Bearlyfy pro-ukrainien déploie le ransomware sur mesure GenieLocker contre la Russie, l'administrateur de LeakBase arrêté, le Parlement européen rejette le scan CSAM

Le groupe de hackers pro-ukrainien Bearlyfy évolue de ses origines de script-kiddie vers le déploiement du ransomware sur mesure GenieLocker contre de grandes entreprises russes. La Russie arrête l'administrateur présumé du forum cybercriminel LeakBase, quelques semaines après un démantèlement mondial. Le Parlement européen rejette la prolongation du scan CSAM, une décision historique pour la protection de la vie privée. Le ministère néerlandais des Finances enquête sur un accès non autorisé à ses systèmes internes. Le port de Vigo, en Espagne, est contraint à des opérations manuelles après une attaque par ransomware visant ses systèmes de fret.

1. Bearlyfy déploie le ransomware sur mesure GenieLocker — plus de 70 attaques contre des entreprises russes

Un groupe de hackers pro-ukrainien connu sous le nom de Bearlyfy s'est transformé d'une opération peu sophistiquée ciblant de petites entreprises russes en ce que la société russe de cybersécurité F6 appelle « un véritable cauchemar pour les grandes entreprises russes ». Apparu pour la première fois en janvier 2025, le groupe a mené plus de 70 cyberattaques contre des cibles russes en un peu plus d'un an.

Développement de logiciels malveillants sur mesure

Depuis début mars 2026, Bearlyfy déploie GenieLocker, une souche de ransomware Windows sur mesure que l'on pense entièrement développée par le groupe lui-même. Cela marque une évolution significative par rapport à leur dépendance antérieure à des outils divulgués comme LockBit 3 Black (issu de la fuite du générateur LockBit de 2022) et une version modifiée de Babuk pour cibler les systèmes Linux.

Contrairement aux opérations de ransomware classiques, GenieLocker ne génère pas toujours automatiquement de notes de rançon. Les attaquants rédigent parfois les messages manuellement — allant d'instructions laconiques avec coordonnées de contact à des moqueries adressées aux victimes.

Profil opérationnel

• Plus de 70 attaques en environ 14 mois d'activité
• Les demandes de rançon sont passées de quelques milliers de dollars à plusieurs centaines de milliers
• Environ 1 victime sur 5 paie la rançon
• Les objectifs sont à la fois financiers et politiques — maximiser les dommages causés aux entreprises russes
• Une collaboration a été observée avec Head Mare et d'autres groupes pro-ukrainiens
• Les chercheurs occidentaux disposent d'une visibilité limitée en raison du manque d'accès aux réseaux russes

Contexte stratégique

Bearlyfy illustre une tendance croissante d'opérations de ransomware à motivation politique émergeant du conflit russo-ukrainien. L'évolution rapide du groupe — passant d'opérations amateurs de script-kiddie au développement de logiciels malveillants sur mesure en une seule année — démontre à quel point les conditions de guerre accélèrent la maturation des acteurs malveillants.

2. La Russie arrête l'administrateur présumé du forum cybercriminel LeakBase

Le ministère russe de l'Intérieur a annoncé l'arrestation d'un résident de Taganrog soupçonné de gérer LeakBase, l'une des plus grandes places de marché en ligne pour les données personnelles volées. Le forum hébergeait des centaines de millions d'enregistrements d'utilisateurs compromis , incluant des informations bancaires, des identifiants de connexion et des documents d'entreprise.

Chronologie et coordination

L'arrestation fait suite à une opération internationale coordonnée plus tôt ce mois-ci au cours de laquelle le FBI et ses partenaires européens ont mené plus de 100 actions des forces de l'ordre contre 45 individus dans plus d'une douzaine de pays. Plusieurs domaines LeakBase ont été saisis et redirigés vers des serveurs contrôlés par le FBI.

Points clés

• Plus de 147 000 utilisateurs inscrits sur la plateforme fonctionnant par abonnement
• Actif depuis 2021 en tant que place de marché pour identifiants compromis et données personnelles (PII)
• L'accès premium coûtait plusieurs centaines de dollars
• Le règlement interne interdisait la vente de données russes — malgré le fait que le forum était hébergé par un administrateur russe
• Infrastructure saisie aux Pays-Bas et en Malaisie lors du démantèlement précédent
• La police a saisi du matériel informatique au domicile et dans le garage du suspect

Portée

L'arrestation est notable car la Russie coopère rarement avec les enquêtes occidentales sur la cybercriminalité — Europol a suspendu sa coopération après l'invasion de l'Ukraine en 2022. Il reste incertain si les autorités russes ont coordonné leur action avec les forces de l'ordre occidentales ou ont agi de manière indépendante. La règle du forum interdisant la vente de données russes suggère que l'administrateur pensait peut-être bénéficier ainsi d'une protection nationale — un calcul qui s'est avéré erroné.

3. Le Parlement européen rejette la prolongation du scan CSAM — décision historique pour la vie privée

Le Parlement européen a voté par 311 voix contre la prolongation des règles qui permettaient depuis près de vingt ans aux entreprises technologiques de scanner leurs plateformes à la recherche de contenus pédopornographiques (CSAM). La loi actuelle, qui exempte les plateformes des règles strictes de l'UE en matière de vie privée afin de permettre ce scan, expire la semaine prochaine.

Vie privée contre protection de l'enfance

Le vote intervient malgré un intense lobbying des forces de l'ordre (Europol), d'organisations de défense des droits de l'enfant, du chancelier allemand Friedrich Merz, de plusieurs commissaires européens et de grandes entreprises technologiques, dont Google, Snapchat, Microsoft, TikTok et Meta.

Ella Jakubowska, du groupe de défense des droits numériques eDRI, a défendu le vote : « Cela ne fait en réalité qu'autoriser les grandes entreprises technologiques à scanner tous nos messages privés, nos détails les plus intimes. Ce n'est pas ciblé contre des personnes soupçonnées de maltraitance d'enfants — cela vise tout le monde, potentiellement en permanence. »

Impact opérationnel

• Europol a traité environ 1,1 million de CyberTips l'an dernier issus du scan CSAM
• Catherine De Bolle, d'Europol, a averti d'une « réduction sérieuse » des pistes d'enquête
• Les entreprises technologiques perdront la clarté juridique pour la détection volontaire de contenus CSAM dans les services de l'UE
• Jakubowska a cité des cas d'accusations à tort dus à des outils de scan imparfaits
• Le Parlement négocie un cadre permanent depuis novembre 2023 sans parvenir à un accord

Et maintenant ?

Lorsque les règles actuelles expireront vendredi prochain, les plateformes technologiques n'auront plus de couverture légale pour scanner les communications interpersonnelles à la recherche de contenus CSAM au sein de l'UE. Cela crée un vide important dans les capacités de protection de l'enfance, tandis que le Parlement poursuit les négociations d'un cadre permanent qui équilibre vie privée et sécurité.

4. Le ministère néerlandais des Finances enquête sur une violation de ses systèmes internes

Le ministère néerlandais des Finances enquête sur une cyberattaque ayant compromis ses systèmes internes, découverte après qu'une alerte d'un tiers a signalé une activité suspecte. Les systèmes affectés ont été identifiés et mis hors ligne, mais l'ampleur d'une éventuelle exposition de données reste sous enquête.

Contexte : le siège cyber néerlandais

Cette violation s'inscrit dans une tendance inquiétante ciblant des institutions néerlandaises en 2026 :

• Ministère néerlandais des Finances — accès non autorisé aux systèmes internes du département (cet incident)
• Agence néerlandaise des établissements pénitentiaires — données du personnel pénitentiaire exposées en février
• Violation chez l'opérateur télécom Odido — 6,2 millions d'enregistrements clients volés, incluant noms, comptes bancaires, numéros de passeport et de permis de conduire
• Violation de la police néerlandaise — données d'agents compromises (couvert dans un briefing précédent)

État de la réponse

• Systèmes compromis isolés et accès bloqué
• Les services fiscaux et douaniers restent opérationnels
• Les services destinés aux citoyens ne sont pas affectés
• Aucune revendication ni attribution de responsabilité pour l'instant
• Enquête en cours sur le vecteur d'entrée et l'exposition des données

5. Un ransomware contraint le port de Vigo, en Espagne, à repasser en mode manuel

Une attaque par ransomware détectée tôt mardi a perturbé les systèmes numériques du port de Vigo, en Espagne, l'un des principaux ports de pêche et de fret d'Europe, situé en Galice. L'attaque a visé les serveurs gérant le trafic de fret et les services numériques, verrouillant les équipements et exigeant le paiement d'une rançon.

Impact opérationnel

Alors que les opérations physiques — mouvements des navires et manutention du fret — se poursuivent, toute la coordination logistique normalement gérée via des plateformes numériques a été perturbée. Les opérateurs ont reçu pour instruction de se replier sur des procédures manuelles et une documentation papier.

Le président du port, Carlos Botana, a adopté une position ferme : « Nous ne rétablirons pas les connexions tant que nous n'aurons pas la garantie absolue qu'une nouvelle attaque est impossible. » Aucun calendrier de rétablissement n'a été communiqué.

Le secteur maritime assiégé

Cette attaque s'inscrit dans une série d'attaques par ransomware ciblant les infrastructures maritimes critiques :

• Port de Nagoya, Japon (2023) — une attaque LockBit a suspendu les opérations
• Ports en Belgique, aux Pays-Bas et en Allemagne — ciblés dans des attaques visant le secteur pétrolier/chimique
• Port de Lisbonne, Portugal — LockBit a revendiqué la responsabilité
• Port de Houston, États-Unis — attaque parrainée par un État via une faille zero-day Zoho
• Plusieurs entreprises de technologie maritime perturbées ces dernières années

Recommandations défensives pour les organisations maritimes

• Garantir des sauvegardes hors ligne et des procédures de repli manuel pour la gestion du fret
• Segmenter les réseaux OT/IT dans les installations portuaires
• Mettre en place une surveillance robuste des périmètres réseau
• Maintenir des plans de réponse aux incidents avec des canaux de communication hors ligne

Synthèse du paysage des menaces