Un faux rançongiciel conçu pour semer la confusion
GigaWiper ne suit pas le scénario habituel des cyberattaques financières. Il ne se contente pas de dérober des mots de passe et ne cherche pas réellement à obtenir une rançon. Le programme observe d'abord la machine, donne l'impression d'une opération d'espionnage ou d'extorsion, puis efface totalement les données.
Microsoft Threat Intelligence aurait détecté son activité dès octobre 2025, avant que l'entreprise de cybersécurité Binary Defense ne l'identifie plus précisément en mars 2026. Cette chronologie montre la difficulté à comprendre un logiciel dont le comportement cherche précisément à tromper les analystes et les victimes.
En imitant plusieurs catégories de menaces, GigaWiper peut retarder le diagnostic et pousser une organisation à suivre une mauvaise procédure de réponse. Un rançongiciel classique chiffre les fichiers afin d'exiger un paiement ; un « wiper » vise la destruction et rend la restauration prioritaire.
Si les équipes pensent encore négocier ou rechercher une clé de déchiffrement alors que les supports sont en cours d'effacement, elles perdent un temps précieux. La phase d'espionnage peut aussi servir à identifier les données les plus sensibles, les sauvegardes connectées et les machines indispensables au fonctionnement de l'organisation.
La destruction devient alors plus ciblée et plus coûteuse. Les logiciels d'effacement sont souvent associés au sabotage, aux conflits géopolitiques ou à des opérations cherchant à masquer les traces d'une intrusion. L'attribution exige toutefois des preuves solides, car le code, l'infrastructure et les techniques peuvent être copiés.
Microsoft Threat Intelligence aurait détecté son activité dès octobre 2025, avant que l'entreprise de cybersécurité Binary Defense ne l'identifie plus précisément en mars 2026. Cette chronologie montre la difficulté à comprendre un logiciel dont le comportement cherche précisément à tromper les analystes et les victimes.
En imitant plusieurs catégories de menaces, GigaWiper peut retarder le diagnostic et pousser une organisation à suivre une mauvaise procédure de réponse. Un rançongiciel classique chiffre les fichiers afin d'exiger un paiement ; un « wiper » vise la destruction et rend la restauration prioritaire.
Si les équipes pensent encore négocier ou rechercher une clé de déchiffrement alors que les supports sont en cours d'effacement, elles perdent un temps précieux. La phase d'espionnage peut aussi servir à identifier les données les plus sensibles, les sauvegardes connectées et les machines indispensables au fonctionnement de l'organisation.
La destruction devient alors plus ciblée et plus coûteuse. Les logiciels d'effacement sont souvent associés au sabotage, aux conflits géopolitiques ou à des opérations cherchant à masquer les traces d'une intrusion. L'attribution exige toutefois des preuves solides, car le code, l'infrastructure et les techniques peuvent être copiés.
Les sauvegardes isolées deviennent la dernière ligne de défense
Face à une menace de ce type, la prévention doit partir du principe que les données accessibles depuis le réseau peuvent être détruites. Les entreprises ont intérêt à conserver plusieurs copies, dont au moins une sauvegarde isolée ou immuable, inaccessible aux comptes administrateurs ordinaires.
Une sauvegarde n'est utile que si sa restauration est régulièrement testée et si les équipes savent dans quel ordre remettre les services en ligne. La segmentation du réseau peut limiter la propagation, tandis que la surveillance des outils d'administration aide à repérer les commandes inhabituelles, les suppressions massives ou les tentatives de désactivation des protections.
Les mises à jour, l'authentification multifacteur et la limitation des privilèges restent indispensables, mais elles doivent être complétées par un plan de continuité. En cas d'alerte, isoler rapidement les machines touchées peut empêcher le programme d'atteindre les autres postes ou les sauvegardes.
Les collaborateurs doivent aussi être formés, car l'accès initial passe fréquemment par un message frauduleux, un mot de passe compromis ou un logiciel exposé. L'alerte de Microsoft rappelle enfin qu'une demande de rançon ne prouve pas que les fichiers peuvent être récupérés.
Certaines attaques utilisent l'apparence d'une extorsion pour dissimuler une opération purement destructive. La bonne réponse ne consiste donc pas à faire confiance au message affiché par le pirate, mais à analyser le comportement technique et à protéger les systèmes encore intacts. Avec GigaWiper, la résilience compte autant que la détection.
Une sauvegarde n'est utile que si sa restauration est régulièrement testée et si les équipes savent dans quel ordre remettre les services en ligne. La segmentation du réseau peut limiter la propagation, tandis que la surveillance des outils d'administration aide à repérer les commandes inhabituelles, les suppressions massives ou les tentatives de désactivation des protections.
Les mises à jour, l'authentification multifacteur et la limitation des privilèges restent indispensables, mais elles doivent être complétées par un plan de continuité. En cas d'alerte, isoler rapidement les machines touchées peut empêcher le programme d'atteindre les autres postes ou les sauvegardes.
Les collaborateurs doivent aussi être formés, car l'accès initial passe fréquemment par un message frauduleux, un mot de passe compromis ou un logiciel exposé. L'alerte de Microsoft rappelle enfin qu'une demande de rançon ne prouve pas que les fichiers peuvent être récupérés.
Certaines attaques utilisent l'apparence d'une extorsion pour dissimuler une opération purement destructive. La bonne réponse ne consiste donc pas à faire confiance au message affiché par le pirate, mais à analyser le comportement technique et à protéger les systèmes encore intacts. Avec GigaWiper, la résilience compte autant que la détection.
