Pourquoi il ne faut pas payer la rançon d'un site piraté

Ce que le paiement n’achète pas

Faut-il payer les hackers d’un site ? La réponse utile n’est pas morale, elle est empirique. Une clé qui n’arrive pas, une clé qui déchiffre 60 % des fichiers, une clé qui ouvre le site et réinstalle un backdoor, un « silence » suivi d’une publication quand même. Vous n’avez aucun contrat, aucun recours, aucun tiers de confiance. Le wallet dans le note n’est pas un service après-vente.

Même quand un fichier de déchiffrement est envoyé, il ne referme pas l’entrée. Vous payez pour un état à T+1, l’attaquant garde T+2. Les dossiers « on a payé, ça a marché, ça a recommencé » ne sont pas rares. Le rançon Bitcoin site est un coût en plus du nettoyage, pas à la place.

Vous n’achetez pas non plus la discrétion. Le note est déjà sur des captures clients, parfois déjà dans Google cache. Payer pour « qu’ils retirent » un snippet n’est pas un levier que vous contrôlez.

• Pas de garantie de clé.
• Pas de garantie d’intégrité des fichiers rendus.
• Pas de fermeture de la porte.
• Pas de contrôle sur une fuite déjà copiée.

Vous financez la prochaine vague, y compris la vôtre

Ces campagnes sont industrielles. Le même kit, le même note, des milliers de CMS. Le revenu paie l’hébergement des panels, les exploits, parfois un accès initial racheté. Votre virement n’achète pas la paix : il rend le modèle rentable, donc répété. Les sites de la même agence, du même CMS, du même mot de passe réemployé, sont la suite logique.

Vous signalez aussi que ce titulaire paie. Les fichiers de « clients qui ont payé » circulent. Ce n’est pas un film. C’est une liste. Rester un dossier technique (restauration, pas cash) vous sort de cette liste.

L’argument « on paie pour aller plus vite » ignore le délai réel : KYC banque, transfert crypto, attente, fichier qui ne vient pas, second paiement. Une restauration depuis un NAS de la semaine précédente est souvent plus courte. Voir délais de remise en ligne.

La fuite, si fuite il y a, est déjà partie

Le chantage « on publie vos clients » décrit un vol déjà commis, ou un bluff. Dans les deux cas, l’argent n’efface pas une copie ailleurs. Vous ne rappelez pas des données. Vous évaluez si l’accès aux tables a eu lieu, vous décidez d’une notification, vous tournez les secrets.

Payer « pour qu’ils ne publient pas » alors que vous n’avez pas de constat, c’est payer un bluff avec une chance non nulle qu’ils publient quand même — le note est un template. Payer alors que la fuite est réelle, c’est ajouter un coût sans réduire l’obligation CNIL / clients.

Le bon ordre : constat fuite, pas wallet. Le texte de l’attaquant n’est pas une preuve de volumétrie. « 40 000 cartes » sur une vitrine sans paiement en ligne est un copier-coller.

Ce que disent contrats et autorités

Beaucoup de contrats cyber excluent ou encadrent strictement le remboursement d’une rançon. Payer sans accord préalable de l’assureur peut réduire ou tuer l’indemnisation du reste (reprise, expert, perte d’exploitation). Appelez le courtier, lisez la clause, avant tout geste. Déclarer le sinistre est le canal, pas Binance.

Les autorités françaises ne vous demandent pas de payer. Une plainte documente. Elle ne déchiffre pas. Elle sert souvent à l’assureur. Ne bloquez pas la reprise en attendant un récépissé, mais ne jetez pas les pièces.

Certaines professions ont des obligations sectorielles (santé, finance). Le paiement n’y substitue aucune notification. Un avocat ou votre DPO tranche le juridique ; le note, non.

La pression psychologique (et les relances)

Compteur, menace de double extorsion, appels, emails aux clients. C’est le produit. Décidez à froid, par écrit, avec une personne qui n’est pas seule devant le wallet à 23 h. Le titulaire + un prestataire ou un pair, pas le chat de l’attaquant.

Si des clients reçoivent le chantage en direct, une communication factuelle courte (nous traitons, ne payez rien, nos canaux officiels sont…) vaut mieux que le silence total — seulement si le risque est réel. Sinon vous amplifiez un bluff. Prévenir les clients.

Bloquez les relances (filtre, ne pas répondre). Archivez-les. Ne cliquez pas les « portails de paiement » : parfois un second malware, toujours une validation que l’email est lu.

À la place : reprise, pas négociation

Isoler, copier, qualifier (bluff vs chiffrement vs fuite), restaurer un point propre, tourner tous les secrets, fermer l’entrée, constater. C’est l’ordre de message de rançon. Ça produit un site, des pièces, une chance d’indemnisation. Le paiement produit un espoir et une écriture comptable douteuse.

Pas de point propre ? Reconstruction depuis les zips officiels et les contenus extractibles. C’est un devis de reprise, pas un devis de rançon. Les deux montants n’ont rien à voir, et le premier laisse un actif.

Temps : souvent un à trois jours ouvrés pour un mutualisé avec backups, plus si VPS système compromis. Le « 24 h après paiement » du note n’est pas un SLA.

Si quelqu’un a déjà payé malgré tout

Arrêtez les virements suivants (« frais de déchiffrement », « rallonge »). Traitez la clé, si elle vient, comme un outil non fiable : restaurez sur une copie, scannez, ne considérez pas le résultat comme propre. Tournez quand même tous les secrets. Cherchez l’entrée. Déclarez à l’assureur ce qui a été payé, tôt, même si c’est désagréable.

Ne communiquez pas le paiement publiquement. Ne mentez pas non plus à l’assureur : fausse déclaration. Le constat technique reste nécessaire. Le site « déchiffré » sans nettoyage est un site encore à eux.

Si la clé n’est jamais venue, vous êtes exactement au point de départ, moins l’argent. Reprenez l’ordre utile sans attendre un miracle sur la blockchain.

Ce qu’il faut documenter, zéro euro

Captures du note, montants, wallets, heures, emails, tickets hébergeur, inventaire des fichiers, mesures prises. Zéro transaction. Ces pièces servent à l’assureur, à une plainte, à un constat. Elles ne servent pas à « préparer le paiement ».

Un écrit interne : « décision de ne pas payer, date, personnes ». Utile si six mois plus tard quelqu’un dit « on aurait dû ». Utile aussi contre un prestataire trop insistant.

Vous pouvez ouvrir un dossier sur la reprise seule. Personne ne vous demandera un wallet. C’est un critère.