L'Iran relance Pay2Key avec des pseudo-ransomwares

La veille cybersécurité s'impose comme une nécessité opérationnelle pour anticiper des campagnes qui brouillent délibérément la frontière entre criminalité et opérations étatiques. Le retour de Pay2Key pseudo-ransomware Iran illustre parfaitement cette bascule : derrière l'apparence d'une extorsion classique se cachent des charges destructrices orchestrées par des acteurs affiliés à Téhéran, dont l'objectif premier reste le sabotage et la déstabilisation plutôt que le gain financier. Cette stratégie de dissimulation complique l'attribution, retarde la qualification de l'incident et fausse la réponse des équipes de sécurité, souvent orientées vers une négociation impossible. Comprendre les modes opératoires, les vecteurs d'accès initiaux et les indicateurs de compromission associés à cette résurgence devient indispensable pour adapter les plans de continuité, renforcer la segmentation réseau et prioriser efficacement les actions de remédiation face à une menace hybride durable.

Ce qui s'est passé

Le groupe Pay2Key, lié aux services de renseignement iraniens, a repris ses opérations offensives avec une stratégie renouvelée, selon un rapport publié par Dark Reading le 31 mars 2026. L'Iran recrute désormais activement des affiliés sur les forums cybercriminels russophones, offrant jusqu'à 80 % des rançons collectées pour attirer des opérateurs expérimentés.

La particularité de cette nouvelle campagne réside dans l'utilisation de « pseudo-ransomwares » : des malwares qui se présentent comme des rançongiciels classiques avec demande de rançon, mais dont le véritable objectif est la destruction des données. Le chiffrement appliqué est en réalité irréversible, apparentant ces outils à des wipers déguisés. Cette tactique permet à l'Iran de causer des dommages maximaux tout en brouillant l'attribution, selon les chercheurs cités par Dark Reading.

Pay2Key agit également comme courtier en accès initial (Initial Access Broker) pour d'autres groupes de ransomware, fournissant des points d'entrée dans les réseaux d'entreprises américaines et israéliennes. Cette double casquette — destructeur et facilitateur — illustre la convergence croissante entre les opérations étatiques iraniennes et l'écosystème cybercriminel russophone, d'après The Hacker News.

Pourquoi c'est important

Cette résurgence de Pay2Key pose un défi majeur pour les entreprises ciblées. Au-delà de la perte de données, les victimes qui envisageraient de payer la rançon s'exposent à des sanctions de l'OFAC (Office of Foreign Assets Control du Trésor américain), Pay2Key étant lié à des entités sous sanctions internationales. La frontière de plus en plus floue entre hacktivisme étatique et cybercriminalité à but lucratif complique considérablement la réponse à incident et les décisions stratégiques des RSSI.

Ce qu'il faut retenir

• Les pseudo-ransomwares iraniens chiffrent sans possibilité de récupération : des sauvegardes hors-ligne testées régulièrement sont la seule parade efficace.
• Payer une rançon liée à Pay2Key expose l'entreprise à des poursuites pour violation de sanctions internationales.
• Les entreprises des secteurs stratégiques doivent renforcer leur surveillance des indicateurs de compromission liés aux groupes APT iraniens.

Plan de remédiation et mesures correctives

La remédiation de cette problématique nécessite une approche structurée en plusieurs phases. En priorité immédiate, les équipes de sécurité doivent identifier les systèmes exposés, appliquer les correctifs disponibles et mettre en place des règles de détection temporaires. À moyen terme, il convient de renforcer l'architecture de sécurité par la segmentation réseau, le durcissement des configurations et le déploiement de solutions de monitoring avancées. À long terme, l'adoption d'une approche Zero Trust, la formation continue des équipes et l'intégration de la sécurité dans les processus DevOps permettent de réduire structurellement la surface d'attaque et d'améliorer la résilience globale de l'infrastructure.