Le 13 juillet, le Trésor américain a franchi une étape inédite : l'OFAC, son bureau de contrôle des sanctions, a désigné pour la première fois un fournisseur VPN pour facilitation d'attaques par rançongiciel. First VPN Service, actif depuis 2014 et ouvertement commercialisé sur les forums cybercriminels avec une promesse de « zéro journal, zéro coopération avec les autorités », est désormais sous sanctions, tout comme son administrateur et un vendeur de « cryptors », ces outils qui déguisent un logiciel malveillant en fichier inoffensif pour tromper les antivirus.
Selon le Trésor, l'infrastructure de ce fournisseur a servi des attaques contre des entreprises américaines, des institutions financières, des hôpitaux et des municipalités, pour des milliards de dollars de pertes. L'analyse de la chaîne de blocs par la firme TRM Labs relie des achats du service à des groupes comme Anubis et Qilin. Deux mois plus tôt, l'opération Saffron, menée par la France et les Pays-Bas avec Europol et le FBI, avait saisi 33 serveurs du service dans 27 pays. Les sanctions ajoutent l'étage financier à l'étage judiciaire, et Londres et Bruxelles ont annoncé le même jour des paquets coordonnés contre des réseaux cyber russes.
Pourquoi en parler à un comité de direction ? Parce que cette évolution change concrètement le calcul du paiement de rançon, et qu'elle le change en votre défaveur si rien n'est préparé.
La responsabilité est stricte, et l'infrastructure est partagée
Deux mécanismes se combinent, et leur combinaison est ce qui doit retenir l'attention.
- La responsabilité en matière de sanctions est stricte. Une organisation américaine, ou exposée au système financier américain, qui effectue un paiement touchant une entité ou un portefeuille cryptographique sanctionné viole le régime de sanctions, même sans le savoir. « Nous l'ignorions » n'est pas une défense.
- L'OFAC sanctionne désormais l'infrastructure, pas seulement les groupes. Un VPN, un vendeur de cryptors, hier des plateformes d'échange et des mixeurs : ces services sont partagés par des dizaines de groupes criminels. Conséquence directe : un incident impliquant un groupe non sanctionné peut quand même comporter un lien caché avec une entité sanctionnée, quelque part dans la chaîne de paiement ou d'infrastructure.
Autrement dit, la question « notre attaquant est-il sous sanctions ? » ne peut plus recevoir de réponse fiable au milieu de la crise, à trois heures du matin, sous la pression d'un compte à rebours. C'est précisément pour cela qu'elle doit être traitée avant.
La décision de payer est une décision de gouvernance
L'avis de l'OFAC sur les paiements de rançon dit une chose remarquable : les mesures de résilience mises en place avant l'incident, sauvegardes, plan de réponse, continuité des activités, et le signalement rapide aux autorités comptent comme facteurs atténuants en cas de poursuite. Le régulateur récompense explicitement la préparation.
Un cadre de décision sérieux, établi à froid, comprend quatre éléments.
- Une position de principe documentée sur le paiement, arrêtée par la direction et le conseil, avec les critères qui autoriseraient une exception : vies en jeu, incapacité totale de restauration, obligation contractuelle.
- Un circuit de vérification des sanctions prêt à l'emploi : conseil juridique spécialisé, prestataire d'analyse de chaîne de blocs pour tracer les portefeuilles, filtrage OFAC des intermédiaires. Ces contrats se négocient avant l'incident.
- L'implication de l'assureur dès le départ. Les assureurs cyber exigent un filtrage des sanctions avant tout remboursement de rançon ; un paiement effectué sans eux peut ne jamais être couvert.
- Le réflexe de signalement. Prévenir les autorités tôt n'est pas seulement civique : c'est un facteur atténuant explicite, et souvent une source d'aide technique réelle.
La vraie alternative au paiement, c'est la reprise
Le paiement est une option qui se dérobe : il peut être illégal, non couvert par l'assurance, et il ne garantit ni la restitution des données ni le silence de l'attaquant. La seule alternative solide est de ne pas en avoir besoin, et cela se construit : des sauvegardes immuables et hors de portée de l'attaquant, des objectifs de reprise (RTO et RPO) réalistes et testés par de vraies restaurations, un mode dégradé qui maintient les activités vitales.
C'est le cœur d'un plan de continuité qui survit à une cyberattaque : quand la capacité de reprise est démontrée, la décision de ne pas payer cesse d'être un pari héroïque pour devenir la conclusion logique d'un dossier préparé.
La question pour le conseil
La question à inscrire à l'ordre du jour tient en une phrase : « si un rançongiciel frappait ce trimestre, notre position sur le paiement est-elle écrite, juridiquement vérifiable en heures, connue de notre assureur, et adossée à une capacité de reprise testée ? ». Quatre oui, et l'organisation traverse la crise en exécutant un plan. Un seul non, et elle improvisera la décision la plus lourde de l'année sous la contrainte d'un criminel.
Où FortaRisks intervient
FortaRisks aide à transformer cette préparation en preuves : le module Conformité cartographie vos contrôles de continuité, de sauvegarde et de réponse à incident à travers plus de 30 référentiels, en écarts priorisés et documentés, présentables à un conseil comme à un assureur. Pour situer votre capacité de résilience en quelques minutes, notre score de risque cyber gratuit constitue un bon point de départ.