DarkSide gérait le rançongiciel comme une franchise — commissions par paliers, affiliés, un service d'assistance (entretien)

Sur l'émission Fresh Air de NPR en juin 2021, le journaliste d'investigation du New York Times Michael Schwirtz a décrit ce qu'il avait découvert dans les communications internes de DarkSide, l'opération de rançongiciel russophone qui a attaqué Colonial Pipeline et a encaissé plus de 90 millions de dollars au cours de sa première année environ depuis son lancement en août 2020. La note de rançon que voyaient les victimes commençait par « Welcome to DarkSide » — formelle, professionnelle, avec des menaces subtiles de ne pas toucher à leurs propres systèmes. Au-delà du chiffrement des fichiers, le gang volait des données propriétaires et menaçait de les publier ou de les vendre à des rivaux et à d'autres pirates.

DarkSide était structuré comme une franchise. Il écrivait le rançongiciel mais sous-traitait les intrusions proprement dites à des affiliés — d'autres pirates qui s'engageaient à utiliser le logiciel malveillant moyennant une commission dégressive liée au montant de la rançon. Une rançon inférieure à 500 000 dollars laissait à DarkSide environ 25 % ; sur les rançons supérieures à 5 millions de dollars, sa part descendait à environ 10 %, un partage décrit comme plutôt généreux. Sur le paiement de 4,5 millions de dollars de Colonial Pipeline, environ 10 % sont allés à DarkSide et le reste à l'affilié qui avait pénétré les systèmes. Le gang recrutait sur les forums du dark web, l'un des dizaines de groupes en concurrence pour attirer des affiliés qualifiés.

Même l'expérience des victimes était industrialisée. La plupart des victimes ne savaient pas utiliser le Bitcoin, aussi DarkSide tenait-il un service d'assistance — avec messagerie, comme la ligne de support d'un fournisseur d'accès internet — pour les guider dans le paiement. L'objectif, selon Schwirtz, était de rendre le paiement aussi simple que possible afin que les victimes règlent le problème et passent à autre chose plutôt que de se battre pour récupérer leurs données. Lorsque DarkSide a été identifié comme l'attaquant de Colonial Pipeline, il a cessé ses activités.

Industrialiser l'extorsion : concéder le rançongiciel à des affiliés contre une commission dégressive, et offrir aux victimes un service d'assistance pour que payer ressemble à un support ordinaire.

La répartition des rôles a permis aux spécialistes de se spécialiser : les auteurs du logiciel malveillant ont déployé un seul produit auprès de dizaines d'affiliés travaillant 24 heures sur 24 pour trouver des victimes.

La commission régressive — une part plus faible sur les rançons plus élevées — était conçue pour attirer et retenir les pirates les plus compétents.

Un service d'assistance qui facilite le paiement élimine les frictions ; une victime désorientée est une rançon non payée.

Voler des données en plus de les chiffrer ajoutait un second canal de pression publique au-delà de la perte d'accès.

Les marchés criminels s'industrialisent de la même manière que les logiciels légitimes — franchise, tarification SaaS par paliers, services d'assistance — et cartographier cette structure est la façon dont les enquêteurs comprennent la menace.

Après avoir été démasqué comme l'attaquant de Colonial Pipeline — une attaque qui a perturbé l'approvisionnement en essence aux États-Unis — DarkSide a cessé ses activités. Schwirtz a également enquêté sur REvil, le groupe derrière l'attaque contre le transformateur de viande JBS, qui fait partie de la même vague de rançongiciels frappant des entreprises, des hôpitaux, des polices et des villes.