Les attaques par rançongiciels ne sont plus un problème réservé aux grandes entreprises disposant de moyens financiers importants et d'équipes de sécurité dédiées. Selon Michael Sjøberg et Peter Skovbo de Delta Crisis, les entreprises de taille moyenne, qui constituent le moteur de nombreuses économies nationales, se retrouvent de plus en plus paralysées par des attaquants qui chiffrent leurs systèmes critiques et exigent un paiement pour restaurer l'accès. Leurs conseils, publiés via Handelsblatt, offrent un rare aperçu de la manière dont les entreprises négocient réellement avec les cyber-extorqueurs, et des mesures qui peuvent réduire les dégâts avant même qu'une attaque ne se produise.
Pourquoi les entreprises de taille moyenne sont la nouvelle cible
Pendant des années, les titres sur les rançongiciels se sont concentrés sur les hôpitaux, les agences gouvernementales et les multinationales. Cette image change. Les attaquants ont compris que les entreprises plus petites et de taille moyenne manquent souvent des défenses en profondeur des grandes entreprises, mais détiennent néanmoins des données précieuses et ne peuvent pas se permettre des interruptions prolongées. Cette évolution reflète une tendance plus large documentée ailleurs dans l'écosystème des rançongiciels, où certains groupes se sont orientés vers ce que les chercheurs appellent la suppression de zones de réseaux de PME, ciblant des grappes entières de petites organisations plutôt que de sélectionner minutieusement des victimes uniques à forte valeur. La logique est simple : le volume remplace la précision, et même des paiements de rançon modestes s'accumulent lorsqu'ils sont multipliés sur des dizaines de victimes.
L'expérience de Delta Crisis suggère qu'une fois l'attaque survenue, la différence entre une entreprise qui se rétablit avec des dégâts limités et une autre qui subit des préjudices durables dépend souvent de la préparation et de la manière dont la négociation elle-même est menée dans les premières heures et les premiers jours.
Au cœur d'une négociation face à un rançongiciel
Selon Sjøberg et Skovbo, négocier avec des cyber-criminels ne consiste pas simplement à décider de payer ou non. Cela exige de comprendre le modèle économique de l'attaquant, de vérifier quelles données ont réellement été volées ou chiffrées, et de gérer la communication d'une manière qui ne provoque ni la destruction des données par le groupe, ni un signal de désespoir qui pourrait faire grimper la demande. C'est un travail délicat, qui ressemble de plus en plus à une industrie de services professionnels des deux côtés de la table. Cette professionnalisation est visible dans l'ensemble du paysage des rançongiciels. Les groupes ont adopté des modèles structurés de rançongiciel en tant que service (RaaS), une tendance également observée dans les avertissements concernant l'expansion du rançongiciel Gunra en opération RaaS, où des affiliés mènent des attaques en utilisant des outils développés par un groupe central en échange d'une part des bénéfices. Le résultat est un processus d'extorsion plus évolutif et reproductible, ce qui explique précisément pourquoi la stratégie de négociation compte autant pour la victime.
Le point d'entrée de nombreuses attaques mérite également toute l'attention. Les attaquants obtiennent fréquemment un accès initial par ingénierie sociale plutôt qu'en exploitant des failles techniques obscures. Les campagnes abusant d'outils comme Microsoft Teams pour usurper l'identité de faux supports informatiques montrent comment un seul appel téléphonique ou message de chat convaincant peut ouvrir la porte à un compromis complet du réseau, bien avant l'apparition de toute note de rançon.
Les enjeux de confidentialité et d'exposition des données
La négociation d'un rançongiciel ne consiste pas seulement à restaurer l'accès aux fichiers chiffrés. Les groupes de rançongiciels modernes volent généralement les données avant de les chiffrer, puis menacent de publier ou de vendre ces informations si le paiement n'est pas effectué. Ce modèle de double extorsion accroît considérablement les enjeux pour la confidentialité. Les dossiers clients, les données des employés et les informations commerciales confidentielles peuvent se retrouver exposés, que l'entreprise paie ou non. Les attaquants sont également devenus plus sophistiqués pour éviter la détection pendant la phase d'intrusion, notamment en utilisant des techniques qui désactivent directement les outils de sécurité, comme le montre le rapport sur le rançongiciel GodDamn abusant d'un pilote signé pour neutraliser les antivirus. Ce type de furtivité signifie qu'une violation peut passer inaperçue beaucoup plus longtemps, laissant aux attaquants plus de temps pour exfiltrer des données sensibles avant que quiconque ne réalise que quelque chose ne va pas.
Ce que cela signifie pour vous
Si vous dirigez ou travaillez dans une entreprise de taille moyenne, le message de Delta Crisis est clair : la préparation face aux rançongiciels n'est plus facultative, et elle commence bien avant qu'une attaque ne se produise. L'hygiène de base, les sauvegardes hors ligne, les plans de réponse aux incidents testés et la formation du personnel contre l'ingénierie sociale restent la défense la plus solide. Si une attaque survient, la décision de payer ou non et la manière de négocier ne doivent jamais être prises de manière isolée ou sous la panique. Les négociateurs expérimentés comprennent la psychologie des attaquants, vérifient les affirmations avant de s'y fier et savent comment gagner du temps sans aggraver les menaces pesant sur les données volées.
Pour les personnes dont les données peuvent se trouver dans les systèmes d'une entreprise, cela souligne également pourquoi les organisations doivent faire preuve de transparence envers leurs clients lorsqu'une violation se produit, puisque les négociations liées aux rançongiciels affectent directement le fait que les informations personnelles restent privées ou finissent par être divulguées.
Points clés à retenir
Les entreprises de toutes tailles doivent traiter les rançongiciels comme un scénario de « quand », et non de « si ». Élaborez un plan de réponse aux incidents avant une attaque, maintenez des sauvegardes hors ligne testées et identifiez à l'avance qui gérera la communication si des extorqueurs prennent contact. Formez le personnel à reconnaître les tentatives d'ingénierie sociale, en particulier l'usurpation d'identité via les outils de collaboration courants. Si une négociation devient nécessaire, faites appel à des professionnels expérimentés plutôt que d'improviser, car la manière dont une entreprise réagit dans les premières heures peut façonner à la fois le résultat financier et la quantité de données personnelles ou d'entreprise finalement exposées.
