La double extorsion expliquée : le cycle de vie d’une attaque par ransomware

Les ransomwares ont bien évolué au-delà du simple chiffrement de fichiers. Les attaques les plus dévastatrices d’aujourd’hui suivent un cycle de vie prévisible qui se termine non pas par une, mais par deux demandes de rançon. Comprendre comment ce processus se déroule, et là où les défenses courantes comme les VPN montrent leurs limites, est la première étape pour construire une posture de sécurité capable d’y résister.

Le cycle de vie d’une attaque par ransomware, étape par étape

Les campagnes modernes de ransomware commencent rarement par le chiffrement. Celui-ci constitue l’acte final, pas le premier mouvement. Dans les cas avancés, les attaquants accèdent d’abord au réseau, souvent via des identifiants volés, du hameçonnage ou une vulnérabilité exposée. Une fois à l’intérieur, ils explorent discrètement l’environnement, élèvent leurs privilèges et identifient les données les plus sensibles ou précieuses.

Voici le point crucial : avant que le moindre fichier ne soit verrouillé, les attaquants exfiltrent ces données sensibles vers des serveurs qu’ils contrôlent. Cette étape, parfois négligée dans les anciennes descriptions des ransomwares, est désormais une pratique courante parmi les groupes sophistiqués. Ce n’est qu’une fois les données copiées que le logiciel malveillant passe au chiffrement des fichiers sur les systèmes de la victime, les rendant inaccessibles en une rafale rapide, souvent automatisée.

Avec ces deux leviers en main – des systèmes chiffrés et des données volées –, les attaquants présentent leur demande de rançon. C’est là qu’intervient la « double extorsion ». Les victimes subissent des pressions pour payer non seulement une clé de déchiffrement afin de restaurer leurs systèmes, mais aussi pour empêcher la divulgation ou la vente publique d’informations confidentielles. Refuser de payer ne risque plus seulement une perte de données définitive ; cela expose à une fuite publique de dossiers clients, de données financières ou de propriété intellectuelle.

Cette campagne de pression à deux volets est devenue si courante que certains acteurs malveillants se passent désormais totalement du chiffrement et s’appuient uniquement sur la menace de divulgation des données. De récentes campagnes d’extorsion liées à des groupes comme Clop l’ont clairement montré, comme en témoignent la vague d’extorsion Clop via PLM frappant les systèmes PTC Windchill et la campagne de ransomware Clop contre PTC Windchill et FlexPLM, où les données volées elles-mêmes sont devenues le principal levier.

Pourquoi un VPN ne vous protège pas entièrement

Un VPN chiffre votre connexion Internet et peut empêcher l’interception de votre trafic ou le suivi de votre localisation. C’est précieux, mais cela ne couvre qu’une infime partie de la surface de risque. Un VPN ne fait rien contre un attaquant qui a déjà obtenu des identifiants valides, exploité une faille logicielle ou convaincu un employé de cliquer sur un lien malveillant. Une fois à l’intérieur du réseau, les opérateurs de ransomware se déplacent latéralement entre les systèmes internes, exfiltrent des données et déploient des modules de chiffrement, indépendamment de la manière dont quiconque s’est connecté à Internet au départ.

Autrement dit, un VPN protège le tunnel, pas la destination. Il ne peut pas inspecter ce qui se passe à l’intérieur de votre réseau, détecter des transferts de données inhabituels ni empêcher l’exécution d’un logiciel malveillant une fois qu’il a pris pied. Considérer un VPN comme une défense complète contre les ransomwares crée un angle mort dangereux, surtout à mesure que les attaques deviennent plus automatisées. Des chercheurs en sécurité ont même documenté des cas d’attaques par ransomware entièrement autonomes pilotées par IA, où un agent IA gérait la reconnaissance, l’exploitation et l’extorsion sans qu’aucun opérateur humain ne dirige chaque étape. De telles menaces agissent plus vite que ce que la portée d’un VPN n’a jamais été conçue pour contrer.

Pourquoi payer ne garantit pas la sécurité

Même les organisations qui paient une rançon découvrent souvent que le problème n’est pas terminé. Une étude récente sur les victimes de ransomware au Royaume-Uni a révélé qu’une part significative des organisations ayant payé se retrouvaient confrontées à une seconde vague d’extorsion, que ce soit par de nouvelles demandes, des fuites supplémentaires ou des attaques entièrement nouvelles. Ces données confirment une dure réalité : la double extorsion ne s’arrête pas après le paiement. Payer peut faire gagner du temps, mais cela n’efface pas le fait que vos données ont été volées ni ne rétablit la certitude que la brèche a été entièrement circonscrite.

Ce que cela signifie pour vous

Que vous gériez le réseau d’une petite entreprise ou que vous cherchiez simplement à comprendre les risques liés aux systèmes dont vous dépendez, le cycle de vie des attaques par ransomware doit redéfinir votre manière d’envisager la protection. La prévention doit intervenir bien avant le moindre chiffrement, car lorsque les fichiers sont verrouillés, les données sensibles ont généralement déjà quitté les lieux.

Cela signifie que les défenses en couches comptent bien plus qu’un seul outil. Des sauvegardes régulières, testées et stockées hors ligne ou dans des environnements isolés réduisent le levier que le chiffrement donne aux attaquants. La segmentation du réseau limite la distance qu’un intrus peut parcourir une fois l’accès initial obtenu. Une surveillance continue des transferts de données inhabituels permet de détecter l’exfiltration avant qu’elle ne se transforme en véritable extorsion. L’authentification multifacteur et l’application rapide des correctifs ferment un grand nombre des points d’accès initiaux sur lesquels les attaquants s’appuient.

Mesures à prendre concrètement

Partez du principe que toute couche de sécurité unique, y compris un VPN, peut être contournée. Sauvegardez les données critiques selon un calendrier que vous testez réellement, pas seulement que vous supposez fonctionnel. Segmentez votre réseau pour qu’un seul compte compromis ne puisse pas tout atteindre. Surveillez les flux de données sortants pour détecter des anomalies, car l’exfiltration précède souvent le chiffrement de plusieurs heures ou jours. Et élaborez dès maintenant un plan de réponse aux incidents, avant d’en avoir besoin, afin de ne pas prendre les décisions concernant les demandes de rançon sous la pression. Comprendre l’intégralité du cycle de vie d’une attaque par ransomware, et pas seulement le moment où les fichiers sont verrouillés, c’est ce qui distingue les organisations qui se rétablissent rapidement de celles qui n’y parviennent pas.