FIN 12 : groupe cybercriminel multi-rançongiciels

Le CERT-FR publie un rapport détaillant les activités du groupe cybercriminel FIN 12, identifié comme responsable d’un nombre significatif d’attaques par rançongiciel sur le territoire français.

En mars 2023, une compromission a été détectée sur un serveur du centre hospitalier universitaire de Brest. L’établissement a réagi en isolant son système d’information d’Internet, limitant ainsi l’impact de l’incident et empêchant l’exfiltration des données ainsi que le chiffrement des systèmes.

Les investigations ont révélé des liens avec d’autres incidents signalés en sources ouvertes, permettant d’attribuer cette attaque au mode opératoire FIN 12. Ce groupe serait ainsi impliqué dans de multiples campagnes de rançongiciels depuis 2020.

Entre 2020 et 2023, FIN 12 a successivement exploité les rançongiciels Ryuk et Conti avant de s’orienter vers des programmes de Ransomware-as-a-Service (RaaS) incluant Hive, BlackCat et Nokoyawa. D’autres familles de malwares, telles que Play et Royal, ont également été utilisées par ce groupe.