Les États-Unis poursuivent un « réparateur » de rançongiciels pour avoir payé 8 millions de dollars de rançons en secret

L'acte d'accusation a été rendu public mercredi. Il reproche à Zohar Pinhasi d'avoir monté un stratagème entre juin 2018 et juin 2023. Il encourt deux chefs de fraude électronique et un chef d'association de malfaiteurs.

Pinhasi dirigeait MonsterCloud. L'entreprise se présentait comme une équipe d'experts capables de récupérer des données chiffrées sans payer de rançon. Le site affirmait recourir à des « techniques de déchiffrement avancées et à une technologie de pointe ». Les procureurs soutiennent que la société ne disposait d'aucun outil de ce genre. Pinhasi et ses associés contactaient directement les attaquants et payaient les rançons. Ils gardaient la différence entre la somme versée aux criminels et celle facturée aux victimes. Cet écart constitue le cœur de l'escroquerie présumée. Il transformait une défaillance de sécurité en source de revenus personnelle pour les dirigeants de la firme.

L'écart était flagrant.

Dans un cas cité dans l'acte d'accusation, Pinhasi aurait payé environ 8 200 dollars à un groupe de rançongiciels. Il a ensuite facturé 150 000 dollars à la victime pour le service. Dans un autre incident, vers octobre 2021, le paiement de la rançon s'élevait à environ 236 000 dollars. Le client a été facturé près de 380 000 dollars. Selon The Register, les montants totaux étaient considérables : plus de 19 000 000 de dollars facturés aux clients, dont plus de 8 000 000 versés directement aux opérateurs de rançongiciels.

Joseph Nocella Jr., procureur fédéral pour le district est de New York, a déclaré que Pinhasi « a victimisé une seconde fois ses clients tout en s'octroyant un confortable profit ». James C. Barnacle Jr., directeur adjoint du FBI, a ajouté que Pinhasi avait fait de la crise de ses victimes son propre centre de profit. Pinhasi s'est rendu aux autorités mercredi et a plaidé non coupable. Il a été libéré sous une caution de 2 000 000 de dollars.

Le stratagème reposait sur une tromperie précise autour des « preuves de récupération ». BleepingComputer rapporte que MonsterCloud fournissait des fichiers échantillons déchiffrés pour convaincre les victimes que leurs données étaient en sécurité. L'acte d'accusation suggère que ces échantillons provenaient des opérations de rançongiciels elles-mêmes. Cela masquait le fait qu'un paiement de rançon avait eu lieu. Certains contrats indiquaient que l'entreprise pouvait communiquer avec des cybercriminels. Les procureurs affirment toutefois que le contact avec les attaquants constituait généralement la première étape, et non un dernier recours comme les contrats le laissaient entendre.

Cette affaire illustre une tendance croissante dans l'écosystème des rançongiciels. La phase de réponse après incident est devenue une cible pour la fraude. Les attaques par rançongiciels continuent de grimper. La pression sur les équipes informatiques, tenues de rétablir vite, crée un terrain propice à l'exploitation. The Register note que le site de Pinhasi comportait des témoignages, dont celui d'un porte-parole au moins rémunéré. En mai 2019, ce porte-parole a contacté Pinhasi pour l'interroger sur ses pratiques commerciales. Pinhasi aurait alors admis que MonsterCloud ne détenait aucune technologie propriétaire permettant de déchiffrer les données.

Le contexte général des menaces liées aux rançongiciels s'est intensifié ces derniers mois. Selon un rapport de Chain Store Age, les attaques par rançongiciels ont bondi de 29 % pour atteindre un nouveau record trimestriel au troisième trimestre. GuidePoint Security rapporte que le nombre de victimes a augmenté de 75 % sur un an. Ces statistiques montrent à quel point des stratégies de sauvegarde solides et des protocoles de réponse aux incidents clairs sont nécessaires. Les organisations constatent de plus en plus que leurs options de récupération sont compromises. L'attaque initiale n'est pas la seule cause : les acteurs qu'elles engagent pour la réparer le sont aussi.

Les spécialistes de la sécurité mettent en garde depuis longtemps : l'économie des rançongiciels va au-delà du chiffrement initial des fichiers. La phase de paiement et de négociation est complexe. Les victimes sont souvent assez désespérées pour accepter les services de prestataires non vérifiés. L'affaire MonsterCloud sert d'avertissement sur l'importance de contrôler les équipes de réponse externes. Le groupe de rançongiciels lui-même reste la menace principale. La couche secondaire des services de récupération introduit ses propres risques et vulnérabilités.

Pinhasi encourt jusqu'à 20 ans de prison pour chaque chef de fraude électronique s'il est reconnu coupable. Le FBI poursuit son enquête. L'acte d'accusation précise qu'il existe « de multiples co-conspirateurs, des individus dont l'identité est connue et inconnue du grand jury ». L'affaire s'inscrit dans un effort plus large des autorités fédérales pour démanteler l'infrastructure qui soutient les opérations de rançongiciels. Cela inclut les prestataires de services qui les facilitent.

Pour les entreprises, la leçon est claire : la vigilance s'impose avant de faire appel à une aide externe pendant un incident informatique. La frontière entre récupération légitime et exploitation frauduleuse peut être mince. Les enjeux financiers sont élevés. Les secteurs industriel et des infrastructures critiques continuent d'affronter des cybermenaces croissantes. L'intégrité de la chaîne de réponse compte autant que la sécurité du réseau lui-même.