Le ransomware était autrefois un problème simple et brutal : les attaquants verrouillaient vos fichiers et exigeaient un paiement pour la clé. Aujourd'hui, le tableau est plus complexe. Ce guide propose une explication du ransomware à double extorsion pour le grand public, basée sur un récent commentaire en japonais de Masaya Kinoshita qui décrit comment les dommages causés par les ransomwares sont devenus de plus en plus sophistiqués et graves.

Le point central est que la tactique dominante est désormais la « double extorsion ». Les attaquants ne se contentent plus de chiffrer les données. Ils volent aussi des informations et menacent de les divulguer si leurs exigences ne sont pas satisfaites. Ce changement modifie la signification de la défense, tant pour les organisations que pour les individus dont ces organisations détiennent les données.

Comment fonctionne la double extorsion

Dans une attaque par ransomware classique, les criminels chiffrent les fichiers d'une victime et exigent une rançon pour le déchiffrement. La principale question de la victime est de savoir si elle peut restaurer ses systèmes.

La double extorsion ajoute un second levier. Avant ou pendant le chiffrement, les attaquants copient des informations sensibles hors du réseau de la victime. Ils présentent ensuite deux menaces à la fois :

  • Payez, ou vos systèmes restent verrouillés.
  • Payez, ou vos données volées seront publiées.

Le commentaire décrit cette approche comme étant la méthode dominante, et non une pratique exotique. C'est la seconde menace qui rend cette tactique si efficace. Même une victime disposant d'un plan de récupération parfait reste confrontée à la perspective de voir des dossiers clients, des données d'employés ou des documents internes apparaître en public.

Pourquoi les sauvegardes seules ne résolvent plus le problème

La sauvegarde des données reste essentielle. La source insiste sur la nécessité de garantir des sauvegardes robustes comme l'une des mesures spécifiques que les organisations devraient adopter, car de bonnes sauvegardes permettent à une victime de rétablir ses opérations sans payer pour une clé de déchiffrement.

Mais les sauvegardes ne répondent qu'à la menace de chiffrement. Elles ne font rien contre les copies volées. Restaurer vos fichiers à partir d'une sauvegarde propre ne récupère pas vos données depuis le serveur d'un attaquant. Une fois les informations exfiltrées, la victime a perdu le contrôle sur qui les voit, et les criminels le savent.

C'est pourquoi la source associe les sauvegardes à d'autres mesures, telles que l'authentification multifacteur. Empêcher les attaquants d'entrer, ou de se déplacer librement une fois à l'intérieur, est le seul moyen de prévenir le vol dès le départ. Les sauvegardes sont un outil de récupération, pas un outil de prévention.

Ce que les sites de fuite comme RansomHouse signifient pour vos données personnelles

La pression derrière la double extorsion est souvent exercée publiquement. La source fait référence à un site appelé RansomHouse, un exemple de site de fuite où les groupes d'extorsion nomment les victimes et menacent de divulguer ou publient réellement le matériel volé. La vidéo discutée dans le commentaire met en lumière ce type de site comme faisant partie de la menace actuelle.

Pour les personnes ordinaires, le point clé est que vous pouvez être affecté sans jamais être la cible. Si une entreprise, une clinique, une école ou un fournisseur qui détient vos informations est compromis, vos données peuvent faire partie de ce qui est volé. Une inscription sur un site de fuite est un signe que le groupe fait pression sur l'organisation, pas une preuve que l'affirmation est exacte. Par exemple, notre couverture du référencement d'Everest ransomware de Capgemini Engineering note que de telles affirmations ne sont généralement pas vérifiées au moment où elles apparaissent.

Un exemple récent de ce schéma est la violation d'Uber Freight, où le groupe Helix a revendiqué près d'un million de fichiers après avoir référencé l'entreprise sur son site de fuite sur le dark web. L'entreprise a déclaré qu'elle enquêtait sur un incident de sécurité des données. Si vous souhaitez comprendre où vont ensuite les informations volées, notre explication sur ce qui arrive à vos données après une violation couvre la réaction en chaîne qui peut suivre.

Ce que cela signifie pour vous

La plupart des lecteurs ne gèrent pas un réseau d'entreprise, mais vous faites quand même partie de l'histoire de la double extorsion. Vos données résident dans les systèmes d'autres personnes, et vous ne pouvez pas contrôler leur sécurité. Ce que vous pouvez contrôler, c'est l'ampleur des dommages qu'une fuite vous cause.

Un ensemble de données personnelles publié ou vendu peut alimenter le phishing, les tentatives de prise de contrôle de compte et l'usurpation d'identité. La réutilisation de mots de passe aggrave la situation, car un identifiant compromis peut déverrouiller plusieurs comptes. La bonne nouvelle est qu'une poignée d'habitudes limitent considérablement les conséquences.

Étapes pratiques pour les individus et les petites organisations

Pour les individus :

  • Utilisez un mot de passe unique pour chaque compte, stocké dans un gestionnaire de mots de passe.
  • Activez l'authentification multifacteur partout où elle est proposée, en commençant par l'e-mail, les services bancaires et le stockage cloud.
  • Soyez sceptique face aux messages inattendus qui font référence à vos vraies données, car les données divulguées rendent les arnaques plus convaincantes.
  • Si vous êtes notifié d'une violation, changez immédiatement le mot de passe concerné ainsi que tous les autres qui correspondaient.
  • Ne partagez que les informations personnelles dont un service a réellement besoin.

Pour les petites organisations :

  • Maintenez des sauvegardes robustes, et stockez au moins une copie hors ligne ou séparée de votre réseau principal afin que les attaquants ne puissent pas la chiffrer aussi.
  • Exigez l'authentification multifacteur pour le personnel, en particulier pour l'accès à distance et les comptes administrateurs.
  • Collectez et conservez moins de données sensibles. Les informations que vous ne détenez pas ne peuvent pas être volées.
  • Préparez un plan d'incident qui couvre le vol de données, pas seulement la récupération du système, y compris qui vous notifieriez.

Points clés à retenir

Comprendre le ransomware à double extorsion expliqué en termes simples se résume à une idée : le chiffrement est l'attaque visible, et le vol est celle qui dure. Les sauvegardes protègent vos opérations, mais seule la prévention, comme l'authentification multifacteur et la limitation des données stockées, réduit le risque de fuite.

Pour voir ce qui se passe généralement après la prise d'informations, lisez notre guide sur ce qui arrive à vos données après une violation, et consultez le rapport Uber Freight et Helix comme exemple récent d'une inscription d'extorsion sur un site de fuite. Ensuite, prenez dix minutes aujourd'hui pour activer l'authentification multifacteur sur vos comptes les plus importants.