Résumé de l'incident
Le 7 décembre 2023, l'hébergeur français Coaxis subit une attaque massive par ransomware revendiquée par le groupe LockBit. Les données sont chiffrées en quelques heures, paralysant plus de 350 000 entreprises clientes — cabinets d'avocats, experts-comptables, laboratoires — avec une demande de rançon de 5 millions de dollars. Face à cette crise, Coaxis fait le choix difficile de ne pas payer et reconstruit son infrastructure à partir de sauvegardes déconnectées.
Analyse technique — La faille était humaine
Contrairement aux idées reçues, l'attaque n'a pas nécessité d'exploiter une faille zero-day. Les attaquants se sont introduits via des identifiants volés d'un client, probablement obtenus par phishing ou réutilisation de mots de passe faibles. Le groupe LockBit fonctionne sur un modèle de Ransomware-as-a-Service (RaaS) : il fournit ses outils à des affiliés sous-traitants en échange d'un pourcentage sur les rançons perçues.
Riposte internationale — Opération Cronos
Ce cas illustre le bras de fer entre les autorités mondiales et les cybercriminels, souvent protégés par des États comme la Russie. En réponse, le FBI, Europol et 10 gouvernements ont collaboré dans le cadre de l'Opération Cronos. Plutôt que de simplement fermer les serveurs de LockBit, les autorités les ont infiltrés, ont récupéré les clés de déchiffrement, puis ont mené une guerre psychologique en révélant publiquement les identités des hackers — dont le leader Dmitry Khoroshev.
Apprentissages & bonnes pratiques
MFA systématique : L'activation de l'authentification multi-facteur sur les comptes critiques est le premier rempart contre le vol d'identifiants.
Ségrégation des sauvegardes : La survie de Coaxis repose sur des systèmes de sauvegarde isolés du réseau principal, empêchant les hackers de les chiffrer.
Zero Trust & sensibilisation : Face aux emails de phishing perfectionnés par l'IA, le doute systématique et la vérification des sources restent indispensables.