LockBit 5.0 liste Actua : fuites dispersées et fin des takedowns faciles
LockBit est depuis des années la marque la plus reconnaissable du ransomware, ayant survécu à un takedown international coordonné en 2024 et s’étant reconstruite sous une numérotation de version qui en est désormais à 5.0. Son dernier listing montre à quel point le playbook d’extorsion a peu ralenti. Selon les constats relayés par ZATAZ, l’équipage revendique un breach d’Actua, groupe français de travail temporaire et de recrutement, et annonce commencer à publier les fichiers volés début septembre.
Le butin menacé est assez précis pour faire mal. L’entrée darkweb de LockBit décrit un ensemble de documents comprenant passeports, diplômes, CV et attestations d’assurance concernant plus de 100 000 personnes recrutées. Actua n’est pas une cible de boutique : le groupe gère 37 agences, travaille avec plus de 1 800 entreprises partenaires et place environ 3 000 intérimaires chaque mois. Une société d’intérim est, par construction, un entrepôt d’exactement les papiers d’identité que les équipages ransomware adorent brandir.La revendication contre ce que n’importe qui peut vérifier
C’est ici que la prudence rapporte. ZATAZ note que rien de ce que LockBit a publié jusqu’ici ne permet de vérifier indépendamment ni le volume ni le vecteur d’intrusion. Le chiffre de 100 000 personnes vient directement des attaquants, et il ne s’ensuit pas que chaque personne nommée figure dans chaque catégorie de documents. La revendication ne dit rien sur la manière dont les intrus sont entrés, quand ils ont obtenu l’accès pour la première fois ni combien de temps ils sont restés. Il reste entièrement possible, comme l’observe ZATAZ, que les criminels n’aient touché rien de plus qu’un seul ordinateur dans un bureau régional. Cet écart entre chiffre de titre et réalité prouvable n’est pas une excentricité de ce cas. Les listings de leak sites sont des documents marketing. Les comptages de victimes gonflent, les catégories de documents se brouillent, et la formulation la plus alarmiste gagne l’attention, que l’archive sous-jacente suive ou non. L’histoire offre force exemples où les mégaoctets revendiqués ont dramatiquement rétréci une fois les dumps réellement arrivés. Jusqu’à ce que des fichiers fassent surface et que quelqu’un les compte, la description honnête de la revendication Actua : non vérifiée, plausible dans sa forme, non prouvée dans son ampleur. Actua, de son côté, n’a pas répondu aux demandes de commentaire. Le silence est courant dans les premiers jours d’un listing, surtout pendant que se démêlent les obligations françaises de notification de violation de données. Mais cela laisse candidats et intérimaires dans une position inconfortable : la menace est publique, les preuves ne le sont pas, et septembre approche.Dix emplacements de stockage à la fois
L’élément véritablement nouveau est tactique. Plutôt que de promettre une URL de dump unique, LockBit 5.0 annonce son intention de distribuer le leak sur dix emplacements de stockage simultanément. ZATAZ y lit à raison une stratégie de dispersion : multiplier les points de disponibilité pour que retirer l’un d’eux accomplisse peu, et pour que le takedown rapide devienne un exercice de whack-a-mole à travers juridictions et fournisseurs. Le contexte rend le mouvement lisible. En février 2024, l’opération Cronos a saisi l’infrastructure de LockBit sur des dizaines de serveurs, remplacé les pages du leak site par des banderoles des autorités et globalement humilié la marque (KrebsOnSecurity). L’opération a fonctionné parce que LockBit concentrait sa publication sur une infrastructure localisable et saisissable. Les leaks dispersés sont la réponse directe à cette leçon : si la cargaison vit en dix endroits avant que quiconque sache où, en saisir un ne change presque rien.Ce que la dispersion change pour le suivi
Pour quiconque suit la disponibilité des leak sites, cela compte plus que le nombre de victimes. L’ancien modèle supposait un point d’étranglement : faire tomber le blog d’extorsion ou son CDN, et la campagne de pression s’enlise. La dispersion supprime le point d’étranglement. L’uptime d’un endpoint unique cesse d’être un signal significatif, car la campagne survit aux pannes partielles par conception. Le monitoring doit s’élargir d’une seule adresse onion à un ensemble mouvant de miroirs, buckets et hôtes façon paste, dont certains ne sont peut-être pas des onion services du tout. Cela reflète un motif longtemps familier de l’histoire des darknet markets, où les listes de liens officiels et les miroirs redondants sont devenus de l’équipement de survie après des saisies répétées. Nous avons couvert la mécanique de cette course aux armements dans notre pièce sur pourquoi les miroirs apparaissent hors ligne, et les mêmes dynamiques s’appliquent ici : la redondance bat la suppression à point unique, mais elle multiplie aussi les surfaces où s’accumulent liens périmés, copies imposteurs et endpoints morts. Un leak dispersé garantit que certains des dix emplacements seront faux, cassés ou piégés d’ici quelques jours.Lire les prochaines semaines
L’enseignement pratique se divise en trois :- Pour les personnes visées, la posture sensée est la précaution sans panique : traiter le chiffre de 100 000 comme non confirmé, guetter la publication réelle, et supposer que des vagues de phishing exploiteront les titres, que des documents réels apparaissent ou non.
- Pour les défenseurs, la leçon est que début septembre est une échéance fixée par l’attaquant, et que les échéances glissent constamment dans ce genre ; les comptes à rebours existent pour créer l’urgence, pas l’exactitude.
- Pour les analystes et les moniteurs, dix points de dépôt simultanés signifient que le suivi de disponibilité doit devenir conscient de la distribution, notant les campagnes selon le nombre d’emplacements vivants restants plutôt que selon la résolution d’un site.