Dans les coulisses de The Gentlemen : ce que la fuite interne révèle sur un gang de ransomware en pleine ascension

Les analyses de l’activité ransomware montrent également une forte accélération : 179 victimes ont été publiées sur le site du groupe au premier trimestre 2026, contre seulement 26 au trimestre précédent, soit une hausse de 588 %.

Sur l’ensemble des cinq premiers mois de 2026, environ 332 victimes auraient été publiquement revendiquées, ce qui place le groupe parmi les programmes RaaS les plus actifs de l’année.

Le modèle économique du ransomware‑as‑a‑service

Comme de nombreux gangs récents, The Gentlemen fonctionne selon un modèle RaaS (ransomware‑as‑a‑service). Dans ce système, les développeurs du ransomware fournissent l’infrastructure et les outils, tandis que des partenaires externes — appelés affiliés — réalisent les intrusions.

La base de données interne divulguée a mis en évidence plusieurs comptes d’opérateurs reliés au panneau d’administration du service. L’infrastructure serait notamment gérée par un opérateur central connu sous le pseudonyme "zeta88" (alias "hastalamuerte").

Le fonctionnement général suit une logique quasi industrielle :

• Les opérateurs principaux développent le ransomware et gèrent les paiements.
• Les affiliés s’occupent des intrusions et du déploiement du malware.
• Les rançons sont ensuite partagées entre la plateforme et les affiliés.

Ce modèle permet au groupe de multiplier les attaques tout en conservant une équipe centrale relativement réduite.

Une stratégie centrée sur les équipements réseau exposés

La fuite met en lumière un élément clé de la stratégie du groupe : l’exploitation d’infrastructures réseau accessibles depuis Internet.

Les chercheurs ont relié plusieurs intrusions du groupe à des attaques visant notamment :

• des pare‑feu
• des passerelles VPN
• des systèmes de gestion réseau

Ces équipements — souvent situés à la frontière du réseau d’entreprise — constituent des cibles privilégiées lorsqu’ils sont mal configurés ou non corrigés.

Une vulnérabilité particulièrement associée aux opérations du groupe est CVE‑2024‑55591, une faille critique d’authentification affectant FortiOS et FortiProxy. Elle permet à un attaquant distant d’obtenir des privilèges super‑administrateur via des requêtes spécialement conçues.

Une fois ce type d’appareil compromis, les attaquants disposent d’un point d’entrée privilégié dans le réseau interne.

Un inventaire mondial de milliers d’équipements compromis

Les recherches en renseignement sur les menaces suggèrent que le groupe maintient un inventaire massif d’appareils déjà compromis.

Les enquêteurs ont trouvé des indices indiquant que les opérateurs suivaient environ 14 700 appareils FortiGate exploités dans le monde, ainsi que des centaines d’identifiants VPN validés associés à ces systèmes.

Ce type de base d’accès peut servir de réservoir pour de futures attaques. Une fois qu’un appareil en périphérie est compromis, les attaquants peuvent se déplacer plus profondément dans le réseau sans déclencher les mécanismes de sécurité habituellement conçus pour détecter le phishing ou les malwares.

Ce que révèlent les conversations internes

Les chats internes présents dans la fuite donnent un aperçu du fonctionnement quotidien de l’opération. Plusieurs canaux de discussion étaient dédiés à différentes activités, notamment :

• la sélection des cibles
• la gestion de l’infrastructure
• les activités des affiliés
• la coordination avant la publication des victimes

Ces échanges permettent aux chercheurs de reconstituer la chronologie des attaques, depuis la compromission initiale jusqu’à la revendication publique sur les sites de fuite.

Les enseignements pour les équipes de sécurité

Au‑delà du cas spécifique de The Gentlemen, la fuite met en évidence une tendance majeure dans les attaques modernes : les équipements situés en périphérie du réseau sont devenus l’un des principaux points d’entrée du ransomware.

Les organisations investissent souvent beaucoup dans la protection des postes de travail et des serveurs. Pourtant, un pare‑feu ou un système VPN compromis peut permettre aux attaquants de contourner une grande partie de ces défenses.

Plusieurs mesures sont considérées comme prioritaires :

• appliquer rapidement les correctifs sur les équipements réseau, notamment pour des vulnérabilités critiques comme CVE‑2024‑55591
• limiter l’exposition publique des interfaces d’administration
• utiliser l’authentification multifacteur pour les accès administratifs
• surveiller attentivement les journaux des pare‑feu, VPN et systèmes de gestion réseau

Une fenêtre partielle mais précieuse

La base de données divulguée ne représente qu’un fragment des activités internes du groupe, et ne révèle pas l’ensemble de sa structure.

Malgré tout, elle offre une occasion rare d’observer la mécanique interne d’un programme RaaS moderne — et surtout la vitesse à laquelle ce type d’organisation peut se développer lorsque des affiliés, des outils automatisés et des infrastructures exposées se combinent.

Pour les entreprises, la conclusion est claire : la sécurité des systèmes accessibles depuis Internet est devenue l’une des lignes de défense les plus critiques contre le ransomware.