Black Basta exposé par une divulgation interne, ZATAZ révèle les 46 cas français

Un séisme numérique secoue le monde de la cybersécurité : un pirate répondant au pseudonyme Exploit Whispers, a publié en ligne un fichier de 47 Mo contenant des centaines de milliers de messages internes du gang au ransomware Black Basta. Ce groupe cybercriminel, spécialisé dans le Ransomware-as-a-Service (RaaS), a déjà revendiqué plusieurs attaques dans le monde. ZATAZ vous révèle les 46 entreprises françaises ciblées par les pirates.

Les fichiers journaux divulgués contiennent des informations critiques : modus operandi, noms de victimes potentielles et stratégies de rançonnage du bad hacker Black Basta. L’analyse préliminaire réalisée le Service Veille ZATAZ met en lumière des dissensions internes au sein du gang, ce qui pourrait déstabiliser leur structure. Le scénario de CONTI ou encore LockBit se rejoue avec ce groupe de maître chanteur.

Les données révèlent également que les victimes de Black Basta ne sont pas choisies au hasard. Le gang dispose d’un tableur listant des cibles précises, souvent soumises à des demandes de rançon atteignant plusieurs dizaines de millions de dollars. L’un des membres de l’organisation se présente comme ayant seulement 17 ans. Un âge qui n’étonne pas ZATAZ. Je vous invite à écouter l’interview d’une jeune française pirate et son business mis en place dès ses 16 ans !

Une riposte contre des attaques russes ?

Cette fuite ne serait pas anodine. BLACKBASTA aurait récemment ciblé des banques russes, provoquant ainsi cette divulgation en représailles. Une situation qui rappelle les fuites du gang Conti en 2022, lorsque certains de ses membres ukrainiens avaient publié des fichiers internes en raison du soutien affiché par Conti à la Russie lors de l’invasion de l’Ukraine.

Le Service Veille ZATAZ a eu accès à l’ensemble des neuf fichiers JSON révélant la présence de nombreuses entités françaises parmi les potentielles victimes ou structures compromises. Voici quelques chiffres marquants de l’analyse effectuée par ZATAZ Watch. Nombre total d’occurrences de domaines en .fr affichés : 374. Orange apparait dans 1119 propos (Wanadoo : 412 fois). SFR.fr : 659 mentions. Neuf Télécom 208 mentions. Free, dans 83 discussions. Parmi les entreprises citées, la liste complète plus bas.

Best Flowers

Universités et écoles : Univ-Lyon1, ESSEC, Université de Paris, etc. Institutions publiques : AP-HP, Justice.fr, Croix-Rouge Française. Entreprises privées, nous retrouvons Dupont-Restauration, Carmignac, Alworld.fr, Competences-Développement.fr, Etc. L’analyse des fichiers montre que de nombreuses adresses électroniques d’entreprises et institutions françaises sont compromises, certaines accompagnées de leurs identifiants et mots de passe. ZATAZ pense que certains membres exploites des infos stealers, tout simplement !

L’impact de cette divulgation sur les opérations de Black Basta reste incertain, mais il est clair qu’une telle fuite constitue un coup dur pour l’organisation criminelle et pourrait mener à son affaiblissement. ZATAZ a remarqué aussi que dans les discussions n’apparaissent pas d’autres victimes de ces pirates, comme Oralia.

Le Service Veille de ZATAZ pense que les pirates exploitent beaucoup de données tirées d’info stealers.

Conflits internes et l’effondrement d’un groupe cybercriminel ?

Depuis le début de l’année 2025 donc, le groupe BLACKBASTA semble avoir perdu son influence et son activité à cause de conflits internes majeurs. Des tensions entre les membres du groupe (avec les pro Russes) et des cas d’escroquerie interne.

Les conflits internes au sein de BB ont pris une ampleur significative en raison de l’attitude de certains membres. Des opérateurs ont notamment détourné des paiements de rançon sans fournir les outils pour déchiffrer les machines et les fichiers. Cette malhonnêteté, qui n’est pas une nouveauté dans le milieu des maîtres chanteurs 2.0, a conduit à une perte de confiance et à une fragmentation du groupe. Une méthode pour détruire les groupes de l’intérieur par certaines autorités ? Mettre le ver directement dans la pomme et voir le fruit pourri exploser ?

Par ailleurs, des membres clés de Black basta ont quitté le groupe pour rejoindre d’autres organisations cybercriminelles telles que Cactus. Parmi les acteurs à l’origine de ces tensions, on retrouve « Trump », un cybercriminel influent gérant un réseau de spamming distribuant le malware QBOT. Son influence et ses décisions ont aggravé les tensions internes et précipité la chute du groupe.

Dans la fuite du 11 février analysé par ZATAZ, les discussions internes ont ouverts les secrets de ce groupe de bad hackers. En plus des modèles de courriels d’hameçonnage, des adresses de cryptomonnaies utilisées pour les transactions illicites (les autorités vont adorer), des données volées et identifiants de victimes (voir plus haut dans cet article), les discussions stratégiques et tactiques sur les opérations du groupe sont les plus riches d’enseignements. Bref, attaquer des banques russes n’aura pas été la meilleur idée du monde pour les responsables du groupe. Mais, pour une fois, saluons l’action du corbeau

Des figures clés de BLACKBASTA identifiées

L’analyse des messages fuités a permis d’identifier plusieurs figures majeures de BlackBasta. On trouve Lapa. L’administrateur clé du groupe, il gère les tâches administratives mais subit des pressions constantes de la part de ses supérieurs. Son salaire (oui, oui, un salaire !) est nettement inférieur à celui des autres membres, ce qui pourrait expliquer son implication dans des activités frauduleuses pour compléter ses revenus. Cortes est associé au groupe Qakbot. Il s’est distancié de BB après que ce dernier a commencé à attaquer des banques russes, ce qui était contraire à ses intérêts. YY, administrateur principal du groupe, il est très occupé par des tâches de support et reçoit une bonne rémunération. Cependant, l’arrestation du chef du groupe représente un risque majeur pour lui et le reste de l’organisation. Ils se connaissent « physiquement ». Trump (alias GG et AA). Identifié comme Oleg Nefedov, le chef du groupe est impliqué dans les décisions stratégiques du gang et joue un rôle majeur dans son organisation. Pour finir, un ancien membre du groupe CONTI, Bio. Il avait changé de pseudonyme à plusieurs reprises avant de revenir à son alias original. Son arrestation récente a semé l’inquiétude au sein du groupe.

Depuis son lancement en 2022, BLACKBASTA a réussi à s’imposer comme l’un des groupes de ransomware les plus actifs et redoutés. Entre avril 2022 et mai 2024, le groupe a réalisé plus de 500 attaques contre des organisations internationales comme Rheinmetall, Hyundai, BT Group ainsi que plusieurs dizaines hexagonales (voir ci-dessus). Les hackers malveillants aurait collecté environ 100 millions de dollars de rançons de plus de 90 victimes.

Affaire à suivre de très près…

Pour rester informé sur les enjeux de cybersécurité, inscrivez-vous à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.