Cyberattaque : pourquoi il ne faut jamais payer la rançon

Le général de corps d’armée Marc Boget a créé et commandé le commandement de la gendarmerie dans le cyberespace avant de prendre la tête de l’Agence du numérique des forces de sécurité intérieure, qui gère l’ensemble des systèmes d’information de la police et de la gendarmerie. Il est donc passé de la chasse aux cyberdélinquants à leur défense — et il explique pourquoi les deux vont ensemble. Typologie des hackers, réflexe des premières heures, gestion de crise : un épisode d’une densité rare, et très concret.

Ce qu’il faut retenir de cet épisode

En 2024, la cybercriminalité a coûté environ 10 500 milliards de dollars dans le monde, pour 2 500 milliards de revenus — et une attaque par rançongiciel toutes les 11 à 12 secondes.
Il ne faut jamais payer une rançon — et la raison technique est plus convaincante que l’argument moral : l’attaquant n’a le plus souvent pas la clé de déchiffrement.
Le réflexe qui change tout : appeler immédiatement. « C’est au début que tout se joue. »
La gendarmerie envoie un triptyque — enquêteurs, experts techniques et négociateurs du GIGN formés au cyber.
Sur le phishing : 30 à 40 % de clics au premier exercice dans une entreprise qui n’en a jamais fait, contre 3 à 5 % chez celles qui s’entraînent.
Sa formule sur la posture défensive : « Aux échecs, ils ont les blancs. Vous avez toujours les noirs. »

Du ComCyberGend à la défense des systèmes

Son parcours est celui d’un officier de gendarmerie « à couleur technique » : dans la spécialité des systèmes d’information, on alterne postes de commandement opérationnel sur le terrain et temps passés dans la spécialité. Peloton de gendarmerie mobile, compagnie départementale, groupement — puis, entre deux, les différents postes de la filière SIC.

Il a notamment créé et occupé pendant deux ans la fonction de directeur de la stratégie digitale et technologique auprès du directeur général de la gendarmerie, avant de prendre l’ANFSI.

Le périmètre de cette agence est vaste : « C’est la DSI de la police et de la gendarmerie. » Conception, réalisation, maintien en condition opérationnelle et exploitation de toutes les applications et de tous les systèmes d’information des deux forces, plus les réseaux de communication — et l’animation des chaînes territoriales SIC, partout sur le territoire, outre-mer compris.

Avant cela, il avait créé et commandé le ComCyberGend. La gendarmerie compte aujourd’hui plus de 10 000 cyber-enquêteurs formés. Côté police nationale, c’est l’office anti-cybercriminalité (OFAC) qui est à la manœuvre, et la BL2C à la préfecture de police. Il signale au passage la création récente de l’unité nationale de police judiciaire, structure de près de 2 000 personnels en appui des enquêtes de haut niveau.

Et il résume ainsi son changement de poste : « Après quelques années à jouer au gendarme et au voleur, je suis maintenant du côté défensif. » Avec un enchaînement logique qu’il souligne : « Plus nous sommes efficaces dans la lutte contre la cybercriminalité, plus nous devenons une pièce intéressante à accrocher à un tableau de chasse. » Les hackers, par bravade ou par revanche, cherchent à pouvoir dire qu’ils ont piraté les gendarmes.

Les trois étages de la cybercriminalité

C’est la grille de lecture la plus utile de l’épisode.

Le haut du spectre. Les grands groupes que l’on voit fleurir dans la presse : les plus chevronnés techniquement, ceux qui pratiquent le big game hunting. « Des gens qui vont rentrer longtemps avant dans les systèmes, et aller chercher des rançons à plusieurs millions ou plusieurs dizaines de millions de dollars. » Ce sont, dit-il, de véritables entreprises criminelles : « Vous avez le patron du groupe, le directeur commercial en charge des affiliés, le directeur technique. »

Le bas du spectre. La délinquance de masse : faibles montants, grand nombre de victimes. Les vagues de phishing et les arnaques « qui fonctionnent encore trop souvent ». Ceux-là achètent des lots de données personnelles et des outils, et cherchent le volume.

Le milieu. Des opportunistes qui, dit-il joliment, « font leurs courses » avant de lancer leur attaque — et le marché est étonnamment normé. Une vulnérabilité achetée à quelqu’un du haut du spectre coûtera en moyenne 20 % du butin ; une capacité de blanchiment, 5 % ; de la puissance de calcul, 3 à 5 %. « Une fois qu’il a tout ça, il lance son filet assez large et il voit ce qu’il attrape. »

Sur la localisation, il balaie une idée reçue : « Est-ce qu’ils sont tous russes ? La réponse est non. Beaucoup sont russophones, mais tous ne sont pas en Russie. » Et il glisse une anecdote éclairante : un attaquant de haut niveau a été interpellé à Saint-Domingue, où il était en vacances. « Quand vous avez plein d’argent, vous avez plutôt tendance à le dépenser sous des palmiers qu’au fin fond de la Sibérie. »

« Seul on va plus vite, ensemble on va plus loin »

La coopération internationale n’est pas un supplément d’âme dans ce domaine : c’est la condition d’existence de l’enquête. « Une enquête cyber, c’est très vite six, sept, huit pays impliqués. » Sur une opération comme EncroChat, la gendarmerie coordonnait 42 pays. Quand il commandait le ComCyberGend, il tenait en moyenne seize réunions internationales par mois — du Canada à l’Australie, du Japon aux pays africains. « Il y a très peu de pays avec lesquels on ne collabore pas : on subit tous la même pression délinquante. »

Cette coopération fonctionne à deux niveaux. Le premier est judiciaire et bien balisé : entraides pénales internationales et européennes, dispositifs connus de tous.

Le second est technique, et beaucoup plus darwinien. « Il existe de par le monde des groupes très fermés d’experts. On y entre à la compétence technique : vous avez quelque chose à apporter au débat, vous entrez ; vous n’avez rien à apporter, vous restez à la porte. » Ce qui crée une obligation permanente de niveau. « Plus on est efficace, plus les gens veulent travailler avec nous, plus on a accès à des technologies innovantes — et plus on garde ce temps d’avance. »

Sur le plan des juridictions, il donne un « petit cours de droit » utile. Les magistrats français sont compétents dès qu’un de ces trois critères est réuni : lieu de commission de l’infraction, domicile de l’auteur, ou domicile de la victime. Selon les cas, l’affaire est traitée par le parquet local, par une juridiction interrégionale spécialisée, ou par la section J3 de la JUNALCO — un pool de magistrats spécialisés dans le cyber, doté d’une capacité d’évocation nationale. Les mécanismes d’extradition jouent ensuite si un autre pays réclame l’auteur.

Quant aux attaques pilotées par des États et à la subversion informationnelle, elles relèvent des services spécialisés — « mais c’est rarement aussi blanc ou aussi noir : il y a souvent des cosaisines, chacun traitant un morceau de l’enquête ».

Rançongiciel : pourquoi il ne faut jamais payer

La règle est connue ; c’est sa démonstration qui vaut le détour, parce qu’elle ne repose pas sur la morale mais sur le modèle économique des attaquants.

Les rançongiciels sont lancés soit par le haut du spectre, soit par le milieu — et ces derniers ont acheté leur outil d’attaque à quelqu’un du haut. Or, dans « 9,9 fois sur 10, quand ce n’est pas 10 fois sur 10 », l’acheteur n’a pas la clé de déchiffrement. La raison est limpide : « Si le gars du haut du spectre lui donne la clé, le coup d’après il n’a plus besoin de lui pour relancer une attaque. » Le vendeur ne se prive jamais de la commande suivante.

Payer revient donc, dans l’écrasante majorité des cas, à financer un attaquant qui ne peut pas tenir sa promesse. Et le schéma va plus loin, c’est ce qu’on appelle la double extorsion : l’attaquant entre une première fois pour voler les données, une seconde pour les chiffrer et exiger une rançon. Les données volées sont ensuite revendues sur le dark web — « tout se vend », précise-t-il, avec des ordres de grandeur qui donnent la mesure du marché : environ 5 dollars un numéro de sécurité sociale, 800 à 1 000 dollars un dossier médical bien fourni. Et s’il « appâte » correctement sa victime, l’attaquant peut lui soutirer une troisième fois de l’argent en promettant, cette fois, la bonne clé.

Il reconnaît toutefois une exception, sans hypocrisie : l’entreprise qui a perdu la totalité de son outil de production et qui n’a plus d’autre issue. « C’est vraiment la solution de dernier recours, et il faut allumer beaucoup de cierges. Quand on en est à cette extrémité-là, il n’y a plus que de mauvaises solutions. »

Que faire dans les premières heures

C’est le message qu’il martèle, et il l’illustre par un exemple technique très parlant.

Deux ressources publiques existent : cybermalveillance.gouv.fr, dont il salue l’action en matière de prévention, et surtout 17cyber.gouv.fr, mis en place par le ministère de l’Intérieur, qui délivre des conseils et permet d’entrer en contact par chat avec un gendarme ou un policier, 24 heures sur 24, 365 jours par an. Il précise, la question lui étant posée : il ne s’agit pas d’appeler le 17, mais bien d’un service en ligne.

L’urgence n’est pas une figure de style : « C’est au début que tout se joue. » Quand il commandait le ComCyberGend, certaines victimes se signalaient trois semaines ou un mois après. « Je suis poli et bien élevé, on prenait leur plainte — mais je leur disais toujours : vous me faites partir avec un boulet au pied. »

L’exemple qu’il donne devrait figurer dans tous les plans de continuité. Quand un serveur est chiffré, le premier réflexe du prestataire mandaté par la victime est de le faire redémarrer sur un support propre. Or la mémoire vive contient parfois la clé de déchiffrement. « La première chose que vont dire les gendarmes qui interviennent, c’est : attendez, on va faire les choses dans l’ordre. Je fais d’abord une copie à chaud de la mémoire, avant que vous redémarriez le serveur. » Trois semaines plus tard, tout a été effacé.

Il détaille aussi le dispositif envoyé chez la victime, un triptyque qui travaille simultanément :

des enquêteurs judiciaires, pour ouvrir immédiatement la procédure et acter les constatations ;
des experts techniques, pour préserver les traces que l’attaquant va s’empresser d’effacer ;
des négociateurs — ceux du GIGN, formés au cyber.

Le choix des négociateurs mérite qu’on s’y arrête. Plutôt que de former des négociateurs qui manqueraient de pratique, la gendarmerie a préféré former au cyber des professionnels déjà « hors pair » dans leur domaine. Leur objectif n’est pas de marchander : c’est de faire commettre une faute à l’attaquant, en l’amenant sur des procédures inhabituelles auxquelles il a moins réfléchi. « Et les experts techniques, juste à côté du négociateur, exploitent tout de suite. » Il s’arrête là : « C’est la seule chose que je vous donnerai sur la façon dont on travaille. »

La gestion de crise cyber n’est pas un sujet de DSI

Son axiome tient en une phrase : « Ne vous demandez pas si un jour vous allez être attaqué. Demandez-vous quand. »

D’où la nécessité de s’entraîner — les grandes entreprises conduisent des exercices de crise cyber tous les trois ou six mois. Et il raconte l’échange qu’il a eu à de nombreuses reprises avec des comités exécutifs de très grands groupes n’en ayant jamais fait.

Vous savez où vous réunir pour monter le PC de crise ? Oui, on a une salle. Comment convoquez-vous les membres ? On leur envoie un mail. Vous n’avez plus de messagerie. On leur téléphone. Les téléphones d’entreprise sont hors service, et vous n’avez plus d’annuaire. Vous avez évidemment un annuaire papier des principaux acteurs, avec leurs numéros ? « Et là, ben non. Voilà, c’est tout ça qu’il faut travailler. »

Il insiste surtout sur un contresens répandu : « Ne surtout pas penser qu’une crise cyber relève de la responsabilité exclusive de la DSI. » Il déroule la liste des fonctions mobilisées :

la communication, en interne face à des salariés devant des écrans noirs, et en externe vers tous les partenaires qui ne peuvent plus échanger avec l’entreprise ;
la direction financière, qui ne peut plus émettre de flux — mais surtout plus en recevoir ;
la DRH, qui devra trancher sur le chômage partiel et sur qui garder.

Le facteur humain, et les chiffres du phishing

L’hameçonnage exploite massivement le facteur humain, et cela aussi « se travaille ». Il recommande des exercices de faux courriels fréquents, pour maintenir une sensibilisation permanente.

Avec une méthode qui compte autant que l’exercice : quand quelqu’un clique, il ne faut pas se contenter de le lui reprocher. « Au contraire, il faut travailler avec la personne, la reprendre, lui expliquer : voilà pourquoi tu n’aurais pas dû cliquer, regarde ça, ça aurait dû attirer ton attention. »

Les ordres de grandeur qu’il a observés sont éloquents. Dans une grande entreprise qui n’a jamais fait d’exercice, 30 à 40 % des utilisateurs cliquent au premier essai. Dans une entreprise qui en fait régulièrement, on tombe à 3 à 5 %. « C’est toujours 3 à 5 % de trop — mais l’idée est de diminuer le risque, puis de mettre une autre barrière, puis de refaire une campagne. » C’est ce qu’il appelle la défense en profondeur : on ne tend jamais à zéro, on s’en approche.

Il cite au passage le classique des mots de passe : le même partout, « ce que font à peu près 99,9 % des Français ».

Cette logique de prévention n’est pas un pis-aller. Sur le bas du spectre, l’effet de volume est tel que « la réponse ne peut pas être que judiciaire » : si l’on ne peut pas attraper tout le monde, il faut faire en sorte que l’infraction ne puisse pas se commettre. D’où les messages de sensibilisation, y compris sur les arnaques sentimentales — cette personne qui vous écrit de l’étranger, éperdument amoureuse d’une photo, et qui a « un tout petit problème pour les billets d’avion ».

L’IA, et le tas d’or

Interrogé sur l’usage de l’intelligence artificielle par la gendarmerie, il décline poliment : « Je ne réponds pas à la question. » Puis il y répond « de façon elliptique ».

Ce qu’il concède porte sur la posture défensive, et l’image qu’il emploie est parlante : « C’est comme aux échecs : ils ont les blancs, c’est eux qui commencent. Vous avez toujours les noirs. » D’où le besoin d’un maximum d’outils — à base d’IA ou non — pour détecter les signaux faibles, bloquer, et vérifier automatiquement les configurations.

Le principe directeur reste la sensibilité de la donnée, en anneaux concentriques. La donnée publique peut être hébergée sur un site externe — « il n’y a rien à voler », seul le risque de déni de service subsiste. La donnée plus sensible passe sur un cloud sécurisé, avec davantage d’outils de détection. Les données sensibles, elles, restent à l’intérieur du réseau, sur un cloud souverain.

Il note que deux ministères ont créé le leur : l’Intérieur, pour la sensibilité des données, et Bercy — « parce que c’est de l’argent » —, le ministère des Armées relevant d’une logique propre liée au classifié.

Et il justifie l’effort par une formule qui résume sa mission : « Police et gendarmerie, on est assis sur un tas d’or : les données de nos concitoyens. Plus la donnée est sensible, plus le hacker doit avoir du mal — voire être dans l’impossibilité — d’aller la récupérer. C’est ma commande, et c’est ce qui fait mon quotidien. »

Questions fréquentes

Que faire en cas de cyberattaque ?

Contacter immédiatement les forces de l’ordre, sans attendre. Le service 17cyber.gouv.fr, mis en place par le ministère de l’Intérieur, permet d’obtenir des conseils et d’échanger par chat avec un gendarme ou un policier 24 heures sur 24. Il ne faut surtout pas redémarrer les serveurs avant l’arrivée des enquêteurs : la mémoire vive peut contenir des traces décisives, parfois la clé de déchiffrement elle-même.

Faut-il payer une rançon en cas de rançongiciel ?

Non. Outre le fait que cela finance l’écosystème criminel, l’attaquant ne détient le plus souvent pas la clé de déchiffrement : il a acheté son outil à un acteur du haut du spectre, qui se garde bien de la lui fournir. Payer expose en outre à une revente des données volées et à une nouvelle demande d’argent contre « la bonne clé ».

Qui traite les enquêtes cyber en France ?

Côté gendarmerie, le commandement dans le cyberespace et plus de 10 000 cyber-enquêteurs formés, appuyés par l’unité nationale de police judiciaire. Côté police nationale, l’office anti-cybercriminalité et, à la préfecture de police, la brigade de lutte contre la cybercriminalité. Sur le plan judiciaire, l’affaire peut relever du parquet local, d’une juridiction interrégionale spécialisée ou de la section cyber de la JUNALCO, compétente sur tout le territoire.

Comment se préparer à une crise cyber ?

Par des exercices réguliers, tous les trois à six mois, associant l’ensemble du comité de direction et pas seulement la DSI : communication interne et externe, direction financière, ressources humaines. Et en anticipant les détails matériels que l’attaque rend impossibles — à commencer par un annuaire papier permettant de convoquer la cellule de crise quand la messagerie et la téléphonie d’entreprise sont hors service.

À écouter également

Pour aller plus loin sur Défense Zone

Défense Zone est un média indépendant consacré aux questions de défense et de sécurité. Ce podcast est disponible sur toutes les plateformes audio — Spotify, Deezer, Apple Podcasts — ainsi que sur notre chaîne YouTube. Pour soutenir notre travail, retrouvez notre magazine papier trimestriel et notre espace premium sur defense-zone.com.

#250 – La sécurité intérieure sur le front du Cyber et de l’IA (avec le Général Marc Boget)