Que sont les sites de fuite de ransomwares ?

06 août 2026

La cybersécurité pourrait tout aussi bien avoir son propre langage. Il y a tellement d’acronymes, de termes et de dictons que les professionnels de la cybersécurité et les acteurs de la menace utilisent, qu’à moins d’avoir des connaissances approfondies, une expérience dans le domaine de la sécurité ou un vif intérêt, on ne le sait peut-être pas. Comprendre la signification de ces acronymes et termes est la première étape pour développer une compréhension approfondie de la cybersécurité et, par conséquent, mieux vous protéger, ainsi que vos clients et vos employés.

Dans cette série de blogs, nous visons à expliquer et à simplifier certains des termes les plus couramment utilisés. Auparavant, nous avons abordé l’hébergement pare-balles, les CVE, les API, les attaques par force brute, les exploits Zero Day, le doxing, la collecte de données, les IoC, le credential stuffing, le ransomware as a service, le push bombing, les attaques d’applications Web et les attaques de type man-in-the-middle. Dans cette édition, nous nous penchons sur les sites de fuite de ransomwares.

Sites de fuite de ransomwares 101

Un site de fuite de ransomware, également appelé site de fuite de données (DLS), site de nom et de honte ou site d’extorsion, est un site Web exploité par des groupes de ransomware qui publie des informations sur les victimes qui refusent ou retardent le paiement d’une rançon.

Historiquement, les attaques de ransomware reposaient presque exclusivement sur le chiffrement des systèmes d’une victime et sur l’exigence du paiement d’une clé de déchiffrement (extorsion unique). Cependant, à mesure que les organisations amélioraient leurs stratégies de sauvegarde et de reprise après sinistre, les attaquants ont fait évoluer leurs tactiques. Nous assistons désormais à une double extorsion. Avant de chiffrer les fichiers réseau, les acteurs malveillants exfiltrent les données sensibles de l’entreprise, les informations personnelles des employés, la propriété intellectuelle ou les dossiers financiers. Si la victime restaure à partir des sauvegardes et refuse de payer la rançon du décryptage, les opérateurs publient le nom de l’entreprise et la preuve d’exfiltration sur leur site dédié aux fuites, menaçant de rendre public l’ensemble des données.

La plupart des sites de fuite de ransomwares sont hébergés sur des réseaux anonymes tels que Tor, ce qui les rend difficiles à identifier, à saisir ou à supprimer.

Le rôle des sites de fuite

Les sites de fuite servent plusieurs objectifs stratégiques pour les cybercriminels :

Créer une urgence : Publier publiquement le nom d’une victime augmente la pression sur la victime. Les organisations doivent désormais prendre en compte non seulement les perturbations de leurs activités, mais également l’exposition potentielle des dossiers clients, des informations sur les employés, de la propriété intellectuelle, des documents financiers et d’autres données sensibles. En plus de menacer l’entreprise victime, les auteurs de la menace utilisent les données publiées sur les sites de fuite pour contacter directement les clients, les fournisseurs ou les régulateurs concernés, faisant ainsi pression sur la victime principale sous plusieurs angles. En outre, certains groupes malveillants créent des index consultables des fichiers volés sur des miroirs ClearWeb ou des canaux de messagerie publics (comme Telegram) pour rendre les données volées indexables par les moteurs de recherche, aggravant ainsi le risque de réputation de la victime.
Augmenter la réputation : Les groupes de ransomwares qui réussissent s’appuient sur leur réputation au sein de l’écosystème cybercriminel. En publiant systématiquement les données volées lorsque les victimes refusent de payer, ils renforcent la perception que leurs menaces sont légitimes. Cette réputation peut augmenter la probabilité que les futures victimes négocient plutôt que de risquer une divulgation publique.
Attirer les acheteurs criminels : Certains sites de fuite proposent des échantillons de données partiels tout en annonçant la vente d’ensembles de données complets. Si une victime ne paie pas, certains groupes de ransomware proposent les données exfiltrées à la vente ou aux enchères sur leur site de fuite à des cybercriminels tiers, permettant à d’autres acteurs malveillants d’exploiter les informations pour des campagnes de phishing, d’usurpation d’identité, de compromission de la messagerie professionnelle (BEC) ou d’autres attaques.
Promouvoir les programmes d’affiliation : De nombreuses opérations Ransomware-as-a-Service (RaaS) utilisent des sites de fuite comme plateformes de marketing. En plus de répertorier les victimes, ils annoncent les opportunités d’affiliation, publient des statistiques sur les attaques et présentent des opérations réussies pour recruter des partenaires supplémentaires.

Ce que comprennent les sites de fuite

Bien que chaque groupe cybercriminel conserve sa propre image de marque et sa propre interface, la plupart des sites de fuite partagent des composants communs :

Listes des victimes : Profils pour chaque cible, y compris le nom de l’entreprise, le site Web, le pays, le secteur d’activité et un résumé de la compromission présumée.
Comptes à rebours et minuteries : Des comptes à rebours visibles publiquement fixant une date limite avant que les données soient mises à disposition pour téléchargement.
Fichiers de preuves : Des exemples de documents, des scans de passeport, des feuilles de calcul financières ou des listes d’annuaires publiés tôt pour prouver la légitimité de la violation.
Dumps de données et torrents : Fichiers compressés téléchargeables ou liens magnétiques contenant la base de données complète exfiltrée une fois le délai expiré sans paiement.
Communiqués de presse et notes aux médias : Les déclarations de groupe ciblent les journalistes, les chercheurs en sécurité et les parties prenantes afin de maximiser la honte publique et les dommages à la réputation.

Sites de fuite de ransomwares dans la nature

Les sites de fuite de ransomwares sont devenus un composant standard de nombreuses opérations majeures de ransomware. Bien que chaque groupe conserve ses propres pratiques de marque et de publication, leur objectif global est le même : faire pression sur les victimes pour qu’elles paient en menaçant – ou en procédant – à la divulgation publique des données volées. Pour comprendre comment les groupes menaçants exploitent l’exposition publique, il est utile d’examiner les opérations du monde réel. Bien qu’il existe aujourd’hui des dizaines de sites de fuites actifs sur le darknet, plusieurs groupes éminents démontrent à quel point ces plateformes peuvent être variées :

Bit de verrouillage

À son apogée, LockBit exploitait l’un des sites de fuite de ransomwares les plus actifs du dark web. Le site de fuite basé sur Tor de LockBit a été le pionnier des plateformes d’extorsion riches en fonctionnalités. Leur site incluait des fonctions de recherche, de catégorisation des victimes, des comptes à rebours d’extorsion et des options permettant aux victimes de payer des frais pour prolonger les délais ou détruire les données volées. Même après les démantèlements des forces de l’ordre internationales, l’infrastructure de LockBit a réapparu à plusieurs reprises sous des miroirs mis à jour.

Akira

Émergeant en 2023, Akira est rapidement devenu l’un des groupes de ransomwares les plus actifs ciblant les entreprises de plusieurs secteurs. Démontrant une esthétique visuelle distincte, Akira exploite un site de fuite inspiré des interfaces de terminaux rétro vert sur noir des années 1980. Au-delà de la conception visuelle, la plate-forme d’Akira se distingue par ses listes sélectives de double extorsion et son intégration directe avec des portails de paiement personnalisés, ciblant les organisations des secteurs de la santé, de l’éducation et du commerce.

Cl0p

Plutôt que de s’appuyer exclusivement sur le cryptage des ransomwares, Cl0p s’est fait connaître pour ses campagnes de vol de données à grande échelle exploitant les vulnérabilités des logiciels de transfert de fichiers largement utilisés. Les victimes qui refusaient de négocier trouvaient souvent leur nom répertorié sur le site de fuite du groupe, à côté d’échantillons d’informations volées.

Pourquoi le suivi des sites de fuite est essentiel pour le renseignement sur les menaces

Bien que les sites de fuite soient exploités par des cybercriminels, ils fournissent des renseignements précieux aux défenseurs. Les équipes de sécurité surveillent ces sites pour :

Détection précoce de l’exposition : Permet aux enquêteurs d’identifier les victimes nouvellement divulguées et les données organisationnelles volées. Les publications sur les sites de fuite représentent souvent la première confirmation publique qu’un fournisseur, un partenaire ou un concurrent de votre chaîne d’approvisionnement a subi une violation majeure.
Profilage des acteurs menaçants : Le suivi des groupes de ransomwares émergents, du volume de victimes, des secteurs verticaux ciblés et de la fréquence de publication sur les sites de fuite actifs aide les analystes à suivre la montée, le changement de marque ou la disparition des principaux syndicats RaaS.

Étant donné que les groupes de ransomwares créent fréquemment de nouvelles infrastructures, changent de nom ou migrent entre domaines, la surveillance nécessite une visibilité continue sur le Web de surface et les réseaux anonymes. Les organisations découvrent souvent que leurs données ont été publiées seulement après que des journalistes, des clients ou des tiers l’ont signalé. Les plateformes de renseignements sur les menaces qui surveillent en permanence l’infrastructure des ransomwares peuvent aider les organisations à identifier plus rapidement les menaces émergentes, à corréler les données divulguées avec une activité de menace plus large et à prioriser les efforts de réponse avant que les incidents ne dégénèrent.

Pour les équipes de sécurité, comprendre le fonctionnement de ces sites et maintenir une visibilité sur les données qu’ils publient constitue un élément de plus en plus important de la cyberdéfense moderne. Les organisations qui surveillent de manière proactive les sites de fuite de ransomwares ainsi que des informations plus larges sur les menaces sont mieux placées pour détecter les expositions plus tôt, réagir plus efficacement et réduire l’impact à long terme des incidents de ransomware.

Protection et atténuation

Même si aucune organisation ne peut éliminer complètement le risque de ransomware, plusieurs bonnes pratiques peuvent réduire considérablement l’exposition :

Implémentez l’authentification multifacteur sur tous les points d’accès distants.
Corrigez régulièrement les systèmes connectés à Internet et les applications critiques.
Réseaux de segments pour limiter les mouvements latéraux.
Maintenez des sauvegardes sécurisées hors ligne et testez régulièrement les procédures de restauration.
Surveillez les informations d’identification volées et les informations sensibles exposées.
Élaborer et exercer régulièrement un plan de réponse aux incidents.
Organiser une formation de sensibilisation à la sécurité des employés axée sur le phishing et l’ingénierie sociale.

La préparation avant un incident reste l’une des défenses les plus efficaces contre les ransomwares.