62 % des victimes de ransomware sont des managers, pas du personnel informatique

Les gangs de ransomware réécrivent leur liste de cibles

Pendant des années, la sagesse conventionnelle sur les ransomwares était simple : les attaquants ciblent les administrateurs informatiques, ceux qui détiennent les clés du réseau. De nouvelles données indiquent que cette hypothèse est dépassée. Selon des recherches récentes, 62 % des victimes de ransomware occupent désormais des postes de niveau manager ou supérieur, signe que les attaquants montent délibérément dans l’organigramme plutôt que de se concentrer sur le personnel technique.

Ce changement est important car il modifie la perception du risque lié aux ransomwares. Ce n’est plus seulement un problème pour l’équipe de sécurité ou le service d’assistance. Si vous dirigez une équipe, approuvez des budgets ou avez accès à des fichiers sensibles dans le cadre de votre travail, vous êtes désormais clairement dans la ligne de mire.

Pourquoi les managers sont désormais des cibles privilégiées

La logique qui sous-tend ce changement est simple dès que l’on comprend comment fonctionnent réellement les opérations de ransomware. Les attaquants ne cherchent pas seulement à pénétrer les systèmes ; ils veulent obtenir un paiement. Les managers et les cadres supérieurs ont généralement un accès plus large aux données financières, aux dossiers clients, aux fichiers RH et aux communications internes qu’un administrateur technique typique gérant un seul système. Cet accès rend leurs comptes plus précieux en cas de compromission, et en fait aussi des points de pression plus efficaces lors d’une négociation.

Un facteur humain entre également en jeu. Les cadres supérieurs sont souvent ceux que les entreprises ont le plus d’urgence à protéger, tant sur le plan réputationnel que juridique. Un attaquant capable de démontrer qu’il a accès à la boîte de réception ou aux fichiers d’un manager dispose d’un levier qui dépasse le simple verrouillage du système. Cela devient une menace pour la réputation, les relations clients et, dans certains cas, la conformité réglementaire.

Ce changement de cible reflète aussi la professionnalisation des groupes de ransomware. Beaucoup fonctionnent désormais moins comme des pirates isolés que comme des entreprises organisées, allant jusqu’à rechercher qui, au sein d’une entreprise cible, est le plus susceptible d’avoir des accès précieux et le plus susceptible de se sentir contraint de faciliter un paiement. L’essor du ransomware-as-a-service n’a fait qu’accélérer ce phénomène, permettant à des groupes criminels moins techniques de louer des outils et des tactiques qui étaient autrefois le domaine réservé d’équipes de pirates spécialisées. Il convient de noter qu’une grande partie de ce qui est commercialisé sur les forums du dark web comme de la « protection » ou des accès internes est elle-même peu fiable et exploitée par des escrocs, un schéma exploré dans l’article Les ventes de « sécurité » sur le dark web sont la véritable arnaque ici.

Les conséquences sur la vie privée pour les employés et les entreprises

Lorsque le compte ou l’appareil d’un manager est compromis, les conséquences sur la vie privée dépassent largement la personne concernée. Les managers ont souvent accès aux données personnelles des employés, aux contrats clients, aux dossiers financiers, et parfois aux informations médicales ou juridiques selon le secteur. Un seul compte compromis peut exposer toute la masse de données sensibles d’une organisation, pas seulement la boîte de réception d’une personne.

Ce n’est pas un risque hypothétique. Les violations de grande ampleur impliquant des données d’entreprise volées ont montré à maintes reprises à quel point il peut être dommageable que des attaquants mettent la main sur des documents internes, comme on l’a vu dans la violation de données chez Novo Nordisk portant sur 1,3 To de données d’essais cliniques volées. Une fois que ce type de données est exfiltré, les dégâts ne se limitent pas au paiement d’une rançon ; cela peut entraîner une exposition permanente d’informations confidentielles, un examen réglementaire et un préjudice réputationnel à long terme pour l’organisation concernée.

Les forces de l’ordre poursuivent de plus en plus les opérateurs de ransomware, et des condamnations ont bien lieu, comme le montre la peine détaillée dans l’article Les pirates de TfL Jubair et Flowers condamnés à cinq ans de prison pour un piratage de 29 millions de livres. Mais les poursuites interviennent après que les dégâts sont faits. La prévention reste bien plus efficace que toute réponse judiciaire après coup.

Ce que cela signifie pour vous

Si vous occupez un poste d’encadrement ou de supervision, cette tendance doit vous inciter à réévaluer vos habitudes personnelles de sécurité, et pas seulement les politiques informatiques de votre entreprise. Les attaquants parient sur le fait que les cadres supérieurs sont moins enclins à suivre des protocoles de sécurité stricts que les professionnels de l’informatique, et plus susceptibles de disposer d’un accès large et non surveillé à des systèmes sensibles.

Des mesures concrètes sont importantes ici. Utilisez des mots de passe uniques et robustes pour vos comptes professionnels, activez l’authentification multifacteur partout où elle est proposée, et soyez prudent face aux pièces jointes ou liens inattendus, même s’ils semblent provenir de collègues ou de fournisseurs. Les managers devraient également encourager des formations régulières à la sensibilisation au phishing au sein de leurs équipes et vérifier que leur organisation dispose d’un plan d’intervention en cas d’incident clair, testé et qui ne dépend pas uniquement du personnel informatique pour son exécution.

Garder une longueur d’avance sur cette évolution

Le ciblage des managers par les ransomwares plutôt que du personnel technique montre à quel point ces opérations sont devenues calculées. Les attaquants suivent les accès, pas le titre sur le papier. Pour les employés à tous les niveaux, mais surtout ceux occupant des postes de direction, cela signifie qu’il faut considérer la sensibilisation à la cybersécurité comme faisant partie du travail, et non comme la responsabilité de quelqu’un d’autre. Les organisations qui s’adapteront le plus rapidement à cette évolution, en formant les managers en même temps que le personnel informatique et en limitant les accès inutiles aux données sensibles, seront les mieux placées pour éviter de devenir la prochaine statistique de cette tendance croissante.