Plongée dans les catégories : Les demandes de Rançonlogiciel ont atteint un niveau record en 2024

Note de l'éditeur : L'article suivant est un extrait de notre rapport sur la criminalité dans le secteur des cryptomonnaies pour l'année 2025. Rapport 2025 sur la criminalité dans le secteur des cryptomonnaiesque nous allons détailler par catégorie de menace au cours des prochaines semaines. Dans les articles précédents, nous avons examiné les volumes globaux de transactions cryptographiques, comment les entités sanctionnées ont alimenté le volume de crypto-monnaies illicites en 2024et les tendances en matière d'utilisation l'utilisation des crypto-monnaies dans le financement du terrorisme au cours de l'année écoulée.

Pour lire le 2025 Crypto Crime Report dans son intégralité et télécharger votre exemplaire, cliquez ici.

{{horizontal-line}}

Le Rançonlogiciel est resté une menace prolifique et croissante en 2024, avec 5 635 attaques signalées publiquement (l'analyse est basée sur les données des sites de fuites de Rançonlogiciel disponibles au 6 janvier 2025 ; exclut les incidents sous-déclarés) - dépassant les 5 223 en 2023. 

Les exigences financières des acteurs du Rançonlogiciel ont également atteint des niveaux sans précédent, comme en témoigne le paiement record de 75 millions de dollars au groupe Dark Angels Rançonlogiciel en mars 2024. Cette escalade des demandes de rançon met en évidence l'audace et la sophistication croissantes des acteurs de la menace, qui utilisent des outils et des techniques de pointe pour maximiser leurs efforts d'extorsion.

Le paysage du Rançonlogiciel et de la criminalité liée aux crypto-monnaies est très fluide, où les normes actuelles sont sujettes à une évolution rapide. Une tendance notable identifiée par l'équipe de renseignement sur les menaces de TRM en 2024 a été le déclin de l'utilisation des mélangeurs de crypto-monnaies pour le blanchiment des produits du Rançonlogiciel . Au lieu de cela, les acteurs de la menace exploitent de plus en plus les ponts entre les chaînes pour obscurcir les transactions et permettre des conversions transparentes de crypto-monnaies avant d'encaisser.

Bien que le bitcoin reste la monnaie principale pour les paiements Rançonlogiciel , une partie substantielle de ces fonds est convertie en aval en d'autres crypto-monnaies. L'utilisation de passerelles offre un moyen plus rapide et plus efficace de convertir des fonds illicites, tout en créant l'illusion d'un plus grand anonymat pour les cybercriminels.

De nouveaux groupes de Rançonlogiciel sont entrés dans le secteur, tandis que d'autres groupes existants ont changé de nom.

2024 a vu l'émergence de plusieurs nouveaux groupes de Rançonlogiciel , dont Brain Cipher, dAn0n, DragonForce, Fog, Funksec, RansomHub, Sarcoma et Trinity. Ces groupes ont rapidement gagné en notoriété grâce à leurs tactiques sophistiquées et à leurs attaques réussies dans divers secteurs d'activité. Par exemple, Trinity a été associé au ciblage d'infrastructures critiques telles que des organismes de santé et des organisations gouvernementales, dont deux fournisseurs de soins de santé basés au Royaume-Uni et aux États-Unis.

Outre les nouveaux venus, plusieurs groupes importants de Rançonlogiciel ont changé de nom ou d'activité afin d'échapper à la surveillance des forces de l'ordre. Parmi les exemples notables, on peut citer la résurgence de groupes tels que Lynx (alias INC), DennistheHitman (alias GlobeImposter) et Qilin (alias Agenda), qui ont adopté des méthodes d'extorsion novatrices pour améliorer leur efficacité. 

Le modèle Rançonlogiciel(RaaS) continue de dominer l'écosystème, permettant à des acteurs moins qualifiés de mener des attaques à fort impact. Les affiliés sont devenus de plus en plus adaptables, passant souvent d'une plateforme à l'autre et d'un groupe à l'autre, comme le montre l'activité de la chaîne. 

Si le paysage du Rançonlogiciel est traditionnellement fortement associé à des acteurs russophones, en particulier au niveau des administrateurs, il s'est diversifié au fil des ans. Les groupes intègrent désormais des affiliés du monde entier possédant un large éventail de compétences linguistiques. Par exemple, DragonForce Rançonlogiciel témoigne de cette évolution, avec des liens avec l'Asie du Nord ou l'Asie centrale, comme le suggèrent les enregistrements audio de ses acteurs associés sur leur site TOR.

Malgré ce changement, les groupes russophones de Rançonlogiciel restent très actifs, avec certains des acteurs les plus sophistiqués du paysage cybercriminel. Nombre de ces groupes sont liés à des attaques très médiatisées, utilisant des techniques de chiffrement avancées, des tactiques d'extorsion innovantes et des modèles RaaS pour étendre leurs opérations.

Les attaques notables en 2024 ont principalement visé les secteurs de la technologie, de la vente au détail et des services financiers.

Les sites de fuites de données ont proliféré, servant de plateformes de dénigrement public et d'extorsion. Ces sites sont de plus en plus utilisés dans le cadre de stratégies d'extorsion à plusieurs niveaux, exerçant une pression supplémentaire sur les victimes pour qu'elles paient une rançon en publiant leur nom et les coordonnées de leur entreprise.

Les attaques de Rançonlogiciel en 2024 ont continué à cibler des secteurs critiques, causant des perturbations généralisées - les trois principaux secteurs étant la technologie, la fabrication et les services professionnels (l'analyse est basée sur les données du site de fuite de Rançonlogiciel disponibles au 6 janvier 2025 ; elle exclut les incidents sous-déclarés). Les tendances à l'horizon 2025 suggèrent que les groupes Rançonlogiciel continueront à cibler les soins de santé et les infrastructures critiques, les vulnérabilités de la chaîne d'approvisionnement et les fournisseurs de services en nuage afin de maximiser leur efficacité et leur impact.

• Soins de santé et infrastructures critiques : Les systèmes de santé restent une cible privilégiée, les attaques entraînant des perturbations importantes dans les soins et les activités des patients. Les attaques contre des organisations telles que Change Healthcare et PIH Health soulignent la vulnérabilité des services essentiels aux cybermenaces.

• compromission de la chaîne d'approvisionnement : Les attaquants se concentrent de plus en plus sur les fournisseurs et les prestataires de services tels que CDK Global et Blue Yonder afin de maximiser les impacts en aval. Cette tactique a particulièrement perturbé les secteurs de la technologie et de la fabrication, où les dépendances sont importantes.

• Fournisseurs de services en nuage : Des attaques très médiatisées ont visé des fournisseurs de services en nuage, entraînant l'exposition de données sensibles et des interruptions de service à l'échelle mondiale. En juin 2024, des attaques par vol de données ont visé les clients de la plateforme de données en nuage Snowflake, entraînant des violations dans des entreprises comme AT&T, Ticketmaster et Santander Bank. Les attaquants ont obtenu des identifiants de connexion par le biais d'un logiciel malveillant de type infostealer, compromettant ainsi les données sensibles des clients.

La collaboration internationale est essentielle pour perturber les acteurs du Rançonlogiciel

En 2024, les efforts mondiaux de lutte contre le Rançonlogiciel comprenaient des collaborations internationales majeures telles que l'opération Cronos, qui a perturbé l'infrastructure de LockBit, et l'opération Endgame, qui visait les réseaux de Rançonlogiciel à travers l'Europe. La Counter Rançonlogiciel Initiative (CRI) a réuni 68 pays pour renforcer les stratégies de lutte contre le Rançonlogiciel, tandis que des sanctions ont été prises à l'encontre de personnalités clés de groupes comme Evil Corp. La collaboration accrue entre les entités publiques et privées a joué un rôle déterminant dans ces succès. L'échange de renseignements en temps réel et les opérations conjointes ont permis d'accroître les ressources et d'interrompre rapidement les attaques en cours, soulignant ainsi l'importance de partenariats solides dans la lutte contre le Rançonlogiciel.

{{horizontal-line}}

Prochain volet de cette série : Nous examinons de plus près les pertes de crypto-monnaies dues aux piratages et aux exploits en 2024 - et détaillons les principales attaques menées par la Corée du Nord l'année dernière.

Prêt à vous plonger dans l'intégralité du rapport 2025 sur la criminalité dans le secteur des cryptomonnaies? Obtenez votre exemplaire ici.