Recrutement des affiliés ransomware : le marché du travail derrière les marques RaaS
Quand une nouvelle marque de ransomware apparaît, le code de chiffrement fait rarement la nouvelle. Ce dont une marque a d'abord besoin, ce sont des affiliés : des opérateurs qui apportent leurs propres intrusions dans des réseaux d'entreprise, mènent leurs propres négociations et cèdent à la marque une part de chaque rançon. La trace de recrutement laissée par ces marques - fils épinglés sur les forums, pages de règles, canaux Telegram - compte parmi les parties les mieux documentées de l'écosystème, et elle se lit moins comme de la distribution de logiciel malveillant que comme un marché du travail.
Où passent les annonces
La scène principale tient en une poignée de forums russophones : Exploit, XSS et RAMP. La parole ransomware y est officiellement interdite sur les forums de premier rang, aussi les annonceurs recourent-ils à un langage codé. Flashpoint a documenté le procédé en 2021 : des utilisateurs proposant d'acheter des accès VPN, Citrix et RDP « pour un pourcentage du profit », se décrivant comme « une équipe de pentesters expérimentés » ; l'un invoquait un passé chez DarkSide comme référence. L'étude de ReliaQuest de 2022 sur l'entonnoir de recrutement décrit des fils RaaS épinglés où le mot ransomware est prohibé sur Exploit et XSS - les groupes écrivent chercher des « pentesters » -, tandis que RAMP tolère tous les détails. Au lancement de RansomHub, Recorded Future a remonté sa première annonce jusqu'à un utilisateur nommé koley, publiée sur RAMP début février 2024 ; au moment de l'analyse, la marque revendiquait 45 victimes dans 18 pays. Telegram transporte désormais une grande partie du même trafic. Une analyse de Cyfirma publiée en février 2026 décrit des canaux ransomware qui « font la publicité de programmes d'affiliation, détaillent des structures de commission, publient des restrictions de ciblage » - régions et secteurs exclus - à côté de courtiers en accès vendant des points d'entrée VPN, RDP et cloud. Le résumé du rapport sur la division du travail : les forums assurent la visibilité, Telegram « gère l'exécution ».La part proposée
Les parts annoncées donnent à l'affilié une majorité claire. LockBit versait en 2022 80 pour cent de chaque rançon encaissée, selon ReliaQuest. Recorded Future décrit les 90 pour cent de RansomHub comme « le haut de la fourchette habituelle de 80-90 % observée sur le marché RaaS », un taux « susceptible d'attirer des affiliés chevronnés venus d'autres plateformes ». En 2025, la marque Anubis a formalisé trois modes : RaaS classique avec une part de 80 pour cent, un service d'extorsion aux seules données, et un schéma de fourniture d'accès reversant 50 pour cent des rançons à qui a fourni l'entrée initiale. La part résiduelle de l'opérateur finance le paquet : le chiffreur et le builder, l'hébergement du site de fuite, l'appui à la négociation, et un nom de marque qui ajoute de la pression dans les échanges avec les victimes. Les avantages font partie du discours. Recorded Future note que Qilin a lancé mi-2025 un service « Call Lawyer » offrant aux affiliés une consultation juridique sur la manière d'intimider les victimes pendant les négociations. LockBit, lors de sa campagne de recrutement de 2022, offrait 1 000 dollars aux utilisateurs de forums prêts à se faire tatouer le logo du groupe ; au moins trois l'ont fait.Le tri des candidats
Le recrutement est filtré à plusieurs étapes. Certains sites de fuite affichent un formulaire « Contact Us » que ReliaQuest décrit comme « l'équivalent criminel de la lettre de motivation » ; d'autres n'indiquent que des contacts chiffrés, ce qui « peut servir de test de présélection, en éliminant les candidats les plus verts ». Ceux qui franchissent l'étape accèdent à ce que le rapport décrit comme vraisemblablement un entretien anonyme, et le refus tombe sans explication. LockBit a fait l'impasse sur les annonces et publié à la place une page de règles de 2 376 mots couvrant le ciblage et la procédure de candidature. Côté Telegram, Cyfirma note que les recruteurs cherchent des « pentesters ou des partenaires de confiance » et exigent parfois une réputation de forum ou un dépôt avant de coopérer.Le débauchage après les takedowns
Les effectifs d'affiliés se recomposent à chaque coup de la justice. Après la saisie de l'infrastructure de LockBit et l'exit scam d'ALPHV début 2024, BlackBasta s'est effondré en février 2025 après une fuite d'archives de tchat, et RansomHub s'est dissous brutalement fin mars 2025 - selon Recorded Future, cette dissolution « a laissé les victimes en pleine négociation et les affiliés dans le désarroi ». Les affiliés sont allés quelque part : des membres de BlackBasta auraient rejoint Akira, avec qui ils avaient des liens anciens ; Group-IB a estimé que certains affiliés de RansomHub avaient rejoint Qilin, invoquant un pic de victimes revendiquées ; DragonForce a prétendu avoir absorbé l'infrastructure et les affiliés de RansomHub sous un modèle de « cartel » laissant aux affiliés leur propre marque.« Un nouveau groupe remplace celui qui a cessé d'opérer, et il accueille souvent les membres du défunt. » - Securelist, de Kaspersky, à propos du marché du malware-as-a-service, 2023