Sebastien Vachon-Desjardins, un ancien technicien informatique du gouvernement canadien de 35 ans, précise Radio Canada, avait été recruté par le gang de rançongiciel russophone NetWalker, qui a extorqué plus de 40 millions de dollars auprès de 400 victimes dans 30 pays.

« Les attaques avaient spécifiquement ciblé le secteur de la santé pendant la pandémie de COVID-19, profitant de la crise mondiale pour extorquer les victimes [...] au plus fort d'une crise sanitaire internationale », précise le département de la Justice américain, et notamment des hôpitaux et services d'urgence, ainsi que des forces de l'ordre, districts scolaires, collèges et universités.

Le FBI estime qu'il était l'un des membres les plus prolifiques du gang : il avait amassé plusieurs centaines de milliers de dollars et 719 bitcoins en seulement 10 mois, soit l’équivalent d'environ 21 849 087 dollars au moment de la saisie, en janvier 2021, et de 14 463 993 dollars à ce jour.

Il encourrait une peine de 12 à 15 ans de prison, relève le Tampa Bay Times, mais le juge William Jung a expliqué qu'il voulait dissuader les autres cybercriminels, et leur faire comprendre que la justice américaine ira les arrêter là où ils se trouvent.

« Vous êtes l'un des pires cas que j'aie jamais vus », a expliqué le juge à l'accusé, qualifié de « Jesse James du 21e siècle ». C'est le seul membre de NetWalker à avoir été arrêté. Il lui est également interdit de posséder un ordinateur personnel – y compris un smartphone ou un appareil électronique capable de se connecter à Internet souligne The Record – et de travailler dans les technologies de l'information.

Une association de patients attaque le Centre hospitalier Sud francilien (CHSF) de Corbeil-Essonnes « quant à sa responsabilité dans le contexte de l’attaque cyber subie par l’établissement et la publication de données sensibles (entre autres, médicales) sur les réseaux par les pirates pour faire pression sur le paiement d’une rançon », révèle DSIH, un site d'information consacré à l’actualité et à l’analyse des systèmes d’information en santé (SIS). 

Son billet, intitulé « Quelle responsabilité juridique pour les établissements cyberattaqués ? », tempère cela dit la portée de la plainte : 

« Tout d’abord, plainte ne vaut pas culpabilité. En ces temps troublés, dans certains milieux, politiques notamment, une légère tendance à l’amalgame s’installe, mais, jusqu’à preuve du contraire, c’est au juge de déterminer qui est coupable ou pas. Et qui définit aussi ce qu’il retient comme preuve ou pas. Point à la ligne. »

La question reste en effet de savoir si « le réseau du CHSF était aussi troué qu’un gruyère », si « les moyens ont été mis en œuvre, compte tenu de la connaissance des modes d’attaque et des moyens disponibles », ou si ces moyens « n’ont pas été mis en œuvre », alors que de nombreux hopitaux ont été attaqués ces derniers temps : 

« Glisser sur une plaque de verglas quand vous êtes au volant, c’est un aléa. Mais glisser sur une plaque de verglas dans une région montagneuse en plein mois de décembre, est-ce toujours un aléa ? Subir une cyberattaque en 2019 (CHU de Rouen), c’est un aléa. Mais subir une cyberattaque en 2022 quand un hôpital par semaine se fait attaquer, est-ce toujours un aléa ? Bref l’expertise technique va être déterminante dans le cas présent, tout comme ce qui sera retenu ou non en tant qu’aléa. »

DSIH estime cela dit que le règlement de cette plainte « risque de donner le ton pour les dix prochaines années » : « c’est souvent à l’occasion d’une plainte que les choses évoluent, tous domaines confondus ».