Les rançongiciels constituent une menace majeure de cybersécurité depuis bien plus d'une décennie, et le renseignement blockchain s'est considérablement sophistiqué sur cette même période, au point qu'une grande partie des paiements de rançongiciels importants finissent par être tracés dans une certaine mesure. Compte tenu de cela, une question raisonnable est de savoir pourquoi les opérateurs de rançongiciels persistent à exiger un paiement en cryptomonnaie. La réponse est un mélange de nécessité pratique et d'une véritable course aux armements continue entre attaquants et enquêteurs.
La raison principale : rapidité et portée, pas une véritable anonymat
C'est une idée reçue courante que les groupes de rançongiciels exigent de la cryptomonnaie parce qu'elle serait intraçable. Comme le traite notre guide sur comment retracer un Bitcoin volé, les transactions sur une blockchain publique comme Bitcoin sont enregistrées de façon permanente et peuvent souvent être tracées avec une réelle précision. Ce que la cryptomonnaie offre réellement aux opérateurs de rançongiciels est quelque chose de plus pratique : un moyen de paiement fonctionnant instantanément à travers les frontières, ne nécessitant aucune relation bancaire ni approbation intermédiaire, ne pouvant être annulé une fois confirmé, et pouvant être reçu par un portefeuille anonyme ou pseudonyme sans la vérification d'identité qu'exigerait un compte bancaire. Pour un attaquant opérant à l'international contre des victimes ayant besoin de payer rapidement pour restaurer leurs opérations, cette combinaison est difficile à remplacer par un quelconque système de paiement traditionnel.
Ce que montrent les données récentes sur les paiements de rançongiciels
Les recherches en analyse blockchain montrent un changement notable dans la dynamique des paiements de rançongiciels au cours des deux dernières années. Selon les recherches de Chainalysis, le total des paiements en cryptomonnaie versés à des opérateurs de rançongiciels a considérablement chuté par rapport au pic de 2023, d'environ 1,1 milliard de dollars, poursuivant son déclin tout au long de 2025, alors même que le nombre d'attaques de rançongiciels publiquement revendiquées continuait d'augmenter. La proportion d'organisations attaquées qui paient effectivement a également atteint un niveau historiquement bas, une tendance largement attribuée à l'amélioration des pratiques de sauvegarde, à un démantèlement plus efficace des principaux groupes de rançongiciels par les forces de l'ordre, et à une réticence organisationnelle croissante à payer après des années de recommandations d'agences comme la CISA déconseillant cette pratique.
Dans le même temps, les demandes de rançon individuelles ont fortement augmenté, la demande médiane progressant nettement d'une année sur l'autre alors même que moins de victimes acceptent de payer, et les paiements effectifs ne représentant plus qu'une fraction du montant initialement exigé. Cela évoque un marché où les groupes de rançongiciels demandent davantage par attaque tout en réussissant moins souvent, une dynamique cohérente avec un écosystème criminel sous pression croissante mais loin de disparaître.
Pourquoi le paysage du rançongiciel ne cesse de se transformer
Plutôt qu'un seul groupe dominant, le paysage des rançongiciels s'est fragmenté en un nombre bien plus important d'opérateurs indépendants et de plus petite taille, en partie conséquence directe des démantèlements et sanctions des forces de l'ordre visant les opérations de rançongiciel-service auparavant dominantes. Cette fragmentation rend la menace globale plus difficile à suivre dans son ensemble, même si les groupes individuels qui la composent deviennent plus identifiables, car les opérateurs plus petits sont plus nombreux mais chacun conserve moins de sophistication opérationnelle et moins de ressources à investir pour échapper à la détection que les grandes opérations qui les ont précédés.
Le virage vers les cryptomonnaies de confidentialité
Le bitcoin reste la monnaie de paiement de rançongiciel la plus fréquemment signalée, mais les opérateurs de rançongiciels manifestent un intérêt croissant pour des cryptomonnaies axées sur la confidentialité comme Monero, qui n'exposent pas les détails des transactions sur un registre entièrement public de la même manière que le Bitcoin. Ce virage constitue une réponse directe à l'efficacité du traçage blockchain contre le Bitcoin en particulier, et représente l'une des complications émergentes les plus significatives pour les enquêteurs travaillant sur des affaires de rançongiciel, car les techniques standard de clustering et d'identification de points d'étranglement décrites dans nos guides de traçage sont bien moins efficaces face à la conception d'une cryptomonnaie de confidentialité.
Pourquoi les agences continuent de déconseiller le paiement
La CISA, le FBI et les agences internationales équivalentes maintiennent une position constante selon laquelle les organisations ne devraient pas payer les demandes de rançongiciel, pour plusieurs raisons concrètes plutôt qu'un simple principe.
- Payer ne garantit pas que les fichiers seront réellement déchiffrés, fonctionnels ou complets, et une part significative des victimes qui paient signalent une récupération de données incomplète ou corrompue
- Le paiement finance directement de nouvelles opérations criminelles, y compris des outils, de l'infrastructure, et des versements à des opérateurs affiliés dans un modèle de rançongiciel-service
- Les organisations connues pour avoir déjà payé sont fréquemment ciblées à nouveau, soit par le même groupe, soit par d'autres ayant obtenu leur réputation de payeur via des données de victimes divulguées
- Payer peut créer une exposition légale distincte dans certaines juridictions, en particulier lorsqu'une demande provient d'un individu ou d'une organisation sanctionné, ou y est liée
Que l'organisation décide finalement de payer ou non, les agences recommandent systématiquement de signaler l'incident à un bureau local du FBI ou via l'IC3, car les incidents signalés alimentent à la fois la réponse d'enquête immédiate et le tableau de renseignement plus large utilisé pour démanteler l'infrastructure des rançongiciels.
Le rôle des avocats et des entreprises de réponse aux incidents
En pratique, peu d'organisations prennent une décision de paiement de rançon sans faire appel à un avocat externe et à une entreprise spécialisée en réponse aux incidents, et ce pour de bonnes raisons au-delà de la seule réponse technique. Les avocats mènent généralement un processus de contrôle des sanctions avant qu'un paiement ne soit envisagé, car l'Office of Foreign Assets Control maintient une liste d'individus et d'organisations sanctionnés, et un certain nombre de groupes de rançongiciels majeurs ou de leurs affiliés connus ont été formellement sanctionnés. Payer une rançon à une entité sanctionnée peut exposer l'organisation payeuse à une responsabilité civile distincte, quelles que soient les circonstances de l'attaque, ce qui explique pourquoi les avocats insistent généralement pour au moins tenter de vérifier les adresses de portefeuille connues d'un groupe de rançongiciel par rapport aux listes de sanctions avant d'autoriser un paiement, même sous une pression temporelle importante.
Les entreprises de réponse aux incidents gèrent le volet technique parallèle : contenir l'intrusion, évaluer ce qui a réellement été chiffré ou exfiltré, et, dans de nombreux cas, négocier directement avec l'opérateur du rançongiciel pour le compte de la victime, car un contact direct par du personnel inexpérimenté peut par inadvertance révéler des informations qui font grimper la demande de rançon. L'assurance cyber, lorsqu'une police existe, joue fréquemment un rôle de coordination ici, car de nombreuses polices exigent l'utilisation d'un panel d'entreprises de réponse aux incidents et d'avocats préalablement approuvés comme condition de couverture.
Idée reçue : l'assurance cyber rendrait le paiement sans risque
Une hypothèse courante chez les organisations disposant d'une police d'assurance cyber couvrant les rançongiciels est que l'existence de cette couverture élimine la majeure partie du risque lié à la décision de payer. Ce n'est pas exact. L'assurance peut rembourser le paiement de la rançon lui-même ainsi que les coûts de réponse aux incidents associés, dans la limite des plafonds de la police, mais elle n'annule pas l'exposition aux sanctions décrite ci-dessus, ne garantit pas que le paiement produira effectivement des clés de déchiffrement utilisables ou que les données exfiltrées ne seront pas quand même divulguées, et n'annule pas les conséquences réputationnelles et réglementaires de la violation sous-jacente, laquelle entraîne, dans de nombreux secteurs, des obligations de notification distinctes, que la rançon ait finalement été payée ou non. Les assureurs eux-mêmes sont également devenus plus sélectifs, exigeant parfois la preuve que des contrôles de sécurité précis étaient en place avant d'accepter de couvrir une perte liée à un rançongiciel.
Un exemple concret : ce qui se passe après le paiement d'une rançon
Prenons une entreprise de taille moyenne qui paie une rançon à six chiffres en bitcoin après qu'une attaque de rançongiciel a chiffré ses systèmes de production, en suivant les conseils juridiques et de réponse aux incidents ainsi qu'un contrôle de sanctions ayant validé l'adresse de portefeuille connue. Le paiement lui-même ne met pas fin à l'exposition de l'organisation. La transaction constitue désormais un registre public et permanent, et les entreprises de renseignement blockchain ainsi que les forces de l'ordre surveillent régulièrement les grappes de portefeuilles de rançongiciels connues, pas seulement en réponse au signalement d'une seule victime.
Plusieurs mois plus tard, le portefeuille ayant reçu le paiement consolide des fonds provenant de plusieurs autres victimes et les déplace à travers une chaîne d'adresses intermédiaires avant d'atteindre un dépôt sur une plateforme d'échange aux contrôles de conformité faibles, dans une juridiction offrant une coopération limitée. Dans certains cas documentés, c'est là que la piste s'arrête effectivement à des fins de récupération pratique, même si elle reste entièrement visible sur la chaîne. Dans d'autres cas, en particulier lorsqu'un groupe de rançongiciel a attiré une attention significative des forces de l'ordre, ce même dépôt sur une plateforme d'échange, combiné à des dépôts tracés provenant d'autres victimes du même groupe, a contribué à une action plus large des forces de l'ordre aboutissant à des saisies de portefeuilles et, dans un plus petit nombre de cas, à une restitution partielle aux victimes identifiées dans le cadre de la même enquête.
L'angle du traçage : que deviennent les paiements de rançon après avoir été versés
Même lorsqu'une rançon est payée, le paiement lui-même devient une nouvelle piste d'enquête. Les paiements de rançongiciel transitent par la même infrastructure blockchain que n'importe quelle autre transaction en cryptomonnaie, et sont soumis à la même analyse de clustering et de points d'étranglement décrite dans notre guide sur la manière dont les enquêteurs blockchain retracent réellement les fonds volés. Un nombre significatif d'opérateurs de rançongiciels et de leur infrastructure de blanchiment ont été identifiés, sanctionnés, ou ont dans certains cas vu leurs fonds saisis précisément parce qu'une rançon payée a fini par toucher une plateforme d'échange ou un service de blanchiment identifiable. C'est en partie pourquoi certaines rançons payées ont, dans de rares cas documentés, été partiellement récupérées par les forces de l'ordre bien après les faits, bien que cela reste l'exception plutôt qu'un scénario sur lequel une organisation victime devrait compter ou baser son budget.
L'utilité de la cryptomonnaie pour les opérateurs de rançongiciels tient à la rapidité, la portée et l'irréversibilité, pas à une véritable intraçabilité. L'analyse blockchain est devenue suffisamment sophistiquée pour qu'une part significative des paiements de rançongiciel finisse par être reliée à une infrastructure identifiable, même si ce traçage se produit rarement assez vite pour empêcher le paiement initial ou en garantir la restitution.
Ce que cela signifie pour l'avenir
Le rançongiciel ne disparaît pas, et le virage vers des demandes plus élevées, des opérateurs plus petits et plus nombreux, et un usage accru de cryptomonnaies de confidentialité suggère que les groupes derrière ces attaques s'adaptent à la pression créée par le traçage et le démantèlement par les forces de l'ordre, plutôt que d'en être dissuadés entièrement. Pour les organisations confrontées à un incident de rançongiciel actif, les recommandations pratiques de la CISA et du FBI restent constantes : éviter de payer autant que possible, signaler l'incident rapidement, et impliquer une expertise en réponse aux incidents et, lorsque de la cryptomonnaie a déjà été payée, en traçage blockchain, le plus tôt possible dans la réponse.
- Faire appel à un avocat et à une entreprise de réponse aux incidents avant toute décision de paiement, pas après
- Vérifier toute adresse de portefeuille ou identité de groupe de rançongiciel connue par rapport aux listes de sanctions actuelles avant d'autoriser un paiement
- Conserver les preuves criminalistiques de l'intrusion elle-même, séparément de la note de rançon et de la demande de paiement, car cela soutient à la fois les demandes d'assurance et tout signalement ultérieur aux forces de l'ordre
- Signaler l'incident à un bureau local du FBI ou via l'IC3, quelle que soit la décision de paiement
- Documenter chaque hachage de transaction et adresse de portefeuille impliqués en cas de paiement, car cela devient le point de départ de tout effort de traçage
Questions fréquentes
Les virements bancaires nécessitent un compte auprès d'une institution réglementée, sont réversibles dans certaines circonstances, et sont soumis à des contrôles de vérification d'identité et de lutte contre le blanchiment qui exposeraient rapidement le destinataire. La cryptomonnaie permet un paiement instantané, irréversible et transfrontalier sans ces mêmes obstacles, ce qui explique pourquoi elle reste la demande quasi universelle malgré une traçabilité croissante.
La CISA et le FBI déconseillent systématiquement le paiement, car il ne garantit pas la récupération des données, finance de nouvelles activités criminelles, et peut inviter un ciblage répété. Les organisations confrontées à un incident actif devraient mettre en balance cette recommandation avec leur situation opérationnelle spécifique, idéalement avec l'aide d'une expertise en réponse aux incidents et d'un avocat expérimenté, plutôt que de recourir par défaut au paiement sous pression.
Souvent dans une certaine mesure, oui. Les paiements de rançongiciel transitent par la même infrastructure blockchain publique que n'importe quelle transaction en cryptomonnaie et peuvent être analysés à l'aide de techniques de clustering pour identifier des portefeuilles et, dans certains cas, les relier à des comptes de plateforme d'échange ou à une infrastructure criminelle connue, bien que les cryptomonnaies de confidentialité et un blanchiment sophistiqué puissent limiter considérablement ce que le traçage peut établir.
Les groupes de rançongiciels semblent compenser un taux de paiement en baisse en exigeant des montants plus élevés par attaque réussie, et en ciblant des organisations qu'ils jugent plus susceptibles de payer ou plus capables de payer une somme importante, plutôt que de s'appuyer sur un volume élevé de paiements plus modestes et plus fiables.
Oui, c'est possible, principalement lorsque le portefeuille destinataire ou le groupe de rançongiciel derrière lui figure sur une liste de sanctions tenue par l'Office of Foreign Assets Control. C'est pourquoi les avocats insistent généralement pour vérifier les adresses de portefeuille connues par rapport aux listes de sanctions avant d'autoriser tout paiement, peu importe l'urgence opérationnelle ressentie à payer.
Sources et lectures complémentaires
- Crypto Ransomware: 2026 Crypto Crime Report · Chainalysis
- #StopRansomware: Play Ransomware · Cybersecurity and Infrastructure Security Agency
- #StopRansomware · Cybersecurity and Infrastructure Security Agency