Une entité gouvernementale américaine aurait versé environ 1 million de dollars à Kairos dans une affaire d’extorsion de données

Une organisation gouvernementale américaine semble avoir versé environ 1 million de dollars après que des attaquants ont menacé de publier des données volées, selon une nouvelle étude de cas du chercheur de Ransom-ISAC Rakesh Krishnan. L’analyse repose sur une conversation de négociation ayant fait l’objet d’une fuite et sur le traçage des cryptomonnaies effectué après le paiement.

L’incident est notable, car le groupe utilisant le nom Kairos ne semble pas avoir employé les tactiques traditionnelles des rançongiciels. Krishnan a indiqué n’avoir trouvé aucune preuve de chiffrement de fichiers, d’outils de déchiffrement ou de mécanisme de verrouillage. L’opération reposait plutôt sur le vol de données et sur la pression exercée sur la victime afin qu’elle ne les rende pas publiques.

La victime n’a pas été identifiée dans l’étude, mais certains détails de la conversation semblent désigner le comté d’Union, dans l’Ohio. Les noms de fichiers mentionnés comprenaient notamment Union.xlsx et union.rar, tandis que l’attaquant faisait régulièrement référence à un dossier identifié comme celui du bureau du procureur, laissant entendre que la divulgation de ces documents pourrait être particulièrement préjudiciable.

Le comté d’Union a déclaré en mai 2025 avoir détecté une activité liée à un rançongiciel, puis avoir informé des dizaines de milliers de résidents et d’employés que des informations personnelles avaient été dérobées. Les données exposées comprenaient apparemment des numéros de sécurité sociale, des informations financières, des empreintes digitales et des informations de passeport. Le comté n’a pas confirmé publiquement de lien avec Kairos, et le groupe n’a pas non plus reconnu cette connexion.

Déroulement des négociations

Selon la conversation ayant fait l’objet d’une fuite, la demande d’extorsion a commencé à 3 millions de dollars et a évolué au fil de plusieurs phases de négociation. Les offres du comté sont passées de 100 000 à 255 000 dollars, puis à 430 000 dollars, tandis que Kairos a réduit sa demande à 2 millions de dollars avant de fixer le montant final à 1 million de dollars.

Le paiement, effectué le 13 juin 2025, représentait environ 9,44 bitcoins à cette date. Krishnan a indiqué que les fonds avaient rapidement été répartis et transférés entre plusieurs portefeuilles avant d’atteindre des adresses associées à de grandes plateformes d’échange ainsi qu’à un service russe de cryptomonnaie.

Cette affaire illustre une évolution plus large des attaques fondées sur l’extorsion : certains opérateurs ne prennent désormais même plus la peine de chiffrer les systèmes et s’appuient uniquement sur les données volées pour contraindre leurs victimes à payer. Des chercheurs en sécurité ont constaté que ce modèle est devenu de plus en plus courant ces dernières années.

• Kairos aurait menacé de divulguer des documents sensibles du comté si le paiement n’était pas effectué.
• Un fichier de « preuve de suppression » a été fourni, mais cela ne permet pas de vérifier que les données ont réellement été effacées.
• Les chercheurs affirment que des mesures de défense telles que l’authentification multifacteur et la segmentation restent essentielles pour les administrations locales.

Krishnan a indiqué que le site public de divulgation de Kairos n’était plus actif, même si l’activité des portefeuilles liée à l’opération se serait poursuivie jusqu’en 2026.