Ransomware : l’Australie rend obligatoire la déclaration du paiement de rançon

Les entreprises australiennes réalisant un chiffre d’affaires annuel de plus de 1,7 million d’euros – ou étant susceptibles de l’atteindre à la fin de leur exercice fiscal en cours – sont désormais tenues de déclarer (sous 72 heures) toute concession à une tentative de cyber-extorsion.

Cela recouvre bien sûr les paiements de rançon à la suite d’une cyberattaque avec rançongiciel. Mais les concessions non monétaires sont également couvertes par la nouvelle législation entrée en vigueur ce 30 mai 2025. Les opérateurs d’infrastructures critiques étaient déjà tenus à de telles obligations.

Jusqu’à la fin de l’année, le gouvernement australien va commencer par jouer la pédagogie auprès des entités concernées. Les pénalités prévues par la loi en cas de manquement commenceront à être appliquées à partir du 1^er janvier 2026.

Cette nouvelle obligation de déclaration a été introduite dans un projet de loi présenté au parlement australien le 9 octobre dernier.

Le mémorandum explicatif de ce projet de loi relevait que « Les ransomwares et les attaques de cyberextorsion restent l’un des types de cybercriminalité les plus destructeurs. Ces attaques constituent une menace persistante pour l’Australie ». Face à cela, « des renseignements clairs sur les menaces concernant les ransomwares ou la cyber-extorsion nécessitent des données actualisées sur les incidents de cybersécurité ». C’est l’objet de l’obligation de déclaration.

Si l’Australie a choisi la voie de la contrainte, c’est parce que « les mécanismes actuels de signalement volontaire sont sous-utilisés et, par conséquent, les attaques de ransomware et de cyberextorsion restent largement sous-déclarées ».

Selon l’institut australien de criminologie, seul un incident sur cinq est actuellement rapporté aux autorités : « en conséquence, le gouvernement manque de visibilité sur l’impact économique et social des ransomwares en Australie ».

Le paiement des rançons reste, dans de nombreux pays comme la France ou l’Allemagne, hautement controversé. Pourtant, ces paiements sont activement suivis par les forces de l’ordre du monde entier pour traquer les cybercriminels. Et cela même si ces derniers s’efforcent de brouiller les pistes.

Dès lors, le paiement d’une rançon peut ne pas être si négatif… à condition que cela soit fait en toute transparence avec les autorités.