Ce négociateur ransomware bossait pour le gang, pourquoi tes backups restent ta seule garantie
Le fait
Un consultant en cybersécurité américain vient de plaider coupable devant un tribunal fédéral. Son métier officiel : négocier avec les gangs de ransomware pour le compte d’entreprises victimes. Son activité réelle : informer secrètement ces mêmes gangs de l’état des négociations, des capacités de paiement des victimes, et saboter les tentatives de récupération qui auraient pu éviter le versement de rançon.
Le schéma est élégant dans sa perversité. Tu appelles un “expert” pour te sortir du merdier, et cet expert joue contre toi depuis le début. Il connaît tes réserves financières, il sait que tes backups sont inutilisables, et il touche des deux côtés.
Ce n’est pas un cas isolé d’individu vénal. C’est un symptôme structurel d’un marché où tous les intermédiaires ont intérêt à ce que tu paies. Le négociateur (commission sur la rançon), l’assureur cyber (prime ajustée au risque perçu, pas réel), le gang (revenus directs).
Toi, tu es la vache à lait.
Pourquoi ça compte pour toi
Si tu lis MacSouverain, tu as probablement déjà une allergie aux tiers de confiance non vérifiables. Cette affaire confirme cliniquement pourquoi.
Le problème n’est pas qu’un type était corrompu. Le problème, c’est que le modèle économique du ransomware crée des incitations pour que TOUT le monde autour de toi préfère que tu paies. L’assurance cyber ? Elle te rembourse (partiellement), donc elle ne combat pas le paiement, elle le facilite. Le négociateur ? Payé au résultat, et le “résultat” c’est de conclure un deal payant (avec commission) pour restaurer tes données.
Quand l’écosystème entier est aligné contre toi, la seule position tenable c’est de ne pas en dépendre. Pas de négociateur si tu peux restaurer seul. Pas d’assurance cyber comme stratégie principale si tes backups sont solides. Autonomie technique d’abord, recours externes en dernier ressort.
Ce que tu fais maintenant
1. Vérifie que ta stratégie backup suit la règle 3-2-1-1 : trois copies, deux supports différents, une hors site, une hors ligne (air-gapped). Kopia chiffre tout côté client avant l’envoi (zero-knowledge), les destinations (B2, S3, NAS, SFTP) ne voient que des blobs opaques, déduplicés, indéchiffrables sans ta passphrase. Si le serveur est compromis, ton repo reste illisible.
2. Teste ta restauration. Un backup jamais testé n’existe pas. Programme un exercice trimestriel où tu restaures effectivement un système depuis zéro.
3. Segmente ton réseau. Un ransomware qui touche ton poste de travail ne doit pas avoir accès direct à ton NAS backup. Tailscale mesh wireguard + ACLs strictes entre segments.
4. Documente ta procédure de réponse AVANT l’incident. Qui tu appelles (et pourquoi tu leur fais confiance), quelles machines tu isoles en premier, où sont tes clés de restauration. Pas dans Notes iCloud sans ADP, ni dans un quelconque doc partagé en clair.