Les pirates de Royal vous écrivent ? Ça puire !

Les pirates informatiques du groupe Royal, des spécialistes du chantage numérique, trient les données pour mieux les exploiter. Ils écrivent aux utilisateurs des entreprises piratées ! Explication.

En mars dernier, la Ville de Lille expliquait que les pirates informatiques du groupe de ransomware Royal avaient contacté plusieurs employés via des courriers électroniques menaçants. La méthode de ces pirates, la même que pouvait exploiter en leur temps les pirates de Sodinokibi/Revil ou encore Conti et Netwalker, est simple. D’abord, menacer les victimes de leurs infiltrations et exfiltrations de données.

Depuis la cyberattaque vécue par la Capitale Flamande, 20 autres entreprises se retrouvent d’abord menacées dans le darkweb (en ce moment, deux écoles, des industriels, un cabinet d’avocats). Vient ensuite la phase « courriel ». Royal envoie des courriers électroniques, d’abord aux intervenants directs des entreprises ciblées. « La France, en tant que membre de l’UE et de l’EEE, a également mis en œuvre le RGPD. La législation française permet également les recours collectifs, y compris en matière de protection des données personnelles, conformément aux exigences du RGPD. Depuis l’entrée en vigueur du RGPD, il y a eu au moins 6 cas imposant des amendes aux contrevenants allant de 20 000 EUR à 50 000 000 EUR (cas de Google)« , explique la missive menaçante signée par une certaine Dina. La législation change selon le géolocalisation de l’entreprise piratée.

Levier RGPD !

Les hackers malveillants veulent jouer avec le levier psychologique « amende« . Je vous parlais de ce levier en 2016, quand des pirates informatiques m’avaient expliqué attendre Mai 2018 et le lancement du Règlement Général des Données Personnelles (RGPD).

Je me souviens de l’un d’eux, m’indiquant que « si l’entreprise ne paie pas la somme que je réclamerai, elle paiera 10 fois plus en avocat, justice, class action ».

La troisième phase de Royal est encore plus vicieuse. Les maîtres chanteurs écrivent directement aux adresses électroniques qu’ils ont analysées et extraites des fichiers volés. « La société X a perdu vos données personnelles. Ils vous mentent et vous disent qu’ils n’ont pas perdu vos données personnelles« , écrit Royal aux clients, usagers, partenaires des entreprises piégées. Les pirates copient dans le courriel les données personnelles de la personne concernée par la fuite. « Vos données seront bientôt publiées à 100 % sur notre blog« , renchérissent les pirates.

À noter que Royal propose un lien vers un espace qui leur est dédié, via l’outil web privnote.com. Un site qui permet d’afficher un message et de le détruire dès que ce dernier a été lu. « Si vous ne pouvez pas convenir avec l’organisation qui a compromis vos données du fait que vous avez droit à une indemnisation, ou du montant de l’indemnisation, vous pouvez faire une réclamation via le tribunal de première instance« , terminent les voyous 2.0.