La cybercriminalité est souvent considérée à tort comme l'œuvre de pirates informatiques isolés. En réalité, l'activité cybercriminelle ressemble davantage à un écosystème commercial structuré, avec des rôles clairement définis, des chaînes d'approvisionnement et même des attentes en matière de performances. De nombreuses bandes de cybercriminels fonctionnent avec le même niveau d'organisation que les entreprises légitimes, répartissant les responsabilités entre des fonctions spécialisées pour maximiser l'efficacité, réduire les risques et étendre les opérations.

Quels sont les différents rôles dans la cybercriminalité ?

La compréhension de ces rôles est essentielle pour les organisations qui cherchent à se défendre efficacement. En sachant comment ces groupes sont structurés, les défenseurs peuvent mieux anticiper les schémas d'attaque, identifier les points faibles du cycle de vie des cybercriminels et perturber l'activité avant qu'elle ne dégénère en un incident de grande ampleur.

Les recruteurs

Les recruteurs sont chargés de trouver des talents pour les opérations cybercriminelles. Il peut s'agir d'individus techniquement qualifiés ou de participants non techniques qui peuvent soutenir des activités plus larges. Le recrutement a souvent lieu sur des forums clandestins, des plateformes de messagerie cryptées ou même des canaux grand public déguisés en offres d'emploi légitimes.

Ces acteurs ciblent les employés désabusés, les travailleurs indépendants ou les personnes vivant dans des régions où les opportunités économiques sont moindres. Dans certains cas, des initiés sont délibérément recrutés pour donner accès à des environnements d'entreprise. Cette pratique est particulièrement dangereuse, car les attaques assistées par des initiés contournent de nombreux contrôles de sécurité traditionnels.

Les recruteurs jouent également un rôle essentiel dans l'élargissement des opérations. Au fur et à mesure que les groupes cybercriminels se développent, le besoin de personnel fiable augmente, et les recruteurs assurent une réserve régulière de collaborateurs capables de remplir des rôles spécifiques au sein de l'écosystème.

Partenaires et affiliés

De nombreuses opérations cybercriminelles, en particulier les groupes de ransomware, fonctionnent selon un modèle d'affiliation. Dans cette structure, un groupe central développe les outils et l'infrastructure, tandis que les affiliés sont responsables de l'exécution des attaques.

Les affiliés ont accès aux kits de ransomware, aux cadres d'exploitation ou aux plateformes d'hameçonnage, généralement en échange d'une part des bénéfices. Ce modèle abaisse la barrière à l'entrée de la cybercriminalité, permettant à des personnes moins qualifiées sur le plan technique de mener des attaques sophistiquées.

L'écosystème des affiliés permet aux organisations cybercriminelles de se développer rapidement sans avoir à gérer directement chaque opération. Il crée également une couche de séparation entre les développeurs et les attaquants, ce qui rend l'attribution et la perturbation plus difficiles pour les forces de l'ordre.

Spécialistes techniques

Les spécialistes techniques constituent l'épine dorsale des opérations cybercriminelles. Ils conçoivent, développent et entretiennent les outils utilisés dans les attaques. Leur expertise couvre le développement de logiciels malveillants, la création d'exploits, la gestion d'infrastructures et les techniques d'évasion.

Ce groupe comprend

• les développeurs de logiciels malveillants qui conçoivent des ransomwares, des chevaux de Troie et des logiciels espions
• Les développeurs d'exploits qui identifient et exploitent les vulnérabilités
• des ingénieurs en infrastructure qui gèrent des serveurs de commande et de contrôle
• Les spécialistes du contournement de la sécurité qui s'efforcent d'échapper aux outils de détection.

Les spécialistes techniques opèrent souvent en tant que prestataires de services au sein de l'économie souterraine, vendant ou louant leurs outils à d'autres criminels. Cette banalisation des capacités de la cybercriminalité a considérablement accéléré le rythme et l'ampleur des attaques.

Les blanchisseurs d'argent

Une fois les fonds obtenus, généralement par le biais de paiements de ransomwares, de fraudes ou de vols de données, ils doivent être blanchis pour éviter d'être détectés. Les blanchisseurs d'argent jouent un rôle essentiel dans la conversion des gains illicites en actifs utilisables.

Ce processus implique souvent :

• Des services de mixage de crypto-monnaies pour brouiller les pistes des transactions.
• La conversion entre différentes monnaies numériques
• L'utilisation de comptes mules pour transférer des fonds d'une juridiction à l'autre
• L'intégration dans les systèmes financiers légitimes par le biais de sociétés écrans ou d'entreprises de façade.

Sans un blanchiment efficace, les opérations cybercriminelles auraient du mal à monétiser leurs activités. Ces acteurs jouent donc un rôle clé dans l'ensemble de l'écosystème.

Forums et places de marché

Les forums et places de marché cybercriminels constituent l'infrastructure de l'économie souterraine. Ces plateformes facilitent l'achat, la vente et l'échange d'outils, de données et de services.

Les offres les plus courantes sont les suivantes

• des informations d'identification et des données personnelles volées
• kits de logiciels malveillants et outils d'exploitation
• Accès initial aux systèmes compromis
• des tutoriels et des conseils opérationnels.

Ces places de marché proposent également des systèmes de réputation, des services de dépôt fiduciaire et des mécanismes de résolution des litiges, à l'image des plateformes de commerce électronique légitimes. Ce niveau de sophistication contribue à instaurer la confiance entre les criminels et favorise une collaboration à long terme.

Personnel de soutien

Le personnel de soutien est souvent négligé, mais il est essentiel au maintien de l'efficacité opérationnelle. Dans certains groupes de ransomware, les équipes de soutien interagissent même directement avec les victimes.

Leurs responsabilités peuvent être les suivantes

• gérer les communications de négociation pendant les incidents liés aux ransomwares
• Fournir une "assistance clientèle" aux victimes qui paient des rançons
• tenir à jour la documentation et les guides opérationnels
• gérer la logistique, notamment la gestion des comptes et l'octroi d'accès.

Cette professionnalisation montre comment les groupes cybercriminels privilégient l'expérience des utilisateurs, même dans le cadre d'activités illicites, afin de maximiser les taux de réussite des paiements.

Opérateurs

Les opérateurs sont responsables de l'exécution des attaques au niveau technique. Ils déploient des logiciels malveillants, exploitent les vulnérabilités et se déplacent latéralement au sein des réseaux compromis.

Leurs activités consistent généralement à

• Obtenir un accès initial par hameçonnage, vol d'informations d'identification ou exploitation.
• L'escalade des privilèges dans l'environnement cible
• mener des opérations de reconnaissance pour identifier les actifs de valeur
• Déployer des charges utiles telles que des ransomwares ou des outils d'exfiltration de données.

Les opérateurs doivent posséder de solides compétences techniques et suivent souvent des plans d'action structurés élaborés par des spécialistes techniques ou des dirigeants du groupe.

Opérateurs

Bien que semblables aux opérateurs, les agents se concentrent généralement sur des tâches spécifiques au sein de la chaîne d'attaque plutôt que sur la gestion de l'ensemble de l'exécution technique. Ils peuvent être responsables d'étapes individuelles telles que les campagnes d'hameçonnage, l'ingénierie sociale ou le soutien à l'accès physique.

Voici quelques exemples :

• les coordinateurs de campagnes d'hameçonnage qui envoient des attaques par courrier électronique à grande échelle
• Les ingénieurs sociaux qui manipulent les employés pour qu'ils révèlent leurs informations d'identification.
• Les courtiers d'accès initial qui vendent des points d'entrée dans les réseaux
• Les initiés qui fournissent des accès privilégiés ou des informations sensibles

Les opérateurs permettent aux groupes cybercriminels de répartir les risques et de spécialiser les tâches, ce qui rend les opérations plus efficaces et plus difficiles à détecter.

Comment les groupes cybercriminels opèrent-ils comme des entreprises SaaS ?

L'un des changements les plus importants dans la cybercriminalité moderne est l'évolution vers des modèles d'exploitation qui ressemblent beaucoup à des entreprises de type SaaS (Software-as-a-Service). Cette évolution a fondamentalement changé la manière dont les attaques sont menées, étendues et monétisées.

La cybercriminalité en tant que service (CaaS) est au cœur de ce modèle. Au lieu d'exiger de chaque acteur qu'il dispose d'une expertise technique approfondie, les groupes cybercriminels présentent leurs outils sous forme d'offres accessibles, basées sur des abonnements. Le Ransomware-as-a-Service (RaaS) en est l'exemple le plus marquant, où les affiliés peuvent effectivement "louer" des plateformes de ransomware avec des tableaux de bord, une assistance et de la documentation.

Ces plateformes comprennent souvent

• des panneaux de contrôle conviviaux pour gérer les campagnes
• des analyses intégrées pour suivre les taux d'infection et les paiements
• Des mises à jour régulières et des améliorations des fonctionnalités
• Des modèles de tarification échelonnée ou de partage des bénéfices
• des canaux d'assistance à la clientèle pour les affiliés.

Cela reflète presque exactement les entreprises SaaS légitimes. Il existe des processus d'intégration, des guides d'utilisation et même des conseils pour l'optimisation des performances. Certains groupes définissent des attentes en matière de niveau de service, garantissant la disponibilité de l'infrastructure et la fiabilité de leurs outils.

Le modèle SaaS permet également une mise à l'échelle rapide. Les développeurs se concentrent sur l'amélioration du produit, tandis que les affiliés s'occupent de la distribution. Cette séparation des préoccupations permet aux écosystèmes cybercriminels de se développer rapidement et d'opérer simultanément dans plusieurs zones géographiques.

D'un point de vue défensif, ce modèle augmente considérablement les risques. Il abaisse la barrière à l'entrée, ce qui signifie qu'un plus grand nombre d'acteurs peuvent lancer des attaques sans disposer de compétences avancées. Il accélère également l'innovation, car les groupes concurrents affinent constamment leurs offres pour attirer davantage d'affiliés.

En fait, la cybercriminalité a adopté l'efficacité, l'évolutivité et l'état d'esprit centré sur le client des sociétés de logiciels modernes. C'est pourquoi les organisations sont aujourd'hui confrontées à des attaques plus fréquentes, plus sophistiquées et mieux coordonnées que jamais.

L'importance de cette structure pour les défenseurs

La nature structurée des organisations cybercriminelles signifie que pour se défendre contre elles, il faut adopter une approche coordonnée similaire. Chaque rôle représente un point de perturbation potentiel.

Par exemple :

• L'interruption des canaux de recrutement peut limiter l'accès aux menaces internes.
• La surveillance des forums clandestins peut permettre de détecter rapidement des attaques planifiées.
• Cibler l'infrastructure utilisée par les spécialistes techniques peut dégrader les capacités.
• Le suivi des flux financiers peut mettre à jour les réseaux de blanchiment.

Les organisations doivent adopter une stratégie de défense à plusieurs niveaux qui tienne compte non seulement de l'attaque elle-même, mais aussi de l'écosystème plus large qui la favorise.

Comment l'IA modifie le paysage de la cybercriminalité

L'intelligence artificielle remodèle rapidement la cybercriminalité, agissant comme un multiplicateur de force dans presque tous les rôles au sein de l'écosystème. Ce qui nécessitait autrefois du temps, de la coordination et des connaissances techniques approfondies peut désormais être automatisé, affiné et mis à l'échelle avec une efficacité bien plus grande.

Pour les recruteurs et les agents, l'IA permet une ingénierie sociale très convaincante. Les campagnes de phishing sont désormais personnalisées, adaptées au contexte et exemptes des erreurs qui les rendaient autrefois faciles à détecter. Les fausses voix et vidéos sont également utilisées pour usurper l'identité de dirigeants, ce qui augmente le taux de réussite des attaques frauduleuses et des attaques de compromission des courriels d'entreprise.

Les spécialistes techniques utilisent l'IA pour accélérer les cycles de développement. Les logiciels malveillants peuvent être adaptés plus rapidement pour échapper à la détection, tandis que les outils assistés par l'IA permettent d'identifier les faiblesses des environnements cibles et d'optimiser les voies d'attaque.

Les opérateurs bénéficient de l'automatisation, l'IA prenant en charge la reconnaissance, la collecte d'informations d'identification et les déplacements latéraux. Cela réduit les efforts manuels et permet d'exécuter des attaques à grande échelle sur plusieurs cibles simultanément.

Surtout, l'IA abaisse la barrière à l'entrée. Les acteurs les moins expérimentés peuvent générer du contenu de phishing, des scripts et des flux d'attaques avec un minimum d'expertise.

Pour les défenseurs, cela signifie qu'ils doivent faire face à des menaces plus rapides, plus ciblées et plus sophistiquées qui sont plus difficiles à détecter à l'aide des méthodes traditionnelles.

En comprenant les différents rôles au sein des gangs de cybercriminels, les organisations peuvent aller au-delà des mesures de sécurité réactives et adopter une attitude plus proactive. Il s'agit notamment d'anticiper le comportement des attaquants, d'identifier les premiers indicateurs de compromission et de perturber les opérations avant qu'elles n'atteignent des stades critiques.

Dans un paysage où les cybercriminels opèrent comme des entreprises, les défenseurs doivent répondre avec le même niveau de structure, d'intelligence et de coordination.

Si vous êtes préoccupé par les cybermenaces ou si vous avez besoin d'aide pour déterminer les mesures à prendre pour vous protéger des menaces les plus importantes auxquelles votre organisation est confrontée, n'hésitez pas à nous contacterpoursavoir comment vous pouvez protéger votre organisation.