Septembre 2020, le réseau informatique de l’armateur français CMA-CGM tombe soudainement en rade. Derrière l’attaque, le puissant gang de hackers «Ragnar Locker». Ils réclament plusieurs millions d’euros. Une négociation de quelques jours s’engage: en coulisses, le GIGN, l’unité d’élite de la gendarmerie. Le géant du transport maritime, mis sous pression par les 60 millions d’euros perdus par jour de panne, finit par lâcher une partie de la rançon pour faire repartir ses porte-conteneurs. Pour les gendarmes, ce n’est que partie remise. La négociation menée par le GIGN a permis d’obtenir des indices utiles pour l’enquête. Un an plus tard, le 28 septembre 2021, une vaste opération pilotée par la gendarmerie, avec l’appui du FBI et d’Europol, mène aux interpellations de 2 hommes soupçonnés d’être derrière une série d’attaques, dont celle contre la CMA-CGM. «Depuis environ deux ans», le GIGN est intervenu sur «10 à 20» négociations numériques liées à des rançongiciels, explique le général de division Marc Boget, commandant de la gendarmerie dans le cyberespace (ComCyberGend). «On est sur une trajectoire exponentielle», souligne le haut-gradé, à l’image de cette criminalité. Les attaques par rançongiciel visant les entreprises et les institutions ont augmenté de 32% entre 2019 et 2020, selon une étude publiée en novembre par le ministère de l’Intérieur. L’unité d’élite n’agit jamais seule, toujours au sein d’un «triptyque», dit-il, avec des experts techniques de haut vol et des cybergendarmes du Centre de lutte contre les criminalités numériques (C3N), saisis après une plainte de la société victime. En cas d’attaque, ces 3 acteurs se déploient au sein d’un poste de commandement ad hoc, installé dans les locaux de l’entreprise. Connus du grand public pour intervenir sur les prises d’otages ou les attaques terroristes, les 24 négociateurs de la cellule nationale du GIGN, dont 4 permanents, ont été spécialement formés. A terme, 350 négociateurs régionaux le seront également. «On s’appuie sur des personnes décomplexées avec l’informatique pour mettre en place une stratégie et gagner du temps», précise Timothy, officier en négociation.Les pourparlers se déroulent quasi-exclusivement par écrit, le plus souvent sur le réseau chiffré Tor, avec un compte à rebours pour faire monter la pression. Ils peuvent durer de «quelques heures à 15 jours», confie Xavier, chef de la cellule négociation. «Une multinationale, ce sont des centaines d’ordinateurs et de serveurs dans le monde entier. L’attaquant a pu pénétrer par un serveur au Brésil pour attaquer ceux situés en Russie», décrypte Clément, le chef «geek» du GIGN, à la tête de la cellule cyber. Comprendre comment le hacker est entré va permettre de jauger «son niveau et sa crédibilité», ajoute cet expert. L’identifier reste «possible mais complexe»: «qui sait si, derrière l’écran, vous avez affaire à un Etat ou à un petit nouveau de 16 ans en train de pirater la Terre entière?». Avec un preneur d’otage, «on se présente, on lui parle, on peut établir un lien, créer de l’empathie», raconte Timothy. Le hacker, lui, ne doit jamais savoir qu’il négocie avec la gendarmerie. «On va coacher la victime, elle va écrire avec nous, avec son vocabulaire d’entreprise, toutes ces choses qu’on ne doit pas trahir», résume le négociateur. C’est aussi elle qui valide la stratégie et peut donner des objectifs de rabais à obtenir sur la rançon de départ. «Certains chefs d’entreprises sont frileux. D’autres sont énervés, refusent de payer et nous laissent carte blanche». Comme ce PDG d’une société de sécurité privée, forte de 2.000 collaborateurs, dont les données ont été intégralement chiffrées en mars dernier. Les hackers ont réclamé 2 millions de dollars pour livrer la clef de déchiffrement. Refus catégorique du patron. Par un «coup de bluff», selon le général Marc Boget, le négociateur GIGN est parvenu à faire dégringoler la somme… à 11.000 euros.
