États-Unis : un « piston » du ransomware inculpé pour avoir payé 8 M$ de rançons

L'acte d'accusation, rendu public mercredi, reproche à Zohar Pinhasi d'avoir orchestré ce système entre juin 2018 et juin 2023. Il fait face à deux chefs de fraude électronique et un chef de complot.

Pinhasi dirigeait MonsterCloud, une entreprise qui se vantait de récupérer des données chiffrées sans payer de rançon. Son site web promettait des « techniques de déchiffrement avancées et des technologies de pointe ». En réalité, selon les procureurs, la société ne possédait aucun tel outil. Pinhasi et ses associés contactaient directement les attaquants, payaient la rançon, puis gardaient la différence entre le montant versé aux criminels et celui facturé aux victimes. Cet écart formait le cœur de la fraude, transformant une faille de sécurité en source de revenus pour la direction.

L'écart était flagrant.

Dans un cas cité dans l'acte d'accusation, Pinhasi aurait payé environ 8 200 dollars à un groupe de ransomware. Il a ensuite facturé la victime 150 000 dollars. Dans un autre incident, autour d'octobre 2021, la rançon s'élevait à environ 236 000 dollars, tandis que le client a été facturé environ 380 000 dollars. Selon The Register, les montants totaux étaient considérables : plus de 19 millions de dollars facturés aux clients, dont plus de 8 millions de dollars versés directement aux opérateurs de ransomware.

Joseph Nocella Jr., procureur fédéral pour le district Est de New York, a déclaré que Pinhasi a « revictimisé ses clients tout en extrayant un profit substantiel ». James C. Barnacle Jr., directeur adjoint du FBI, a ajouté que Pinhasi a transformé la crise des victimes en centre de profit. Pinhasi s'est rendu aux autorités mercredi, a plaidé non coupable et a été libéré contre une caution de 2 millions de dollars.

Le système reposait sur une tromperie spécifique concernant les « preuves de récupération ». BleepingComputer a rapporté que MonsterCloud fournissait des fichiers échantillons déchiffrés pour rassurer les victimes. L'acte d'accusation suggère toutefois que ces échantillons provenaient des opérations de ransomware elles-mêmes, masquant le fait qu'une rançon avait été payée. Certains contrats mentionnaient la possibilité de communiquer avec des cybercriminels, mais les procureurs soutiennent que traiter avec les attaquants était généralement la première étape, et non un dernier recours comme l'impliquaient les contrats.

Cette affaire met en lumière une tendance croissante dans l'écosystème du ransomware, où la phase de réponse post-incident devient une cible de fraude. Alors que les attaques progressent, la pression sur les équipes informatiques pour une récupération rapide crée un environnement propice à l'exploitation. The Register a noté que le site de Pinhasi contenait des témoignages d'au moins un porte-parole rémunéré. En mai 2019, ce dernier a contacté Pinhasi avec des questions sur ses pratiques. Pinhasi aurait admis à l'époque que MonsterCloud ne disposait d'aucune technologie propriétaire pour déchiffrer les données.

Le contexte des menaces de ransomware s'est intensifié ces derniers mois. Selon un rapport de Chain Store Age, les attaques ont bondi de 29 % pour atteindre un nouveau record trimestriel au troisième trimestre. GuidePoint Security a rapporté que le nombre de victimes a augmenté de 75 % sur un an. Ces statistiques soulignent le besoin de stratégies de sauvegarde solides et de protocoles de réponse clairs. Les organisations découvrent de plus en plus que leurs options de récupération sont compromises non seulement par l'attaque initiale, mais aussi par les acteurs qu'elles embauchent pour réparer les dégâts.

Les experts en sécurité ont depuis longtemps averti que l'économie du ransomware dépasse le simple chiffrement des fichiers. La phase de paiement et de négociation est complexe, et les victimes sont souvent assez désespérées pour accepter les services de fournisseurs non vérifiés. L'affaire MonsterCloud sert d'avertissement sur l'importance de vérifier les équipes de réponse tierces. Bien que la menace principale reste le groupe de ransomware lui-même, la couche secondaire de services de récupération introduit ses propres risques.

Pinhasi risque jusqu'à 20 ans de prison pour chaque chef de fraude électronique en cas de condamnation. Le FBI poursuit son enquête, et l'acte d'accusation note qu'il existe de « multiples co-conspirateurs, des personnes dont l'identité est connue ou inconnue du Grand Jury ». L'affaire fait partie d'un effort plus large des forces de l'ordre fédérales pour démanteler l'infrastructure soutenant les opérations de ransomware, y compris les fournisseurs de services qui les facilitent.

Pour les entreprises, la leçon est claire : la diligence raisonnable est essentielle lors de l'engagement d'une aide externe pendant un incident cyber. La ligne entre une récupération légitime et une exploitation frauduleuse peut être ténue, et les enjeux financiers sont élevés. Alors que les secteurs de l'industrie et des infrastructures critiques continuent de faire face à des menaces cyber en hausse, l'intégrité de la chaîne de réponse est aussi importante que la sécurité du réseau lui-même.