Datto : Le coût réel des rançongiciels va bien au-delà de la rançon

La rançon n'est que l'acompte

Quand la plupart des gens pensent au coût d'une attaque par rançongiciel, ils imaginent la demande de rançon elle-même : une somme forfaitaire que les criminels réclament en échange d'une clé de déchiffrement. Mais selon une nouvelle analyse de Datto, ce montant ne représente souvent qu'une fraction de ce qu'une organisation paie réellement une fois une attaque terminée. Les temps d'arrêt, le travail de récupération, les efforts de remédiation et les obligations légales peuvent totaliser des millions de dollars, éclipsant la note de rançon initiale.

Cette distinction est importante car elle reformule la manière dont les entreprises, et les personnes dont ces entreprises détiennent les données, devraient envisager le risque lié aux rançongiciels. Une entreprise peut refuser de payer une rançon par principe, pour découvrir ensuite que le coût de la reconstruction des systèmes à partir de zéro, de la notification des clients concernés et de la satisfaction des régulateurs finit par coûter bien plus cher que ce que les criminels exigeaient à l'origine.

Où va réellement l'argent

La ventilation de Datto met en évidence plusieurs catégories de coûts qui ont tendance à recevoir moins d'attention que la rançon elle-même :

• Temps d'arrêt : Chaque heure pendant laquelle les systèmes sont hors ligne est une heure de productivité perdue, de transactions manquées et de service client perturbé. Pour les entreprises qui dépendent d'une disponibilité continue, cela peut être le principal facteur de coût.
• Récupération : Reconstruire l'infrastructure, restaurer les données à partir des sauvegardes (si elles existent et sont utilisables) et vérifier que les systèmes sont propres avant de les remettre en ligne est un processus lent et exigeant en main-d'œuvre.
• Remédiation : Au-delà de la simple restauration des opérations, les organisations doivent souvent revoir en profondeur les contrôles de sécurité, corriger les vulnérabilités et faire appel à des experts externes pour confirmer que les attaquants ont véritablement disparu.
• Obligations légales : Les lois sur la notification des violations de données, les exigences de déclaration réglementaire et les éventuels litiges intentés par les clients ou partenaires concernés ajoutent une couche supplémentaire de coût et de complexité, qui peut s'étendre sur des mois après la résolution de l'incident technique.

C'est dans cette dimension juridique que les enjeux de confidentialité deviennent évidents. Les attaques par rançongiciel impliquent de plus en plus le vol de données en plus du chiffrement, ce qui signifie que des informations personnelles, des dossiers financiers ou des données de santé peuvent se retrouver exposés ou vendus, que la rançon soit payée ou non. Une fois que cela se produit, l'incident cesse d'être un problème purement technique pour devenir une question de confidentialité et de conformité, avec des délais de notification, une surveillance réglementaire et des dommages réputationnels qui perdurent bien au-delà de la perturbation initiale.

Pourquoi la BCDR change la donne

L'analyse de Datto désigne la continuité d'activité et la reprise après sinistre (BCDR) comme un moyen de réduire ces coûts, en particulier les portions de la facture liées aux temps d'arrêt et à la récupération. Une stratégie BCDR mature repose sur des sauvegardes fiables et testées ainsi qu'un plan de récupération clair, mis en place avant qu'une attaque ne se produise, et non assemblés dans la précipitation après coup. Les organisations dotées de ce type de préparation ont tendance à revenir en ligne plus rapidement et avec plus de prévisibilité, plutôt que de faire face à un calendrier de récupération ouvert pendant que les attaquants prennent leurs systèmes en otage.

Cela est particulièrement pertinent alors que les groupes de rançongiciels continuent de professionnaliser leurs opérations. Comme l'explique un récent article sur la façon dont l'IA transforme le modèle économique des rançongiciels, les attaquants deviennent plus efficaces pour identifier les cibles, automatiser certaines parties de leur processus d'intrusion et faire pression sur les victimes pour qu'elles paient rapidement. Un attaquant plus rapide et plus automatisé signifie que les défenseurs ont besoin de processus de récupération tout aussi rapides et bien rodés pour éviter le pire des temps d'arrêt et des conséquences juridiques.

Ce que cela signifie pour vous

Si vous dirigez une entreprise, même une petite, ce cadrage devrait changer votre façon d'évaluer le risque lié aux rançongiciels. Il ne suffit pas de se demander « pourrions-nous nous permettre de payer la rançon ». La meilleure question est « pourrions-nous nous permettre des semaines de temps d'arrêt, une reconstruction complète des systèmes et les conséquences juridiques si les données clients étaient exposées ? » Pour la plupart des organisations, la réponse honnête est non, et c'est précisément pourquoi la planification des sauvegardes et de la récupération mérite la même attention que les pare-feu et la protection des points de terminaison.

Pour les particuliers, le message concerne davantage la sensibilisation. Si une entreprise avec laquelle vous faites affaire subit une attaque par rançongiciel, la perturbation et toute exposition de données peuvent persister longtemps après que les gros titres se sont estompés, car les processus juridiques et de remédiation s'étendent souvent sur des mois. Surveiller les notifications de violation et comprendre quelles données vous concernant ont pu être affectées reste une habitude judicieuse.

Points clés à retenir

• Les entreprises devraient évaluer si leurs systèmes de sauvegarde et de récupération sont testés régulièrement, et non simplement installés puis oubliés.
• Traitez la préparation aux rançongiciels comme une question juridique et de confidentialité, et non comme un simple problème informatique, compte tenu des coûts de notification et de conformité impliqués.
• Élaborez un plan documenté de réponse aux incidents qui traite ensemble les temps d'arrêt, la récupération et la déclaration réglementaire, plutôt que de manière isolée.
• Les particuliers devraient rester attentifs aux notifications de violation provenant des entreprises avec lesquelles ils interagissent, car le risque d'exposition des données peut persister bien au-delà de l'attaque initiale.

Comprendre le coût total d'une attaque par rançongiciel, et pas seulement la rançon, est la première étape vers la mise en place de défenses qui tiennent réellement le coup lorsqu'une attaque survient.