Étude ANZ : 36 % des paiements de rançon ne permettent pas de restaurer les données

Payer la rançon ne garantit rien

Une nouvelle étude portant sur l’Australie et la Nouvelle-Zélande a mis des chiffres concrets derrière ce que les professionnels de la sécurité avertissent depuis des années : payer une demande de rançongiciel est un pari, pas une garantie. Selon un reportage d’Insurance Business, 34 % des organisations de la région ayant subi une attaque par rançongiciel ont choisi de payer la rançon. Parmi elles, 36 % ont déclaré que le paiement n’avait quand même pas permis de restaurer leurs données, soit parce que les attaquants ont retenu les clés de déchiffrement et les accès, soit parce qu’ils sont revenus plus tard exiger davantage d’argent.

Cela signifie que plus d’un paiement sur trois n’a produit aucune véritable récupération. Pour les organisations qui se demandent s’il faut payer, comme pour les clients, employés et patients dont les données personnelles se trouvent dans ces systèmes compromis, c’est un rappel à la réalité qui donne à réfléchir. Le rançongiciel n’a jamais été une simple transaction, et ces données confirment que même les victimes qui cèdent aux exigences des attaquants se retrouvent souvent malgré tout à en subir les conséquences.

Pourquoi « payer, tout simplement » n’est pas la bonne question

L’angle du secteur de l’assurance est ici révélateur. Les courtiers et les assureurs ont traditionnellement présenté le débat sur les rançongiciels comme un choix binaire : payer ou ne pas payer. Mais le taux d’échec suggère que cette question passe complètement à côté du problème. Même un paiement réussi n’efface pas le fait que les attaquants ont déjà eu accès à des systèmes sensibles, copié ou exfiltré des données et démontré qu’ils peuvent revenir quand ils le souhaitent.

Cela reflète une tendance plus large dans laquelle l’économie de l’extorsion s’est installée. Comme nous l’avons évoqué dans notre analyse sur pourquoi l’économie de l’extorsion persiste, les groupes de rançongiciel ont adapté leurs modèles économiques précisément parce que payer, même de manière peu fiable, reste assez courant pour faire vivre ce secteur. Lorsque plus d’un tiers des rançons payées ne débouchent ni sur un déchiffrement fonctionnel ni sur une sortie propre, cela donne à penser que de nombreuses opérations criminelles sont soit mal organisées, soit délibérément malhonnêtes, soit qu’elles utilisent le paiement initial comme point d’appui pour une extorsion supplémentaire plutôt que comme une résolution.

Pour les organisations qui élaborent des plans de réponse aux incidents, ces données plaident pour un changement fondamental : la vraie question n’est pas « comment tout récupérer après avoir payé ? », mais « que pouvons-nous récupérer même si nous ne payons pas du tout ? ». Cela recadre la préparation aux rançongiciels autour de la résilience plutôt que de la négociation.

La prévention reste préférable à la négociation

La défense la plus efficace contre un paiement de rançon qui échoue est de ne jamais avoir à envisager d’en effectuer un. Quelques mesures pratiques réduisent régulièrement le levier des attaquants :

• Sauvegardes hors ligne et immuables. Si les données peuvent être restaurées à partir de sauvegardes que les attaquants n’ont jamais touchées, toute la question de la rançon devient facultative plutôt qu’urgente.
• Segmentation du réseau. Limiter la distance qu’un intrus peut parcourir une fois à l’intérieur d’un réseau réduit le rayon d’impact d’une compromission, de sorte que les attaquants ne peuvent pas tout chiffrer d’un coup.
• Chiffrement des données sensibles au repos. Même si les attaquants exfiltrent des fichiers, des données chiffrées leur sont beaucoup moins utiles pour une extorsion secondaire ou une revente.
• Authentification multifacteur et contrôles d’accès stricts. De nombreux incidents de rançongiciel commencent par un seul identifiant compromis ; l’authentification multifacteur ferme cette porte dans une grande partie des cas.

Aucune de ces mesures n’est exotique. Ce sont des recommandations de bonnes pratiques que, d’après ces données, trop d’organisations n’ont toujours pas pleinement mises en œuvre, compte tenu du nombre d’entre elles qui finissent par négocier avec les attaquants en premier lieu.

Réduire l’exposition à la compromission initiale

Le rançongiciel ne commence pas par le chiffrement. Il commence par une compromission initiale, souvent par un identifiant hameçonné, un point d’accès distant exposé ou un logiciel non corrigé. C’est là que les protections au niveau du réseau, notamment les VPN configurés avec une authentification forte et des portées d’accès limitées, jouent un rôle de soutien. Un VPN seul n’arrêtera pas un rançongiciel, mais il peut réduire la surface d’attaque en garantissant que les connexions distantes sont chiffrées et authentifiées, ce qui complique la tâche des attaquants qui cherchent à intercepter des identifiants ou à exploiter des services exposés comme point d’entrée.

Ce que cela signifie pour vous

Si vous êtes un particulier dont les données sont détenues par une organisation qui pourrait être ciblée, cette étude rappelle qu’une attaque par rançongiciel se termine rarement de manière nette, même lorsque l’organisation paie. Les données exfiltrées avant le chiffrement peuvent toujours fuiter ou être vendues, quel que soit le paiement. Si vous êtes informé d’une violation concernant vos informations, prenez-la au sérieux : changez les mots de passe réutilisés, surveillez les tentatives d’hameçonnage faisant référence à la violation et soyez attentif à toute activité inhabituelle sur vos comptes.

Pour les entreprises, le message est tout aussi direct. Un paiement de rançon n’est pas un plan de récupération : c’est une solution de dernier recours qui présente un risque réel d’échec. L’assurance peut aider à compenser les pertes financières, mais aucune police ne restaure des données que les attaquants n’ont jamais eu l’intention de restituer.

Points d’action à retenir

• Partez du principe qu’un paiement de rançon a une probabilité réelle de ne pas fonctionner et élaborez des plans de récupération qui ne dépendent pas de la coopération des attaquants.
• Donnez la priorité aux sauvegardes hors ligne et testées plutôt qu’à la cyberassurance comme stratégie principale de récupération.
• Segmentez les réseaux et imposez l’authentification multifacteur pour limiter la manière dont un seul compte compromis peut se transformer en attaque de grande ampleur.
• Si vous êtes informé que vos données ont été impliquées dans une violation, agissez immédiatement sur cet avis au lieu de supposer qu’un paiement de rançon a résolu le problème.

Le rançongiciel reste une menace persistante précisément parce que payer fonctionne parfois, mais pas de manière assez fiable pour miser l’avenir d’une organisation dessus. La voie la plus sûre consiste à réduire l’exposition avant qu’une attaque ne se produise, et non à négocier après qu’elle a réussi.