Les rançongiciels ne se contentent plus de paralyser des systèmes informatiques : de plus en plus de groupes cherchent à faire pression sur des personnes en chair et en os. Selon le rapport annuel sur le risque rançongiciel de l’éditeur Semperis, 37 % des attaques récentes ont comporté des menaces psychologiques ou physiques contre les employés des entreprises visées.
Des colis et des photos d’écoles
Tim Beasley, consultant en réponse aux incidents chez Semperis, en a fait l’expérience. Alors qu’il enquêtait sur une intrusion attribuée au groupe Midnight Blizzard, lié au renseignement extérieur russe, un colis de souvenirs de la région a été déposé devant sa porte, sans le moindre message. Pour lui, c’était un « nous savons où vous habitez » à peine déguisé. Il raconte aussi avoir vu des dirigeants recevoir des photos des écoles de leurs enfants, glanées sur les réseaux sociaux.
L’étude porte sur 1 200 organisations déjà touchées par un rançongiciel et couvre le premier semestre de l’année. Elle recense 23 % de cas d’intimidation psychologique et 17 % de menaces physiques. Un quart des victimes a vu ses données personnelles (adresse, numéro de téléphone) publiées en ligne, et 23 % ont subi un « swatting », ce canular qui consiste à signaler une fausse alerte pour provoquer une intervention armée de la police.
Des conséquences bien réelles
Les effets dépassent le cadre professionnel : environ un quart des personnes interrogées déclarent avoir dû se faire soigner, sur le plan psychologique ou médical, et 24 % ont engagé une équipe de sécurité privée. Plus de la moitié (53 %) affirment que les menaces ont été mises à exécution au cours de l’année écoulée.
Beasley cite parmi les groupes concernés Scattered Spider, ShinyHunters et Lapsus$, tous réputés pour leurs méthodes agressives. ShinyHunters, de son côté, assure ne pas s’en prendre aux êtres humains. La frontière avec la criminalité violente est pourtant de plus en plus poreuse : cet été, Europol et ses partenaires ont signalé 4 340 adresses web jugées « choquantes » dans le cadre d’une opération contre The Com, un réseau informel de groupes en ligne composé surtout de jeunes, actifs aussi bien dans le piratage que dans l’extorsion numérique, le swatting ou les violences physiques.
Pour les entreprises, y compris françaises, le message est clair : la préparation à une attaque doit désormais inclure l’accompagnement des salariés et de leurs proches, pas seulement la sauvegarde des données.
