Ce que les avis #StopRansomware révèlent de l'économie du ransomware : paiements, secteurs, affiliés
Les avis conjoints #StopRansomware publiés par la CISA, le FBI et leurs partenaires se lisent d'ordinaire comme du matériel de réponse à incident : indicateurs de compromission, cartographie des tactiques, checklists de mitigation. Lus côte à côte, ils forment aussi une archive publique inhabituelle de l'organisation de l'économie du ransomware. Les avis consacrés à ALPHV/Blackcat, Black Basta et Medusa décrivent, dans une langue volontairement sobre, qui fait le travail, comment l'accès aux réseaux s'achète et comment les victimes sont poussées à payer.
Un marché du travail, pas un seul gang
L'avis sur Medusa (AA25-071A, publié une première fois en mars 2025 et actualisé en août 2026, également repris par le FBI) est le plus explicite sur l'argent. Il indique que les développeurs de Medusa recrutent des courtiers en accès initial sur des forums de cybercriminalité, avec des paiements de 100 à 1 million de dollars pour les IAB, et la possibilité de travailler en exclusivité pour Medusa ; la plupart des IAB travaillent en même temps pour plusieurs variantes de ransomware. L'accès aux réseaux est la marchandise ; la marque qui l'achète est largement interchangeable. Le même avis décrit un modèle d'affiliés à paliers : Medusa a commencé comme opération fermée en juin 2021 puis est passée début 2023 à une structure de ransomware-as-a-service, où les affiliés se voient accorder des niveaux de confiance variables selon leur expérience et leur rentabilité. Pour les affiliés les plus récents, la négociation de la rançon peut être pilotée de manière centralisée par les développeurs. L'avis sur ALPHV/Blackcat et l'avis sur Black Basta décrivent leurs protagonists de la même façon : des opérations RaaS où des affiliés nommément désignés mènent l'intrusion et l'extorsion dans le cadre fixé par le groupe central. Le site de fuite comme mécanisme de paiement
Les avis traitent les sites de fuite comme une pièce du processus de paiement, non comme de la publicité. Le site .onion de Medusa liste des victimes accompagnées d'un compte à rebours ; une victime peut payer 10 000 dollars en cryptomonnaie pour ajouter un seul jour au chronomètre. Les acteurs proposent un tarif réduit à durée limitée contre un paiement rapide et, selon l'avis, fondent leurs demandes sur le chiffre d'affaires publiquement affiché de la victime. Le document consigne aussi ce qui peut arriver après paiement : une victime ayant payé a été recontactée pour verser une nouvelle fois la moitié de la rançon, soi-disant pour un « vrai décrypteur », et les auteurs notent qu'il n'existe aucun moyen de vérifier que les données volées sont réellement supprimées. L'avis sur Black Basta décrit un mécanisme parallèle : les notes de rançon laissent aux victimes 10 à 12 jours avant la publication des données sur le site Tor « Basta News » du groupe. La mise à jour ALPHV documente l'autre bout du marché : certains affiliés se contentent d'extorquer à partir des données volées, sans même déployer de ransomware. Cibles opportunistes, secteurs récurrents
Aucun des trois groupes n'est décrit comme sélectif. Les acteurs de Medusa opèrent de manière opportuniste en ciblant des victimes au logiciel non corrigé ; la santé n'en reste pas moins une victime fréquente, et à avril 2026 l'avis recense plus de 500 victimes de Medusa dans des secteurs d'infrastructures critiques. Les affiliés de Black Basta avaient touché plus de 500 organisations dans le monde à mai 2024, dans au moins 12 des 16 secteurs d'infrastructures critiques, la santé étant présentée comme attrayante en raison de sa dépendance à la technologie et de la perturbation qu'une attaque fait peser sur les soins. La mise à jour ALPHV notait que, sur près de 70 victimes divulguées depuis la mi-décembre 2023, le secteur de la santé était le plus touché, une période qui a suivi les encouragements de l'administrateur du groupe à viser les hôpitaux après une action contre son infrastructure. Paiements en baisse, risque de sanctions toujours là
Sur les paiements, la position publiée par le gouvernement est réglementaire plutôt que statistique. L'avis actualisé de l'OFAC sur les paiements de rançon, publié en septembre 2021, indique que le gouvernement américain déconseille fortement à toutes les entreprises et aux citoyens privés de payer une rançon ou une exigence d'extorsion, avertit que les facilitateurs — banques, assureurs cyber, sociétés de réponse à incident — s'exposent à des sanctions civiles sur une base de responsabilité stricte, et fait état d'une présomption de refus pour les licences impliquant des paiements de rançon à des personnes sanctionnées. Le même document, annoncé aux côtés de la désignation de la plateforme Suex pour avoir facilité des revenus de ransomware, indique aux victimes que signaler rapidement l'attaque aux autorités ou à la CISA peut valoir un crédit de divulgation volontaire et une atténuation significative, tout en prévenant qu'il n'existe aucune garantie de retrouver l'accès aux données. Les données de marché confirment la pression sur le volet des paiements. Chainalysis chiffre les paiements de ransomware 2024 à environ 813,55 millions de dollars, 35 pour cent de moins que le record de 1,25 milliard de 2023, première baisse depuis 2022 ; moins de la moitié des incidents répertoriés ont débouché sur un paiement, et un négociateur cité dans le rapport estime qu'environ 30 pour cent des négociations mènent à un paiement. Chainalysis observe aussi que les paiements finaux se regroupent entre 150 000 et 250 000 dollars quelle que soit la demande initiale : c'est la négociation, non le chiffre d'ouverture, qui fixe le prix final. Pourquoi les avis nomment les affiliés
Le détail récurrent dans ces documents est structurel : celui qui compromet le réseau, celui qui négocie, celui qui maintient le ransomware et le service qui blanchit les recettes sont des parties distinctes, souvent dans des juridictions distinctes. Voilà pourquoi les avis nomment des affiliés, des courtiers en accès initial et des intermédiaires plutôt qu'une seule marque. L'action répressive suit les rôles, comme lorsque le Trésor a désigné en 2021 la plateforme Suex, premier exchange de monnaies virtuelles désigné pour avoir facilité des revenus de ransomware, lié à au moins huit variantes, sans attribuer de lien avec les sanctions à une variante RaaS particulière. Pour qui suit les sites de fuite, la leçon pratique rejoint ce que nous relations dans notre article sur le fonctionnement des sites de fuite ransomware en .onion : le compte à rebours est un mécanisme de paiement, et la machinerie autour — tarifs des courtiers, affiliés à paliers, risque de sanctions pour les facilitateurs — est ce que ces avis documentent réellement.
