Ransom Busters : arnaque recovery, vraie extorsion

Le faux sauveur qui frappe avant que l'attaque soit connue

Les équipes de GuidePoint Security Research and Intelligence Team (GRIT) ont publié le 18 août 2026 une alerte détaillée sur un nouveau vecteur d'escroquerie ciblant les victimes de ransomware. L'acteur malveillant, qui se présente sous le nom commercial de « Ransom Busters LTD », adopte une stratégie particulièrement sophistiquée : il contacte les victimes — PDG, DSI, responsables IT — avant même que l'attaque dont elles sont victimes soit divulguée publiquement sur les Data Leak Sites (DLS) des groupes ransomware. Cette connaissance préalable des incidents non encore rendus publics est le premier signal d'alarme majeur identifié par les chercheurs de GRIT.

Le script de l'escroquerie est élaboré. Par email non sollicité, Ransom Busters LTD prétend avoir pénétré les serveurs des groupes ransomware ayant attaqué la victime. L'acteur affirme disposer de copies des données exfiltrées de l'entreprise cible et propose de les supprimer définitivement de l'infrastructure criminelle ainsi que de fournir les clés de déchiffrement — le tout moyennant un paiement allant de 20 000 à 60 000 dollars. La proposition est présentée comme une alternative rapide et discrète pour éviter la divulgation publique des données et retrouver l'accès aux systèmes chiffrés sans négocier directement avec les criminels.

La tactique exploite plusieurs biais psychologiques simultanément. La victime, déjà sous pression opérationnelle et émotionnelle suite à l'attaque, se voit proposer une porte de sortie apparemment providentielle qui lui évite d'avoir à négocier directement avec ses agresseurs. La légitimité apparente du prestataire est renforcée par sa connaissance de détails de l'attaque non encore publics — une connaissance qui, paradoxalement, devrait constituer le signal d'alarme le plus fort. En réalité, selon l'analyse de GRIT, cet accès à des informations confidentielles sur l'attaque s'explique simplement : Ransom Busters LTD est lui-même un acteur de l'écosystème ransomware, probablement un affilié ayant participé à l'attaque initiale.

L'hypothèse principale des chercheurs de GuidePoint Security est que Ransom Busters LTD est un affilié qui opère au sein de programmes RaaS (Ransomware-as-a-Service) tels que DragonForce, Settra ou Anubis. Dans le modèle RaaS, les affiliés réalisent les attaques et reversent une commission aux opérateurs de la plateforme — généralement entre 20 et 30 % des rançons collectées. En interceptant les paiements des victimes via la façade Ransom Busters LTD, l'affilié capte l'intégralité de la somme pour lui-même, privant ainsi les opérateurs RaaS de leur part. C'est donc une double trahison : escroquerie vis-à-vis des victimes et vol vis-à-vis des partenaires criminels.

Les victimes identifiées dans les cas documentés par GRIT appartiennent à des secteurs variés, sans spécialisation géographique ou sectorielle apparente. La sélection des cibles semble opportuniste : Ransom Busters LTD contacte les victimes d'attaques auxquelles l'affilié a participé, quelle que soit leur nature. Les montants demandés — entre 20 000 et 60 000 dollars — sont délibérément inférieurs aux rançons habituelles exigées par les groupes RaaS majeurs, ce qui rend la proposition financièrement attractive pour des entreprises cherchant à minimiser leur exposition. Cette calibration soigneuse du tarif est elle-même une preuve du caractère sophistiqué et préparé de la démarche.

La détection de ce type d'escroquerie est rendue difficile par plusieurs facteurs. Premièrement, des cabinets de réponse à incident légitimes contactent effectivement des victimes de ransomware pour proposer leurs services, parfois proactivement lorsque l'incident devient public. La ligne entre sollicitation légitime et escroquerie n'est pas toujours évidente pour une entreprise en plein chaos post-attaque. Deuxièmement, Ransom Busters LTD adopte les codes visuels et rhétoriques d'un prestataire professionnel — logo, site web, proposition commerciale structurée — ce qui renforce l'illusion de légitimité. Troisièmement, la connaissance d'informations non publiques sur l'attaque, qui devrait être le principal signal d'alerte, peut à tort être interprétée comme une preuve de compétence technique du prestataire.

Selon le rapport de BleepingComputer du 19 août 2026, plusieurs victimes auraient effectué des paiements à Ransom Busters LTD sans obtenir ni suppression des données ni clés de déchiffrement fonctionnelles. Dans au moins certains cas documentés, les données ont par la suite été publiées sur les DLS des groupes ransomware concernés, confirmant que Ransom Busters LTD n'avait ni la capacité ni l'intention réelle de supprimer les données exfiltrées. Le paiement ne constitue donc pas une garantie de protection, mais identifie au contraire la victime comme disposée à payer, ce qui peut encourager de nouvelles tentatives d'extorsion.

The Hacker News rapporte que Ransom Busters LTD aurait revendiqué avoir piraté les serveurs de groupes ransomware pour obtenir accès aux données des victimes, une affirmation que GRIT considère comme non crédible et probablement un élément de mise en scène destiné à justifier sa connaissance des détails de l'attaque. En réalité, la théorie la plus parcimonieuse — et la plus solidement étayée — reste celle de l'affilié interne qui exploite son accès légitime à l'infrastructure RaaS pour monter une opération parallèle d'extorsion.

La double extorsion évolue : une menace dans la menace

L'émergence de Ransom Busters LTD illustre une tendance de fond dans l'évolution de l'écosystème ransomware : la fragmentation et la concurrence interne entre acteurs criminels. Pendant plusieurs années, le modèle RaaS a fonctionné comme un marché relativement structuré, avec des règles implicites entre opérateurs et affiliés. La montée en puissance de tactiques de trahison entre acteurs du même écosystème — affiliés qui escroquent leurs propres opérateurs, ou qui détournent les victimes vers des canaux parallèles — signale une maturité et une compétition internes qui complexifient le paysage des menaces pour les défenseurs.

Pour les équipes de réponse à incident, cette situation crée un défi supplémentaire. Historiquement, l'identification d'un groupe ransomware responsable d'une attaque permettait de cadrer les négociations dans un espace relativement délimité. L'existence d'acteurs intermédiaires frauduleux brouille ce cadre : une victime peut se retrouver à négocier simultanément avec le groupe RaaS légitime et avec un affilié indépendant se présentant sous une fausse identité, sans savoir lequel dispose réellement des clés de déchiffrement ou de la capacité à supprimer les données.

Sur le plan des recommandations pratiques, la situation souligne l'importance critique de disposer de contacts préétablis avec des cabinets de réponse à incident réputés avant qu'un incident ne survienne. Une entreprise qui n'a jamais travaillé avec un prestataire IR et qui reçoit un email de Ransom Busters LTD en pleine crise est dans une position de vulnérabilité maximale. L'identification de prestataires certifiés — entreprises membres de l'AFORCYS en France, prestataires qualifiés PRIS par l'ANSSI — doit faire partie du plan de continuité d'activité, au même titre que les sauvegardes ou le plan de communication de crise.

Enfin, cet épisode met en évidence la nécessité pour les entreprises victimes de ransomware d'informer immédiatement leurs équipes et directions qu'elles pourraient être contactées par des tiers non sollicités se présentant comme des sauveurs. La formation à la reconnaissance de ce type d'ingénierie sociale doit être intégrée aux exercices de crise cyber, au même titre que la gestion technique de l'incident lui-même. La pression psychologique post-attaque est un vecteur d'exploitation délibéré que les acteurs de l'écosystème ransomware maîtrisent désormais parfaitement.

Ce qu'il faut retenir

• Ransom Busters LTD est très probablement un affilié ransomware lié à DragonForce, Settra ou Anubis qui détourne les paiements d'extorsion en se faisant passer pour un cabinet de recovery : ignorer tout contact de ce type sans vérification indépendante préalable.
• La connaissance par un tiers non sollicité de détails non publics sur une attaque ransomware est un signal d'alarme absolu, non une preuve de compétence : c'est la preuve de l'implication de cet acteur dans l'attaque elle-même.
• Les entreprises doivent identifier et contractualiser des prestataires PRIS qualifiés ANSSI avant tout incident, et inclure dans leurs plans de crise la gestion des sollicitations frauduleuses post-attaque.