Cybercriminal Group
generalDéfinition
Un groupe cybercriminel est une organisation structurée dont l'activité principale est la commission de crimes informatiques à des fins lucratives. Ces groupes opèrent souvent comme de véritables entreprises avec des équipes spécialisées, une hiérarchie, des processus opérationnels, et parfois des bureaux physiques (dans des juridictions à faible application du droit pénal informatique). Ils représentent la majorité des incidents de cybersécurité affectant les organisations. Les modèles d'affaires des groupes cybercriminels sont variés. Ransomware-as-a-Service (RaaS) est le modèle dominant depuis 2020 : un groupe "core" développe le ransomware et l'infrastructure, et recrute des "affiliates" (sous-traitants) qui conduisent les intrusions et déploient le ransomware en échange de 20-30% de la rançon. Les groupes RaaS majeurs incluent LockBit (jusqu'à 2024, démantelé par Europol/FBI), BlackCat/ALPHV, REvil/Sodinokibi, Conti (dissous en 2022 suite à des tensions internes), et Black Basta. Les Initial Access Brokers (IAB) sont des cybercriminels spécialisés dans la compromission initiale des réseaux (via phishing, exploitation de vulnérabilités VPN/Exchange) et la revente des accès obtenus aux opérateurs RaaS sur des forums darkweb. Les secteurs les plus ciblés par les cybercriminels sont : l'industrie manufacturière (systèmes OT souvent vulnérables, pression de production forte = paiement rapide), la santé (données médicales précieuses, infrastructures critiques = forte pression), l'éducation (budgets sécurité faibles, systèmes hétérogènes), les gouvernements locaux et municipalités, et les cabinets d'avocats et comptables (données confidentielles précieuses). Les forces de l'ordre (FBI, Europol, Interpol, OCLCTIC) ont intensifié leurs actions contre les groupes cybercriminels : démantèlement de LockBit (février 2024, Operation Cronos), saisie de l'infrastructure de REvil (2021), démantèlement du botnet Emotet (2021), arrêts d'affiliés dans plusieurs pays. Ces opérations perturbent les groupes mais ne les éliminent pas définitivement — les membres se reforment sous de nouveaux noms (Conti → Royal, BlackBasta, Akira).
RaaS — modèle économique ransomware
Le modèle Ransomware-as-a-Service a professionnalisé la cybercriminalité. Un groupe RaaS comme LockBit opérait comme une véritable franchise : le core team développait le locker, le decrypteur, le site de négociation (dark web), et l'infrastructure de paiement ; les affiliates recrutés sur des forums (RAMP, XSS, Exploit) payaient une "deposit" de qualification, signaient un contrat d'utilisation, et utilisaient le ransomware avec leur propre infrastructure C2. En cas de paiement, le split était généralement 70-80% affiliate / 20-30% core group. LockBit affirmait avoir 200+ affiliates actifs et avoir extorqué plus de 90M$ à ses victimes avant le démantèlement de 2024. Ce modèle de division du travail a massivement abaissé la barrière à l'entrée pour les cybercriminels — conduire une attaque ransomware ne nécessite plus de développer le malware.
Attribution des groupes cybercriminels
L'attribution des groupes cybercriminels diffère de l'attribution des acteurs étatiques. Les cybercriminels laissent souvent des traces plus exploitables : ils utilisent des forums darkweb (profils, messages, transactions) traçables sous pseudonyme, leurs opérations financières Bitcoin sont partiellement traçables (les chainalysis), et ils font des erreurs opérationnelles (connexions depuis leur véritable IP, réutilisation de pseudonymes). L'arrestation de membres de REvil en Russie (2022) et le démantèlement de LockBit (2024) avec publication des identités réelles des administrateurs illustrent l'efficacité croissante des enquêtes internationales. Les CRI (Cybercriminal Research Intelligence) d'Europol, FBI et les entreprises privées (Mandiant, CrowdStrike, Recorded Future) publient des rapports d'attribution approfondis sur les grands groupes, utilisables pour la défense (adapter les contrôles aux TTPs du groupe le plus probable pour votre secteur).
Négocier avec les cybercriminels — Dynamic Ransom
La "double extorsion" (chiffrement + menace de publication des données) est désormais la norme pour les grands groupes RaaS. Certains pratiquent la "triple extorsion" (DDoS en parallèle pour augmenter la pression). Les montants des rançons varient selon la taille de la victime, son secteur (la santé et l'assurance paient davantage), et les données volées. Les demandes initiales sont souvent exagérées (10x le montant "acceptable" selon le groupe). Les négociateurs spécialisés (Coveware, Mandiant, Kroll) obtiennent régulièrement des réductions de 50-80% sur la demande initiale. Certains groupes pratiquent un "compassionate discount" pour les hôpitaux et ONG — rarement tenu. La négociation gagne surtout du temps pour évaluer les sauvegardes et préparer la restauration.
Ce terme vous interpelle ?
Nos experts interviennent sur toutes les thématiques de ce glossaire — pentest, conformité NIS 2 / ISO 27001, forensics, sécurité IA. Réponse sous 24h, devis gratuit et sans engagement.