Flare révèle l’émergence de « Leak Bazaar » : une plateforme criminelle qui industrialise la revente de données volées.
Tribune – Flare spécialiste du Threat Exposure Management, alerte sur l’apparition d’un nouvel acteur structurant au sein de l’écosystème cybercriminel : Leak Bazaar. Identifiée sur le forum russophone TierOne et opérée par l’acteur « Snow » (SnowTeam), cette plateforme marque un tournant dans l’économie de l’extorsion en transformant les fuites de données brutes en un marché structuré et monétisable à long terme.
Des archives brutes de données à une place de marché structurée
Contrairement aux sites de fuite traditionnels (DLS), qui se contentent de publier des archives volumineuses et désorganisées, Leak Bazaar se positionne comme une couche de service « post exfiltration ». Grâce à des grappes de serveurs, des techniques de machine learning et une validation humaine, la plateforme transforme des données brutes, dérobées lors de cyberattaques, en actifs à forte valeur.
L’analyse réalisée par Tammy Harper, chercheuse principale en intelligence sur les menaces chez Flare, soulève plusieurs points :
- Une catégorisation des données disponibles : Leak Bazaar ne vend pas de simples fichiers, mais des informations segmentées (rapports financiers trimestriels, fusions et acquisitions, R&D, données personnelles) conçues pour attirer différents types d’acheteurs, comme des traders ou des concurrents.
- Un modèle de revenus récurrents : la plateforme permet aux cybercriminels, confrontés à un refus de paiement lors d’une attaque par ransomware, de transformer une tentative avortée en une source de revenus. Les données deviennent un actif générant des revenus récurrents, revendues à un ou plusieurs acquéreurs plutôt qu’un vecteur d’attaque à usage unique
- Une validation humaine : pour garantir la crédibilité de son « catalogue », la plateforme, qui s’appuie sur l’IA, intègre également l’intervention d’analystes humains qui valident les données avant leur mise en ligne
- Un marché secondaire professionnalisé : avec un partage de revenus 70/30, Leak Bazaar opère comme un service managé visant à exploiter la « valeur bloquée » dans de vastes archives que les cybercriminels peinent à traiter seuls.
- Un ciblage strict : Leak Bazaar cible principalement des entreprises dont le chiffre d’affaires dépasse 10 millions de dollars, avec des volumes de données commençant à 100 Go (idéalement 1 To ou plus).
Cette plateforme s’avère particulièrement préoccupante car elle professionnalise l’intervalle entre l’exfiltration et la monétisation et permet de transformer des données inexploitées en actifs générateurs de revenus, augmentant significativement le rendement des cyberattaques.
L’analyse complète est disponible ici.
