Deux experts US plaident coupable pour attaques BlackCat

Ce qui s'est passé

Deux professionnels reconnus de la cybersécurité américaine ont admis leur implication dans une campagne d'extorsion visant plusieurs entreprises. Ryan Clifford Goldberg, 33 ans, ancien responsable de la réponse aux incidents chez Sygnia, et Kevin Tyler Martin, 28 ans, ex-négociateur de rançons chez DigitalMint, ont plaidé coupable de conspiration en vue d'extorsion devant un tribunal fédéral. Les deux hommes, censés défendre les victimes, agissaient en réalité comme affiliés du BlackCat ransomware, également connu sous le nom d'ALPHV, l'un des cartels criminels les plus actifs du moment. Entre mai et novembre 2023, ils auraient orchestré au moins cinq intrusions contre des sociétés américaines, réclamant des millions de dollars en cryptomonnaies. Cette affaire illustre un risque rarement évoqué : la menace interne au sein même de l'industrie chargée de contenir les attaques par rançongiciel.

Entre mai et novembre 2023, Goldberg et Martin, accompagnés d'un troisième complice, ont compromis les réseaux de plusieurs entreprises américaines. Ils reversaient 20 % des rançons obtenues aux opérateurs de BlackCat en échange de l'accès à la plateforme de ransomware et aux outils d'extorsion. L'ironie est saisissante : Goldberg était censé aider les entreprises à se remettre d'attaques par ransomware dans le cadre de son travail chez Sygnia, tandis que Martin négociait des paiements de rançon pour le compte de victimes chez DigitalMint.

Goldberg est en détention fédérale depuis septembre 2023. Les deux accusés risquent jusqu'à 20 ans de prison. Cette affaire met en lumière le risque posé par les professionnels ayant accès aux systèmes les plus sensibles de leurs clients et une connaissance intime des défenses en place.

Pourquoi c'est important

Cette affaire illustre un angle mort majeur de la cybersécurité : la menace interne provenant de professionnels de confiance. Les entreprises de réponse aux incidents et de négociation de rançons disposent d'accès privilégiés aux réseaux de leurs clients au moment où ceux-ci sont les plus vulnérables. Un ancien incident responder qui connaît les failles, les procédures de réponse et les capacités de détection d'une organisation représente une menace particulièrement redoutable. Cette condamnation envoie un message dissuasif, mais elle soulève aussi des questions sur le contrôle des habilitations et la supervision des prestataires de sécurité.

Ce qu'il faut retenir

• Des professionnels de la cybersécurité disposant d'accès privilégiés ont exploité leur position de confiance pour mener des attaques par ransomware.
• Le risque d'insider threat est particulièrement élevé dans les sociétés de réponse aux incidents, qui accèdent aux systèmes critiques de leurs clients.
• Les entreprises doivent renforcer les contrôles sur les prestataires de sécurité : vérification des antécédents, cloisonnement des accès, et journalisation systématique des actions des intervenants externes.

Ce dossier n'est pas un cas isolé mais s'inscrit dans une série d'incidents impliquant des professionnels de la réponse à incident ayant basculé du côté de leurs attaquants. En 2023, un ancien collaborateur de sociétés de sécurité avait déjà été inquiété pour avoir déployé le ransomware LockBit contre des employeurs précédents aux États-Unis et en Argentine, tandis qu'un consultant australien avait été condamné pour avoir extorsion ses propres clients avec les données volées lors de missions de remédiation. Le schéma se répète : un acteur qui connaît déjà les procédures de détection, les délais de réponse et les angles morts d'une organisation devient un affilié particulièrement redoutable, capable de contourner les défenses qu'il a lui-même auditées ou renforcées.

Le groupe BlackCat/ALPHV, démantelé partiellement par le FBI en décembre 2023 après une opération de saisie de ses infrastructures, revendiquait alors plus de 1 000 victimes à travers le monde et des rançons cumulées estimées à plusieurs centaines de millions de dollars depuis son apparition fin 2021. Le programme d'affiliation reversait généralement 80 à 90 % des rançons aux affiliés, ce qui rend d'autant plus significatif le fait que Goldberg et Martin n'aient perçu que 20 % du produit de leurs extorsions selon l'accusation — signe que même au sein de l'écosystème criminel, la répartition des gains reste opaque et défavorable aux exécutants de terrain.

Le ministère de la Justice américain a présenté cette affaire comme un signal fort envoyé au secteur : les procureurs ont souligné que la confiance placée dans les prestataires de réponse à incident et de négociation de rançons constitue un pilier de l'écosystème de gestion de crise cyber, et que sa violation justifie des poursuites aussi sévères que celles visant les opérateurs de ransomware eux-mêmes. Les peines encourues — jusqu'à 20 ans de prison pour conspiration en vue d'extorsion — sont comparables à celles appliquées aux développeurs et distributeurs de rançongiciels, ce qui marque une volonté de ne plus distinguer le statut professionnel de l'acte commis.

Pour le secteur de la gestion de crise cyber, l'impact réputationnel dépasse les deux individus concernés. Les cabinets de réponse à incident et les intermédiaires de négociation de rançons, dont l'activité repose entièrement sur la confidentialité et l'intégrité de leurs interventions, font désormais face à une pression accrue de leurs clients et de leurs assureurs pour renforcer les contrôles internes : vérifications d'antécédents périodiques, séparation des accès selon le principe du moindre privilège même en interne, traçabilité systématique des actions effectuées lors des missions, et clauses contractuelles explicites sur les conflits d'intérêts. Certains assureurs cyber envisagent déjà d'intégrer des exigences d'audit des sous-traitants de réponse à incident dans leurs polices, à l'image des contrôles déjà imposés aux fournisseurs d'accès à distance.

Cette affaire relance également le débat sur l'encadrement de la négociation de rançons, une activité qui reste peu régulée aux États-Unis malgré son rôle central dans la gestion des attaques par ransomware, et pourrait accélérer l'adoption de standards professionnels obligatoires pour ces intermédiaires.