Après LockBit 5 et U.S. Bank : pourquoi les démantèlements de groupes ransomware ne fonctionnent plus

En février 2024, Europol, le FBI, la NCA et une dizaine d'autres agences ont organisé une conférence de presse triomphale pour annoncer le démantèlement de LockBit. Serveurs saisis, site de fuite mis hors ligne, inculpations prononcées. Deux ans plus tard, LockBit 5 revendique une attaque contre U.S. Bank avec un ultimatum au 3 septembre 2026. La surprise serait de croire que c'est une surprise.

Operation Cronos : ce qui a vraiment été accompli — et ce qui ne l'a pas été

Soyons précis. Operation Cronos, déclenchée le 19 février 2024, a été une opération policière remarquable sur le plan de la coordination internationale. Dix-neuf pays impliqués, quatre arrestations au Royaume-Uni, en Ukraine, en Pologne et aux États-Unis, 34 serveurs saisis dans plusieurs pays européens et aux États-Unis, 1 000 clés de déchiffrement récupérées et mises à disposition des victimes via le portail No More Ransom. L'inculpation de Dmitry Yuryevich Khoroshev — alias « LockBitSupp », le cerveau présumé du groupe — par le DOJ américain en mai 2024 a constitué une avancée judiciaire réelle. Sa mise à prix à 10 millions de dollars via le programme Rewards for Justice maintient une pression symbolique et financière sur lui.

Ces résultats ne sont pas négligeables. Les 1 000 clés de déchiffrement ont permis à des centaines d'organisations de récupérer leurs données sans payer des rançons souvent colossales. Les saisies ont perturbé pendant plusieurs semaines l'infrastructure opérationnelle du groupe. Le renseignement collecté sur les affiliés a alimenté d'autres investigations. Ce sont des succès réels.

Mais voilà le problème structurel : ces succès ont été présentés dans les communiqués de presse comme une mise hors service définitive. « LockBit is down. » Le vocabulaire employé évoquait la victoire totale. Résultat : quand LockBit 4.0 a refait surface quelques mois plus tard, puis LockBit 5 en 2025-2026, la désillusion publique a été proportionnelle aux annonces triomphales. La réalité est différente, et plus inconfortable : le modèle RaaS est structurellement résistant aux démantèlements d'infrastructure, et aucune opération policière classique ne peut y remédier seule.

Le modèle RaaS : l'architecture qui rend les démantèlements insuffisants

Pour comprendre pourquoi les démantèlements ne produisent pas l'effet escompté, il faut comprendre comment fonctionne réellement un groupe RaaS (Ransomware-as-a-Service) mature comme LockBit. LockBit n'est pas une organisation criminelle centralisée avec un siège social, des employés et une chaîne de commandement claire. C'est un écosystème distribué composé de plusieurs couches distinctes.

Le groupe core, très restreint — quelques développeurs, un ou deux opérateurs principaux — conçoit et maintient le ransomware, le panneau d'administration, l'infrastructure de négociation et le site de fuite. C'est l'unique partie centralisée, et c'est ce que les opérations policières peuvent saisir. Mais en dessous, des dizaines voire des centaines d'affiliés indépendants « louent » le ransomware, conduisent eux-mêmes les attaques — intrusion initiale, reconnaissance, déploiement, négociation — et reversent entre 20 % et 30 % des rançons au groupe core. Ces affiliés sont des cybercriminels indépendants, souvent géographiquement dispersés dans des pays sans coopération judiciaire avec les pays victimes.

Quand une opération policière saisit les serveurs du groupe core, elle perturbe l'infrastructure centrale mais ne démantèle pas les affiliés. Certains sont en Russie, en Biélorussie, en Corée du Nord — des États qui non seulement n'extradent pas leurs ressortissants mais protègent parfois activement ceux qui ciblent des intérêts occidentaux. Après la saisie de l'infrastructure LockBit en 2024, ces affiliés n'ont pas disparu : ils se sont simplement redirigés vers RansomHub, ALPHV/BlackCat ou Qilin — dont on observe l'intensification des activités tout au long de 2026.

Par ailleurs, reconstruire l'infrastructure technique d'un groupe RaaS est devenu significativement plus accessible. Le code de LockBit 3.0 a fuité en septembre 2022, rendant la cryptographie et les mécanismes de base disponibles à quiconque sachant les compiler. Les panels d'administration sont des applications web que n'importe quel développeur compétent peut réécrire. Les sites de fuite tournent sur Tor, dont l'infrastructure est distribuée et résistante aux saisies. En quelques mois, un groupe disposant du savoir-faire technique et du réseau d'affiliés peut reconstituer une opération RaaS complète — avec éventuellement des améliorations apportées en cours de route.

Le précédent ALPHV/BlackCat : le même schéma, en accéléré

LockBit n'est pas un cas isolé. En décembre 2023, le FBI a réussi une opération remarquable contre ALPHV/BlackCat, un autre groupe RaaS majeur : infiltration de l'infrastructure pendant plusieurs mois, développement d'un outil de déchiffrement, saisie des serveurs et annonce publique avec communication triomphale. L'opération a permis à environ 500 victimes de récupérer leurs données sans payer. Résultat opérationnel excellent.

Quelques semaines plus tard, ALPHV/BlackCat a réapparu brièvement avant une disparition que la majorité des analystes interprètent comme un « exit scam » — les opérateurs se sont évaporés avec les fonds des affiliés en les accusant d'avoir collaboré avec les autorités — plutôt que comme l'effet de l'opération policière. Le réseau d'affiliés s'est alors redistribué, notamment vers RansomHub, qui est devenu en 2024-2025 l'un des groupes RaaS les plus prolifiques, revendiquant plusieurs centaines d'attaques dans des secteurs aussi variés que la santé, l'énergie, les collectivités locales et l'industrie manufacturière.

Ce schéma — démantèlement, dispersion des affiliés, reconstitution sous nouveau nom ou nouvelle version — se répète avec une régularité quasi-métronomique depuis 2020 : GandCrab → REvil, DarkSide → BlackMatter → ALPHV, LockBit 1/2/3 → LockBit 4/5. À chaque itération, les groupes reviennent avec des améliorations techniques, un nouveau branding, et parfois un réseau d'affiliés renforcé par les réfugiés des groupes concurrents démantelés.

Ce que les forces de l'ordre peuvent et ne peuvent pas accomplir

Cette réalité ne signifie pas que les opérations policières sont inutiles — loin de là. Mais il faut être lucide sur ce qu'elles peuvent et ne peuvent pas accomplir dans le contexte du modèle RaaS actuel.

Ce qu'une opération comme Cronos peut faire concrètement : perturber temporairement les opérations d'un groupe spécifique, récupérer des clés de déchiffrement bénéficiant aux victimes, obtenir des renseignements sur les affiliés et l'infrastructure pour alimenter des investigations en aval, exercer une pression judiciaire durable sur les opérateurs identifiés (LockBitSupp ne peut pas voyager librement), et démontrer aux affiliés que leur anonymat n'est pas garanti — effet dissuasif réel mais limité. Elle peut aussi dégrader la réputation du groupe sur les forums cybercriminels, forçant un rebranding coûteux et une reconstitution du réseau de confiance.

Ce qu'elle ne peut pas faire structurellement : éliminer le savoir-faire technique dispersé parmi des dizaines d'affiliés géographiquement distribués dans des pays non coopératifs, supprimer le marché des accès initiaux (les IAB — Initial Access Brokers — continuent de vendre leurs accès à n'importe quel groupe acheteur), extrader des ressortissants de pays refusant la coopération judiciaire, ou rendre le chiffrement asymétrique moins accessible. Le problème est mathématique et géopolitique, pas technologique.

Mon analyse de terrain est la suivante : les opérations policières sont nécessaires et doivent être menées — elles protègent des victimes, collectent du renseignement, et maintiennent une pression judiciaire. Mais elles constituent un volet de la réponse, pas la réponse. L'erreur stratégique est de les présenter comme des victoires définitives, ce qui crée une attente irréaliste et alimente la déception — et parfois une dangereuse baisse de vigilance des défenseurs — quand le groupe revient sous une nouvelle itération.

Ce qui fonctionne vraiment : la résilience structurelle côté défenseur

Si les démantèlements ne suffisent pas, la réponse durable se construit côté victime. Et cette réponse, je l'ai vu fonctionner sur le terrain pour des clients qui ont stoppé des attaques en cours ou qui se sont relevés sans payer. Elle repose sur trois piliers complémentaires.

Premier pilier : réduire la surface d'attaque et fermer les portes d'entrée. Les groupes RaaS comme LockBit 5 exploitent quasi-systématiquement des vulnérabilités connues et patchées — les CVE du mois en cours, mais aussi des vulnérabilités non corrigées depuis des mois sur des systèmes exposés. Un programme de patch management structuré, ciblant les CVE critiques avec exploitation active sous 72 heures et les critiques sans exploitation sous 7 jours, ferme mécaniquement la majorité des portes d'entrée des IAB. Les scanners automatisés des groupes ransomware ne font pas de distinction entre les organisations ciblées intentionnellement et celles qui apparaissent simplement dans un scan de masse comme vulnérables. Disparaître de ces scans en patchant rapidement, c'est déjà ne plus être dans la liste de cibles économiques.

La segmentation réseau stricte — séparation des VLAN, application des principes Zero Trust entre les segments, cloisonnement des systèmes industriels et OT — ralentit la propagation latérale d'un attaquant qui aurait néanmoins réussi à entrer. La majorité des attaques ransomware détectées avant le chiffrement ont été interceptées pendant la phase de mouvement latéral, justement parce que le franchissement d'une frontière réseau anormale a déclenché une alerte. Chaque barrière supplémentaire achète du temps pour la détection.

Deuxième pilier : détecter tôt. Les groupes RaaS passent en moyenne plusieurs semaines dans le SI de leur cible avant de déclencher le chiffrement — ce dwell time est leur talon d'Achille. Un EDR correctement configuré et supervisé (par une équipe SOC interne ou un MSSP compétent), associé à des règles de détection comportementale couvrant les mouvements latéraux, les élévations de privilèges, les connexions à des services cloud inhabituels et les outils d'exfiltration courants (Cobalt Strike, Mimikatz, Rclone), permet d'intercepter l'attaque bien avant le déclenchement. J'ai accompagné des organisations qui ont détecté et expulsé des opérateurs LockBit en phase de reconnaissance en 2024 et 2025, précisément grâce à cette surveillance comportementale. L'attaque a existé — mais aucune donnée n'a été chiffrée ni exfiltrée.

Troisième pilier : sauvegardes immuables et plan de reprise testé. Le levier économique du ransomware repose sur la conviction que payer est moins coûteux que reconstruire. Si vos données critiques peuvent être restaurées en 4 à 8 heures à partir de sauvegardes immuables et air-gapped, avec un plan de reprise d'activité testé et documenté, la valeur de la rançon s'effondre. Ce n'est pas l'absence de risque — les données exfiltrées restent un levier de double extorsion — mais le volet chiffrement perd son pouvoir coercitif. Concrètement, cela signifie des sauvegardes 3-2-1 (trois copies, deux médias, une hors site), des sauvegardes offline ou sur un stockage avec protection contre la suppression pendant minimum 30 jours, et des tests de restauration réels au moins deux fois par an — pas juste de sauvegarde, de restauration complète dans un environnement isolé.

La leçon supply chain de l'incident U.S. Bank

L'incident U.S. Bank ajoute une dimension supplémentaire souvent sous-estimée dans les plans de défense : le risque de la chaîne de prestataires. Si les investigations confirment que LockBit 5 a accédé à des données U.S. Bank via un prestataire de quatrième rang — c'est-à-dire un sous-traitant d'un sous-traitant d'un prestataire — alors le niveau de sécurité de la banque elle-même ne suffit pas. Votre surface d'attaque s'étend à tous les prestataires qui traitent vos données, quelle que soit la profondeur de la chaîne.

NIS2, applicable en France depuis 2025, impose explicitement aux opérateurs essentiels et importants de gérer la sécurité de leur chaîne d'approvisionnement. Cette exigence réglementaire est souvent perçue comme une contrainte administrative — elle est en réalité la réponse opérationnelle exacte au type d'attaque illustré par cet incident. Une cartographie rigoureuse des prestataires de rangs 2 et 3, des clauses contractuelles de sécurité avec droit d'audit, et des processus de notification d'incident imposés contractuellement aux fournisseurs constituent la réponse structurelle. Si votre fournisseur de rang 3 est compromis demain, vous devez le savoir dans les 24 heures — pas en lisant une revendication LockBit 5 sur leur site de fuite.

Conclusion : construire pour résister, pas pour se venger

LockBit 5 contre U.S. Bank en août 2026 n'est pas une anomalie. C'est la démonstration empirique, répétée, que le modèle RaaS a développé une résilience structurelle face aux outils de réponse traditionnels. Les opérations policières restent nécessaires — pour les victimes qui récupèrent leurs données, pour la pression judiciaire maintenue sur les opérateurs, pour le renseignement collecté et partagé. Mais elles ne sont pas et ne seront jamais suffisantes seules contre un écosystème criminel aussi décentralisé et adaptable.

La réponse durable est défensive et proactive : construire des organisations moins rentables à attaquer parce que mieux segmentées, moins vulnérables parce que patchées rapidement, plus rapides à détecter les intrusions grâce à une surveillance comportementale, et capables de se relever sans payer grâce à des sauvegardes immuables testées. C'est un travail de longue haleine, sans conférence de presse triomphale à la fin, mais c'est le seul qui produit des résultats durables sur le terrain.