Lorsqu’une entreprise décide de payer une demande de rançongiciel, on suppose naturellement que l’affaire s’arrête là : l’argent est perdu et plus rien ne peut être appris. Dans la plupart des cas, le paiement lui-même ne peut effectivement pas être annulé, mais la trace de sa destination reste entièrement visible par la suite, et cette trace a une réelle valeur.
Partir du portefeuille pour remonter la chaîne
Une enquête rétrospective part du portefeuille ayant reçu la rançon et suit tout ce qu’il a fait ensuite, plutôt que de chercher à identifier directement l’attaquant. Cela peut révéler si ce même portefeuille, ou un portefeuille lié, est associé à d’autres incidents connus, et où les fonds ont fini par se stabiliser.
Pour qui ce travail est généralement réalisé
Ce type d’enquête est le plus souvent demandé par des assureurs évaluant une déclaration de sinistre cyber, ou par des avocats étudiant les prochaines étapes, plutôt que par l’entreprise elle-même dans l’espoir d’une récupération directe. Il renforce la documentation entourant une déclaration de sinistre ou un signalement aux autorités, même lorsqu’il ne permet pas de récupérer le paiement.
La mesure la plus utile qu’une entreprise puisse prendre immédiatement après avoir payé une rançon est de consigner l’identifiant exact de la transaction et l’adresse du portefeuille de destination avant que l’incident ne soit clos en interne.