Comment fonctionne la négociation en cas de rançongiciel, et comment un négociateur a trahi ses propres clients

Un négociateur de rançongiciels engagé pour représenter des victimes a été condamné à six ans de prison après avoir secrètement collaboré avec des attaquants pour aider à extorquer des rançons plus élevées à ses propres clients. Les procureurs ont déclaré au tribunal que l'accusé « a vendu les victimes mêmes qu'il avait été engagé pour représenter ».

La négociation en cas de rançongiciel est devenue ces dernières années un secteur en croissance rapide mais largement non réglementé. Lorsqu'une entreprise est victime d'une attaque par rançongiciel, elle fait généralement appel à un négociateur tiers spécialisé, qui communique avec les attaquants pour tenter de réduire le montant de la rançon, gérer le processus de paiement et, si possible, obtenir la restitution des données volées.

Ce processus constitue souvent une négociation extrêmement sensible et confidentielle. Les négociateurs agissent comme des spécialistes capables de communiquer directement avec les attaquants, de gérer les transferts en cryptomonnaie et de piloter le processus de manière à protéger la réputation de la victime. En raison de la nature de ce rôle, les négociateurs accèdent à des informations très sensibles sur l'identité, les techniques et les exigences des attaquants.

Dans cette affaire, l'accusé a été reconnu coupable d'avoir abusé de cet accès. Selon les documents judiciaires, l'accusé divulguait aux attaquants des informations sur le montant maximal que ses clients pouvaient se permettre de payer, permettant aux attaquants d'ajuster leurs exigences de rançon plus efficacement. En échange, l'accusé recevait une part de la rançon collectée.

Selon les experts, cette affaire révèle une faiblesse fondamentale du secteur : il n'existe aucun mécanisme formel de certification ou de contrôle permettant de vérifier la fiabilité d'un négociateur. Les entreprises confrontées à une crise sont largement contraintes de choisir un négociateur sur la base de sa réputation et du bouche-à-oreille.

Ce manque de redevabilité est également une source de préoccupation pour les autres acteurs du secteur. Certains experts en cybersécurité notent que le contact régulier des négociateurs avec les attaquants peut, avec le temps, créer des conditions dans lesquelles certains négociateurs développent des relations proches, voire suspectes, avec des groupes d'attaquants.

Cette affaire illustre également à quel point l'écosystème de l'industrie du rançongiciel est devenu complexe dans son ensemble. Dans un écosystème composé d'attaquants, de négociateurs, de compagnies d'assurance et d'experts en criminalistique numérique, les intérêts financiers de chaque acteur peuvent parfois se chevaucher, accentuant les risques liés au manque de transparence et de contrôle.

Les procureurs ont indiqué espérer que la peine infligée à l'accusé serve d'avertissement pour le secteur. Les autorités notent que des cas similaires avaient déjà été considérés avec suspicion, mais que cette affaire compte parmi les premières condamnations fermes étayées par des preuves concrètes.

Selon les experts, les entreprises doivent désormais mener une vérification préalable beaucoup plus rigoureuse lors du choix d'un négociateur. Certaines compagnies d'assurance ont commencé à proposer à leurs assurés des listes de négociateurs présélectionnés et ayant fait l'objet d'une vérification d'antécédents, considérée comme un pas vers une résolution partielle du problème de confiance.

Cette affaire illustre une nouvelle fois à quel point la confiance est une forme de capital fragile dans le monde de la cybersécurité. Une entreprise déjà vulnérable à une attaque peut se retrouver exploitée une seconde fois par la personne même qu'elle avait engagée pour la protéger — signe que le secteur a besoin de bien plus de transparence à l'avenir.