Attaque par rançongiciel RansomHub contre RECOPE

Le 27 novembre 2024, veille de Thanksgiving aux États-Unis, le raffineur et distributeur public de carburant du Costa Rica, RECOPE (Refinadora Costarricense de Petróleo), a été frappé par le rançongiciel RansomHub. L'attaque a mis hors service les systèmes numériques de vente et de paiement de carburant, obligeant l'entreprise à gérer l'approvisionnement du pays à la main.

Ce qui s'est passé

Les enquêteurs ont établi que l'intrusion avait commencé par un courriel d'hameçonnage qui a donné aux attaquants un premier point d'ancrage. Ils sont ensuite restés présents sur le réseau de RECOPE pendant plusieurs mois avant de déclencher le rançongiciel, chiffrant les systèmes qui contrôlent le traitement des paiements et la logistique d'expédition du carburant.

Privée de sa colonne vertébrale numérique, RECOPE est passée à des opérations entièrement manuelles. Le personnel des terminaux a prolongé ses horaires tard dans la nuit pour maintenir la circulation des camions-citernes — environ 203 camions de carburant ont été remplis pendant la première phase de réponse — mais le fonctionnement manuel a ralenti les livraisons et causé des retards d'approvisionnement dans les stations-service du pays.

La réponse américaine FALCON

L'incident RECOPE est devenu le premier déploiement opérationnel du nouveau programme FALCON du département d'État américain — Foreign Assistance Leveraged for Cybersecurity Operational Needs. Conçu pour envoyer en renfort des experts auprès de nations alliées confrontées à de graves cyberattaques, FALCON avait du personnel à San José en environ 36 heures, arrivé l'après-midi de Thanksgiving.

L'équipe a aidé RECOPE à enquêter sur la compromission, à expulser l'acteur du rançongiciel, à restaurer les données à partir des sauvegardes, à remettre les systèmes en ligne et à les durcir contre de futures attaques. Elle a travaillé sur place environ 10 jours, suivis d'un soutien à distance jusqu'à la mi-décembre. L'opération a mobilisé environ 500 000 dollars sur le budget d'environ 10 millions de dollars de FALCON.

Attribution et rançon

RansomHub — à l'époque l'une des marques de rançongiciel-as-a-service les plus prolifiques — a revendiqué l'attaque, réclamant environ 5 millions de dollars et menaçant de mettre aux enchères les données volées sur le dark web. Conformément à la ligne dure du Costa Rica depuis les attaques Conti et Hive de 2022, le gouvernement a refusé de payer.

Pourquoi c'est important

RECOPE a confirmé que l'énergie et la logistique des carburants sont des cibles privilégiées des rançongiciels : même lorsque le raffinage se poursuit, la perte de la couche informatique de paiement et d'expédition peut étrangler la distribution de carburant d'un pays. L'épisode a aussi marqué un tournant dans l'assistance internationale en cybersécurité — les débuts de FALCON ont montré comment les États-Unis pouvaient rapidement projeter une capacité de réponse aux incidents vers un pays partenaire en crise, un modèle façonné directement par les épreuves antérieures du Costa Rica, victime répétée de groupes de rançongiciels tolérés par des États.