Extorsion

Contexte: Dans un article d’actualité, des chercheurs décrivent le mode opératoire du groupe DeadLock, actif depuis juillet 2025, et sa manière de rester discret tout en multipliant les attaques. — Profil et discrétion — Le groupe DeadLock, repéré pour la première fois en juillet 2025, a attaqué un large éventail d’organisations tout en restant presque sous les radars. — Tactique d’extorsion — DeadLock rompt avec la double extorsion traditionnelle (vol de données, chiffrement des systèmes, puis menace de publication). Le groupe n’exploite pas de Data Leak Site (DLS) pour publiciser ses attaques. En l’absence d’un levier de dommage réputationnel en cas de non-paiement, il menace de vendre les données sur le marché souterrain — une stratégie que des experts ont déjà qualifiée de potentiellement « du vent ». ...

Help Net Security publie une synthèse des tendances récentes autour du ransomware (bilan 2024 et perspectives 2025), compilant des données de plusieurs acteurs du secteur et mettant en lumière l’essor des attaques, l’usage accru de l’IA par les groupes et la baisse des paiements. • Dynamique générale: Les menaces de ransomware s’intensifient en ampleur, sophistication et impact. Les week-ends et jours fériés restent des fenêtres privilégiées pour les intrusions (moins de surveillance des systèmes d’identité). Le nombre de victimes publiées sur des sites d’extorsion a explosé (3 734 listées entre janvier et juin, +20% vs S2 2024, +67% en glissement annuel). La chute de LockBit et AlphV a créé un vide, entraînant une multiplication d’acteurs moins coordonnés et plus imprévisibles. ...

Selon Cointribune, une arrestation en Inde relance l’enquête sur le vol de données ayant touché Coinbase, où un ex-employé du support client aurait transmis des informations sensibles à un réseau criminel, exposant 69 461 comptes. 🚨 Faits principaux Arrestation: la police d’Hyderabad a interpellé un ex-agent du support client lié à une infiltration amorcée en décembre 2024. Données compromises: noms, adresses, pièces d’identité d’utilisateurs ; aucun vol direct de crypto-fonds signalé. Victimes: 69 461 utilisateurs affectés. Extorsion: une rançon de 20 M$ a été exigée pour ne pas divulguer les données ; Coinbase a refusé. 🔐 Réponse de Coinbase ...

Selon ZDNET (publié le 19/12/2025), un couple de Dompierre-sur-Mer, près de La Rochelle, a été agressé par un commando qui l’a séquestré et contraint à transférer l’équivalent de huit millions d’euros en cryptomonnaies, un fait divers qui s’inscrit dans une série d’attaques similaires visant l’écosystème crypto en France. • Les faits principaux 🔒💰 — Type d’attaque : séquestration et extorsion avec violence à domicile par trois agresseurs cagoulés, à l’aube (vers 5h). — Victimes : un investisseur en cryptomonnaies et sa compagne, ligotés et battus pendant près de deux heures. — Impact : transfert forcé d’environ 8 M€ depuis un portefeuille de cryptomonnaies. — Après le transfert, les agresseurs ont pris la fuite ; l’homme a été hospitalisé (pronostic vital non engagé). ...

Selon RTS (adaptation d’une enquête de SRF), un réseau d’extorsion exploite Google Maps pour faire chanter des PME en Suisse, avec des faux avis négatifs publiés en rafale puis des demandes de rançon via WhatsApp. Un schéma d’attaque décrit: une avalanche d’« avis » négatifs et de mauvaises notes sur Google Maps, souvent en anglais et émis par des comptes manifestement faux. Peu après, les victimes reçoivent sur WhatsApp un chantage demandant entre 100 et 200 CHF pour retirer ces contenus. Un cas concret est détaillé: l’atelier de carrosserie « Dent Blanche » (Soleure) a vu des avis disparaître après signalement, puis réapparaître, rendant un nouveau signalement impossible. ...

Selon BleepingComputer, Pornhub fait l’objet d’une extorsion par le groupe ShinyHunters, qui affirme détenir des données d’analytics historiques liées aux membres Premium, prétendument issues de la brèche de l’analyste tiers Mixpanel. Type d’incident: extorsion adossée à une exfiltration de données chez un fournisseur d’analytics (Mixpanel), initialement compromise le 8 novembre 2025 via smishing (SMS phishing). Pornhub indique que seuls des utilisateurs Premium sélectionnés sont concernés et que mots de passe et données financières n’ont pas été exposés. Pornhub précise n’avoir plus travaillé avec Mixpanel depuis 2021. ...

Source: BleepingComputer (Sergiu Gatlan). Le média rapporte que CrowdStrike a confirmé avoir identifié et licencié le mois dernier un employé ayant partagé des captures d’écran de systèmes internes, après la publication d’images sur Telegram par des membres de groupes se présentant comme ShinyHunters, Scattered Spider et Lapsus$. CrowdStrike indique que ses systèmes n’ont pas été compromis et que les données clients n’ont pas été affectées, l’accès réseau de l’employé ayant été coupé. L’entreprise a transmis l’affaire aux autorités compétentes. ...

Selon TechCrunch, le collectif de pirates Scattered Lapsus$ Hunters revendique une brèche ayant affecté des données de clients de Salesforce et indique préparer une nouvelle campagne d’extorsion. Vol massif de données Salesforce touchant plus de 200 entreprises 1. Une compromission de supply chain à grande échelle Google a confirmé que des hackers ont exfiltré les données Salesforce de plus de 200 entreprises, via l’exploitation d’applications de Gainsight, un fournisseur CRM tiers connecté aux instances Salesforce de ses clients. ...

Source: Blog de Checkout.com — Dans une déclaration signée par le CTO Mariano Albera (12 novembre 2025), l’entreprise décrit une tentative d’extorsion liée à l’accès non autorisé à un ancien système de stockage cloud tiers utilisé jusqu’en 2020. L’entreprise indique avoir été contactée par le groupe criminel « ShinyHunters » revendiquant l’obtention de données liées à Checkout.com et exigeant une rançon. Après enquête, Checkout.com confirme que des données ont été obtenues via un accès non autorisé à un système de stockage cloud tiers « legacy » qui n’avait pas été correctement décommissionné. ...

Selon la Governor’s Technology Office (GTO) du Nevada, sous la direction de l’Office du CIO, l’État a coordonné la remédiation d’une brèche ciblée qui a perturbé des systèmes pendant environ 28 jours. Le point d’entrée provient d’une campagne de Search Engine Optimization poisoning (SEO poisoning) : un acteur malveillant a injecté du code dans une ressource en ligne de confiance, fréquemment consultée par le personnel IT de l’État. Ce code a été téléchargé et installé sur un poste de travail interne, contournant les défenses endpoint et offrant un accès non autorisé à des systèmes critiques. ...