Ransomware : The Gentlemen se met aussi à l'analyse des données volées par AI

TheGentlemen est une enseigne de ransomware relativement récente, suivie depuis début septembre 2025. À ce jour, elle a été associée à la revendication de plus de 650 victimes – dont près de 120 en juin 2026, des revendications qui semblent parfois être publiées très rapidement après la survenue de la cyberattaque.

L'enseigne suit le mode opératoire classique de la double extorsion : les assaillants volent des données à leur victime avant de déclencher un chiffrement avec leur rançongiciel. Deux leviers sont donc utilisés pour pousser la victime à payer la rançon : perturbation de ses activités, et la menace de vente/divulgation des données.

Mais voilà, comment attirer l'attention sur ces données pour qu'elles remplissent pleinement leur office ? Et cela avant de les rendre publiques - ou que quelqu'un ne réussie, laborieusement, à les télécharger pour les examiner de plus près... Ce qui n'a généralement, rien de trivial, bien heureusement pour les victimes.

Les enseignes Titan et Settra ont choisi : utiliser l'IA générative pour analyser les arborescences de fichiers volés, entre noms de dossiers et de fichiers. La seconde enseigne semble toutefois pousser l'analyse plus loin. Mais toutes deux avaient bien montré une voie. Et The Gentlemen vient de s'y engouffrer.

L'enseigne vient d'assortir deux de ses récentes victimes de « rapports » construits de manière « automatique » sur la base de l'arborescence des données volées.

Ces rapports commencent une synthèse indiquant le nombre de fichiers considérés, le volume de données correspondant, ou encore les catégories dans lesquelles elles peuvent être répartie et les types de fichiers.

Chaque catégorie comporte son propre sous-rapport, en mention des noms de fichiers considérés, avec leur chemin complet dans l'arborescence. À chaque fois que possible, les éléments réglementaires applicables sont mentionnés, comme il se doit, pour faire peur à la victime et l'encourager à payer la rançon. Et cela en considérant plusieurs juridictions différentes.

Au passage, ces « rapports » fournissent des indications qui ne manqueront pas d'intéresser, notamment, les analystes du renseignement sur les menaces : une section est consacrée à la chronologie d'exfiltration des données, sur la base des dates mentionnées dans les noms des fichiers ainsi que leurs dates de modification. De quoi estimer quand est effectivement survenue l'extraction des données.

Ces « rapports » sont enfin assortis d'une section de recommandations de sécurité. Leur simple existence devrait encourager les victimes concernées à mener un travail de reconstruction rigoureux afin d'éviter que des tiers malveillants n'utilisent les informations fournies pour identifier de nouvelles faiblesses dans la posture de sécurité avant de les exploiter à leur tour.