LockBit : le groupe de hackers le plus nuisible au monde démantelé

Le mardi 20 février 2024, la National Crime Agency britannique annonçait avoir pris le contrôle de l'infrastructure de LockBit, avec le FBI, Europol et les polices d'une dizaine de pays. La formule de Graeme Biggar, directeur général de la NCA, a fait le tour des rédactions : « Nous avons réussi à pirater les pirates. » Reste à expliquer la nature de ce qui a été saisi. LockBit fonctionnait comme une entreprise, avec un logiciel loué à des clients, et cette organisation décide de ce que l'opération a réellement mis à l'arrêt.

Le rançongiciel vendu comme un service

Le modèle s'appelle le rançongiciel comme service. Les développeurs de LockBit écrivaient le programme de chiffrement, tenaient le site de publication des données volées, géraient la négociation et l'encaissement en cryptomonnaies. Des affiliés, extérieurs au noyau, se chargeaient d'entrer dans les réseaux : identifiants volés, faille non corrigée sur un accès distant, pièce jointe piégée. Le partage tournait autour de 20 % pour la plateforme, le reste pour celui qui avait fait l'intrusion.

Cette organisation explique le volume. Plus de 2 500 victimes recensées dans le monde, dont plus de 200 en France selon le parquet de Paris, c'est le résultat de centaines d'opérateurs indépendants utilisant le même outil. Elle explique aussi la limite de l'opération de février 2024 : une saisie de serveurs coupe la plateforme, elle n'arrête pas les affiliés, qui restent libres et qualifiés.

Les montants, remis à l'échelle

Les rançons réclamées par LockBit allaient de 5 à 70 millions d'euros pour les plus grosses cibles. Les autorités américaines évaluaient à plus de 120 millions de dollars le total effectivement encaissé. Le coût réel pour les victimes est d'un autre ordre : semaines d'activité perdue, reconstruction du système d'information, prestataires de réponse à incident, et pour un hôpital, opérations reportées.

En France, les attaques contre le centre hospitalier sud-francilien de Corbeil-Essonnes en août 2022, puis contre celui de Versailles en décembre de la même année, ont donné la mesure de ce que signifie une paralysie informatique dans un service de soins : retour au papier, transferts de patients, urgences détournées. Aucun des deux établissements n'a payé.

Le « mur de la honte », retourné contre ses propriétaires

LockBit tenait un site vitrine sur le darknet où étaient publiées, par lots, les données des organisations qui refusaient de payer. C'était l'outil de pression principal du groupe, plus efficace que le chiffrement lui-même pour une entreprise soucieuse de sa réputation. Les enquêteurs en ont pris la main et l'ont transformé en page d'information, publiant à intervalles réguliers des éléments sur l'enquête. Le geste était théâtral, mais il visait juste : dans ce milieu, la crédibilité auprès de ses propres affiliés est l'actif principal d'une plateforme.

Ce que la NCA n'a pas dit

Les enquêtes n'ont pas établi de soutien direct de la Russie à LockBit. Elles ont relevé une tolérance envers la cybercriminalité sur le territoire russe, et une forte concentration d'opérateurs russophones. La nuance est utile : elle décrit un État qui ne poursuit pas, ce qui suffit largement à expliquer que des inculpations américaines restent lettre morte tant que les intéressés ne quittent pas le pays.

Un précédent invitait à la prudence dès le premier jour. Un an plus tôt, en janvier 2023, le réseau Hive tombait de la même manière, après avoir visé 1 500 entités dans 80 pays et récolté plus de 100 millions de dollars. Le marché du rançongiciel s'était reconfiguré en quelques mois. Rien, en février 2024, ne permettait de dire que celui-ci allait se comporter autrement.