L’occasion se présente rarement dans les dossiers de cybercriminalité organisée. Les autorités françaises ont interpellé, lundi 16 octobre, sur le territoire national, un homme soupçonné par les enquêteurs d’être un élément-clé de Ragnar Locker, un groupe spécialisé dans le rançongiciel. Ces outils malveillants sont conçus pour paralyser des réseaux entiers d’entreprises et d’organisations, imposant aux victimes le paiement d’une rançon pour rendre leur système informatique à nouveau opérationnel.
Cette interpellation fait partie d’une vaste opération coordonnée par Europol, l’agence européenne de police criminelle, et annoncée, vendredi 20 octobre, par plusieurs autorités nationales. Elle s’inscrit, en France, dans le cadre d’une enquête ouverte en septembre 2020 et confiée au Centre de lutte contre les criminalités numériques (C3N) de la gendarmerie nationale.
Dans ce cadre, cinq autres suspects ont été entendus cette semaine en Lettonie et en Espagne. Plusieurs d’entre eux auraient un profil de blanchisseur, selon une source proche du dossier. Dans un communiqué, l’unité de coopération judiciaire de l’Union européenne (Eurojust) précise d’ailleurs que des fonds en cryptomonnaies ont été saisis au cours des opérations.
Un profil crucial pour la justice
L’homme arrêté lundi en France, lui, présente un profil rare et crucial pour la justice : de nationalité russe mais résidant en République tchèque, il est suspecté de jouer, en tant que développeur, un rôle important au sein de Ragnar Locker, qui, comme tous les acteurs de ce secteur, loue à d’autres cybercriminels le logiciel malveillant utilisé pour paralyser les réseaux des victimes, en percevant généralement une partie de chaque rançon obtenue. Peu après son placement en garde à vue, le domicile tchèque du suspect a été perquisitionné.
L’opération s’était quelque peu ébruitée la veille de son annonce, le site vitrine de Ragnar Locker, accessible sur le réseau TOR, ayant été ce jour-là subitement désactivé, affichant une notice des autorités prévenant d’une action conjointe des forces de l’ordre. Au moins neuf serveurs ont été saisis, dont ceux relatifs à l’infrastructure technique du groupe aux Pays-Bas, en Allemagne et en Suède.
Des rançons particulièrement élevées
Etape par étape, les enquêteurs remontent la trace des membres de cette organisation criminelle spécialisée dans la « chasse au gros ». Là où certains acteurs du milieu du rançongiciel multiplient les victimes, Ragnar Locker a toujours ciblé en priorité les très grandes entreprises, se distinguant par des montants de rançon très élevés (entre 5 millions et 66 millions d’euros).
Parmi les victimes françaises, on compte notamment le transporteur maritime CMA-CGM et le distributeur de matériel informatique LDLC. Hors de l’Hexagone, le groupe est aussi connu pour avoir attaqué l’éditeur de jeux vidéo Capcom. Dans un communiqué, la cyberpolice ukrainienne estime au total à 168 le nombre de victimes du groupe « en Europe et en Amérique ».
Selon une source proche du dossier, on estime que le noyau de l’équipe, les « opérateurs » de Ragnar Locker, travaillait avec moins d’une dizaine d’affiliés, nom donné aux pirates spécialisés dans l’intrusion. Ce sont ces derniers, qui collaborent souvent avec plusieurs groupes différents, qui mènent directement les attaques.
Une première opération visant Ragner Locker avait eu lieu en Ukraine en septembre 2021, lors de laquelle sept perquisitions avaient eu lieu et qui s’était soldée par deux interpellations. Puis, en novembre 2022, des gendarmes français épaulant les autorités canadiennes avaient arrêté, dans l’Ontario, un homme russo-canadien de 33 ans, Mikhail V., accusé d’être un important affidé de Ragnar Locker. Egalement soupçonné d’avoir collaboré avec les groupes Lockbit, BlackCat et Darkside, il pourrait être relié à plus d’une centaine d’attaques en France, et 1 800 dans le monde.