Ransomware BlackCat : Quand les défenseurs deviennent attaquants

Deux professionnels américains de la cybersécurité ont été condamnés à quatre ans de prison fédérale le 1er mai 2026, après avoir été reconnus coupables de participation aux attaques du ransomware BlackCat (ALPHV) — la même menace contre laquelle ils étaient officiellement rémunérés pour se défendre. Cette affaire rappelle avec force que la connaissance des outils de sécurité, des stratégies de négociation et des processus de réponse aux incidents peut être weaponisée aussi efficacement que n'importe quel zero-day.

Ce qui s'est réellement passé

Colin Radar et son associé (tous deux intervenants en incident response et négociateurs en ransomware certifiés) ont été reconnus coupables d'avoir utilisé leurs positions privilégiées pour renseigner les affiliés de BlackCat sur les plafonds de cyber-assurance des organisations victimes, leur niveau de sauvegarde et leur disposition à payer. Selon l'acte d'accusation du DOJ, au moins une victime a payé une rançon de 1,9 million de dollars, gonflée sur la base du renseignement que le duo avait fourni aux attaquants.

BlackCat/ALPHV a lui-même fermé ses portes lors d'une exit scam controversée en mars 2024, après que le FBI a perturbé son infrastructure et saisi son site de fuites — mais les affiliés et anciens membres ont continué à opérer sous de nouvelles enseignes. La surface d'attaque qu'ils ont exploitée n'était pas un bug logiciel. C'était le processus et la confiance.

Pourquoi c'est important pour les développeurs et les vibe coders

Vous pensez peut-être qu'il s'agit d'une affaire réservée aux grandes entreprises. Ce n'est pas le cas — ou du moins pas exclusivement. Considérez ce que des attaquants disposant d'informations internes peuvent faire lorsqu'ils comprennent votre stack :

• Ils connaissent votre cadence de sauvegarde. Si votre pipeline de déploiement ne comporte aucun contrôle d'intégrité, un insider compromis (ou un acteur de la chaîne d'approvisionnement l'imitant) sait exactement à quel moment vous êtes le plus exposé.
• Ils connaissent votre playbook d'incident. Si votre runbook de réponse aux incidents est stocké dans un Notion partagé, un Confluence mal sécurisé ou un dépôt GitHub avec des contrôles d'accès insuffisants, c'est du renseignement exploitable par les attaquants.
• Ils connaissent votre plafond d'assurance. Les groupes de ransomware ciblent de plus en plus les PME et les produits SaaS indépendants, précisément parce que les petites équipes disposent de budgets de réponse prévisibles et limités.

Pour les équipes qui pratiquent le vibe coding — livrer vite avec des scaffoldings générés par IA, une documentation minimale et des opérations allégées — l'exposition est encore plus marquée. Lorsque toute votre infrastructure a été assemblée en un sprint de week-end à partir de Terraform généré par GPT et de quelques extraits Stack Overflow, il n'existe souvent aucune base de sécurité formelle. Les attaquants n'ont pas besoin d'un insider quand l'application elle-même est la porte ouverte.

Les schémas d'exploitation techniques utilisés par BlackCat

Les affiliés de BlackCat sont bien documentés dans les avis CISA (AA23-061A, mis à jour en 2024). Leur kill chain typique contre les applications web exposées comprenait :

1. Accès initial via RDP exposé / applications web non patchées — CVE-2021-31207 (Exchange), CVE-2019-0708 (BlueKeep), et les instances WordPress/cPanel non patchées étaient des points d'entrée courants.
2. Collecte de credentials — Souvent via Mimikatz en post-exploitation, mais aussi via des fuites de credentials dans les pipelines CI/CD et des secrets codés en dur dans les dépôts.
3. Living off the land — Utilisation d'outils d'administration légitimes (PsExec, AnyDesk, Cobalt Strike) pour se déplacer latéralement sans déclencher les antivirus.
4. Exfiltration avant chiffrement — Double extorsion : vol des données, puis chiffrement. Les organisations victimes qui avaient intégré une résilience anti-ransomware dans leurs sauvegardes ont tout de même été touchées par la menace de fuite.

Les insiders négociateurs ont rendu les étapes 1 et 4 considérablement plus efficaces. Ils savaient quelles applications n'étaient pas patchées, quelles sauvegardes existaient et ce que la victime serait réalistement prête à payer.

Ce que votre application web expose à votre insu

Pour un développeur livrant un produit SaaS ou une boutique Shopify/WordPress, le playbook de BlackCat s'applique directement à des éléments régulièrement mal configurés :

• Des endpoints de debug laissés actifs en production (fréquent dans le code généré par IA qui ignore les vérifications d'environnement)
• Des fichiers .env exposés ou des clés API codées en dur dans des dépôts publics
• Des panneaux d'administration avec des credentials par défaut ou sans rate limiting
• Absence de security headers, rendant les attaques XSS et clickjacking triviales
• Des plugins et dépendances obsolètes — le principal point d'entrée des ransomwares pour les sites WordPress

L'affaire BlackCat montre que même avec un acteur humain sophistiqué aidant les attaquants, la prise de pied initiale nécessite tout de même une vulnérabilité réelle. Corrigez-la, et vous supprimez l'effet de levier.

Le vibe coding sécurisé implique d'auditer ce que vous livrez

La sécurité du code généré par IA est un problème réel et croissant. Des outils comme GitHub Copilot, Cursor et Bolt.new produisent du code fonctionnel rapidement — mais ils reproduisent aussi des patterns de vulnérabilités courants issus de leurs données d'entraînement. Un scaffold IA pour une route API Next.js n'ajoutera pas de middleware d'authentification par défaut. Un thème enfant WordPress généré par prompt ne sanitisera pas correctement les entrées à chaque fois.

La solution n'est pas d'arrêter de livrer vite. C'est de scanner avant de déployer.

Un scanner automatisé d'applications web détecte les failles faciles qui rendent possibles les attaques de type BlackCat : chemins d'administration exposés, authentification manquante sur les routes API, composants obsolètes avec des CVE connus, headers non sécurisés et fuites de credentials. Scorra effectue ces vérifications automatiquement sur votre application en production — sans installation d'agent, sans configuration complexe. Pointez-le sur votre domaine et obtenez un rapport de vulnérabilités priorisé en quelques minutes.

Les deux négociateurs condamnés savaient exactement ce qui rendait leurs victimes des cibles faciles. Assurez-vous qu'un scan automatisé vous révèle la même chose avant qu'un attaquant ne le fasse.

Points clés à retenir

• Deux intervenants en incident response américains ont écopé de 4 ans de prison pour avoir fourni aux affiliés de BlackCat des renseignements sur la posture de sécurité des victimes.
• Le kill chain de BlackCat s'appuyait systématiquement sur des applications web non patchées comme vecteur d'accès initial.
• Le code généré par IA et les projets de vibe coding livrés rapidement présentent statistiquement plus de risques de mauvaises configurations exploitables.
• Scanner votre application avant les attaquants est la posture de sécurité minimale viable.

Effectuez un scan gratuit de votre application sur scorra.io — avant que quelqu'un d'autre ne cartographie vos vulnérabilités à votre place.