Ransomware : pourquoi les attaquants se trompent parfois sur leur cible

Juin 2023. Le groupe Vice Society revendiquait une cyberattaque contre Nerim. Mais il ne s’agissait pas d’une attaque alors passée inaperçue ou survenue tout récemment : il s’agissait en fait de l’attaque conduite, au mois de mars précédent, contre l’infrastructure des services OnCloud de Bouygues Telecom Entreprises. 

En fait, le service OnCloud de Bouygues Telecom Entreprises est né au printemps 2021 du rapprochement de la branche télécommunications de Nerim avec Keyyo. Nerim avait fait l’acquisition de l’infogéreur Boost en 2013.

Selon les informations auxquelles nous avons eu accès lors de cette revendication, c’est l’infrastructure historique de Boost qui a été affectée, au moins en partie, par la cyberattaque. Les références à Boost, et à sa « nerimisation », figuraient d’ailleurs parmi les fichiers divulgués par Vice Society. 

Mais alors, pourquoi mentionner Nerim et pas Bouygues Telecom Entreprises OnCloud ? Probablement parce que l’attaquant n’avait pas suffisamment enquêté, en sources ouvertes, pour faire le rapprochement. D’ailleurs, sur ZoomInfo, tout laissait alors à penser que Nerim continuait d’exister comme une entité autonome. 

Des exemples antérieurs de confusion existent. L’affidé LockBit 3.0 impliqué dans la cyberattaque contre le Centre hospitalier Sud-Francilien (CHSF), fin août dernier, semblait ne pas comprendre s’en être pris à un établissement public de santé. Qu’a-t-il fourni, dans la discussion avec sa victime, pour se justifier ? Un lien vers la fiche ZoomInfo du CHSF.  

La pratique est courante. Il est fréquent que, dans la discussion avec sa victime, le cybercriminel s’appuie sur les données de ZoomInfo ou de Dun & Bradstreet pour appuyer ses affirmations, selon lesquelles la rançon demandée ne serait que très raisonnable compte tenu du chiffre d’affaires de la victime. 

Avant même toute attaque, les données de ces deux services sont utilisées notamment par les courtiers en accès initiaux pour vendre ces accès aux cybercriminels qui se chargeront ensuite de lancer l’offensive.

Mais certains ont appris de leurs erreurs. Cela vaut notamment pour l'enseigne The Gentlemen apparue récemment. Cette dernière joue la diversification et, plus important, la carte du local. Ainsi, elle utilise désormais les données du service français Pappers pour qualifier ses victimes potentielles dans l'Hexagone. Et elle est loin de s'en cacher : c'est visible dans ses revendications.

Cela ouvre la voie à une sélection plus judicieuse des prochaines victimes et des exigences financières plus adaptées aux données financières accessibles publiquement. Mais ce n'est pas tout : cela peut également se traduire par des prises de contact avec tous les tiers associés de près ou de loin aux activités de l'entreprise (associés, proches, etc.) dans la phase d'extorsion.

Article initialement publié le 5 juin 2023, mis à jour le 2 juillet 2026.