Lorsqu'un grand opérateur logistique est victime d'une cyberattaque, la première question porte généralement sur les chaînes d'approvisionnement. Un récent commentaire demandait si la cyberattaque contre DP World mettait en danger le commerce australien, et sa réponse était : probablement pas, cette fois-ci. Ce titre est rassurant sur le plan économique. Il laisse toutefois une seconde question en suspens, une question qui compte pour les gens ordinaires : qu'advient-il des données lorsque des attaquants pénètrent dans une grande organisation ? Ce guide utilise l'incident de DP World comme étude de cas pour expliquer la double extorsion par rançongiciel en termes simples.
Ce qui s'est passé dans l'attaque de DP World
Le commentaire source présente l'incident de DP World comme s'inscrivant dans une montée plus large des rançongiciels. Il évoque des attaques liées à des gangs cybercriminels prolifiques, notamment REvil et, plus récemment, LockBit. Sa question centrale porte sur l'exposition du commerce national, et sa conclusion est que le risque pour le commerce australien était probablement limité à cette occasion.
L'extrait dont nous disposons ne détaille pas les aspects techniques de l'intrusion, nous ne spéculerons donc pas sur la manière dont les attaquants sont entrés, sur ce qu'ils ont dérobé ou sur les responsables. Ce que le commentaire fournit, en revanche, c'est une description claire du fonctionnement habituel de ce type d'attaque. C'est cette description qui est utile aux lecteurs.
La double extorsion par rançongiciel expliquée
Le rançongiciel traditionnel était simple : les criminels chiffraient les fichiers d'une organisation et exigeaient un paiement pour les déverrouiller. Si la victime disposait de bonnes sauvegardes, elle pouvait souvent restaurer ses systèmes et refuser de payer.
Tel que le décrit le commentaire, une attaque moderne se déroule généralement en deux étapes :
- Les données sont extraites. Les attaquants copient des données hors des systèmes de l'organisation.
- Les données sont rendues inaccessibles. Les fichiers originaux sont ensuite généralement chiffrés afin que le personnel et les clients ne puissent plus les utiliser.
L'organisation reçoit alors une demande de rançon pour « déverrouiller » les données, souvent payable en crypto-monnaie.
La double extorsion est la tendance qui a changé les calculs. Parce que les données ont été copiées avant d'être verrouillées, les attaquants détiennent une seconde source de levier. Même si une victime restaure tout à partir de sauvegardes, les criminels peuvent encore menacer de publier ou de vendre ce qu'ils ont dérobé. Payer pour le déchiffrement et payer pour le silence deviennent deux pressions distinctes sur la même victime.
C'est pourquoi la question du commerce de DP World et celle de la sécurité personnelle sont différentes. Une organisation peut continuer à fonctionner, et l'économie peut encaisser la perturbation, tandis que les données volées restent entre des mains criminelles.
Pour du contexte sur les personnes derrière ces opérations, notre article sur un tribunal suisse condamnant un développeur ukrainien à 13 ans pour Nefilim montre que les développeurs de rançongiciels peuvent finir par faire face à de réelles conséquences, même si l'affaire remonte à une attaque de 2020, rappelant la lenteur de la justice comparée à la rapidité avec laquelle les dégâts se propagent.
Ce que les données volées signifient pour les individus
La plupart des gens ne seront jamais la cible directe d'un gang de rançongiciels. Mais les grandes organisations détiennent des données sur les clients, les employés et les partenaires, et c'est ce qui finit sur la table lors d'une attaque par double extorsion.
Le risque pour vous est rarement immédiat. Il tend à s'accumuler avec le temps :
- Les dossiers divulgués sont réutilisés. Une fois que des données personnelles circulent sur des forums criminels, elles peuvent être combinées à d'autres fuites pour construire un profil plus complet de vous.
- L'hameçonnage devient plus convaincant. Un message qui utilise votre vrai nom, votre employeur ou les détails de votre compte est bien plus difficile à repérer comme faux.
- Les documents d'identité sont particulièrement sensibles. Contrairement à un mot de passe, vous ne pouvez pas simplement changer un permis scanné. Une annonce revendiquée de 153 millions de scans de permis liés à IDScan.net est un bon exemple de la manière dont des dossiers personnels divulgués peuvent créer un risque durable, même lorsque l'allégation sous-jacente est encore en cours d'évaluation.
Les attaques peuvent aussi avoir des effets au-delà des données. Lorsqu'un gouvernement a mis hors ligne des dizaines de systèmes volontairement après un incident, comme l'explique notre article sur la Moldavie mettant 82 services publics hors ligne, cela a montré comment la perturbation et l'exposition des données peuvent survenir ensemble.
Mesures pratiques pour réduire votre exposition
Vous ne pouvez pas empêcher une entreprise avec laquelle vous traitez d'être compromise. Vous pouvez limiter les dégâts qu'une fuite vous cause.
- Utilisez un mot de passe unique pour chaque compte. Un gestionnaire de mots de passe rend cela réaliste. Si un service fuit, les autres restent sûrs.
- Activez l'authentification multifacteur, en particulier pour l'e-mail, les services bancaires et tout compte lié à votre identité.
- Traitez les messages inattendus avec méfiance. Si un e-mail ou un texto mentionne une récente violation, rendez-vous vous-même sur le site officiel de l'organisation plutôt que de cliquer sur un lien.
- Partagez moins. Ne donnez aux organisations que les données dont elles ont réellement besoin, et supprimez les anciens comptes que vous n'utilisez plus.
- Surveillez vos comptes. Vérifiez régulièrement vos relevés bancaires et de carte, et envisagez un gel ou une alerte de rapport de crédit là où votre pays en propose.
- Ne présumez jamais qu'un avis de violation est inoffensif. Si l'on vous informe que vos données sont concernées, changez les mots de passe pertinents et restez vigilant face aux arnaques ciblées pendant des mois ensuite.
Ce que cela signifie pour vous
La question phare concernant DP World était de savoir si le commerce était en danger, et la réponse, selon le commentaire, était probablement pas cette fois-ci. Pour les individus, la leçon la plus durable concerne les données. Dans le cadre de la double extorsion, restaurer les systèmes n'annule pas un vol. Vos informations peuvent rester en circulation bien après qu'une organisation s'est rétablie et que le cycle de l'actualité est passé à autre chose.
Ce n'est pas une raison de s'alarmer. C'est une raison de partir du principe qu'une partie de vos données finira par être exposée quelque part, et de configurer vos comptes pour que cette exposition soit surmontable.
Points clés à retenir
Maintenant que la double extorsion par rançongiciel est expliquée, le schéma est clair : voler d'abord, chiffrer ensuite, puis faire pression sur la victime deux fois. Resserrez vos habitudes dès maintenant plutôt qu'après la réception d'un avis de violation. Passez en revue vos mots de passe, activez l'authentification multifacteur et méfiez-vous des messages qui semblent trop en savoir sur vous. Pour un regard plus attentif sur la persistance des dossiers divulgués, lisez notre couverture de l'affaire IDScan.net, et pour du contexte sur les acteurs derrière les rançongiciels, consultez notre article sur la condamnation dans l'affaire Nefilim.
