820 millions de dollars payés en rançon : la cyber-négociation confronte les entreprises à un dilemme existentiel. Survivre ou refuser ? Le « Sanction Check » devient la ligne rouge éthique, assurant la conformité face à une cybercriminalité industrialisée et sans précédent.
Geert Baudewijns, PDG de Secutec, une entreprise de cybersécurité fondée en 2005 est expert en cyber-négociation. Depuis une décennie, il a mené plus de 600 interventions couronnées de succès, protégeant ainsi plus de 800 clients dans 60 pays. Il partage aujourd’hui sa vision des mécanismes complexes régissant le marché des rançongiciels et les protocoles qui garantissent la continuité des opérations tout en respectant l’éthique.
Ingénierie de la négociation et gestion des risques
lebigdata.fr : Quelle est votre méthode opérationnelle pour écarter rapidement les usurpateurs d’identité en pleine crise, sachant qu’une attaque a récemment forcé une entreprise comme Cencora à débourser 75 millions de dollars ?
Geert Baudewijns : Pour confirmer l’identité des hackers, nous exigeons systématiquement la transmission de 6 pages déchiffrées. Elles doivent venir des fichiers exfiltrés et encryptés. Cette preuve permet de valider que nous traitons bien avec la personne ou le groupe à l’origine de l’intrusion.
lebigdata.fr : Pourquoi imposer un déblocage progressif des paiements en cryptomonnaies lors de l’échange des clés plutôt qu’une libération financière unique ?
Geert Baudewijns : Dans le cadre des 600 processus de cyber-négociation que j’ai menés, j’ai systématiquement obtenu l’intégralité des clés de déchiffrement. Cette réussite s’explique notamment par notre méthode de travail. Nous exigeons la remise des clés de manière progressive, en parallèle des paiements échelonnés.
Les attaquants savent qu’ils traitent avec un professionnel de la cyber-négociation qu’ils sont susceptibles de recroiser lors d’autres négociations. Cette compréhension les incite à maintenir une forme de professionnalisme. Le but est de ne pas rompre cette confiance implicite.
Intégration du « Sanction Check » et expérience utilisateur
lebigdata.fr : Comment l’interface de la plateforme Digital Asset Redemption fluidifie-t-elle concrètement le travail d’enquête de vos équipes face à l’urgence d’une attaque ?
Geert Baudewijns : Le DAR n’intervient pas dans le cadre des enquêtes. Sa mission se limite à vérifier, au moment du paiement, que les fonds ne seront pas versés sur un compte lié à une activité terroriste. Il s’agit donc d’une mesure de conformité et de sécurité financière. Il ne constitue pas un soutien à la résolution de l’incident.
lebigdata.fr : Quelle gouvernance interne appliquez-vous pour protéger vos collaborateurs d’éventuelles poursuites, étant donné que la rançon transite directement par le compte Bitcoin de votre entreprise ?
Geert Baudewijns : Je suis le seul à m’occuper des opérations de cybernégociation et des paiements. Une responsabilité que j’assume sans intermédiaires car dès qu’un cybercriminel identifie un cybernégociateur professionnel, il impose systématiquement un canal de messagerie sécurisé comme Tox, puis propose d’augmenter la rançon.
Si j’acceptais, je pourrais recevoir 20 % du delta, mais ce serait prendre un risque inacceptable en tant que dirigeant et père de six enfants.
De plus, pour garantir la conformité, j’utilise le protocole Sanction Check. Je saisis les coordonnées bancaires et les données disponibles du demandeur de rançon, puis le DAR vérifie pour moi que le compte n’est pas lié à une activité terroriste.
lebigdata.fr : Quel est l’impact immédiat du classement terroriste d’un groupe comme LockBit 3.0 sur vos protocoles d’escalade ?
Geert Baudewijns : Cela signifie que nous ne versons pas la rançon.
Éthique, pressions et contournements
lebigdata.fr : De quelle manière recadrez-vous un dirigeant victime qui exige une remise d’espèces immédiate à Dubaï pour sauver sa chaîne de production ?
Geert Baudewijns : Cette demande émane systématiquement des cybercriminels et non des dirigeants. Ma réponse est toujours la même : je ne prends jamais le risque de payer une rançon sans vérification préalable. Toute transaction doit impérativement passer par un Sanction Check, réalisé via un organisme agréé par le DAR.
lebigdata.fr : Comment expliquez-vous la difficulté à faire respecter les cadres réglementaires de l’OFAC ou de l’ONU auprès d’organisations dont la survie numérique est menacée ?
Geert Baudewijns : C’est uniquement un calcul économique. En moyenne, une entreprise bloquée par une cyberattaque reste paralysée 24 jours. À cela s’ajoute le coût de la remise en état du réseau. Le coût de cet arrêt dépasse souvent la rançon demandée, qui représente généralement entre 5 % et 10 % du chiffre d’affaires. Dans ce contexte, le paiement peut parfois s’avérer moins onéreux que les pertes subies.
Prospective et transformation du marché
lebigdata.fr : Comment anticipez-vous la restructuration légale et technologique de votre profession d’ici 2030, sachant que les paiements liés aux rançongiciels ont déjà franchi le cap des 820 millions de dollars l’an dernier ?
Geert Baudewijns : Nous assistons à une accélération sans précédent de l’industrialisation du cybercrime, ce qui complexifie inévitablement chaque processus. Les entreprises doivent désormais s’équiper d’outils capables de s’adapter en temps réel aux nouvelles tactiques des attaquants, car la structuration de leur réponse doit désormais intégrer pleinement les enjeux stratégiques de la cyber-négociation. Les cybercriminels ne ciblent pas un secteur spécifique, mais les cibles les plus vulnérables.
À l’ère de cette industrialisation, les hackers exploitent systématiquement des failles déjà identifiées par d’autres, transformant la cyber-négociation en un exercice de haute voltige financière. Leur objectif est le profit, et rien d’autre. Les groupes les plus organisés ressemblent désormais à de véritables entreprises. Ce qui impose une professionnalisation accrue de la cyber-négociation face à des effectifs allant de la dizaine à plusieurs centaines de membres.
Face à la généralisation des solutions de cybersécurité, les attaquants ont adapté leurs méthodes. Aujourd’hui, la majorité d’entre eux achètent l’accès initial aux systèmes de leurs victimes plutôt que de le créer eux-mêmes. Ils se fournissent donc auprès de pirates spécialisés dans l’exploitation de vulnérabilités spécifiques ou dans la diffusion de logiciels malveillants capables de voler mots de passe et données sensibles. Un même accès peut être vendu rapidement à plusieurs groupes criminels, déclenchant une course pour être le premier à exploiter une porte d’entrée partagée. Cette dynamique accentue la pression sur les organisations, qui doivent réagir toujours plus vite.
Les cybercriminels profitent de la fragmentation des dispositifs de défense pour isoler les structures les moins matures, rendant toute tentative de cyber-négociation plus périlleuse. Le rôle des éditeurs de solutions, pour contrer cette menace, doit reposer sur l’observation continue combinée à une expertise en cyber-négociation pour comprendre les environnements métiers. C’est sur quoi est basée chacune de nos solutions chez Secutec.
- Partager l'article :
