Des échanges divulgués suggèrent qu’un comté américain non identifié a versé 1 million de dollars à un groupe d’extorsion

Un compte rendu divulgué et des éléments corroborants suggèrent qu’un comté américain non identifié a versé 1 million de dollars à un groupe d’extorsion après que des criminels ont affirmé avoir dérobé plus de 2 To de données. L’épisode, décrit dans une étude de cas de renseignement sur les menaces, soulève une fois de plus la question de savoir si le paiement d’une rançon réduit réellement les risques ou s’il permet simplement d’acheter une promesse invérifiable.

Selon le rapport, le groupe à l’origine de l’opération, qui se fait appeler Kairos, a d’abord exigé 3 millions de dollars. Les négociations se sont ensuite déroulées sur plusieurs semaines, les responsables du comté expliquant qu’ils ne pouvaient pas réunir la somme initiale et formulant des offres successives de 100 000, 255 000, puis 430 000 dollars. Les parties ont finalement conclu un accord d’un million de dollars en bitcoins.

Ce que le comté a demandé

Le compte rendu suggère que l’organisme public souhaitait obtenir davantage qu’une simple assurance verbale en échange du paiement. Il a demandé :

• la preuve que les données volées avaient été supprimées
• la liste complète des fichiers dérobés
• une explication de la manière dont les attaquants avaient obtenu l’accès

Kairos a déclaré qu’il fournirait un échantillon de la liste des fichiers et a affirmé être entré sur le réseau par force brute. Le groupe a également partagé ce qu’il a présenté comme une preuve de suppression des données et a promis de ne pas vendre les données ni d’attaquer à nouveau la victime.

Cependant, le chercheur à l’origine de l’analyse a noté qu’il n’existait aucun moyen indépendant de confirmer la suppression des données volées. Cette limite explique en partie pourquoi les organismes chargés de l’application de la loi avertissent régulièrement les victimes que le paiement d’une rançon ne garantit ni la récupération des données ni la prévention de fuites ultérieures.

L’identité de la victime reste incertaine

Le rapport ne nomme pas directement le comté, mais un indice pointe vers l’Ohio : un fichier parmi les données prétendument volées faisait référence à Dublin, une ville qui s’étend sur plusieurs comtés de l’État. Les conclusions coïncident également, sur le plan chronologique, avec une divulgation publique du comté d’Union, dans l’Ohio, qui a déclaré avoir subi une intrusion liée à un ransomware en mai 2025, impliquant des données personnelles et sensibles.

À ce jour, les responsables n’ont pas confirmé si le comté d’Union est l’entité mentionnée dans les comptes rendus de négociation divulgués. Le FBI a refusé de commenter, et le rapport souligne que l’incident n’impliquait peut-être pas un ransomware traditionnel, puisqu’aucun décrypteur ni outil de chiffrement n’a été identifié.

Cette affaire illustre les choix difficiles auxquels sont confrontés les organismes publics lorsque des données sensibles sont exposées et que les attaquants imposent leurs conditions.