LockBit 5 revendique l'exfiltration de données U.S. Bank : ultimatum au 3 septembre

Les faits

Le 20 août 2026, le groupe de ransomware LockBit 5 a publié sur son site de fuite une revendication d'attaque contre U.S. Bank, la cinquième banque des États-Unis en termes d'actifs (U.S. Bancorp). Selon cette revendication, le groupe affirme avoir exfiltré des données sensibles de l'établissement et fixe une échéance au 3 septembre 2026 pour le paiement d'une rançon non divulguée — au-delà de laquelle les données seraient publiées. LockBit 5 n'a pas précisé le volume, la nature ni les systèmes sources des données prétendument volées, une pratique habituelle dans les tactiques de double extorsion visant à maximiser la pression sans dévoiler leurs cartes.

U.S. Bancorp a réagi le 28 août 2026. Dans un communiqué transmis à The Record (Recorded Future News), la banque indique ne pas avoir de preuve que ses systèmes internes ont été compromis ou qu'un accès non autorisé à son réseau a eu lieu. L'établissement précise que son enquête a révélé que l'incident allégué était « lié à un événement cybernétique survenu chez un tiers de quatrième rang en dehors de son environnement ». En d'autres termes, LockBit 5 aurait compromis non pas U.S. Bank directement, mais un sous-traitant d'un sous-traitant d'un prestataire — un incident de « fourth-party risk ».

Cette nuance est importante mais pas rassurante. Si les systèmes cœur de la banque semblent intacts, les données confiées à des prestataires de la chaîne d'approvisionnement peuvent être tout aussi sensibles. Dans le secteur financier, les données traitées par les fournisseurs incluent fréquemment des informations de compte, des transactions, des données KYC (Know Your Customer), voire des informations réglementaires sensibles. La question centrale n'est pas « les systèmes de la banque sont-ils compromis ? » mais « quelles données sont entre les mains de LockBit 5 et quelle est leur sensibilité ? ».

LockBit 5 est la réincarnation de LockBit, l'un des groupes de ransomware les plus prolixes de la dernière décennie. En février 2024, Operation Cronos — coordonnée entre le FBI, Europol, la NCA britannique et une dizaine d'autres agences — avait démantélé l'infrastructure de LockBit 3.0, saisi ses serveurs, et arrêté plusieurs affiliés. Dmitry Yuryevich Khoroshev, alias « LockBitSupp », avait été inculpé en mai 2024 par le DOJ américain. Malgré ces coups portés, le groupe a resurgi sous les dénominations LockBit 4.0 puis LockBit 5 au cours de 2025-2026, démontrant la résilience du modèle RaaS face aux démantèlements judiciaires.

Le modèle RaaS explique cette résurrection. LockBit fonctionne comme une franchise : le groupe core développe et maintient l'infrastructure, le chiffrement et les sites de négociation, tandis que des affiliés indépendants conduisent les attaques et reversent entre 20 % et 30 % des rançons. Après un démantèlement, les affiliés se redirigent vers d'autres opérateurs (RansomHub, Qilin) avant de revenir quand une nouvelle version de l'infrastructure est disponible. Le capital humain — les compétences des opérateurs — ne disparaît pas avec les serveurs saisis.

La revendication LockBit 5 contre U.S. Bank intervient dans un contexte de regain d'activité du groupe à l'été 2026. Selon les données agrégées par SOCRadar, LockBit 5 a revendiqué plusieurs dizaines d'attaques entre juin et août 2026, ciblant des secteurs variés : finance, santé, cabinets d'avocats, fournisseurs de technologie. Le ciblage d'une institution financière majeure américaine s'inscrit dans une logique d'escalade visant à maximiser la pression médiatique et les probabilités de paiement.

L'échéance du 3 septembre 2026 place U.S. Bancorp dans une position inconfortable. La banque doit simultanément poursuivre son enquête forensique pour déterminer quelles données ont pu être exposées via la chaîne de prestataires, évaluer ses obligations de notification réglementaire (SEC, OCC, FinCEN), et gérer la communication publique sans amplifier la pression médiatique exploitée par LockBit 5. Les régulateurs américains exigent depuis 2023 une notification sous 36 heures pour les incidents cybersécurité significatifs dans le secteur bancaire — si l'enquête confirme une exfiltration, les délais réglementaires deviendraient rapidement contraignants.

Pour les RSSI du secteur financier français, cet incident est un rappel de la nécessité d'une cartographie rigoureuse de la chaîne de prestataires. NIS2, applicable en France depuis 2025, impose une gestion de la sécurité de la chaîne d'approvisionnement, y compris les sous-traitants de rang 2 et 3. L'incident U.S. Bank illustre exactement pourquoi cette exigence réglementaire existe : votre niveau de sécurité n'est que celui de votre maillon le plus faible, qu'il soit direct ou indirect.

Impact et exposition

L'impact direct sur les systèmes internes de U.S. Bank semble limité selon les premières déclarations. L'impact potentiel porte sur les données confiées à des prestataires de quatrième rang dont l'identité et le périmètre restent à déterminer. Si LockBit 5 publie des données le 3 septembre 2026, l'ampleur réelle sera alors mesurable. Pour les institutions financières françaises et européennes, le risque immédiat est surtout indirect : cet incident doit déclencher un audit de la chaîne de prestataires et une revue des données confiées aux sous-traitants de rang n+2 et au-delà.

Recommandations

• Cartographier exhaustivement les prestataires de rang 2, 3 et 4 ayant accès à des données sensibles — NIS2 l'exige, cet incident en démontre la nécessité opérationnelle
• Exiger des clauses contractuelles de notification d'incident dans les 24 heures pour tous les prestataires ayant accès à des données sensibles, y compris leurs sous-traitants
• Appliquer le principe de moindre privilège aux données confiées aux tiers : un prestataire n'accède qu'aux données strictement nécessaires à sa mission
• Surveiller les sites de fuite des groupes ransomware actifs (LockBit 5, Qilin, RansomHub) pour détecter toute revendication impliquant votre secteur ou vos prestataires connus