Source: The Conversation – in French – By Pierre-Charles Pradier, Maître de conférences en Sciences économiques, LabEx RéFi, Université Paris 1 Panthéon-Sorbonne
L’ESSENTIEL
-
Les rançongiciels, ces logiciel bloquant l’accès à un ordinateur en volant ses données en échange d’une rançon, ont rapporté plus de 800 millions de dollars en 2025.
-
Pour partir avec leur butin, les pirates du Web passent de plus en plus par les cryptomonnaies, plus rémunératrices et moins traçables.
-
Les positions ambiguës des États, comme la Russie, l’Iran et la Corée du Nord, brouillent encore plus les pistes pour les gendarmes financiers.
Cet été, une cyberattaque d’ampleur a touché le système d’information de la Direction générale des finances publiques (DGFiP) avec le vol de données fiscales et cadastrales de 678 000 particuliers et professionnels. Les fuites : noms, prénoms, adresses postales, numéros de téléphone, situation familiale, quotient familial, revenu fiscal de référence et taux de prélèvement à la source.
Cette attaque n’est pas isolée. L’extorsion grâce aux logiciels rançonneurs est une activité qui en 2025 rapporterait à ceux qui la pratiquent un butin de 820 millions de dollars états-uniens issus des paiements de rançons en cryptomonnaies. En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) constate 128 attaques majeures en 2025, touchant principalement les petites et moyennes entreprises.
Les pirates, aux noms de Qilin, TheGentlemen ou DragonForce, implantent dans les ordinateurs des victimes un logiciel rançonneur qui en chiffre les unités de stockage (comme les disques durs) et exfiltre ces données. Les pirates les font ensuite payer pour la récupération de ces fichiers informatiques. On parle alors de simple extorsion.
Pour les particuliers, l’affaire s’arrête en général ici. Pour les entreprises, l’histoire est tout autre. Elles doivent verser une rançon pour échapper à la diffusion de leurs données, souvent sensibles, qui ont été volées. Cette fois-ci, on parle de double extorsion.
Les chapeaux noirs – nom donné aux pirates informatiques – peuvent leur demander enfin de s’acquitter d’un lourd tribut afin de ne pas subir de nouvelles attaques. Ces dernières peuvent prendre la forme de déni de service, en saturant les réseaux de requête, rendant de facto le serveur ou le site web inaccessible. On parle pour ce « forfait complet » de triple extorsion.
Alors comment est née cette cybercriminalité ? Combien pèse-t-elle économiquement ? Et pourquoi les pirates numériques utilisent les cryptomonnaies pour être payés ?
Aux origines des rançongiciels
En décembre 1989, le premier rançongiciel (ransomware) de l’histoire, baptisé « AIDS Trojan » (ou cheval de Troie PC Cyborg) voit le jour. Joseph Popp, salarié de l’Organisation mondiale de la santé (OMS), envoie 26 000 enveloppes, chacune contenant une disquette de « renseignements introductifs sur le sida » à l’ensemble des chercheurs, des institutions médicales et des participants à une conférence internationale sur le sida organisée à Stockholm.
Au bout de 90 redémarrages, un message leur demande de payer une redevance annuelle de 189 dollars pour continuer à utiliser la disquette. Les victimes paniquent.
Wikimédia
Rattrapé par la Computer Crime Unit de New Scotland Yard, Joseph Popp est arrêté, perd la tête en attendant son jugement, avant de se consacrer à l’étude des papillons.
En 1996, Adam Young et Moti Yung soulignent que le schéma inventé par Joseph Popp pourrait « être utilisé pour mener des attaques visant à l’extorsion, avec, comme conséquence possible, la perte d’accès aux informations ».
De cette cybercriminalité artisanale émerge une véritable industrie du rançongiciel, avec CryptoLocker en 2013 – bloqueur d’écran –, Locky en 2016 – millions de courriels de phishing par jour – puis Lockbit en 2019 – menace de publication des données avec le système de Ransomware-as-a-Service (RaaS).
Extorsion lucrative
Aujourd’hui, l’industrie des rançongiciels est une manne financière extrêmement lucrative. Trois principaux organismes en étudient les coûts comme le rappelle l’économiste Anja Shortland : le FBI, Financial Crime Enforcement Network (FINCEN) et Chainalysis.
Le FBI compile les déclarations réalisées via l’Internet Crime Complaint Center. Cependant, comme il l’indique dans ses rapports depuis 2018, « dans certains cas, les victimes ne déclarent aucune perte au FBI, ce qui diminue artificiellement le chiffre des pertes ». L’administration états-unienne Financial Crime Enforcement Network (FINCEN) consolide les déclarations de soupçon des entreprises réglementées, notamment les cabinets spécialisés en réponse aux incidents et en expertise numérique criminelle, qui sont sollicités par les entreprises attaquées. Chainalysis analyse la chaîne de blocs des protocoles cryptos qui servent à payer les rançons et publie chaque année un rapport sur le crime.
Fourni par l’auteur
Ce tableau nous mène à trois constats :
-
Les estimations du FBI sont très inférieures aux autres, car les entreprises ne déclarent les cyberattaques dont elles sont victimes que si elles y sont contraintes par la loi. L’économiste Anja Shorland rappelle que ces entreprises sont réticentes pour ne pas donner une mauvaise image de leur organisation.
-
Les trois méthodes convergent pour montrer que l’activité est peu perceptible avant 2016 et qu’elle explose en 2020.
-
Ces estimations sont des minorants. Elles mesurent seulement les sommes payées par les victimes, pas les dégâts encourus – pertes de données, de chiffre d’affaires, d’image, pertes des sous-traitants, coût de remise en marche. Alors qu’aucune rançon n’a été versée, la seule attaque contre Jaguar Land Rover en août 2025, aurait coûté plus de 350 millions à JLR et six fois plus à ses milliers de sous-traitants.
Il n’y a pas d’évaluation académique globale des coûts complets, même si des méthodologies ponctuelles sont élaborées et des consultants en cybersécurité avancent des chiffres en dizaines de milliards de dollars états-uniens par an.
Baisse des coûts et diminutions de la traçabilité grâce au bitcoin
On peut toutefois se demander pourquoi et comment les exploitants de ces logiciels d’extorsion ont choisi d’utiliser Bitcoin pour le paiement des rançons, alors que la chaine de bitcoin permet de tracer les paiements.
Le chercheur Nori Katagiri souligne que si les criminels ont abandonné l’usage des numéros de téléphone surtaxés et des cartes prépayées c’est d’abord en raison d’un « facteur d’échelle » qui permettait d’augmenter le niveau des rançons.
L’affaire du hacker Zain Qaiser, condamné le 9 avril 2019 à Londres, éclaire à plus d’un titre. Cet étudiant faisait croire à des victimes qu’il possédait des enregistrements de leurs visites sur des sites pornographiques. Son complice installé aux États-Unis facturait ses services de blanchiment environ 30 % du montant des sommes traitées. C’est précisément ce complice qui s’est fait attraper par les autorités américaines.
Au bout du compte, Zain Qaiser aurait gagné un peu moins d’un million de dollars en deux ans avant son arrestation. En parallèle, les pirates derrière Cryptolocker, les premiers à se faire payer en bitcoins dès novembre 2013, auraient engrangé 8 millions de dollars en moins de six mois sans se faire inquiéter. Ceux de Locky, 27 millions en 2016. Le Financial Crimes Enforcement Network (FINCEN) aux États-Unis a comptabilisé 250 millions de dollars pour Lockbit et près de 400 pour ALPHV/BlackCat.
On a manifestement changé d’échelle avec l’usage des cryptomonnaies !
Utilisation de plateformes d’échanges complaisantes
Les criminels utilisent des prestataires de services liés aux cryptomonnaies qui ne se soucient pas des recommandations du Groupe d’action financière (GAFI), l’organisme mondial de surveillance et de normalisation chargé de lutter contre le blanchiment de capitaux.
La liste est longue des plateformes d’échange russes poursuivies sanctionnées par les États-Unis pour leur contribution au blanchiment de l’argent des rançons : BTC-e dès 2017, Suex en septembre 2021, Garantex en 2022, Bitzlato en 2023 ou PM2BTC en 2024.
Les pirates, quand ils sont reconnus, font aussi l’objet d’actes d’accusation et de demandes d’extradition, comme c’est le cas par exemple pour Evgeniy Bogachev, le créateur de GameOver Zeus, un cheval de Troie conçu principalement pour dérober des informations bancaires et propager le ransomware CryptoLocker.
Lieux sûrs à l’abri de la justice
Si le bitcoin a longtemps été l’instrument privilégié de règlement des rançons, Monero bénéficie depuis le début des années 2020 d’une popularité croissante. Comme l’indique une étude :
« Les groupes de rançongiciels […] privilégient de plus en plus les options plus anonymes, comme Monero, pour éviter d’être détectés. Les paiements en bitcoins peuvent entraîner des frais supplémentaires. »
Reste qu’avec l’interdiction de Monero dans l’Union européenne – article 76 §3 de MiCA – et l’attention portée par le Financial Crimes Enforcement Network (FINCEN) états-unien à ce protocole, le plus simple reste d’accepter les bitcoins que les victimes peuvent acheter auprès des prestataires légaux dans leur pays.
Le modèle économique du logiciel rançonneur dépend de l’accueil fait par quelques États aux exploitants de logiciels et de plateformes d’échanges qui permettent d’assurer le blanchiment des profits criminels.
La Russie, l’Iran et la Corée du Nord hébergent-ils la fine fleur du logiciel rançonneur, tout en pratiquant le déni, même quand il n’est pas plausible ? La doctrine de ces États consiste à offrir aux cyberattaquants et aux opérateurs de cryptos interlope un lieu sûr (safe harbor) tant qu’ils ne nuisent pas directement aux intérêts nationaux ; quand les États ne déguisent pas en pirates leurs propres agents…
Compte tenu de la difficulté de soumettre ces acteurs à des actions diplomatiques, la lutte contre le logiciel rançonneur ne peut reposer sur les seules victimes et leurs assureurs, comme le montrent les chercheurs Anja Shortland et Tom Baker. Les pouvoirs publics peuvent agir efficacement en invitant les assureurs à limiter les paiements, mais aussi en proposant des normes en matière de cyberdéfense, notamment en promouvant un modèle d’équilibre entre ouverture et sécurité, entre efficacité et résilience.
Pierre-Charles Pradier ne travaille pas, ne conseille pas, ne possède pas de parts, ne reçoit pas de fonds d’une organisation qui pourrait tirer profit de cet article, et n’a déclaré aucune autre affiliation que son organisme de recherche.
– ref. Mille millions de mille cyborgs ! Pourquoi les pirates informatiques demandent de plus en plus de rançons en cryptomonnaies – https://theconversation.com/mille-millions-de-mille-cyborgs-pourquoi-les-pirates-informatiques-demandent-de-plus-en-plus-de-rancons-en-cryptomonnaies-264639