Lexique · Sécurité des données
Site d'extorsion
Site, le plus souvent accessible via Tor, sur lequel un groupe de rançongiciel nomme ses victimes et publie ou menace de publier les données volées afin de les pousser à payer (double extorsion). Le CERT-FR parle de site de divulgation ; en anglais, on dit leak site.
- Rubrique
- Sécurité
- Mise à jour
- Articles
- 1
Notions liées
Sources · 4
- [1] État de la menace rançongiciel à l'encontre des entreprises et des institutions (CERT-FR)
- [2] Panorama de la cybermenace 2024, rapport complet (CERT-FR)
- [3] International investigation disrupts the world's most harmful cyber crime group (National Crime Agency)
- [4] Attaque par credential stuffing sur un site web (CNIL)
Ce que ça change pour une organisation
Le CERT-FR décrit le principe de la double extorsion, apparu en novembre 2019 : les attaquants exfiltrent les données de la victime et la menacent de les publier sur un site Internet, généralement en .onion, afin qu’elle paie la rançon. Cette menace est limitée dans le temps, les opérateurs d’Egregor laissant par exemple 72 heures aux victimes pour les contacter. La publication peut être précédée de la révélation de la compromission, avec un extrait de fichiers, pour authentifier l’acte.
Pour l’organisation nommée, la médiatisation fait partie du mode opératoire : l’ANSSI relève que les attaquants médiatisent leurs attaques pour accentuer la pression. Une mention sur un site d’extorsion est d’abord une revendication, à vérifier, et elle impose d’examiner sans attendre s’il y a eu violation de données personnelles, qui doit être inscrite au registre des violations et, le cas échéant, notifiée à la CNIL sous 72 heures (article 33 du RGPD). Entre juin et août 2024, l’ANSSI a d’ailleurs reçu plus de quinze alertes sur de fausses publications Telegram se faisant passer pour LockBit.
Exemple
Le 20 février 2024, dans le cadre de l’opération Cronos, la National Crime Agency britannique a annoncé avoir pris le contrôle de l’environnement d’administration de LockBit et de son site de fuite public sur le dark web, où le groupe menaçait de publier des données volées à ses victimes. L’agence indique avoir obtenu plus de 1 000 clés de déchiffrement et mis hors service 28 serveurs d’affiliés.
À ne pas confondre avec
- Un forum ou un marché cybercriminel : lieu d’échange ouvert à de nombreux acteurs, alors que le site d’extorsion est exploité par un groupe de rançongiciel pour désigner ses propres victimes.
- Le portail de paiement ou de contact : espace par lequel la victime dialogue avec les attaquants ou règle la rançon, distinct de l’espace où les données sont publiées.
- Le dark web : le site d’extorsion y est souvent hébergé, mais certains opérateurs en exploitent un second, accessible depuis un navigateur classique.
