Payer un gang de rançongiciel n’a jamais été une garantie de sécurité, mais de nouvelles recherches mettent un chiffre précis sur la fréquence à laquelle ce pari échoue. Selon des conclusions récentes, 58 % des organisations britanniques touchées par un rançongiciel ont payé la rançon exigée, et 22 % de ces payeurs ont de nouveau été victimes d’une seconde tentative d’extorsion. Le message pour les équipes informatiques, et pour toute personne dont les données personnelles transitent par les réseaux d’entreprise, est que le vieux manuel « payer et passer à autre chose » ne tient plus la route.

La nouvelle réalité : Payer ne met pas fin à l’attaque

Les rançongiciels suivaient autrefois un scénario relativement prévisible : les attaquants chiffrent vos fichiers, vous payez, vous obtenez une clé de déchiffrement, et l’incident est clos. Ce scénario a été réécrit. Le passage à la double extorsion, où les attaquants volent des données avant de les chiffrer et menacent de les divulguer quel que soit le paiement, signifie qu’une transaction de rançon ne règle rien. Le chiffre de 22 % de nouvelles extorsions visant des organisations ayant déjà payé confirme ce que de nombreux chercheurs en sécurité mettent en garde depuis des années : une fois vos données sorties, vous n’avez plus aucun contrôle réel sur ce qui leur arrive ensuite. Un groupe criminel qui a été payé une fois a toutes les raisons de revenir, qu’il s’agisse du même acteur ou d’un autre opérant à partir d’un accès revendu.

Pour les administrateurs Windows en particulier, cela change le calcul autour de la réponse aux incidents. La restauration à partir des sauvegardes était autrefois considérée comme l’alternative au paiement. Elle doit désormais être traitée comme l’attente de base, car le paiement ne permet pas d’arrêter de manière fiable l’hémorragie du côté du vol de données. Des sauvegardes hors ligne testées, des contrôles solides de sécurité des identités et un plan de reprise documenté sont ce qui brise réellement le cycle, pas un virement vers un portefeuille anonyme.

L’IA démultiplie la compromission initiale

L’autre thème majeur de cette recherche est le rôle croissant de l’IA dans les premières phases d’une attaque. La compromission initiale, le moment où les attaquants obtiennent un premier accès dans un réseau, est là où les outils d’IA auraient le plus d’impact. Une reconnaissance plus rapide, des appâts de phishing plus convaincants et une identification plus rapide des faiblesses exploitables réduisent toutes la fenêtre dont disposent les défenseurs pour remarquer que quelque chose ne va pas avant que les dégâts ne soient faits.

Cela est important car la plupart des défenses contre les rançongiciels reposent encore sur l’hypothèse que les attaquants ont besoin de temps pour se déplacer dans un réseau avant de causer des dégâts sérieux. Si l’IA comprime ce délai, les organisations qui s’appuient uniquement sur des cycles de correctifs périodiques et une surveillance manuelle sont de plus en plus exposées. Cela renforce la raison pour laquelle la sécurité des identités, des éléments tels que l’authentification multifacteur, la gestion des accès privilégiés et la détection rapide des anomalies, est devenue tout aussi importante que la protection des terminaux.

Pourquoi le vol de données est le véritable enjeu de confidentialité

Alors que les fichiers chiffrés font la une des journaux, le modèle de double extorsion met en lumière quelque chose qui compte davantage pour les citoyens ordinaires : les données elles-mêmes. Chaque incident de rançongiciel impliquant des dossiers RH, des bases de données clients ou des fichiers d’employés volés est, fondamentalement, un incident de confidentialité. Pensez à la manière dont la violation du système RH de Statistics South Africa a exposé les données des employés, un cas qui illustre comment les systèmes internes contenant des informations personnelles sensibles peuvent devenir la cible réelle, et pas seulement un dommage collatéral d’une attaque plus large. Lorsque des groupes de rançongiciel exfiltrent ce type de données avant de verrouiller les systèmes, le paiement de la rançon ne défait rien du fait que des noms, des salaires, des adresses ou des détails de santé se trouvent peut-être déjà sur un serveur criminel, ou déjà en vente.

C’est l’élément souvent absent des couvertures purement techniques des rançongiciels : la seconde tentative d’extorsion n’est pas qu’un casse-tête pour l’entreprise, c’est une deuxième vague d’exposition pour les personnes dont les données ont été volées en premier lieu. Les employés, les clients et les patients ont rarement leur mot à dire sur le fait que leur organisation paie ou non, mais ils portent le risque continu d’usurpation d’identité, de phishing ciblé ou de fraude longtemps après que les gros titres se sont estompés.

Ce que cela signifie pour vous

Si vous travaillez dans l’informatique ou la sécurité, ces données sont un signal clair pour cesser de considérer le paiement d’une rançon comme une résolution et commencer à le traiter comme un recours de dernier ressort. Les plans de reprise, les sauvegardes immuables et les défenses axées sur l’identité méritent davantage de budget et de temps de test qu’ils n’en reçoivent habituellement. Si vous êtes un employé ou un client d’une organisation qui a divulgué un incident de rançongiciel, partez du principe que vos données ont peut-être été copiées même si l’on vous dit que les systèmes ont été « restaurés ». Surveillez vos comptes, soyez attentif aux tentatives de phishing faisant référence à la violation et envisagez une surveillance du crédit si des données personnelles ou financières sensibles étaient impliquées.

Points à retenir pour agir

Les organisations doivent vérifier régulièrement l’intégrité des sauvegardes et s’assurer que celles-ci sont véritablement isolées du réseau de production. L’authentification multifacteur et l’accès selon le principe du moindre privilège devraient être non négociables sur tous les systèmes, pas seulement les plus critiques. Les plans de réponse aux incidents doivent explicitement traiter le scénario de double extorsion, y compris les étapes juridiques et de communication lorsque des données volées apparaissent publiquement. Les personnes touchées par une divulgation de rançongiciel doivent changer leurs mots de passe, activer l’authentification multifacteur là où elle est disponible, et rester vigilantes face aux escroqueries de suivi. Les données montrent clairement que la seconde extorsion par rançongiciel n’est plus un cas rare et marginal, elle devient une partie standard du cycle de vie des attaques, et la préparation est la seule véritable défense.