TRM Labs et Zscaler s'unissent pour traquer les rançongiciels sur la blockchain
Deux des noms les plus scrutés du renseignement sur les menaces ont officialisé un partenariat qui relie directement les techniques des logiciels malveillants aux flux financiers en cryptomonnaies. TRM Labs, connu pour ses analyses on-chain, et Zscaler ThreatLabz, spécialisé dans le renseignement sur les cybermenaces, ont annoncé le 6 octobre 2026 qu'ils combinent leurs jeux de données pour enquêter sur les groupes de rançongiciels, les acteurs étatiques et autres cybercriminels qui utilisent les actifs numériques pour financer et monétiser leurs attaques. Pour les cabinets comptables, les auditeurs et les directeurs financiers qui dépendent de logiciels de comptabilité crypto fiables et de contrôles AML robustes, les données déjà produites par ce partenariat ont un poids pratique immédiat.
Ce que fait réellement le partenariat
Le renseignement sur les cybermenaces et le renseignement on-chain ont toujours vécu dans des silos séparés. Un analyste en malware peut décrire le mode opératoire d'un groupe de rançongiciels, l'infrastructure qu'il utilise et l'évolution de ses tactiques. Un analyste blockchain peut tracer les flux de cryptomonnaies entre portefeuilles. Ce qu'aucune de ces disciplines ne pouvait facilement faire seule, c'est relier une campagne d'attaque précise à un ensemble spécifique d'adresses de portefeuilles, puis suivre l'argent à mesure qu'il transite par des plateformes d'échange, des mixeurs ou des ponts inter-chaînes.
Combler l'écart d'attribution
La collaboration entre TRM Labs et Zscaler ThreatLabz est conçue pour combler précisément cet écart. ThreatLabz apporte l'analyse du code malveillant, le profilage du comportement des attaquants et la documentation des tactiques, techniques et procédures en évolution. TRM Labs cartographie l'activité financière on-chain associée aux mêmes acteurs malveillants, en traçant le parcours des paiements de rançon une fois que les victimes paient et la manière dont les produits sont finalement convertis en espèces ou recyclés dans d'autres infrastructures criminelles.
Les deux équipes affirment que leur renseignement combiné a déjà produit des analyses de rançongiciels nettement meilleures en reliant l'activité opérationnelle des attaques aux données de paiement des victimes, ce qui était beaucoup plus difficile lorsque chaque organisation travaillait isolément sur ses propres données.
Quatre axes de travail définis
Le partenariat a défini quatre chantiers qui structureront la collaboration continue :
- Analyse de l'écosystème des rançongiciels : suivi continu des principaux groupes de rançongiciels, de leurs réseaux d'affiliés et des familles émergentes, y compris les changements de stratégie de monétisation.
- Abus de la technologie blockchain : enquête sur des techniques telles qu'EtherHiding, où les acteurs malveillants utilisent l'infrastructure blockchain comme solution de repli résiliente pour le command-and-control, rendant les démantèlements nettement plus difficiles.
- Recherche sur les acteurs étatiques : relier des campagnes d'attaque parrainées par des États à des transactions spécifiques en cryptomonnaies, fournissant des preuves d'attribution qu'aucune des deux équipes ne pourrait produire indépendamment.
- Partage de renseignement et reporting : enrichir les enquêtes actives avec des conclusions validées et diffuser les résultats à la communauté plus large de la sécurité et de la conformité.
Les chiffres derrière l'économie de la rançon
Le premier résultat conjoint du partenariat est le rapport ThreatLabz 2026 Ransomware Report, qui analyse les paiements de rançon connus des victimes d'avril 2025 à mars 2026. Les chiffres phares sont saisissants.
Données clés du rapport 2026
| Indicateur | Valeur |
|---|---|
| Total des paiements de rançon connus (12 mois jusqu'à mars 2026) | 327,8 millions USD |
| Paiement moyen par victime | 431 900 USD |
| Variation annuelle du paiement moyen | +5,3 % |
Il s'agit uniquement des paiements connus. Le total réel est probablement plus élevé, car de nombreuses victimes ne divulguent pas publiquement les paiements et certaines transactions ne sont que partiellement attribuées. Ces chiffres représentent néanmoins une borne inférieure significative et confirment que l'économie de la rançon ne se contracte pas malgré l'intensification des activités des forces de l'ordre à l'échelle mondiale.
La hausse annuelle du paiement moyen est particulièrement pertinente pour la modélisation des risques. Elle suggère que les opérateurs de rançongiciels ciblent soit des organisations plus grandes, soit deviennent plus efficaces pour extorquer des sommes plus élevées à des victimes de taille similaire, soit les deux. Pour toute entreprise qui détient ou échange des actifs numériques, cette trajectoire affecte la tarification des assurances, la budgétisation de la réponse aux incidents et le calcul coût-bénéfice des contrôles préventifs.
Acteurs étatiques et la dimension blockchain
Au-delà des rançongiciels, le partenariat désigne spécifiquement les acteurs étatiques comme deuxième axe majeur. Les groupes parrainés par des États utilisent de plus en plus les cryptomonnaies pour financer des opérations, contourner les sanctions et convertir les produits de cybervols en ressources utilisables. Le défi pour les enquêteurs a toujours été l'attribution : prouver qu'un groupe de portefeuilles appartient à un groupe soutenu par un État spécifique nécessite à la fois des indicateurs techniques de malware et des preuves financières on-chain.
Pourquoi l'attribution compte pour les équipes de conformité
Pour les entreprises réglementées, en particulier les prestataires de services sur actifs virtuels, les banques disposant de desks d'actifs numériques et les entreprises détenant des cryptos à leur bilan, la question de l'attribution a des conséquences AML directes. Recevoir des fonds pouvant être liés à un acteur étatique sanctionné, même sans le savoir, peut déclencher une exposition aux sanctions. Plus le renseignement sur les menaces peut attribuer précisément des adresses de portefeuilles à des groupes étatiques, plus les outils de filtrage de conformité peuvent signaler efficacement ces adresses avant qu'une transaction ne soit réglée.
Les équipes qui gèrent des logiciels de comptabilité crypto et des systèmes de surveillance des transactions doivent noter que ce partenariat devrait produire de nouveaux indicateurs de compromission et des données d'attribution de portefeuilles qui finiront par alimenter les outils d'analyse blockchain utilisés pour le filtrage de conformité. Rester à jour sur ces mises à jour fait partie d'un programme AML défendable.
Comprendre comment l'infiltration du réseau Lazarus par ZachXBT redéfinit l'AML crypto pour les entreprises fournit un contexte utile sur les techniques spécifiques utilisées par l'un des groupes affiliés à un État les plus actifs et les schémas on-chain que leur blanchiment laisse derrière lui.
EtherHiding et l'abus de l'infrastructure blockchain
L'un des éléments les plus techniques du périmètre déclaré du partenariat est EtherHiding, une technique où des acteurs malveillants intègrent des instructions de command-and-control dans des transactions blockchain ou le stockage de contrats intelligents. Parce que les données blockchain sont immuables et distribuées mondialement, il est bien plus difficile pour les défenseurs de les démanteler que l'infrastructure d'hébergement traditionnelle. Un acteur malveillant peut écrire des instructions de livraison de charge utile malveillante dans un contrat intelligent et les récupérer depuis n'importe quel appareil dans le monde, sans serveur centralisé à saisir.
Implications comptables et d'audit
Pour les auditeurs qui examinent des clients ayant une exposition on-chain significative, cela compte au-delà de la cybersécurité. Si l'infrastructure d'actifs numériques d'un client a interagi avec des contrats ou des adresses associés à des campagnes EtherHiding, ces interactions peuvent devoir être évaluées à des fins de divulgation réglementaire et pourraient affecter l'évaluation par l'auditeur de l'environnement de contrôle autour des logiciels de comptabilité d'actifs numériques. La revue forensique au niveau de la blockchain devient une attente plus réaliste pour les audits d'entreprises natives du crypto.
Le schéma plus large des criminels exploitant l'infrastructure blockchain pour leur résilience opérationnelle est également couvert dans notre analyse des signaux d'alerte AML que les équipes de conformité doivent connaître après les piratages de ponts crypto, qui documente comment des abus d'infrastructure similaires apparaissent dans le contexte des exploits de ponts.
Continuité à travers les changements de marque : le problème du suivi des rançongiciels
Les groupes de rançongiciels sont notoirement difficiles à suivre dans le temps car ils changent de marque, se scindent en opérations affiliées et reconstruisent leur infrastructure après les perturbations des forces de l'ordre. Un groupe démantelé sous un nom réapparaît fréquemment sous un autre, conservant souvent les mêmes développeurs principaux, affiliés et canaux de blanchiment de cryptomonnaies.
Comment l'ensemble de données combiné aide
L'analyse du code malveillant de ThreatLabz peut identifier des bibliothèques de code partagées et des schémas d'infrastructure qui relient un nouveau groupe à un précédent, même lorsque la marque et le langage des notes de rançon ont entièrement changé. Les données on-chain de TRM Labs peuvent ensuite confirmer si le nouveau groupe utilise une infrastructure de portefeuilles qui recoupe celle de l'ancien, si les mêmes schémas de blanchiment d'argent apparaissent et si les mêmes canaux de conversion en espèces sont utilisés. Ensemble, ces deux sources de preuves rendent beaucoup plus difficile pour un groupe d'échapper à son histoire en changeant simplement de nom.
Pour les équipes de conformité, cela signifie que les listes de blocage de portefeuilles et les ajouts à la liste SDN de l'OFAC associés à un groupe démantelé restent pertinents même après un changement de marque, et que les preuves d'attribution issues du reporting combiné du partenariat peuvent être utilisées pour appuyer les désignations de sanctions d'entités successeurs.
Étapes pratiques pour les cabinets comptables, auditeurs et directeurs financiers
Les conclusions du partenariat et ses résultats de renseignement continus ont plusieurs implications directes pour les professionnels qui gèrent ou auditent des positions d'actifs numériques.
Pour les cabinets comptables et les auditeurs
Les procédures d'accueil des clients et d'examen périodique pour les clients natifs du crypto devraient intégrer des vérifications par rapport aux groupes de portefeuilles nouvellement attribués dès leur publication par les sources de renseignement. Les programmes d'audit pour la comptabilité des actifs numériques devraient inclure une étape spécifique évaluant si les systèmes de surveillance des transactions sont mis à jour avec le renseignement sur les menaces actuel, et pas seulement avec les listes de surveillance réglementaires. Lorsque des clients ont subi des incidents de rançongiciel et effectué des paiements en cryptomonnaies, ces paiements soulèvent des questions de traitement comptable spécifiques : le paiement lui-même doit être enregistré à la juste valeur à la date du règlement, toute cryptomonnaie achetée spécifiquement pour payer la rançon déclenchera une cession imposable dans la plupart des juridictions si elle n'était pas déjà détenue, et le paiement peut devoir être divulgué dans les états financiers selon l'importance relative et les obligations de déclaration de la juridiction.
Pour les directeurs financiers d'entreprises exposées au crypto
La hausse annuelle de 5,3 % du paiement moyen de rançon devrait être prise en compte dans les négociations de renouvellement d'assurance cyber et la planification budgétaire de la réponse aux incidents. Les entreprises qui détiennent des cryptomonnaies à leur bilan sont une cible plus attrayante que celles qui n'en détiennent pas, car elles disposent déjà de l'infrastructure pour acquérir et transférer rapidement des actifs numériques. Les directeurs financiers devraient confirmer avec leurs équipes de sécurité que les contrôles de surveillance des transactions et les politiques AML traitent spécifiquement les scénarios documentés dans le rapport ThreatLabz 2026 Ransomware Report, y compris l'utilisation de l'infrastructure blockchain pour le command-and-control et les schémas de blanchiment en couches associés aux acteurs étatiques. Les logiciels de comptabilité d'actifs numériques utilisés en interne devraient être évalués sur leur capacité à signaler les transactions touchant des portefeuilles illicites connus au moment de l'enregistrement, et pas seulement rétrospectivement.
Pour les responsables de la conformité des VASP
Les prestataires de services sur actifs virtuels font face à l'exposition réglementaire la plus directe dans ce paysage. Le partenariat entre TRM Labs et Zscaler ThreatLabz devrait produire des données d'attribution mises à jour qui alimentent les outils de filtrage. Les responsables de la conformité devraient confirmer la cadence de mise à jour de leurs fournisseurs et s'assurer que les adresses nouvellement attribuées sont reflétées dans les systèmes de filtrage dans les délais requis par leur programme AML. Toute alerte de surveillance des transactions impliquant des adresses de portefeuilles ensuite attribuées à des rançongiciels ou à des acteurs étatiques devrait être examinée sous l'angle des obligations de vigilance renforcée applicables dans la juridiction concernée, même si l'alerte initiale a été clôturée comme à faible risque avant la publication de l'attribution.
Questions fréquentes
Que produit concrètement le partenariat entre TRM Labs et Zscaler ThreatLabz ?
La collaboration produit des rapports conjoints de renseignement sur les menaces, des données enrichies d'attribution de portefeuilles et des cadres analytiques qui relient des campagnes de malware spécifiques à des flux de cryptomonnaies on-chain. Le premier résultat est le ThreatLabz 2026 Ransomware Report, qui couvre les paiements de rançon d'avril 2025 à mars 2026.
Comment le total de 327,8 millions de dollars de rançons affecte-t-il les évaluations des risques AML ?
Il confirme que l'économie de la rançon croît, et ne se contracte pas. Pour les évaluations des risques AML, cela signifie que la probabilité qu'une entreprise ou ses contreparties rencontrent des transactions liées à des rançongiciels est plus élevée qu'il y a un an. Les notations de risque pour les clients exposés au crypto et les corridors de transactions impliquant des juridictions à haut risque devraient refléter cette tendance.
Qu'est-ce qu'EtherHiding et pourquoi cela compte-t-il pour les auditeurs ?
EtherHiding est une technique qui intègre des instructions malveillantes de command-and-control dans les données de la blockchain, rendant l'infrastructure pratiquement indémantelable. Pour les auditeurs, cela soulève la question de savoir si les interactions de contrats intelligents d'un client ont involontairement touché des contrats utilisés dans le cadre de cette infrastructure, ce qui pourrait avoir des implications pour l'audit des contrôles internes du client et des divulgations réglementaires.
Si une entreprise paie une rançon en cryptomonnaie, comment cela doit-il être enregistré ?
Le paiement de la rançon doit être enregistré comme une charge à la juste valeur de la cryptomonnaie à la date du paiement. Si la cryptomonnaie a été acquise spécifiquement pour effectuer le paiement et n'était pas déjà détenue comme actif numérique, l'acquisition et la cession peuvent elles-mêmes constituer un événement imposable selon la juridiction. Le paiement peut également nécessiter une divulgation séparée dans les états financiers s'il est significatif, et un conseil juridique doit être consulté sur toute obligation de déclaration aux forces de l'ordre ou aux régulateurs.
Les nouvelles données d'attribution mettront-elles automatiquement à jour les outils de filtrage de conformité ?
Pas automatiquement. Les équipes de conformité doivent confirmer la cadence de mise à jour de leurs fournisseurs de filtrage et s'assurer que les adresses de portefeuilles nouvellement attribuées issues de rapports comme le ThreatLabz 2026 Ransomware Report sont intégrées rapidement. Un programme AML défendable exige des processus documentés sur la manière dont les flux de renseignement externes sont examinés et appliqués aux règles de surveillance des transactions.
Source : TRM Labs