Un rançongiciel chiffre vos fichiers, une note de rançon s’affiche, et une question surgit aussitôt : qui est derrière tout ça ? Les enquêteurs cherchent la réponse dans des traces techniques. L’une des plus anciennes reste l’enregistrement des noms de domaine, et c’est là que le WHOIS entre en jeu. Son rôle est plus nuancé qu’on ne l’imagine.
En 2026, les données d’enregistrement sont en partie masquées et le protocole a changé (RDAP a remplacé WHOIS pour les extensions génériques). Les groupes criminels, eux, ont professionnalisé leur discrétion. Ces informations restent pourtant un point d’entrée précieux pour relier un mail de phishing, un serveur de commande et une infrastructure d’extorsion.
Les chiffres qui alertent
L’ANSSI a recensé 128 attaques par rançongiciel en France en 2025, contre 141 en 2024. Cette baisse s’explique en partie par les opérations policières internationales, comme Endgame.
Les souches les plus observées en 2025 sont Qilin (21 %), Akira (9 %) et LockBit 3.0 (5 %).
Selon le baromètre CESIN 2026, 40 % des entreprises françaises interrogées ont subi au moins une cyberattaque significative sur l’année.
Le rapport Sophos de juillet 2026 repose sur l’expérience de 129 organisations françaises touchées par un rançongiciel dans les douze derniers mois.
Ces chiffres ne couvrent que les incidents connus. Beaucoup d’attaques ne sont jamais déclarées.
Pourquoi ça vous concerne directement
Vous n’avez pas besoin d’être une grande entreprise pour être exposé. Un particulier reçoit le message piégé, un salarié clique, une PME se retrouve paralysée parce qu’un prestataire a été compromis. Savoir lire les informations d’un nom de domaine suspect, c’est parfois ce qui sépare un mail ignoré d’un parc informatique chiffré un lundi matin.
Qu’est-ce que le WHOIS appliqué au ransomware exactement ?
Le WHOIS est un annuaire public qui indique qui a enregistré un nom de domaine, chez quel bureau d’enregistrement, à quelle date, avec quels serveurs DNS. Appliqué à la lutte contre les rançongiciels, il sert à qualifier les infrastructures utilisées par les attaquants : domaines de phishing, sites de téléchargement de charges malveillantes, serveurs de commande et de contrôle.
Le service remonte au début des années 1980 et son fonctionnement était volontairement simple : une requête, une réponse en texte brut, sans filtrage. Le RGPD de 2018 a changé la donne, car les noms, adresses et téléphones des titulaires ont été largement masqués. Depuis le 28 janvier 2025, l’ICANN n’impose plus WHOIS aux registres de domaines génériques : le protocole RDAP, qui renvoie des données structurées en JSON, est la source de référence. Les extensions nationales (ccTLD) suivent des règles propres, et certaines s’appuient encore sur l’ancien système.
Les mécanismes cachés
Un enquêteur lit rarement une fiche WHOIS isolément. Il cherche des recoupements :
la date de création, car un domaine de moins de 60 jours est surreprésenté dans les campagnes de phishing récentes ;
le bureau d’enregistrement, certains étant plus souvent abusés que d’autres ;
les serveurs de noms et les adresses IP associées, qui permettent de rattacher plusieurs domaines à une même infrastructure ;
les historiques d’enregistrement, utiles quand un attaquant a oublié d’activer la protection de ses données à l’origine ;
les adresses e-mail ou pseudonymes réutilisés d’un domaine à l’autre.
C’est ce qu’on appelle le pivot : partir d’un indice et remonter de proche en proche vers d’autres actifs du même acteur.
Les acteurs principaux
L’ICANN fixe les règles, les registres (comme l’AFNIC pour le .fr) gèrent les extensions, et les bureaux d’enregistrement vendent les domaines et détiennent les données du titulaire. Pour les adresses IP, ce sont les registres régionaux, comme le RIPE NCC en Europe. Côté défense, on trouve l’ANSSI, les CERT, Europol, le FBI et les éditeurs de renseignement sur la menace. Côté attaque, des groupes en « ransomware-as-a-service » (RaaS) louent leur outil à des affiliés et s’appuient parfois sur des hébergeurs complaisants.
Les impacts concrets en 2026
La donnée d’enregistrement ne livre presque jamais un nom et une adresse sur un plateau. Elle sert surtout à relier des éléments entre eux, à bloquer plus vite et à étayer un dossier. Les grandes opérations internationales, comme celle visant LockBit en février 2024, coordonnée par la NCA britannique avec le FBI et Europol, reposent sur un faisceau de preuves où l’analyse d’infrastructure joue un rôle de soutien, aux côtés des enquêtes financières et des saisies de serveurs.
Pour les particuliers
Le premier réflexe utile est la vérification d’un lien avant clic : faux suivi de colis, fausse relance de l’Assurance Maladie, faux avis d’amende. Un domaine créé il y a trois jours qui prétend représenter un service public se repère en quelques secondes dans un outil de consultation RDAP. C’est un contrôle simple, et il protège efficacement du premier maillon de nombreuses chaînes d’infection.
Pour les entreprises
Les entreprises ont intérêt à surveiller les domaines qui imitent leur marque (typosquatting) et à enrichir leurs alertes de sécurité avec l’âge et le bureau d’enregistrement des domaines contactés. L’attaque de l’hôpital de Corbeil-Essonnes en août 2022, revendiquée par LockBit avec une demande de rançon de 10 millions de dollars et suivie d’une publication de données, a rappelé que les établissements de santé et les collectivités restent des cibles privilégiées. La santé, les collectivités locales et les PME sous-traitantes sont régulièrement citées par l’ANSSI parmi les victimes.
Les risques juridiques
Consulter un annuaire public est légal. Les lignes à ne pas franchir sont autres :
riposter en pénétrant chez l’attaquant (le « hack back ») expose à des poursuites pour atteinte aux systèmes de traitement automatisé de données, prévues aux articles 323-1 et suivants du Code pénal ;
conserver et réutiliser des données personnelles issues d’une consultation relève du RGPD ;
une violation de données doit être notifiée à la CNIL dans les 72 heures ;
