Ransom Decision Framework

Négociation ransomware — le rôle des médiateurs

Si l'organisation décide d'envisager le paiement, des sociétés spécialisées en négociation de rançons (Coveware, Mandiant, Recorded Future Adversarial Intelligence) peuvent servir d'intermédiaires avec les groupes ransomware. Ces négociateurs servent plusieurs objectifs : gagner du temps (les négociations peuvent durer plusieurs jours pendant lesquels l'équipe IR prépare la restauration ou évalue les sauvegardes), réduire le montant demandé (les groupes ransomware savent que leurs demandes initiales sont surestimées), et vérifier les preuves avant paiement (tester un échantillon de déchiffrement pour s'assurer que le décrypteur fonctionne). Le recours à ces négociateurs ne présuppose pas la décision finale de payer — la négociation peut aboutir à une non-décision de payer si les sauvegardes se révèlent récupérables pendant le délai gagné.

Implications légales du paiement de rançon

Le paiement de rançon peut violer des obligations légales. Aux États-Unis, l'OFAC (Office of Foreign Assets Control) du Treasury sanctionne certains groupes ransomware (Evil Corp, Lazarus Group, Conti). Payer une rançon à un groupe sanctionné est une violation des sanctions pouvant entraîner des amendes civiles (jusqu'à 20M$ par transaction), même si l'organisation ignorait être victime d'un groupe sanctionné (strict liability). En France, l'ANSSI et l'autorité de supervision financière recommandent de vérifier si le groupe responsable est sanctionné avant tout paiement. Le paiement doit toujours être signalé aux autorités (FBI IC3 aux US, ANSSI + OCLCTIC en France) pour la traçabilité. Certains assureurs cyber excluent désormais les paiements de rançon vers des entités sanctionnées de leurs remboursements.

Assurance cyber et rançons — évolution du marché

Le marché de l'assurance cyber a radicalement changé son approche des ransomwares depuis 2020-2021 (vague de sinistres majeurs). Les tendances actuelles : les assureurs exigent des questionnaires de sécurité détaillés avant souscription (MFA obligatoire, sauvegardes immuables, EDR déployé — sans ces mesures, pas d'assurance ou prime prohibitive) ; les plafonds de remboursement pour les rançons sont strictement limités ; certains assureurs excluent les rançons payées à des groupes sanctionnés ; et les primes ont augmenté de 100-200% en 2021-2022. L'assurance cyber ne remplace pas les bonnes pratiques de sécurité — les assureurs refusent de plus en plus les organisations sans contrôles de base. Le risque de moral hazard (assurance permet de payer = moins d'incitation à investir dans la prévention) est réel et critiqué par les agences de sécurité qui recommandent des politiques de non-paiement nationales.