Un tribunal suisse a prononcé une peine de près de 13 ans à l'encontre d'un Ukrainien de 52 ans reconnu coupable d'avoir développé la souche de rançongiciel Nefilim, clôturant ainsi une affaire qui remonte à une cyberattaque de 2020 contre Stadler Rail. Cette condamnation marque l'une des poursuites les plus significatives liées à un rançongiciel à s'être déroulée dans un tribunal européen, et elle offre une fenêtre utile sur le fonctionnement réel des opérations de rançongiciels, et sur ce qui se passe lorsque les victimes refusent de payer.
D'un incident malveillant à une condamnation pour rançongiciel
Lorsque Stadler Rail a été touchée en 2020, l'entreprise n'a pas initialement employé le terme « rançongiciel ». À l'époque, elle a décrit l'incident comme impliquant uniquement un logiciel malveillant qui « a très probablement entraîné une fuite de données », et a déclaré que les attaquants avaient tenté d'extorquer une somme d'argent importante, menaçant de divulguer les fichiers volés si la rançon n'était pas payée. Stadler a refusé de payer à ce moment-là, tout comme elle l'a fait à la suite d'un incident distinct cette année. Ce refus a ouvert la voie à une enquête pénale qui a finalement permis d'identifier l'individu derrière le code du rançongiciel Nefilim utilisé lors de l'attaque.
Nefilim faisait partie d'une vague de familles de rançongiciels qui combinaient le chiffrement de fichiers avec le vol de données, une tactique souvent appelée double extorsion. Plutôt que de simplement verrouiller les systèmes d'une victime, les opérateurs commençaient par exfiltrer des fichiers sensibles, puis menaçaient de les publier publiquement si la victime ne payait pas. Cette approche faisait peser une pression supplémentaire sur les organisations, car même une solide stratégie de sauvegarde ne pouvait pas protéger contre les conséquences réputationnelles et réglementaires d'une fuite de données publique. Notre couverture précédente du procès de Zurich sur le rançongiciel détaillait comment les procureurs ont construit leur dossier, demandant une peine de 12 ans avant que le tribunal n'impose finalement une sentence de près de 13 ans.
Pourquoi cette affaire compte au-delà de la Suisse
Les poursuites liées aux rançongiciels qui aboutissent à de longues peines de prison restent relativement rares, en grande partie parce que de nombreux opérateurs travaillent depuis des juridictions qui rendent l'extradition ou l'arrestation difficiles. Cette affaire est notable précisément parce qu'elle a abouti à un individu identifiable, à un procès pénal et à une peine substantielle prononcée par un tribunal suisse. Elle démontre que les forces de l'ordre et les procureurs peuvent, dans certaines circonstances, retracer avec succès un code de rançongiciel jusqu'à son développeur et tenir cette personne responsable des années après l'attaque initiale.
L'affaire renforce également un schéma qui apparaît de manière récurrente dans les incidents de rançongiciels : les victimes qui refusent de payer ne subissent pas nécessairement de pires conséquences, et payer une rançon n'offre aucune garantie que les données volées ne seront pas divulguées de toute façon. La décision de Stadler Rail de ne pas payer en 2020, et de nouveau cette année, s'aligne avec les recommandations des chercheurs en sécurité et des agences d'application de la loi qui conseillent généralement de ne pas financer les opérations de rançongiciels, puisque le paiement n'annule pas une violation et finance souvent d'autres activités criminelles.
Ce que cela signifie pour vous
Pour la plupart des lecteurs, cette affaire ne constitue pas une menace directe, mais elle rappelle comment les opérations de rançongiciels fonctionnent réellement en coulisses. Des attaques comme celle contre Stadler Rail commencent généralement par des identifiants volés, des courriels d'hameçonnage ou des vulnérabilités logicielles exploitées, et non par une force imparable. Les individus qui écrivent et déploient du code de rançongiciel sont des personnes qui peuvent, dans certains cas, être identifiées, poursuivies et condamnées, même des années après qu'une attaque a eu lieu.
Si vous travaillez dans une organisation qui traite des données sensibles, cette affaire souligne l'importance de partir du principe que toute intrusion réussie pourrait impliquer un vol de données, et pas seulement un chiffrement. Les stratégies de sauvegarde seules ne suffisent pas. Les organisations ont besoin de plans de réponse aux incidents qui prennent en compte la possibilité de fichiers divulgués, et elles doivent décider de leur position sur le paiement de rançons avant qu'une attaque ne se produise, et non pendant le chaos de celle-ci. Pour les utilisateurs individuels, la conclusion est similaire à ce que nous recommandons depuis longtemps : des mots de passe forts et uniques, l'authentification multifacteur et une manipulation prudente des pièces jointes et des liens dans les courriels restent les défenses les plus efficaces contre les techniques d'accès initial qui rendent possibles les attaques par rançongiciel.
Points clés à retenir
Cette condamnation montre que les opérateurs de rançongiciels ne sont pas intouchables, et qu'un travail d'enquête patient peut finalement relier un morceau de code malveillant à la personne qui l'a écrit. Pour les organisations, l'affaire renforce la valeur de refuser les demandes de rançon et de se préparer à des scénarios de fuite de données plutôt que de supposer que le chiffrement est le seul risque. Pour les individus, c'est un rappel que les attaques par rançongiciel commencent presque toujours par une défaillance de sécurité banale, un mot de passe faible, un système non mis à jour ou une tentative d'hameçonnage réussie, autant d'éléments qui sont évitables avec une hygiène de sécurité de base. À mesure que davantage d'affaires de rançongiciels arrivent devant les tribunaux, attendez-vous à un examen continu de la manière dont ces opérations sont financées, gérées et finalement démantelées.
