussi intraçable que les criminels l'espèrent, et les fuites au sein de ces groupes peuvent rendre cette trace plus claire. C'est encourageant, mais cela ne protège pas vos données après leur vol.
- Votre exposition dépend souvent des autres. Un cabinet d'avocats, une clinique ou un fournisseur de services qui détient vos dossiers peut être compromis quelles que soient vos propres habitudes. Savoir qui détient vos données sensibles vous aide à réagir plus rapidement.
- La prévention reste primordiale. La récupération après une extorsion est coûteuse et incertaine, donc réduire la probabilité et l'impact d'un incident est le meilleur investissement.
Ce que les utilisateurs soucieux de leur vie privée peuvent faire après une violation de données
Si vous êtes informé qu'une organisation détenant vos données a été compromise, ou si vous souhaitez simplement être préparé, ces étapes sont judicieuses :
- Changez vos mots de passe et activez l'authentification multifacteur (MFA). Priorisez l'e-mail, les services bancaires et tout compte lié à l'organisation concernée. Les applications d'authentification ou les clés matérielles sont généralement plus robustes que les codes SMS.
- Soyez vigilant face au hameçonnage de suivi. Les coordonnées volées sont souvent réutilisées dans des messages frauduleux convaincants. Vérifiez les demandes via un canal en lequel vous avez déjà confiance avant de partager des informations ou de payer quoi que ce soit.
- Vérifiez vos sauvegardes. Conservez au moins une copie hors ligne ou immuable de vos fichiers importants, et testez que vous pouvez réellement les restaurer.
- Limitez ce que vous partagez. Ne donnez aux services professionnels et en ligne que les informations dont ils ont réellement besoin, et demandez combien de temps ils les conservent.
- Ayez un plan de réponse. Sachez qui vous contacteriez, comme votre banque, l'organisation concernée et les autorités compétentes, si vos données apparaissaient dans une fuite.
Continuez à suivre l'utilisation du traçage contre les rançongiciels
La fuite des portefeuilles crypto de Silent Ransom Group montre comment une seule erreur opérationnelle au sein d'un groupe criminel peut fournir aux enquêteurs des pistes précieuses. C'est aussi un rappel que le traçage blockchain est de plus en plus un outil pour les forces de l'ordre et les organismes de sanctions. Pour voir comment cela se traduit en pratique, lisez notre couverture des sanctions contre « Stern » de Trickbot. Ensuite, prenez dix minutes cette semaine pour vérifier vos sauvegardes, confirmer que la MFA est activée sur vos comptes clés, et noter ce que vous feriez si un avis de violation atterrissait dans votre boîte de réception.
