Les paiements liés aux rançongiciels ont diminué de 35 % en 2024, selon une étude

Les paiements de ransomware ont connu une chute inattendue en 2024, chutant de 35 % à environ 813,55 millions de dollars, malgré des paiements dépassant le milliard de dollars pour la première fois en 2023. Cette baisse est en grande partie due à une série de démantèlements réussis par les forces de l'ordre et à une meilleure cyber hygiène, qui ont permis à davantage de victimes de refuser le paiement, selon la plateforme blockchain Chainalysis.

Cette baisse a été une surprise, compte tenu de la tendance à la hausse observée plus tôt dans l’année. En fait, les acteurs du ransomware ont extorqué 2,38 % de plus au cours du premier semestre 2024 par rapport à la même période en 2023, ce qui suggère que les paiements continueront d’augmenter. Cependant, cet élan a été de courte durée, car l’activité de paiement a chuté d’environ 34,9 % au cours du second semestre de l’année.

Selon Chainalysis , Akira est le seul des 10 groupes de ransomware les plus prolifiques du premier semestre 2024 à avoir intensifié ses efforts au second semestre. De plus, au fil de l'année, moins de paiements exceptionnellement importants ont été effectués par rapport au paiement record de 75 millions de dollars versé aux Dark Angels au début de 2024 .

Les données sur les interventions en cas d’incident ont également montré que l’écart entre les montants demandés par les criminels et les montants payés par les victimes a augmenté de 53 % au cours du second semestre de l’année. Les analystes de Chainalysis ont attribué ce phénomène à une meilleure résilience des organisations , qui leur a permis d’explorer des options de récupération, telles que l’utilisation d’un outil de décryptage ou la restauration à partir de sauvegardes, plutôt que de payer les rançons.

Malgré la baisse générale des paiements de rançongiciels, le nombre de nouveaux sites de fuite de données a doublé en 2024, selon Recorded Future. Cependant, l’équipe de Chainalysis a noté que de nombreuses organisations avaient leurs données répertoriées plusieurs fois et que les groupes de rançongiciels prétendaient souvent avoir compromis des multinationales alors qu’en réalité ils n’avaient piraté qu’une seule filiale.

Les pirates informatiques peuvent également exagérer ou dénaturer l'étendue des données compromises d'une victime, allant même parfois jusqu'à republier les résultats d'anciennes attaques. Cette tactique est souvent utilisée pour rester dans la course ou paraître actif après un démantèlement par les forces de l'ordre, une opération que les criminels ont baptisée « Opération Cronos ».

LockBit et ALPHV ont laissé un vide notable

Le célèbre groupe de ransomware LockBit, responsable du type de ransomware le plus courant déployé dans le monde en 2023, a été la cible d'un démantèlement des forces de l'ordre en février 2024. La division Cyber ​​de la National Crime Agency du Royaume-Uni, le FBI et des partenaires internationaux ont fermé leur site Web , qui fonctionnait comme une importante vitrine de ransomware en tant que service.

Alors que LockBit a repris ses activités sur une autre adresse du Dark Web quelques jours plus tard, les paiements au groupe ont diminué de 79 % au cours du second semestre de l’année, selon Chainalysis. Une étude de Malwarebytes a également révélé que, bien que LockBit ait mené davantage d’attaques individuelles, la proportion d’incidents de ransomware dont il revendiquait la responsabilité est passée de 26 % à 20 %.

ALPHV, le deuxième groupe de ransomware le plus prolifique en 2023, a également laissé un poste vacant après une cyberattaque mal exécutée contre Change Healthcare en février. Le groupe n'a pas payé à une filiale sa part de la rançon de 22 millions de dollars, ce qui a incité la filiale à les dénoncer. En réponse, ALPHV a organisé un faux démantèlement par les forces de l'ordre et a cessé ses activités.

La baisse de l'utilisation des mixeurs et l'augmentation des portefeuilles personnels signalent l'impact des mesures d'application de la loi

Au-delà de la baisse des paiements, Chainalysis a identifié des preuves supplémentaires que les opérations de démantèlement des forces de l’ordre en 2024 ont été couronnées de succès. L’utilisation de services de mixage – des outils qui masquent l’origine de cryptomonnaies illicites en les mélangeant avec d’autres fonds – par les acteurs du ransomware a diminué en 2024.

Chainalysis a lié cette tendance aux sanctions et aux mesures de répression prises par les forces de l'ordre contre des sites de mixage tels que Chipmixer, Tornado Cash et Sinbad. À la place, les acteurs du ransomware utilisent des ponts inter-chaînes, qui transfèrent des cryptomonnaies entre différentes blockchains pour faciliter leur dérivation.

De plus, des « volumes substantiels » de fonds criminels sont désormais détenus dans des portefeuilles personnels, ce qui suggère que les individus s’abstiennent de les retirer.

« Nous attribuons cela en grande partie à une prudence et une incertitude accrues au milieu de ce qui est probablement perçu comme des actions imprévisibles et décisives des forces de l'ordre ciblant les individus et les services participant ou facilitant le blanchiment de ransomware, ce qui entraîne une insécurité parmi les acteurs de la menace quant à l'endroit où ils peuvent placer leurs fonds en toute sécurité », a déclaré l'équipe de Chainalysis.

Les attaquants de ransomwares intensifient leurs mesures en réponse

Chainalysis a averti que les groupes de ransomware continuent de s’adapter malgré les perturbations des forces de l’ordre, avec « de nouvelles souches de ransomware émergeant de codes divulgués ou achetés » pour échapper à la détection. Le rapport a également souligné que les attaques sont devenues plus rapides, les négociations commençant désormais quelques heures après l’exfiltration des données.

Les autorités commencent à comprendre l’évolution des tactiques et envisagent des contre-mesures plus drastiques. Le mois dernier, le gouvernement britannique a annoncé qu’il pourrait interdire les paiements de rançongiciels pour faire des secteurs critiques des « cibles peu attrayantes pour les criminels ».

https://www.techrepublic.com/article/ransomware-payments-decrease-2024-chainalysis/

https://www.chainalysis.com/blog/crypto-crime-ransomware-victim-extortion-2025/