Plus de 50 violations par ransomware révèlent un nouveau mode opératoire de vol de données

Un catalogue de plus de 50 attaques par ransomware montre que le modèle évolue

Une nouvelle compilation d'exemples d'attaques par ransomware, couvrant des dizaines de violations majeures et leurs coûts financiers, met en évidence un point qui mérite attention au-delà des chiffres bruts : les mécanismes de ces attaques évoluent de manière à exposer les données personnelles à un risque plus grand que ne le faisait le seul chiffrement.

La version classique du ransomware, souvent appelée crypto-ransomware, fonctionne exactement comme la plupart des gens l'imaginent. Un code malveillant s'infiltre sur un réseau et chiffre les fichiers à l'aide d'algorithmes puissants, généralement AES-256 pour verrouiller les données elles-mêmes et RSA-2048 pour protéger la clé de chiffrement. Une fois ce processus terminé, les fichiers sont effectivement irrécupérables sans la clé privée de l'attaquant. Les victimes voient alors apparaître une note de rançon exigeant un paiement, généralement en Bitcoin ou en Monero, souvent assortie d'un compte à rebours et d'une menace selon laquelle la clé sera détruite si la date limite est dépassée.

C'est ce modèle qui a forgé la réputation actuelle des ransomwares : un hôpital bloqué, une administration municipale paralysée, un fabricant incapable d'expédier ses produits. Mais le catalogue d'exemples révèle une seconde tactique, plus discrète, qui gagne du terrain parallèlement, une tactique qui ne repose pas du tout sur le chiffrement.

L'extorsion par vol de données n'a pas besoin de verrouiller un seul fichier

Au lieu de brouiller les fichiers, certains attaquants se contentent désormais de copier les données sensibles hors d'un réseau avant que quiconque ne s'en aperçoive, puis menacent de les publier ou de les vendre si aucun paiement n'est effectué. Il n'y a pas de compte à rebours sur un bureau gelé, pas de service informatique qui se précipite pour restaurer les sauvegardes. Le levier n'est pas la perturbation, c'est l'exposition.

Cette distinction est importante pour quiconque réfléchit à sa propre vie privée, et pas seulement pour les organisations qui gèrent des budgets de sécurité. Le ransomware basé sur le chiffrement est, au fond, un problème de disponibilité : vos données existent toujours, vous ne pouvez simplement pas y accéder tant qu'elles ne sont pas restaurées ou que la rançon n'est pas payée. L'extorsion par vol de données est un problème de confidentialité : les informations sont déjà parties, déjà sur le serveur d'un attaquant, et aucun paiement de rançon ne peut annuler cela. Même les organisations disposant de sauvegardes solides et de plans de reprise rapide n'ont pas de véritable réponse à une menace entièrement fondée sur l'exposition. Les groupes qui exploitent des opérations de ransomware-as-a-service, comme ceux décrits dans la couverture de LockBit 5.0 et ses opérations après l'opération Cronos, ont précisément adopté cette approche à double menace : chiffrez ce que vous pouvez, volez ce que vous ne pouvez pas, et extorquez sur les deux fronts.

Pourquoi la demande de rançon n'est qu'une partie de l'histoire

La couverture médiatique des attaques par ransomware a tendance à se focaliser sur le montant de la rançon lui-même, et l'on comprend aisément pourquoi : un montant précis en dollars fait un titre accrocheur. Mais le coût financier d'une attaque ne reflète souvent que le volet réactif du bilan : réponse aux incidents, temps d'arrêt, frais juridiques, amendes réglementaires et le paiement de la rançon s'il a lieu. Ce que ce chiffre ne prend pas en compte, ce sont les conséquences en aval sur la vie privée des personnes dont les données se trouvaient dans ce système : des patients dont les dossiers médicaux ont été exposés, des clients dont les détails de paiement ont été copiés, des employés dont les informations personnelles se trouvaient dans une base de données RH qui a été exfiltrée.

C'est la véritable implication en matière de vie privée qui se cache dans ces catalogues de violations. Une entreprise peut récupérer ses systèmes, payer ses amendes et passer à autre chose. La personne dont les données ont été volées ne bénéficie pas de la même remise en état. Ses informations peuvent circuler indéfiniment une fois qu'elles ont quitté le réseau d'origine, apparaissant dans des listes de credential stuffing, des campagnes de phishing ou des tentatives d'usurpation d'identité bien après que l'attaque initiale a disparu de l'actualité.

Ce que cela signifie pour vous

Si vous êtes un consommateur, l'enseignement à en tirer n'est pas que vous devez vous défendre personnellement contre les ransomwares, c'est un problème organisationnel pour les entreprises qui détiennent vos données. Mais l'évolution vers l'extorsion par vol de données signifie que les notifications de violation méritent plus d'attention qu'elles n'en reçoivent habituellement, même lorsqu'une entreprise affirme qu'aucune rançon n'a été payée ou que les systèmes n'ont pas été perturbés. « Rien n'a été chiffré » ne signifie plus « rien n'a été volé ».

Si vous travaillez dans l'informatique ou la sécurité, la leçon à tirer de ces plus de 50 exemples est que la stratégie de sauvegarde seule ne suffit plus. La planification de la reprise doit prendre en compte l'exposition, et pas seulement les temps d'arrêt, ce qui implique de chiffrer les données sensibles au repos, de limiter ce à quoi un compte compromis peut accéder, et de traiter la détection de l'exfiltration avec autant de sérieux que la détection des ransomwares elle-même.

Des mesures pratiques à prendre

Quelques habitudes sont très utiles, quel que soit le côté de la violation où l'on se trouve. Les particuliers devraient surveiller les notifications de violation liées aux services qu'ils utilisent, activer l'authentification multifacteur partout où elle est proposée, et considérer avec suspicion les messages non sollicités faisant référence à des détails de compte, car les données volées alimentent souvent des campagnes de phishing ultérieures. Les organisations devraient partir du principe que toute intrusion réussie peut inclure un vol de données, même en l'absence de note de rançon visible, et élaborer des plans de réponse qui couvrent la divulgation et la protection des clients, et pas seulement la restauration des systèmes.

L'évolution du ransomware, d'une menace de chiffrement pur à une économie d'extorsion plus large, nous rappelle que la lutte ne consiste pas seulement à maintenir les systèmes en fonctionnement. Il s'agit avant tout de préserver la confidentialité des informations, et c'est une responsabilité qui va bien au-delà du moment où une note de rançon apparaît à l'écran.