SecurityToday : Trellix Quellcode-Breach \u2013 Que signifie la due diligence pour les outils de s\u00e9curit\u00e9 des fournisseurs<\/a><\/p>\nLe cas du BKA en d\u00e9tail<\/h2>\n
Selon les informations disponibles aupr\u00e8s de l\u2019organisme, les investigations men\u00e9es par le BKA se poursuivaient depuis plus de deux ans en parall\u00e8le des enqu\u00eates men\u00e9es par le FBI am\u00e9ricain et Europol. L\u2019identification du chef pr\u00e9sum\u00e9 s\u2019est effectu\u00e9e gr\u00e2ce \u00e0 une combinaison d\u2019analyses de blockchain de cryptomonnaies, de r\u00e9seaux d\u2019affili\u00e9s infiltr\u00e9s et de m\u00e9thodes traditionnelles d\u2019obtention d\u2019informations provenant du Darknet.<\/p>\n
Selon le BKA, la perc\u00e9e op\u00e9rationnelle d\u00e9cisive est venue des transactions de cryptomonnaies. Bien que les ran\u00e7ons de REvil aient \u00e9t\u00e9 transf\u00e9r\u00e9es via des m\u00e9langeurs et des bourses de cryptomonnaies, elles ont laiss\u00e9 des traces pouvant \u00eatre suivies pendant plusieurs ann\u00e9es. Des soci\u00e9t\u00e9s de forensique blockchain comme Chainalysis ont soutenu cette analyse \u2013 une m\u00e9thode d\u00e9sormais standardis\u00e9e dans les enqu\u00eates sur les ransomwares.<\/p>\n
Ce qui suit : le BKA a d\u00e9livr\u00e9 des mandats d\u2019arr\u00eat. Des demandes d\u2019extradition sont en cours aupr\u00e8s de plusieurs pays. Le probl\u00e8me : les dirigeants de REvil se trouvent probablement en Russie ou dans des pays sans accords d\u2019extradition solides avec l\u2019Allemagne ou l\u2019UE. L\u2019identification constitue un succ\u00e8s d\u2019enqu\u00eate \u2013 mais l\u2019arrestation et le proc\u00e8s sont une autre question.<\/p>\n
Pourquoi la poursuite judiciaire des ransomwares atteint-elle des limites structurelles<\/h2>\n
Le cas du BKA illustre un probl\u00e8me fondamental. Les op\u00e9rateurs de ransomware ne choisissent pas leur lieu d\u2019implantation au hasard. Russie, Bi\u00e9lorussie, Iran, Cor\u00e9e du Nord \u2013 les pays d\u2019o\u00f9 proviennent les groupes de ransomware les plus actifs n\u2019ont soit aucun accord d\u2019extradition avec les autorit\u00e9s judiciaires occidentales, soit des relations activement hostiles.<\/p>\n
M\u00eame lorsqu\u2019une identification est r\u00e9ussie : l\u2019attribution n\u2019est pas une mesure dissuasive. REvil a plusieurs fois \u00ab cess\u00e9 ses activit\u00e9s \u00bb en 2022 \u00e0 la suite de conflits internes et sous la pression des autorit\u00e9s am\u00e9ricaines, pour ensuite reprendre sous de nouveaux noms. L\u2019\u00e9cosyst\u00e8me du ransomware est modulaire. Les affili\u00e9s migrent vers d\u2019autres groupes. L\u2019infrastructure est reconstruite. Une seule arrestation \u2013 si elle \u00e9tait possible \u2013 ralentirait le fonctionnement, mais ne l\u2019arr\u00eaterait pas.<\/p>\n
Le BSI d\u00e9crit de mani\u00e8re coh\u00e9rente dans ses rapports de situation : le ransomware est la forme de menace pr\u00e9sentant le plus fort potentiel de dommages \u00e9conomiques pour les entreprises allemandes. Et, parall\u00e8lement, c\u2019est aussi la forme de menace pour laquelle la poursuite judiciaire s\u2019av\u00e8re la moins dissuasive \u2013 car les auteurs restent hors de port\u00e9e.<\/p>\n
Ce que les \u00e9quipes de s\u00e9curit\u00e9 peuvent tirer de ce cas<\/h2>\n
Pour les CISO et les \u00e9quipes de s\u00e9curit\u00e9 des entreprises allemandes, le succ\u00e8s du BKA est, d\u2019un point de vue op\u00e9rationnel, neutre. La menace pos\u00e9e par les affili\u00e9s de REvil et par les groupes successeurs demeure. Ce qui peut \u00eatre d\u00e9duit :<\/p>\n
La forensic blockchain est une approche d\u2019enqu\u00eate mature.<\/strong> Quiconque paie une ran\u00e7on laisse une trace \u2013 ce n\u2019est pas un argument contre le paiement en situation d\u2019urgence, mais bien un argument en faveur de la documentation des transactions. Les autorit\u00e9s utilisent ces donn\u00e9es pour les enqu\u00eates ult\u00e9rieures et les contr\u00f4les de sanctions.<\/p>\nLes r\u00e9seaux d\u2019affili\u00e9s restent l\u2019infrastructure d\u2019attaque v\u00e9ritablement essentielle.<\/strong> Les dirigeants de REvil con\u00e7oivent les outils et les tactiques. Les attaques sont men\u00e9es par des affili\u00e9s, qui d\u00e9cident de chaque op\u00e9ration individuellement. Une groupe central affaibli ne signifie pas moins d\u2019attaques.<\/p>\nLa planification de la r\u00e9ponse aux incidents reste la principale mesure de protection.<\/strong> Strat\u00e9gie de sauvegarde, segmentation du r\u00e9seau, couverture EDR, sauvegardes hors ligne \u2013 ce sont les leviers qu\u2019une \u00e9quipe de s\u00e9curit\u00e9 contr\u00f4le. Les succ\u00e8s de la poursuite judiciaire ne peuvent pas les remplacer.<\/p>\nSources : communiqu\u00e9 de presse du BKA d\u2019avril 2026, rapport de situation du BSI 2025, \u00e9quipe conjointe d\u2019enqu\u00eate sur le ransomware d\u2019Europol.<\/em><\/p>\nQuestions fr\u00e9quentes<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n\nQuelle est la probabilit\u00e9 d\u2019arrestation du chef identifi\u00e9 de REvil ?<\/strong><\/summary>\nTr\u00e8s faible, tant que cette personne demeure dans un pays sans accord d\u2019extradition avec l\u2019Allemagne ou l\u2019UE. Le BKA peut demander des mandats d\u2019arr\u00eat et \u00e9mettre des notices rouges Interpol. En pratique, cela ne devient effectif que lorsque la personne entre dans un pays qui entame une proc\u00e9dure d\u2019extradition \u2013 ce qui, historiquement, arrive rarement avec les op\u00e9rateurs de ransomware bas\u00e9s en Russie. La valeur symbolique de l\u2019attribution l\u2019emporte sur l\u2019aspect op\u00e9rationnel.<\/p>\n<\/details>\n\nREvil est-il d\u00e9sormais moins mena\u00e7ant apr\u00e8s l\u2019op\u00e9ration du BKA ?<\/strong><\/summary>\nNon, sur le plan op\u00e9rationnel. Depuis 2022, REvil a plusieurs fois \u00ab cess\u00e9 ses activit\u00e9s \u00bb en tant que groupe, pour ensuite continuer sous de nouveaux noms ou sous forme de groupes scind\u00e9s. Le mod\u00e8le d\u2019affiliation signifie que les attaques se poursuivent m\u00eame lorsque le noyau central est affaibli. Les \u00e9quipes de s\u00e9curit\u00e9 ne doivent donc pas consid\u00e9rer que la menace a diminu\u00e9.<\/p>\n<\/details>\n\nQue signifie la forensic des cryptomonnaies pour les entreprises ayant pay\u00e9 une ran\u00e7on ?<\/strong><\/summary>\nLes transactions de ran\u00e7on sont suivies par les autorit\u00e9s et peuvent devenir pertinentes lors des contr\u00f4les de sanctions \u2013 notamment si le b\u00e9n\u00e9ficiaire est ult\u00e9rieurement class\u00e9 comme personne ou groupe sanctionn\u00e9. Les entreprises ayant pay\u00e9 une ran\u00e7on devraient documenter ces transactions et solliciter un conseil juridique concernant les risques potentiels de sanctions. L\u2019OFAC (minist\u00e8re des Finances am\u00e9ricain) a publi\u00e9 des lignes directrices explicites concernant les paiements de ransomware \u00e0 des groupes sanctionn\u00e9s.<\/p>\n<\/details>\n\nEn quoi les groupes successeurs de REvil diff\u00e8rent-ils de l\u2019organisation d\u2019origine ?<\/strong><\/summary>\nLes d\u00e9riv\u00e9s et successeurs de REvil, tels que BlackMatter et ALPHV\/BlackCat, reprennent les m\u00e9thodes techniques et les structures d\u2019affiliation, mais op\u00e8rent de mani\u00e8re ind\u00e9pendante. Les diff\u00e9rences principales : d\u2019autres outils de chiffrement, d\u2019autres strat\u00e9gies d\u2019h\u00e9bergement de l\u2019infrastructure et d\u2019autres m\u00e9thodes de n\u00e9gociation avec les victimes. Le BSI et la CISA publient r\u00e9guli\u00e8rement des informations sur les successeurs connus de REvil dans leurs rapports de situation.<\/p>\n<\/details>\n\nQue peuvent concr\u00e8tement apprendre les op\u00e9rateurs d\u2019infrastructures critiques (KRITIS) de cette affaire ?<\/strong><\/summary>\nTrois le\u00e7ons : premi\u00e8rement, la r\u00e9pression p\u00e9nale n\u2019offre pas de protection prospective \u2013 votre propre d\u00e9fense doit fonctionner ind\u00e9pendamment du fait que les auteurs soient arr\u00eat\u00e9s ou non. Deuxi\u00e8mement, la forensique blockchain signifie que les paiements de ran\u00e7on sont tra\u00e7ables de mani\u00e8re permanente \u2013 ce qui a des implications juridiques lors des contr\u00f4les ult\u00e9rieurs de conformit\u00e9 aux sanctions. Troisi\u00e8mement, les structures en affiliation signifient que la disparition d\u2019un acteur central n\u2019a pas d\u2019effet protecteur imm\u00e9diat. La planification de la r\u00e9ponse aux incidents et les strat\u00e9gies de sauvegarde hors ligne restent les mesures les plus efficaces.<\/p>\n<\/details>\n
Source image principale : Pexels \/ Fatih Kopcal (px:32933039)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"7 min. Temps de lecture Fin avril 2026, le BKA a identifi\u00e9 le chef pr\u00e9sum\u00e9 du groupe REvil et a d\u00e9clench\u00e9 une demande d\u2019arr\u00eat\u00e9 d\u2019extradition international. 130 attaques document\u00e9es contre des cibles allemandes, avec des dommages estim\u00e9s \u00e0 au moins 35 millions d\u2019euros en Allemagne seulement. Et pourtant : les obstacles structurels \u00e0 une enqu\u00eate […]","protected":false},"author":50,"featured_media":13970,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Cibles des attaques REvil","_yoast_wpseo_title":"Le BKA traque le chef de REvil apr\u00e8s 130 attaques contre des cibles allemandes","_yoast_wpseo_metadesc":"BKA identifie le leader de REvil : 130 attaques contre des cibles allemandes, 35 millions d'euros de pr\u00e9judice.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/bka-revil-anfuehrer-130-angriffe-deutschland-strafverfolgung-ransomware-2026-cover-hero-1.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/bka-revil-anfuehrer-130-angriffe-deutschland-strafverfolgung-ransomware-2026-cover-hero-1.jpg","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[260],"tags":[234],"class_list":["post-14147","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-fr","tag-ransomware"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":13960,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/14147","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=14147"}],"version-history":[{"count":2,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/14147\/revisions"}],"predecessor-version":[{"id":18841,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/14147\/revisions\/18841"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/13970"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=14147"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=14147"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=14147"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}