Vous utilisez macOS et n’avez jamais vraiment perdu de sommeil à cause des ransomwares. C’est compréhensible : jusqu’ici, ces attaques touchaient massivement Windows, et les quelques tentatives visant macOS restaient des démonstrations techniques sans déploiement réel. NotLockBit change cette équation. C’est le premier ransomware présenté comme pleinement fonctionnel sur macOS – pas une preuve de concept, pas un scénario de laboratoire, mais un logiciel capable de chiffrer vos fichiers sur un Mac.
Ce qui rend NotLockBit différent des menaces macOS précédentes
Les chercheurs en sécurité ont régulièrement publié des démonstrations montrant qu’un ransomware pourrait fonctionner sur macOS. Ces travaux étaient utiles théoriquement, mais aucun ne débouchait sur une menace active. NotLockBit franchit ce seuil : il chiffre réellement des fichiers sur macOS et embarque les mécanismes opérationnels d’un ransomware adulte.
Le malware est écrit en Go, un choix technique qui explique directement sa portée cross-platform. Go compile nativement pour Windows et macOS à partir d’une même base de code, ce qui simplifie considérablement le développement d’un outil ciblant les deux systèmes. Les opérateurs n’ont pas eu à développer deux malwares distincts : un seul codebase, deux cibles. C’est précisément ce qui rend l’approche extensible et préoccupante à long terme.
Windows reste la cible majoritaire dans l’écosystème ransomware global – le parc installé, les habitudes des entreprises et la surface d’attaque disponible expliquent cet écart. Mais NotLockBit signale que macOS n’est plus traité comme un cas marginal à ignorer.
Pourquoi s’appeler NotLockBit – et ce que ce nom révèle
LockBit était, avant son démantèlement, l’un des groupes de ransomware les plus actifs au monde. Les forces de l’ordre ont mené deux opérations majeures contre son infrastructure : une première en février 2024, une seconde en septembre 2024. Ces opérations ont désorganisé le groupe, compromis ses serveurs et conduit à plusieurs arrestations.
NotLockBit emprunte délibérément l’identité visuelle et la réputation de LockBit sans avoir de lien établi avec le groupe original. L’intérêt de ce mimétisme est lisible : LockBit est une marque connue des équipes de sécurité, des assureurs cyber et des victimes potentielles. S’en réclamer – même de façon détournée – crée une pression psychologique immédiate sur les cibles et brouille l’attribution. Une victime qui voit « LockBit » dans une demande de rançon ne cherchera pas nécessairement à vérifier si c’est le vrai groupe ou un imitateur.
Ce qui aggrave la situation : les développeurs, distributeurs et l’infrastructure derrière NotLockBit sont entièrement inconnus. Dans l’industrie du ransomware, c’est décrit comme un cas rare. La plupart des groupes actifs laissent des traces – forums, affiliés, revendications publiques d’attaques. L’anonymat total de NotLockBit complique toute réponse coordonnée et rend difficile d’anticiper son évolution. On ne sait pas qui l’opère, ni selon quelle logique de ciblage. C’est en soi un signal qui justifie une vigilance accrue, indépendamment du volume d’attaques observé.
La double extorsion : pourquoi une sauvegarde ne suffit plus
NotLockBit hérite de LockBit la tactique dite de double extorsion. Le mécanisme fonctionne en deux temps : d’abord, le malware exfiltre vos données avant de les chiffrer. Ensuite seulement, il les rend inaccessibles et présente sa demande.
L’implication est directe : si vous restaurez vos fichiers depuis une sauvegarde, vous récupérez l’accès – mais vos données sont déjà entre les mains des attaquants. La menace n’est plus seulement « payez pour récupérer vos fichiers », elle devient « payez ou nous publions vos données ». Une sauvegarde résout la partie chiffrement ; elle ne résout pas la partie divulgation.
La nature de vos sauvegardes change aussi l’exposition au chiffrement lui-même. Une sauvegarde connectée en permanence – un disque réseau monté, un NAS toujours accessible, un service cloud synchronisé en temps réel – peut être atteinte par le ransomware en même temps que vos fichiers principaux. Une sauvegarde hors ligne, déconnectée au moment de l’attaque, reste hors de portée.
Le contexte d’usage pèse sur le niveau de risque lié à la publication. Une entreprise dont les données clients, contrats ou secrets industriels sont exfiltrés fait face à des conséquences réglementaires et réputationnelles majeures – c’est la cible de double extorsion la plus rentable. Un particulier est moins exposé à ce type de pression, mais pas immunisé : photos personnelles, documents d’identité, données bancaires peuvent faire l’objet d’une menace de diffusion.
Réduire son exposition : les réflexes qui changent quelque chose
Aucun de ces réflexes n’est spécifique à NotLockBit – mais leur combinaison change concrètement votre surface d’attaque, que vous soyez sous Windows ou macOS.
- Sauvegardes hors ligne et déconnectées. Un disque externe branché uniquement pendant la sauvegarde, puis débranché, ne peut pas être chiffré pendant une attaque. Sur macOS, Time Machine sur un disque dédié non monté en permanence correspond à ce schéma. Sur Windows, la logique est identique. Si votre seule sauvegarde est un service cloud synchronisé en continu, évaluez si son versioning vous permettrait réellement de restaurer des fichiers avant chiffrement – et depuis combien de jours.
- Sources de téléchargement contrôlées. Le vecteur d’infection précis de NotLockBit n’est pas documenté publiquement. Ce qui s’applique à la plupart des ransomwares s’applique ici : les exécutables téléchargés hors des sources officielles (Mac App Store, site éditeur direct, dépôt officiel) augmentent le risque. Sur macOS, certains outils présentés comme des convertisseurs de fichiers servent en réalité de vecteurs de distribution de malwares.
- Mises à jour système et applicatives. Les ransomwares exploitent souvent des vulnérabilités connues et corrigées. Un système non mis à jour offre des points d’entrée supplémentaires. La mise à jour ne protège pas contre toutes les menaces, mais elle ferme les vecteurs les plus documentés.
- Principe de moindre privilège. Limiter les droits des comptes utilisés au quotidien réduit ce qu’un processus malveillant peut atteindre. Sur macOS comme Windows, travailler sans droits administrateur en permanence limite la portée d’une éventuelle compromission.
- Outils de détection actifs. Les solutions antivirus modernes incluent des modules comportementaux capables de détecter une activité de chiffrement de masse avant qu’elle ne soit complète. Sur macOS, cette couche de protection était souvent jugée superflue – cette conviction mérite d’être réexaminée.
Pour les administrateurs système, la segmentation des accès et la gestion des privilèges sur les ressources partagées s’appliquent directement au risque de propagation latérale d’un ransomware dans un environnement mixte Windows/macOS.
Votre exposition réelle dépend de deux variables que vous pouvez évaluer maintenant : votre système d’exploitation – macOS n’est plus hors de portée – et l’état de vos sauvegardes, notamment si elles sont connectées en permanence ou réellement isolées. Si vous n’avez pas de sauvegarde hors ligne ou si votre seule copie est un service cloud synchronisé sans historique suffisant, c’est le point à traiter en premier.