- Valider l’identité du hacker
Les accès et failles d’un système sont souvent revendus à plusieurs hackers simultanément. La première étape d’une négociation consiste donc à vérifier que le hacker ayant pris contact est réellement celui qui a piraté le système. Une erreur fâcheuse, qui arrive plus souvent qu’on ne le pense, consiste à négocier avec un imposteur qui prétend être le pirate. La rançon n’est alors pas payée à la bonne personne ! Une perte de temps et d’argent considérable.
Si 80 % des hackers sont solitaires, il existe aussi de grandes organisations cybercriminelles, telles que LockBit 3.0, qui sont de vrais professionnels du cybercrime et maîtrisent parfaitement le processus de négociation qu’elles gèrent avec sérénité et calme. En d’autres termes, un hackeur nerveux est souvent un imposteur ou un amateur.
- Installer un climat de confiance
Avec des professionnels du cybercrime, il convient de rester direct et factuel. Ils savent ce qu’ils veulent et iront droit au but car ils n’ont pas de temps à perdre. Inutile d’essayer d’amadouer un hacker professionnel ou de jouer sur ses émotions, la transaction est purement business.
Avec un hacker amateur, il est davantage possible de créer un lien pour obtenir des informations sur son fuseau horaire et sa situation (étudiant, père ou mère de famille, nationalité, etc.) qui pourraient s’avérer utiles pour négocier.
- Entamer la négociation puis jouer la pression (si nécessaire)
Au moment où le hacker communique son prix, y répondre immédiatement « Trop cher » permet de tester sa réaction. S’il s’énerve, c’est qu’il est sous pression, ce qui constitue un avantage. À savoir que le montant pratiqué par les professionnels correspond à 5 à 10% du chiffre d’affaires de l’entreprise.
Si la négociation s’avère plus difficile que prévue, il est intéressant de laisser fuiter volontairement quelques données non critiques pour montrer au hacker que l’on ne cède pas à la pression, et tenter de négocier à la baisse le montant de la rançon.
- Exiger des preuves
Deux types de preuves doivent être exigées :
- une preuve des données volées afin de vérifier que le hacker à qui l’on s’adresse est bien celui qui a piraté le système, et qu’il possède bien les fichiers qu’il déclare avoir obtenus ;
- la faille utilisée pour pénétrer le système afin de pouvoir la rectifier et construire un système plus résilient. Sans cette réponse, le système restera vulnérable à de futures attaques similaires.
- Faire un point d’équipe quotidien
En tant que négociateur, réaliser un point quotidien avec les équipes est indispensable afin de transmettre un résumé précis des échanges avec le hacker et de savoir où en sont les équipes : le back-up est-il opérationnel et suffisant ? Le système peut-il être redémarré ou est-il définitivement compromis ? Les fonds nécessaires au paiement de la rançon, si paiement il y a, sont-ils disponibles et prêts à être actionnés ?
- Statuer sur le paiement de la rançon
Les ransomwares ont causé en moyenne 24 jours de temps d’arrêt par organisation victime en 2025 et coûté 57 milliards de dollars à l’économie mondiale.
La décision du paiement de la rançon relève d’un calcul économique : si je ne paie pas, combien de temps me faut-il pour reconstruire mon système informatique ? Ces données sont-elles indispensables à mon activité ? Cela peut-il mener mon entreprise à la faillite ? Si oui, est-il préférable de payer ?
Sans compter que ne pas payer, c’est aussi risquer de voir les données volées sur le darknet et donc s’exposer à des poursuites de victimes pour négligence, alourdissant encore le coût final.
- Vérifier que le hacker n’ait pas de liens avec le terrorisme
Si la victime prend la décision de payer, une vérification obligatoire du profil du hacker, appelée “sanctions check”, doit être réalisée pour s’assurer que les fonds ne finiront pas entre les mains d’une organisation terroriste ou sanctionnée. Trois organismes mondiaux, comme le Digital Asset Redemption (DAR), sont spécialisés dans ce domaine.
Réservée aux professionnels de la cybersécurité, cette plateforme permet d’enregistrer tous les éléments identifiés lors de la négociation pour réaliser une analyse approfondie. Par exemple, LockBit 3.0, l’un des groupes de rançongiciels les plus importants au monde, est classé comme organisation terroriste par plusieurs gouvernements.
Sans ce “sanctions check”, le payeur de la rançon s’expose à un risque juridique majeur : si le bénéficiaire s’avère être une organisation terroriste ou sanctionnée, il pourrait être accusé de financement du terrorisme.
Une fois cette vérification effectuée, le paiement de la rançon s’effectue en Bitcoin. La victime devra créer un compte de crypto-monnaies en ligne pour réaliser le paiement. Ce dernier peut s’effectuer de manière échelonnée en échange des clés de déchiffrement.
Le processus de négociation avec un hacker n’est pas anodin. Il demande de garder la tête froide, ce qui n’est pas toujours évident lorsqu’on est victime, et de comprendre les rouages des organisations cybercriminelles. C’est pourquoi la majorité des grandes compagnies d’assurance font aujourd’hui appel à des cyber-négociateurs expérimentés pour le gérer.
Cet article été rédigé par Geert Baudewijns, PDG de Secutec.