Lorsqu'une entreprise verse une rançon exigée par un rançongiciel, l'hypothèse naturelle est que l'argent est tout simplement perdu. Dans la plupart des cas, le paiement lui-même est irrécupérable, mais l'enregistrement on-chain de sa destination ultérieure ne l'est pas, et cet enregistrement a souvent une réelle valeur, même une fois que l'incident lui-même semble clos.
Travailler à partir du portefeuille
Enquêter a posteriori sur un paiement de rançon signifie travailler entièrement à partir de données de transaction publiques, le portefeuille ayant reçu la rançon, et tout ce que ce portefeuille a fait ensuite, plutôt que d'essayer d'identifier directement l'attaquant. Cela peut révéler si le même acteur est lié à d'autres incidents, et où les fonds ont finalement abouti.
Pour qui ce travail est généralement réalisé
Ce type d'enquête rétrospective est fréquemment demandé par des assureurs évaluant une déclaration de sinistre cyber, ou par des avocats envisageant les prochaines étapes, plutôt que par l'entreprise elle-même espérant une récupération directe. Elle ne permettra pas de récupérer le paiement, mais elle peut renforcer sensiblement une déclaration de sinistre ou un signalement aux autorités, et elle peut aussi établir si le même portefeuille ou la même infrastructure est apparu dans d'autres incidents sans lien apparent.
La chose la plus utile qu'une entreprise puisse faire immédiatement après avoir payé une rançon est de noter l'identifiant de transaction exact et l'adresse de portefeuille de destination avant de clore l'incident en interne.
Ce qu'un traçage complet peut appuyer
Au-delà des finalités d'assurance et juridiques, un traçage documenté d'un paiement de rançon est souvent ce qui permet à une organisation de s'exprimer avec assurance sur l'incident par la suite, devant un conseil d'administration, un régulateur ou une clientèle, plutôt que de laisser la question du devenir des fonds durablement sans réponse.