Tech • IA • Robotique • Jeu
Il négocie les rançons de hackers
5/10INTRO
Un petit milieu mondial de négociateurs cyber aide les entreprises et les organismes publics à réduire les demandes de rançon liées aux ransomwares, à vérifier ce que les attaquants ont réellement volé et à naviguer entre les risques juridiques et moraux d’un paiement.
POINTS CLÉS
D’un premier cas accidentel à un rôle de spécialiste
Le négociateur explique être entré dans ce domaine après avoir aidé un proche dont l’ordinateur avait été chiffré puis déverrouillé seulement après un paiement d’environ 800 à 900 euros en Bitcoin. Depuis, il dit avoir traité plus de 600 cas en environ 10 ans, passant de simples incidents touchant des particuliers à des négociations complexes pour des entreprises et des administrations.
Un marché porté par les assureurs
La plupart des missions viennent désormais des assureurs en cyberassurance plutôt que directement des victimes. En cas d’incident couvert, les entreprises doivent généralement prévenir leur assureur dans les 24 premières heures; le négociateur est alors mandaté pour évaluer la demande, contacter la victime et entamer les échanges avec les attaquants.
Des groupes professionnels qui se comportent comme des entreprises
Les négociations se déroulent généralement soit par e-mail avec les attaquants les moins sophistiqués, soit via des portails de discussion dédiés gérés par les groupes de ransomware. Parmi les noms connus de cet écosystème figurent DragonForce, Play et Lynx. Les groupes les plus professionnels adoptent souvent un ton mesuré et quasi commercial, tandis que les opérateurs moins expérimentés sont plus erratiques et agressifs.
Le respect et la posture peuvent influencer le prix
Le négociateur dit que les messages hostiles ne sont pas toujours accueillis avec conciliation. Son approche consiste à résister jusqu’à ce que les attaquants cessent de chercher à dominer l’échange, puis à reprendre le contrôle de la discussion. Selon lui, beaucoup d’accords se concluent désormais en trois à quatre jours, contre 10 à 14 jours il y a quelques années, car les attaquants ont moins de temps pour garder une emprise exclusive sur leur victime.
Premier objectif: vérifier les données volées et la capacité de déchiffrement
Une demande clé au début est l’arborescence des fichiers, c’est-à-dire la liste des répertoires montrant quelles données ont été prises. Cela peut donner aux victimes une vision plus claire que leurs propres journaux, surtout lorsque les systèmes sont chiffrés. Le négociateur demande aussi une preuve que les attaquants peuvent déchiffrer les fichiers, en envoyant quelques échantillons chiffrés et en demandant leur restauration, afin de vérifier qu’un outil de déchiffrement fonctionnel existe.
Ce que les criminels volent le plus souvent
Contrairement aux craintes fréquentes, les attaquants ne volent pas toujours des systèmes de messagerie entiers ni des bases de données complètes. Les volumes exfiltrés se situeraient généralement entre 50 Go et 600 Go, avec une priorité donnée aux documents Word, PDF, Excel et PowerPoint, notamment les contrats, les listes clients et les dossiers RH comme les données de paie. Des vols plus massifs augmentent le risque de détection, ce qui limite souvent ce que les attaquants tentent d’extraire.
Les documents d’assurance peuvent faire grimper la rançon
L’une des erreurs les plus coûteuses consiste à laisser des polices de cyberassurance sur des serveurs accessibles. Si les attaquants découvrent les plafonds de couverture, ils peuvent ajuster leurs exigences en conséquence. Une demande proche de 4,5 millions de dollars contre une entreprise assurée jusqu’à 5 millions de dollars est un signe fort que les criminels savent exactement jusqu’où pousser.
Les rançons typiques sont plus basses que ne le laissent croire les cas médiatisés
L’attention publique se concentre souvent sur des extorsions de plusieurs millions, mais le négociateur affirme que la plupart des paiements sont bien plus faibles. Pour les PME comptant jusqu’à environ 150 utilisateurs, les demandes se règlent souvent entre 30 000 et 100 000 dollars. Les entreprises plus grandes peuvent faire face à 250 000 à 300 000 dollars, tandis que les accords au-delà de 500 000 à 600 000 dollars sont décrits comme relativement rares.
Comment les prix sont réduits
Les attaquants ouvrent souvent autour de 10 à 12 % du chiffre d’affaires d’une entreprise, puis testent la liquidité disponible. Dans un cas récent impliquant une société de 50 personnes, une demande initiale de 700 000 dollars a été ramenée à 150 000 dollars après exposition de ses limites financières. La victime doit généralement avancer le paiement avant tout remboursement éventuel de l’assureur.
Les vérifications juridiques portent sur les sanctions, pas sur une interdiction générale de payer
Payer un criminel n’est pas automatiquement illégal en soi, mais payer une entité sanctionnée ou terroriste peut l’être. Avant tout transfert, les négociateurs effectuent une vérification de sanctions à partir d’indicateurs comme les adresses de portefeuille et d’autres traces techniques. Une réponse peut arriver en environ quatre heures. Si un groupe est lié à une organisation interdite, le paiement est en général exclu.
Une profession minuscule, avec des risques de corruption
Le négociateur estime qu’il n’existe qu’environ 50 négociateurs officiels dans le monde. Selon lui, ce travail ne devrait pas être rémunéré en pourcentage des économies réalisées, car cela créerait un conflit d’intérêts. Les honoraires sont donc généralement fixes, d’environ 3 000 à 4 000 euros pour les petits dossiers à 15 000 à 20 000 euros pour les plus importants, souvent pris en charge par l’assurance.
La clarté morale reste insaisissable
La recommandation publique standard reste de ne pas payer, car chaque paiement finance de futures attaques. Pourtant, pour une entreprise employant 2 000 ou 3 000 personnes, avec une activité paralysée et des factures bloquées, la décision est rarement abstraite. En pratique, la négociation vise à minimiser le paiement tout en aidant la victime à rétablir ses opérations et à limiter les dommages plus larges.
CONCLUSION
Les négociations liées aux ransomwares sont devenues un service structuré, à forts enjeux, au croisement de l’extorsion criminelle, de la survie des entreprises et des politiques publiques. La tension centrale demeure irrésolue: chaque paiement peut renforcer ce marché, mais pour certaines victimes, l’alternative peut être l’effondrement opérationnel.
Explique-moi