Groupe cybercriminel ayant opéré le réseau de ransomware as a service le plus prolifique entre 2019 et 2024, avant son démantèlement partiel par l'opération Cronos.
LockBit est le nom d'un groupe cybercriminel et de la souche de rançongiciel éponyme qui a dominé le marché du ransomware as a service pendant plus de quatre ans. Apparu fin 2019 sous le nom ABCD puis rebaptisé LockBit, le groupe a développé successivement LockBit 2.0 (2021) et LockBit 3.0 dit Black (2022), cette dernière version intégrant du code issu de la fuite du code source de BlackMatter. À son apogée, LockBit revendiquait plus de 2 000 victimes identifiées et aurait perçu plus de 120 millions de dollars de rançons. Son modèle économique RaaS était particulièrement sophistiqué : panneaux d'administration pour les affiliés, service de négociation intégré, site de fuite de données double extorsion, et même un programme de primes aux chercheurs identifiant des vulnérabilités dans son propre code. L'opération Cronos, coordonnée par Europol et la National Crime Agency britannique en février 2024, a conduit à la saisie de 34 serveurs, à l'identification de 194 affiliés et à l'arrestation de plusieurs membres. La disruption a provoqué une contraction immédiate des paiements mondiaux de rançons, illustrant le poids systémique d'un acteur concentrant une part importante de l'offre criminelle. Pour les actuaires cyber, LockBit a constitué un scénario de référence pour les modèles de corrélation et de fréquence des sinistres ransomware de grande ampleur.
Lors de son démantèlement en février 2024, Europol a révélé que LockBit avait ciblé des secteurs critiques dans 111 pays, dont des hôpitaux, des infrastructures d'eau et des administrations publiques. Le Royaume-Uni, les États-Unis, la France, l'Allemagne et le Canada comptaient parmi les pays les plus touchés, chacun ayant subi des centaines de victimes identifiées.
LockBit 2.0, LockBit 3.0, LockBit Black