LockBit 5.0 revendique US Bank et un administrateur de régimes santé — la revendication suffit à faire l’attaque

20 février 2024. L’opération Cronos désosse l’infrastructure de LockBit et identifie son administrateur, Dmitry Khoroshev, alias LockBitSupp. 2025. Une variante LockBit 5.0 refait surface. 29 août 2026. Le groupe inscrit American Plan Administrators, un administrateur de régimes de santé autofinancés, sur son site de fuite — trois semaines après avoir visé US Bank avec une échéance au 3 septembre. Le gang le plus démantelé de l’histoire du ransomware n’est pas mort : il a compris qu’une revendication publique, même sans preuve, fait déjà la moitié de l’attaque.

LockBit n’est pas mort, il a changé de méthode

En février 2024, l’opération Cronos — menée par la NCA, Europol et le FBI — saisit les serveurs, domaines et clés de déchiffrement de LockBit. En mai 2024, les autorités désignent Dmitry Yuryevich Khoroshev, alias LockBitSupp, comme l’opérateur présumé et le sanctionnent. Pour beaucoup, l’affaire semblait close. Elle ne l’était pas : le groupe est ressorti en 2025 sous une variante LockBit 5.0, et l’enquête Cronos a révélé un détail glaçant — les victimes qui payaient voyaient leurs données conservées malgré la promesse de suppression.

Ce détail structure tout ce qui suit. Quand LockBit (rebaptisé LockBit 5.0, parfois noté lockbit5) publie une victime, il ne s’agit plus de chiffrer un parc puis de négocier en privé. Il s’agit de publier un nom sur un site de fuite et de laisser la peur faire le travail. L’exfiltration devient le produit, la menace de divulgation le levier, et le nom de la cible la munition.

Ce que le groupe revendique aujourd’hui

Le 20 août 2026, US Bank est ajoutée au site de fuite de LockBit, avec un délai de 14 jours : payer avant le 3 septembre 2026, sinon les fichiers volés sont publiés. Le groupe n’a pas précisé le volume ni la nature des données qu’il prétend détenir — c’est précisément ce silence qui est efficace. Lee Henderson, vice-président des affaires publiques de la banque, a répondu au Register que « rien n’indique pour l’instant que nos systèmes internes sont touchés, ni qu’un accès non autorisé à notre réseau existe ».

Le 29 août 2026, un second nom apparaît sur le site de fuite du groupe : American Plan Administrators, un third-party administrator (TPA) américain qui gère des régimes de santé autofinancés pour le compte d’employeurs. Le secteur est le même que celui des précédentes cibles du groupe, et l’exposition potentielle n’est pas anodine : un TPA santé concentre des données de santé réglementées, et une compromission se répercute en aval sur l’ensemble des entreprises qui lui délèguent leurs plans.

La liste des victimes revendiquées en août 2026 est éclectique — une clinique cardiologique aux États-Unis, une société technologique tchèque, un cabinet néerlandais, ADT. Ce n’est pas du ciblage chirurgical : c’est un arrosage large conçu pour maximiser les titres de presse.

Le piège de la revendication sans preuve

Il faut le dire sans ambiguïté : une inscription sur un site de fuite n’est pas une brèche confirmée. Les agrégateurs d’OSINT comme Ransomware.live ou CTIWatch le précisent eux-mêmes — une victime listée ne vaut que comme « revendication du groupe », pas comme compromission avérée. Un acteur peut inscrire un nom par erreur, pour le prestige, pour faire pression sur un concurrent, ou pour tester la réaction d’une cible qu’il n’a jamais touchée.

Mais c’est exactement là que réside le piège. Pour une entreprise cotée, l’alternative est asymétrique : confirmer trop vite expose à une panique boursière et réglementaire, nier trop fort expose au risque d’être contredit par une publication. US Bank a choisi la voie médiane — « nous examinons » — qui est la seule tenable tant que l’enquête interne n’a pas tranché. Le problème, c’est que le calendrier du groupe (3 septembre) est conçu pour rendre cette position intenable.

La leçon pour un RSSI tient en une règle : le temps de réponse à une revendication doit être pré-écrit, pas improvisé. Vérifier une allégation d’exfiltration ne consiste pas à croire ou à nier, mais à exécuter un protocole — rechercher des traces d’exfiltration dans les logs, interroger les détections EDR, contrôler les accès privilégiés et les comptes de service, et positionner la communication sans jamais se prononcer sur un point que l’on n’a pas vérifié.

Pourquoi ces cibles — et le pattern du tiers

Le choix de US Bank n’est pas anodin, mais il n’est pas non plus la preuve d’une compromission du cœur bancaire. La banque a déjà connu, par le passé, des expositions via des tiers : un incident chez Fidelity National Information Services a conduit à notifier 537 clients du Massachusetts pour des noms, adresses et numéros de carte exposés, et un fichier mal partagé par un prestataire en 2022 avait touché environ 11 000 clients. C’est un motif récurrent : les grands donneurs d’ordre sont attaqués par la périphérie — le prestataire, le TPA, le fournisseur de services — plus souvent que par le front.

American Plan Administrators illustre l’autre versant du problème. Un TPA santé est un point de concentration : il traite, au nom de nombreux employeurs, des données que la réglementation américaine (HIPAA) protège, et sa compromission se propage en aval vers des dizaines d’organisations qui n’ont jamais eu de relation directe avec l’attaquant. C’est la même logique que le supply chain logiciel, transposée aux données de santé.

Vérifier une revendication en 24 heures

Le délai que le groupe impose — deux semaines, puis la publication — n’est pas un hasard : il est calculé pour que la cible réponde sous pression. La seule parade est d’avoir déjà répété le scénario. Une vérification d’exfiltration suit quatre étapes, dans l’ordre.

• Figer sans casser. Geler les accès privilégiés et les comptes de service suspects, révoquer les sessions actives inexpliquées — sans interrompre l’exploitation tant qu’aucun indicateur n’est confirmé.
• Chercher la sortie de données. Examiner les volumes sortants anormaux, les requêtes DNS vers des domaines récents, les transferts vers du stockage objet externe, les fenêtres de connexion inhabituelles.
• Confronter à l’EDR. Croiser les détections avec la date revendiquée par le groupe : une revendication crédible s’accompagne généralement d’artefacts datables.
• Tenir une ligne unique. Une position factuelle, identique en interne et en externe, qui ne confirme ni n’infirme tant que l’enquête n’a pas tranché.

L’objectif n’est pas de gagner le débat public, mais de transformer une revendication en question binaire : y a-t-il, oui ou non, des traces d’exfiltration ? Une équipe qui répond à cette question en 24 heures a déjà neutralisé l’essentiel de l’effet de surprise.

Verdict

Si vous êtes dans le périmètre d’une revendication — employé, client, partenaire d’une organisation listée — ne concluez rien avant la confirmation officielle. Une revendication sur un site de fuite est un signal à surveiller, pas un fait à relayer. Activez la surveillance des fuites de données, et préparez la réponse à une éventuelle exposition personnelle (surveillance de crédit, vigilance sur le phishing ciblé).

Si vous gérez la sécurité d’une organisation, traitez cette séquence comme un rappel : rédigez maintenant votre protocole de réponse à une revendication de ransomware, testez-le, et cartographiez vos tiers qui concentrent de la donnée sensible. Le risque n’est pas seulement d’être attaqué — c’est d’être nommé. Et dans ce jeu, être prêt à vérifier en 24 heures vaut plus que n’importe quelle déclaration d’innocence.

Références

• US Bank investigates LockBit’s claims as ransomware crims set pay-or-leak deadline — The Register, 20 août 2026
• US Bank Investigating Data Breach Following LockBit Ransomware Claim — Cyber Security News, 21 août 2026
• New LockBit 5.0 ransomware variant — Cyber Security News, 2025
• apatpa.com — lockbit5 ransomware attack (29 août 2026) — CTIWatch
• apatpa.com data breach — Lockbit5 ransomware leak (2026) — Darkfield
• Operation Cronos : disruption de LockBit — National Crime Agency