Fuites de données : pourquoi les ransomwares ne sont plus la priorité des cybercriminels
ZERO TRUST ZONE, pour suivre l'actualité et les tendances de la cybersécurité
En 2024, la majorité des cyberattaques ayant frappé entreprises, mutuelles, fédérations ou institutions publiques en France ne visaient plus à chiffrer les systèmes. Leur objectif : extraire les données, les monétiser, et exposer les victimes. Cette bascule marque un tournant stratégique dans l’économie souterraine du cybercrime, désormais structurée autour de la fuite de données plutôt que du ransomware.
Une mutation silencieuse mais massive
Jusqu’en 2022, le ransomware représentait l’arme de prédilection des attaquants : blocage complet des systèmes, demande de rançon, négociation opaque. Ce modèle exigeait des compétences techniques, une infrastructure robuste et une chaîne logistique criminelle coordonnée.
Depuis 2023, un changement de paradigme s’est opéré. Désormais, nombre d’attaques reposent sur des outils plus simples : infostealers, logs compromis, scripts de scrapping. Une fois les données exfiltrées, elles sont revendues, diffusées ou utilisées comme levier d’extorsion. Le data leak est devenu une stratégie en soi.
Pourquoi les fuites sont plus rentables que le chiffrement
Les raisons de cette évolution sont multiples :
-
- Moins de compétences requises : l’accès à des outils de compromission est facilité par des marketplaces criminelles et des forums spécialisés.
- Moins de risques techniques : les opérations ne nécessitent pas de maintenir un réseau chiffré ou de développer des outils sur mesure.
- Revenus récurrents : les bases de données peuvent être revendues à plusieurs reprises, à bas prix mais en volume.
- Moins de bruit : la fuite passe parfois inaperçue plusieurs semaines, évitant une réaction immédiate des autorités ou des victimes.
Ainsi, la revente de 27 millions de données clients de Boulanger, Cultura et Truffaut a été proposée pour 2 000 euros sur les forums. Les attaquants cherchent moins à maximiser le prix d’une rançon qu’à multiplier les ventes avant que les informations ne deviennent obsolètes ou soient diffusées gratuitement.
Une industrialisation du marché noir
La structuration de ce marché repose sur un outil central : Telegram. Désormais utilisé comme “pont clair-obscur” entre le dark web et le clear web, il permet à la fois d’exposer, de négocier et de diffuser.
Les bases de données circulent via des forums comme Breach ou XSS. Le prix est indexé sur plusieurs critères :
-
- Fraîcheur des données (fuite récente ou revente d’archives)
- Qualification des données (IBAN, numéros de téléphone, comptes clients complets…)
- Origine (mutuelles, opérateurs télécom, plateformes e-commerce)
Les attaquants proposent des services à la carte : extraction de panels clients, création de kits de phishing personnalisés, vente en direct ou en lots.
Des attaques silencieuses mais massives
L’année 2024 a été marquée par plusieurs fuites à très grande échelle :
-
- France Travail : 43 millions de dossiers
- Mutuelles (Almeris, Viamelis, Malakoff) : 33 millions de données
- Free : 19 millions d’IBAN publiés (dont 100 000 mis gratuitement en ligne)
- SFR : plusieurs exfiltrations successives via infostealers
- Sirius (ticketing) : 6 millions de comptes
- Fédérations sportives : 20 millions de données liées à 2 millions de licenciés
Dans nombre de cas, les entreprises ont tardé à reconnaître l’ampleur de l’incident, voire à l’annoncer publiquement. Cette stratégie de discrétion ne fait qu’aggraver les conséquences en cas de nouvelle fuite ou de publication directe par les attaquants.
La communication, maillon faible du dispositif
De Free à Harvest, en passant par Autosur, la majorité des communications post-attaque sont jugées incomplètes, floues, voire trompeuses. Expressions vagues, absence de chiffres, minimisation des faits : autant d’éléments qui nourrissent la défiance et la colère des utilisateurs touchés.
À l’inverse, une posture de transparence maîtrisée, dès les premiers signaux, permettrait d’endiguer l’exploitation publique des données et de limiter la perte de réputation.
Conséquences et perspectives
-
- Environ 120 millions de données françaises sont aujourd’hui identifiées comme compromises.
- 8 à 9 Français sur 10 ont été exposés à au moins une fuite depuis 2023.
- Le prix moyen d’une fiche client tourne autour de 0,50 à 2 euros, sauf cas critiques.
Le data leak est devenu le ransomware du pauvre : rapide à opérer, discret, monétisable en quelques clics. Cette tendance impose une refonte de la veille cyber, une amélioration drastique des pratiques SI internes, et un renforcement immédiat de la coordination entre acteurs publics, entreprises, prestataires et experts CTI.
