En bref

  • L'Iran relance les opérations Pay2Key en recrutant des affiliés sur les forums cybercriminels russes.
  • Les attaques utilisent des « pseudo-ransomwares » qui chiffrent les données mais agissent en réalité comme des wipers destructeurs.
  • Les cibles prioritaires sont des entreprises américaines et israéliennes, avec un risque juridique pour les victimes qui paieraient la rançon.

Ce qui s'est passé

Le groupe Pay2Key, lié aux services de renseignement iraniens, a repris ses opérations offensives avec une stratégie renouvelée, selon un rapport publié par Dark Reading le 31 mars 2026. L'Iran recrute désormais activement des affiliés sur les forums cybercriminels russophones, offrant jusqu'à 80 % des rançons collectées pour attirer des opérateurs expérimentés.

La particularité de cette nouvelle campagne réside dans l'utilisation de « pseudo-ransomwares » : des malwares qui se présentent comme des rançongiciels classiques avec demande de rançon, mais dont le véritable objectif est la destruction des données. Le chiffrement appliqué est en réalité irréversible, apparentant ces outils à des wipers déguisés. Cette tactique permet à l'Iran de causer des dommages maximaux tout en brouillant l'attribution, selon les chercheurs cités par Dark Reading.

Pay2Key agit également comme courtier en accès initial (Initial Access Broker) pour d'autres groupes de ransomware, fournissant des points d'entrée dans les réseaux d'entreprises américaines et israéliennes. Cette double casquette — destructeur et facilitateur — illustre la convergence croissante entre les opérations étatiques iraniennes et l'écosystème cybercriminel russophone, d'après The Hacker News.

Pourquoi c'est important

Cette résurgence de Pay2Key pose un défi majeur pour les entreprises ciblées. Au-delà de la perte de données, les victimes qui envisageraient de payer la rançon s'exposent à des sanctions de l'OFAC (Office of Foreign Assets Control du Trésor américain), Pay2Key étant lié à des entités sous sanctions internationales. La frontière de plus en plus floue entre hacktivisme étatique et cybercriminalité à but lucratif complique considérablement la réponse à incident et les décisions stratégiques des RSSI.

Ce qu'il faut retenir

  • Les pseudo-ransomwares iraniens chiffrent sans possibilité de récupération : des sauvegardes hors-ligne testées régulièrement sont la seule parade efficace.
  • Payer une rançon liée à Pay2Key expose l'entreprise à des poursuites pour violation de sanctions internationales.
  • Les entreprises des secteurs stratégiques doivent renforcer leur surveillance des indicateurs de compromission liés aux groupes APT iraniens.

Comment distinguer un ransomware classique d'un pseudo-ransomware destructeur ?

Les pseudo-ransomwares présentent souvent des anomalies techniques : absence de mécanisme de déchiffrement fonctionnel, clés de chiffrement générées aléatoirement sans stockage côté attaquant, ou corruption intentionnelle des en-têtes de fichiers avant chiffrement. En cas d'incident, une analyse forensique approfondie par des experts permet de déterminer si la récupération des données est techniquement possible avant toute décision de paiement.

Besoin d'un accompagnement expert ?

Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.

Prendre contact