Sources & méthode
Ransomware tracker : comprendre les revendications publiques
RansomWatch rassemble des revendications attribuées à des groupes de rançongiciels, telles que rapportées par des sources publiques. Le bulletin permet d’observer ces publications, pas de certifier qu’une organisation a subi une attaque.
Ce qui entre dans le flux
À chaque collecte réussie, le tracker retient les entrées disposant d’un nom d’organisation, d’un groupe et d’une date exploitable, dans les 30 jours précédant la collecte. Les dates futures et les entrées sans ces éléments sont écartées.
La date provient du champ de publication ou de découverte fourni par la source ; un champ « attackdate » peut servir de repli. Elle n’est pas une date d’attaque confirmée indépendamment.
Le pays, le secteur et la rançon sont repris lorsqu’ils sont disponibles. Les champs absents restent non renseignés. Les chiffres décrivent les revendications collectées, pas l’ensemble des incidents ransomware : la couverture dépend des sources.
La rubrique Presse conserve séparément les articles datés avec un titre et un lien. Un article n’est pas automatiquement une nouvelle revendication.
Des sources attribuées
Chaque revendication porte le nom du ou des flux qui l’ont rapportée. Voici les sources utilisées par le bulletin :
- ransomwhere.org
- Le flux public de ransomwhere.org fournit les revendications et leurs champs descriptifs. Il reprend en partie ransomware.live : ce n’est pas une origine entièrement indépendante.
- presse & laboratoires
- Le flux d’actualités de ransomwhere.org rassemble des publications attribuées notamment à Krebs on Security, ID Ransomware, RansomLook et The DFIR Report. Chaque article conserve son lien et sa source.
- RansomLook
- Les publications attribuées à RansomLook sont lues dans ce même flux d’actualités de ransomwhere.org, et non via une connexion directe à RansomLook. Les titres au format « organisation By groupe » alimentent le rapprochement des revendications.
Recoupé ne veut pas dire confirmé
Une correspondance entre trackers n’est pas une confirmation indépendante de l’attaque.
Les entrées sont regroupées lorsqu’elles portent le même nom d’organisation et le même groupe après normalisation de la casse et des espaces. Elles comptent alors comme une seule revendication, avec plusieurs sources associées.
Il ne s’agit pas d’une résolution complète des identités : des noms différents peuvent rester séparés, et des homonymes peuvent être rapprochés. Un même nom associé à deux groupes reste deux revendications distinctes.
Plusieurs trackers peuvent reprendre la même publication initiale, ou partager un agrégateur. Le recoupement indique une présence dans plusieurs flux, pas plusieurs enquêtes indépendantes. Il ne valide ni la réalité de l’incident, ni l’étendue des données concernées, ni la demande de rançon.
Lire les dates avec prudence
Le bulletin démarre avec un instantané réel collecté le . Cette date est celle de l’instantané initial, pas une garantie de fraîcheur des sources aujourd’hui.
Une actualisation est tentée à l’ouverture du bulletin et peut aussi être lancée manuellement. La date de collecte affichée indique quand les données ont été récupérées ; elle ne signifie pas que chaque source a publié à cette heure-là.
Si aucune revendication n’est récupérable, le bulletin conserve la collecte précédente et signale l’échec. Lorsqu’une collecte partielle réussit, le flux est reconstruit avec les sources disponibles ; celles qui ont échoué sont signalées. Consultez les dates et l’état des sources avant d’interpréter une baisse des chiffres.
Avant de qualifier un incident, revenez aux références publiques et recherchez une communication de l’organisation concernée ou des éléments d’enquête fiables. Une revendication seule ne suffit pas.
Consulter le bulletin daté