Le BKA traque le chef de REvil après 130 attaques contre des cibles allemandes
Fin avril 2026, le BKA a identifié le chef présumé du groupe REvil et a déclenché une demande d’arrêté d’extradition international. 130 attaques documentées contre des cibles allemandes, avec des dommages estimés à au moins 35 millions d’euros en Allemagne seulement. Et pourtant : les obstacles structurels à une enquête pénale réussie dans les affaires de ransomware restent largement inchangés – et c’est précisément cette nouvelle qui est vraiment importante.
Les points clés en bref
- Le BKA identifie le chef de REvil. Les enquêteurs fédéraux ont identifié le principal opérateur présumé du groupe de ransomware REvil. Une ordonnance d’arrêté d’extradition a été délivrée, et des demandes d’extradition ont été adressées à des pays tiers.
- 130 attaques contre des cibles allemandes, avec des dommages pour 35 millions d’euros. Entre 2020 et 2024, REvil a mené au moins 130 attaques documentées contre des entreprises et des autorités allemandes. Les dommages économiques directs en Allemagne sont estimés à au moins 35 millions d’euros.
- La poursuite pénale reste structurellement difficile. L’identification ne se traduit pas toujours par l’arrestation. Les dirigeants de REvil opèrent généralement depuis des pays sans accords d’extradition. La symbolique de la justice pénale est précieuse – mais sa mise en œuvre pratique reste limitée.
- Pour les équipes de sécurité, rien ne change sur le plan opérationnel. L’attribution n’efface pas les vulnérabilités existantes. Les groupes de ransomware sont modulaires : si un dirigeant est arrêté, des affiliés et des groupes dissidents prennent le relais.
Qu’est-ce que REvil ? REvil (aussi connu sous le nom de Sodinokibi) est un groupe russe spécialisé dans les services de ransomware, actif depuis 2019. Son modèle économique repose sur le fait que l’équipe centrale et l’infrastructure sont fournis par une équipe principale, tandis que les attaques sont menées par des affiliés, qui reçoivent une part des rançons. REvil est responsable de certains des cas de ransomware les plus spectaculaires des dernières années – dont l’attaque Kaseya VSA en 2021, qui a touché des milliers de fournisseurs de services gérés dans le monde entier.
Le cas du BKA en détail
Selon les informations disponibles auprès de l’organisme, les investigations menées par le BKA se poursuivaient depuis plus de deux ans en parallèle des enquêtes menées par le FBI américain et Europol. L’identification du chef présumé s’est effectuée grâce à une combinaison d’analyses de blockchain de cryptomonnaies, de réseaux d’affiliés infiltrés et de méthodes traditionnelles d’obtention d’informations provenant du Darknet.
Selon le BKA, la percée opérationnelle décisive est venue des transactions de cryptomonnaies. Bien que les rançons de REvil aient été transférées via des mélangeurs et des bourses de cryptomonnaies, elles ont laissé des traces pouvant être suivies pendant plusieurs années. Des sociétés de forensique blockchain comme Chainalysis ont soutenu cette analyse – une méthode désormais standardisée dans les enquêtes sur les ransomwares.
Ce qui suit : le BKA a délivré des mandats d’arrêt. Des demandes d’extradition sont en cours auprès de plusieurs pays. Le problème : les dirigeants de REvil se trouvent probablement en Russie ou dans des pays sans accords d’extradition solides avec l’Allemagne ou l’UE. L’identification constitue un succès d’enquête – mais l’arrestation et le procès sont une autre question.
Pourquoi la poursuite judiciaire des ransomwares atteint-elle des limites structurelles
Le cas du BKA illustre un problème fondamental. Les opérateurs de ransomware ne choisissent pas leur lieu d’implantation au hasard. Russie, Biélorussie, Iran, Corée du Nord – les pays d’où proviennent les groupes de ransomware les plus actifs n’ont soit aucun accord d’extradition avec les autorités judiciaires occidentales, soit des relations activement hostiles.
Même lorsqu’une identification est réussie : l’attribution n’est pas une mesure dissuasive. REvil a plusieurs fois « cessé ses activités » en 2022 à la suite de conflits internes et sous la pression des autorités américaines, pour ensuite reprendre sous de nouveaux noms. L’écosystème du ransomware est modulaire. Les affiliés migrent vers d’autres groupes. L’infrastructure est reconstruite. Une seule arrestation – si elle était possible – ralentirait le fonctionnement, mais ne l’arrêterait pas.
Le BSI décrit de manière cohérente dans ses rapports de situation : le ransomware est la forme de menace présentant le plus fort potentiel de dommages économiques pour les entreprises allemandes. Et, parallèlement, c’est aussi la forme de menace pour laquelle la poursuite judiciaire s’avère la moins dissuasive – car les auteurs restent hors de portée.
Ce que les équipes de sécurité peuvent tirer de ce cas
Pour les CISO et les équipes de sécurité des entreprises allemandes, le succès du BKA est, d’un point de vue opérationnel, neutre. La menace posée par les affiliés de REvil et par les groupes successeurs demeure. Ce qui peut être déduit :
La forensic blockchain est une approche d’enquête mature. Quiconque paie une rançon laisse une trace – ce n’est pas un argument contre le paiement en situation d’urgence, mais bien un argument en faveur de la documentation des transactions. Les autorités utilisent ces données pour les enquêtes ultérieures et les contrôles de sanctions.
Les réseaux d’affiliés restent l’infrastructure d’attaque véritablement essentielle. Les dirigeants de REvil conçoivent les outils et les tactiques. Les attaques sont menées par des affiliés, qui décident de chaque opération individuellement. Une groupe central affaibli ne signifie pas moins d’attaques.
La planification de la réponse aux incidents reste la principale mesure de protection. Stratégie de sauvegarde, segmentation du réseau, couverture EDR, sauvegardes hors ligne – ce sont les leviers qu’une équipe de sécurité contrôle. Les succès de la poursuite judiciaire ne peuvent pas les remplacer.
Sources : communiqué de presse du BKA d’avril 2026, rapport de situation du BSI 2025, équipe conjointe d’enquête sur le ransomware d’Europol.
Questions fréquentes
Chaque question est verrouillée. Un clic déverrouille la réponse.
Quelle est la probabilité d’arrestation du chef identifié de REvil ?
Très faible, tant que cette personne demeure dans un pays sans accord d’extradition avec l’Allemagne ou l’UE. Le BKA peut demander des mandats d’arrêt et émettre des notices rouges Interpol. En pratique, cela ne devient effectif que lorsque la personne entre dans un pays qui entame une procédure d’extradition – ce qui, historiquement, arrive rarement avec les opérateurs de ransomware basés en Russie. La valeur symbolique de l’attribution l’emporte sur l’aspect opérationnel.
REvil est-il désormais moins menaçant après l’opération du BKA ?
Non, sur le plan opérationnel. Depuis 2022, REvil a plusieurs fois « cessé ses activités » en tant que groupe, pour ensuite continuer sous de nouveaux noms ou sous forme de groupes scindés. Le modèle d’affiliation signifie que les attaques se poursuivent même lorsque le noyau central est affaibli. Les équipes de sécurité ne doivent donc pas considérer que la menace a diminué.
Que signifie la forensic des cryptomonnaies pour les entreprises ayant payé une rançon ?
Les transactions de rançon sont suivies par les autorités et peuvent devenir pertinentes lors des contrôles de sanctions – notamment si le bénéficiaire est ultérieurement classé comme personne ou groupe sanctionné. Les entreprises ayant payé une rançon devraient documenter ces transactions et solliciter un conseil juridique concernant les risques potentiels de sanctions. L’OFAC (ministère des Finances américain) a publié des lignes directrices explicites concernant les paiements de ransomware à des groupes sanctionnés.
En quoi les groupes successeurs de REvil diffèrent-ils de l’organisation d’origine ?
Les dérivés et successeurs de REvil, tels que BlackMatter et ALPHV/BlackCat, reprennent les méthodes techniques et les structures d’affiliation, mais opèrent de manière indépendante. Les différences principales : d’autres outils de chiffrement, d’autres stratégies d’hébergement de l’infrastructure et d’autres méthodes de négociation avec les victimes. Le BSI et la CISA publient régulièrement des informations sur les successeurs connus de REvil dans leurs rapports de situation.
Que peuvent concrètement apprendre les opérateurs d’infrastructures critiques (KRITIS) de cette affaire ?
Trois leçons : premièrement, la répression pénale n’offre pas de protection prospective – votre propre défense doit fonctionner indépendamment du fait que les auteurs soient arrêtés ou non. Deuxièmement, la forensique blockchain signifie que les paiements de rançon sont traçables de manière permanente – ce qui a des implications juridiques lors des contrôles ultérieurs de conformité aux sanctions. Troisièmement, les structures en affiliation signifient que la disparition d’un acteur central n’a pas d’effet protecteur immédiat. La planification de la réponse aux incidents et les stratégies de sauvegarde hors ligne restent les mesures les plus efficaces.
Source image principale : Pexels / Fatih Kopcal (px:32933039)
