Rançongiciel Brain Cipher (LockBit 3.0) contre le PDNS indonésien (2024)

Le 20 juin 2024, Brain Cipher — une variante de rançongiciel dérivée de LockBit 3.0 — s'est activée à l'intérieur du Centre national de données temporaire (PDNS) indonésien à Surabaya. Le chiffrement a paralysé 282 services publics numériques, de l'immigration et de la délivrance des passeports aux flux de travail des administrations locales. Brain Cipher exigeait 8 millions de dollars ; le gouvernement indonésien a refusé. Deux semaines plus tard, Brain Cipher a publié sur son site de fuite une clé de déchiffrement gratuitement, accompagnée d'excuses publiques.

Ce qui s'est passé

Le PDNS constitue l'infrastructure centralisée de calcul et de données du gouvernement indonésien pour les services numériques. Lorsque le chiffrement de Brain Cipher s'est déclenché, 282 services répartis sur plusieurs agences sont passés hors ligne. Les guichets d'immigration sont revenus au traitement manuel ; les retards de vols se sont enchaînés ; les flux de travail gouvernementaux courants ont été à l'arrêt. En quelques jours, le BSSN — l'agence nationale indonésienne de cybersécurité — a identifié le logiciel malveillant comme une variante de LockBit 3.0 baptisée Brain Cipher.

Le comportement de Brain Cipher est cohérent avec la lignée LockBit : il désactive Windows Defender, supprime les Volume Shadow Copies (les instantanés de restauration système), puis chiffre. La demande de rançon s'élevait à 8 millions de dollars (~131 milliards de Rp) ; le gouvernement indonésien a refusé et le président a ordonné un audit de l'architecture nationale des centres de données.

Le dénouement inhabituel est intervenu le 2 juillet 2024 : Brain Cipher a publié sur son site de fuite une déclaration fournissant une clé de déchiffrement gratuitement au gouvernement indonésien, accompagnée d'excuses invoquant des considérations d'intérêt public. Le motif a été largement débattu — pression publique, différend interne entre affiliés LockBit ou retraite tactique — mais le résultat fut pratique : le PDNS a utilisé la clé dans le cadre d'une reprise progressive.

Les responsables ont reconnu par la suite que des données stratégiques des services de renseignement et militaires se trouvaient également dans les systèmes affectés, faisant de l'affaire non seulement une perturbation opérationnelle mais aussi un incident de sécurité nationale.

Impact

• 282 services publics numériques hors ligne.
• Immigration, délivrance des passeports et flux de travail des administrations locales dégradés.
• Demande de rançon de 8 millions de dollars refusée.
• Brain Cipher a ensuite publié un déchiffreur gratuitement.
• Des données stratégiques des services de renseignement et militaires indonésiens reconnues comme affectées.

Pourquoi cela compte

Le PDNS constitue à ce jour le plus grand incident de rançongiciel sur un centre de données national publiquement documenté. L'affaire a soulevé en Indonésie des questions difficiles sur le risque de concentration (autant de services tournant sur une même empreinte de calcul), sur les sauvegardes (le PDNS disposait de peu de sauvegardes opérationnelles) et sur la responsabilité de la chaîne logistique chez les prestataires exploitant l'infrastructure gouvernementale partagée. Le dénouement inhabituel — déchiffreur accompagné d'excuses — a aussi annoncé une tension au sein des affiliés issus de LockBit entre motivations lucratives et coût diplomatique d'une attaque contre un gouvernement national.