Il négocie les rançons de hackers

Girt est un cybernégociateur qui intervient quotidiennement auprès d'entreprises et de gouvernements piratés, leurs documents critiques étant retenus en otage. Son rôle est de négocier avec les cybercriminels pour limiter les dégâts et, si nécessaire, organiser le paiement de rançons. Son premier cas fut celui de son oncle, syndic d'un grand immeuble, dont le PC avait été chiffré par un ransomware. L'écran affichait un message demandant une rançon via un lien sur un navigateur Tor. Bien que Girt ait initialement conseillé de ne jamais payer, son oncle était acculé. Girt a alors créé son premier compte Bitcoin, payé environ 800-900 euros, et a reçu les clés de déchiffrement trois heures plus tard. Cette expérience a marqué le début de sa carrière. En dix ans, il a géré plus de 600 cas de négociation, souvent beaucoup plus complexes que le simple envoi de Bitcoins. Aujourd'hui, les particuliers sont rarement ciblés. Les entreprises, en revanche, sont devenues des cibles privilégiées depuis 2018-2019. Girt est principalement contacté par des sociétés d'assurance cyber, qui le mandatent pour intervenir auprès de leurs clients victimes. Il agit comme un "pompier" envoyé par l'assureur pour gérer la crise. Les discussions avec les cybercriminels se déroulent de deux manières : par e-mail avec des amateurs, ou via des plateformes de chat dédiées fournies par les professionnels. Il existe aussi un milieu, où des amateurs utilisent les systèmes des professionnels pour demander des rançons plus élevées, mais Girt identifie rapidement ces intermédiaires. Les professionnels sont souvent "business talk" et respectueux, à condition d'être traités de la même manière. Girt adopte une approche respectueuse, mais n'hésite pas à être agressif si l'autre partie ne l'est pas, quitte à risquer de perdre la négociation pour établir un rapport de force favorable. Cette stratégie, qu'il partage avec les victimes, vise à montrer que le négociateur ne se laisse pas intimider et à prendre le lead de la discussion. Girt est l'un des cinquante négociateurs officiels dans le monde, chacun ayant sa propre méthode. Au début de la négociation, il se présente comme un membre de la société victime, restant vague sur son rôle. Une fois l'accord conclu, il se révèle comme négociateur pour s'assurer que les criminels respectent leurs engagements, sachant qu'un non-respect entacherait leur réputation auprès de l'ensemble du réseau de négociateurs. La première étape de la négociation consiste à demander la "file tree", c'est-à-dire l'arborescence des données exfiltrées. Les victimes sont rarement en mesure de fournir une liste complète, car le réseau est souvent chiffré et les logs inaccessibles. En deux ou trois heures, Girt peut obtenir du hacker la liste des fichiers exfiltrés, ce qui est déjà une information précieuse pour la victime. Contrairement aux idées reçues, les hackers n'exfiltrent pas tous les e-mails ou toutes les bases de données (CRM, facturation). Ils ciblent généralement entre 50 Go et 600 Go de données, car une exfiltration plus massive augmente les risques d'être repéré. Ils se concentrent sur les documents Word, PDF, Excel, PowerPoint, les contrats, les listes de clients, les fiches de paie (pour connaître les salaires), et surtout les documents d'assurance cyber, qu'ils utilisent pour estimer la capacité de paiement de la victime. Girt insiste sur l'importance de ne jamais stocker les documents d'assurance cyber sur le réseau de l'entreprise. Une fois la "file tree" reçue, Girt demande au hacker de lui fournir cinq fichiers spécifiques pour prouver qu'il détient bien les données. Il arrive que le hacker envoie un sixième fichier : la copie de l'assurance cyber, confirmant ainsi qu'il a eu accès à cette information cruciale, ce qui met le négociateur "dos au mur" car le criminel connaît la limite de l'assurance. Outre la preuve de possession des données, Girt demande également des fichiers chiffrés pour tester la validité du décrypteur. Il exige aussi une preuve que les données exfiltrées ont été supprimées, même si cette preuve (un fichier texte avec le mot "deleted" avant chaque nom de fichier) n'a qu'une valeur symbolique, indiquant le professionnalisme de l'organisation criminelle. Il n'a jamais eu connaissance de cas où les hackers ont conservé les données pour les revendre ou revenir vers la même victime. Girt gère personnellement toutes les négociations pour éviter la tentation de ses employés, qui pourraient être corrompus par les criminels. En effet, une fois qu'il se révèle négociateur, les hackers peuvent l'inviter sur des canaux de communication sécurisés (comme Tox) et lui proposer une commission s'il parvient à faire augmenter la rançon payée par son client. Le paiement des rançons se fait toujours en Bitcoins. Avant tout paiement, un "sanctions check" est effectué pour s'assurer que l'organisation ou la personne à l'origine de l'attaque ne figure pas sur une liste terroriste. Si c'est le cas, le paiement est interdit. Il est déjà arrivé à Girt de faire face à des groupes terroristes (comme LBY 3), qui proposent alors des solutions alternatives, comme un paiement en liquide à Dubaï via un intermédiaire, une option que Girt et ses confrères refusent catégoriquement en raison des risques. Les montants des rançons varient. Certains groupes demandent des sommes "raisonnables" par rapport à la taille de l'entreprise. Les rançons supérieures à un million de dollars sont rares. Pour les PME de moins de 150 utilisateurs, les montants oscillent entre 30 000 et 100 000 dollars. Pour les entreprises plus grandes, cela peut aller jusqu'à 250 000-300 000 dollars. Les hackers estiment souvent la rançon à 10-12% du chiffre d'affaires de l'entreprise. Girt négocie en expliquant la situation financière réelle de la victime. Par exemple, une entreprise de 50 personnes s'est vu demander 700 000 dollars, mais n'avait que 300 000 dollars sur son compte. Girt a réussi à faire baisser la rançon à 150 000 dollars. Les négociations, qui duraient autrefois 10 à 14 jours, se concluent désormais en 3 ou 4 jours. Cela est dû à l'évolution du marché des "accès initiaux". Les personnes qui trouvent les failles et s'infiltrent dans les réseaux vendent ces accès sur le darknet. Autrefois, ils vendaient l'accès à une seule organisation de ransomware et recevaient un pourcentage de la rançon en cas de succès. Aujourd'hui, ils vendent le même accès à plusieurs groupes en parallèle, créant une course contre la montre. Les groupes de ransomware ont donc moins de temps pour exploiter l'accès avant qu'un autre groupe ne le fasse. Concernant la question morale de payer une rançon, Girt reconnaît que chaque paiement finance les cybercriminels. Cependant, il souligne la zone grise entre le "bon" et le "mauvais" choix. Pour un chef d'entreprise de milliers d'employés dont l'activité est paralysée, ne pas payer peut signifier la faillite et le chômage pour ses employés. Le rôle du négociateur est de trouver un équilibre, en minimisant le paiement pour limiter le financement des criminels, tout en aidant le client à sortir de sa détresse. Les victimes sont souvent dans un état de grande détresse. Girt, fort de son expérience, est capable de prédire le déroulement des événements avec une grande précision. La majorité des cas sont réglés sans négociateur. Les victimes tentent souvent de négocier elles-mêmes, mais les hackers identifient rapidement les négociateurs professionnels. Les honoraires de Girt sont fixes (de 3 000-4 000 € pour les petites entreprises à 15 000-20 000 € pour les grandes), payés par l'assurance, et non basés sur un pourcentage de la rançon, ce qui éviterait d'être perçu comme un criminel. Girt utilise le temps de la reconstruction du réseau de la victime (environ 4-5 jours) pour négocier. Il adapte son approche, parfois en partageant des détails personnels (comme parler de ses enfants) pour humaniser l'échange. L'intelligence artificielle était autrefois utilisée pour identifier l'origine géographique et linguistique des hackers, mais cette méthode est moins efficace aujourd'hui. Quant à la manière dont les hackers s'introduisent dans les systèmes, Girt constate que les victimes mentent souvent sur la "root cause", attribuant l'attaque à du phishing (une erreur d'employé) pour minimiser leur responsabilité. Cependant, dans les grandes entreprises, où les employés ne sont pas administrateurs de leurs PC, le phishing est rarement la cause principale d'une attaque de ransomware d'envergure. Les deux principales failles sont les "password stealers" (logiciels malveillants qui collectent les mots de passe enregistrés et les liens, souvent installés via des VPN ou des logiciels piratés) et les vulnérabilités non patchées sur les firewalls, SSL VPN, ou serveurs Exchange. Ces dernières sont des "zero-day" exploits, des failles de sécurité inconnues ou non corrigées, qui permettent des attaques massives. Girt a eu un cas où il a prévenu la ville d'Anvers sept jours avant qu'elle ne soit piratée, ayant repéré des signes sur le darknet. Le bourgmestre a refusé son aide, craignant que Girt ne soit suspecté. L'histoire raconte que la ville n'a pas payé, mais qu'une autre entité l'a fait pour elle, ce que Girt ne croit pas. Une raison cachée de la négociation, surtout pour un gouvernement, est la gestion de l'image publique. Si un gouvernement est piraté, les médias se concentrent sur la question du paiement. Dans ce cas, Girt propose aux hackers un arrangement : après le paiement, ils suppriment les données volées, mais publient deux semaines plus tard 500 Go de "fausses" données fournies par Girt sur une plateforme contrôlée. Cela donne l'impression que la rançon n'a pas été payée, créant une situation "win-win". Une rumeur circulait à Anvers, le plus grand port d'Europe, selon laquelle des barons de la drogue auraient payé la rançon pour la ville afin d'éviter la fuite de dossiers sensibles les concernant. Girt souligne que tant que le lien unique de communication n'est pas utilisé, les criminels ne peuvent pas agir. En conclusion, le monde du cybernégociateur est complexe, loin des dilemmes simplistes. Girt met en lumière les réalités des négociations avec les cybercriminels, les motivations des différentes parties et les stratégies mises en œuvre pour naviguer dans ce paysage numérique dangereux.