Des enquêteurs fédéraux auraient identifié des dirigeants de deux cabinets distincts de négociation d'incidents cyber ayant entretenu des relations inhabituellement étroites avec le groupe d'extorsion ShinyHunters. Selon les reportages de KrebsOnSecurity résumés par Security Arsenal, un dirigeant basé aux États-Unis aurait même été plus loin et aurait contribué à exploiter le site utilisé pour faire pression sur les victimes afin qu'elles paient. L'allégation concernant le site d'extorsion du négociateur de rançons ShinyHunters n'est encore qu'une allégation, mais elle soulève une question difficile pour quiconque dont les données se trouvent chez une entreprise susceptible d'être un jour victime d'une violation : qui est réellement de l'autre côté de la table ?

Ce que les enquêteurs allèguent au sujet des négociateurs et de ShinyHunters

Les reportages indiquent que des enquêteurs fédéraux, travaillant avec des données du FBI, ont identifié des dirigeants de deux cabinets de négociation ayant eu des contacts étroits avec ShinyHunters. L'un d'eux, un dirigeant basé aux États-Unis, aurait contribué à gérer le site que le groupe utilisait pour faire pression sur les victimes afin qu'elles paient des rançons.

Quelques points méritent d'être gardés à l'esprit. Le résumé disponible n'expose pas de chefs d'accusation, et les affirmations proviennent de reportages sur ce que les enquêteurs soupçonnent. Ni les dirigeants ni leurs cabinets ne sont nommés dans les documents que nous avons examinés, nous ne spéculerons donc pas sur leur identité. Considérez cela comme une affaire en cours et attendez-vous à ce que les détails changent à mesure que d'autres informations seront confirmées.

Comment fonctionnent la négociation de rançons et les sites d'extorsion

Lorsqu'une entreprise est victime d'un vol de données ou d'une attaque par rançongiciel, elle fait souvent appel à un cabinet externe pour gérer la communication avec les attaquants. Ces négociateurs vérifient généralement ce qui a été volé, tentent de réduire la demande et organisent le paiement si l'entreprise décide de payer. Parce qu'ils parlent directement aux criminels, ils détiennent des informations sensibles : combien la victime peut se permettre de payer, quelles données ont été dérobées et à quel point l'échéance de l'entreprise est urgente.

Les sites d'extorsion sont l'outil de pression de l'autre côté. Des groupes comme ShinyHunters utilisent un site web pour nommer les victimes, menacer de publier les données volées et pousser les entreprises vers un accord. Le site fait partie de l'argumentaire de vente : plus la menace est crédible et effrayante, plus la victime est susceptible de payer.

C'est pourquoi l'allégation compte. Si un négociateur a aussi contribué à gérer le site de pression, la même personne pourrait, en théorie, être à la fois le conseiller de confiance de la victime et un participant à la menace. C'est un conflit d'intérêts textbook, et la victime pourrait ne pas en être informée.

Pourquoi un conflit d'intérêts dans la réponse aux incidents compte

La réponse aux incidents repose sur la confiance. Une entreprise victime d'une violation remet des journaux, des détails sur son réseau et des informations commerciales sensibles aux personnes qui l'aident à se rétablir. Si l'un de ces conseillers a des liens avec les attaquants, plusieurs choses pourraient mal tourner :

  • Le levier de négociation peut fuiter. Connaître le budget ou l'échéance d'une victime aide un maître chanteur à fixer le prix.
  • Les conseils peuvent être biaisés. Un conseiller en conflit d'intérêts pourrait orienter une entreprise vers le paiement plutôt que vers une autre voie de rétablissement.
  • Le traitement des données devient incertain. Le paiement est censé acheter la suppression des données volées, mais, comme dans d'autres affaires d'extorsion récentes, il n'y a aucun moyen d'être certain que les données ont réellement disparu.

Pour les clients, patients, étudiants ou employés dont les dossiers se trouvent dans l'entreprise victime, cela échappe à leur contrôle. Vous ne choisissez pas le négociateur, et vous apprenez rarement qui c'était. À l'échelle du secteur, c'est une raison de demander une vérification plus claire et une divulgation des conflits d'intérêts, et pour les régulateurs et les assureurs d'examiner comment ces cabinets sont contrôlés.

Ce que cela signifie pour vous

Vous ne pouvez pas auditer les partenaires de réponse aux incidents de vos fournisseurs. Ce que vous pouvez faire, c'est limiter les dégâts si vos données finissent entre de mauvaises mains, peu importe qui a géré la négociation. Partez du principe qu'un paiement ne garantit pas que vos informations ont été détruites, et que les détails volés peuvent être réutilisés dans des arnaques ultérieures. Les groupes d'extorsion et les imitateurs exploitent aussi l'actualité des violations : un faux e-mail de sextorsion ShinyHunters, par exemple, aurait utilisé de vrais détails de violation pour rendre les menaces crédibles.

Que faire si une entreprise que vous utilisez est victime d'une violation

Quand un avis de violation arrive, agissez plutôt que d'attendre que l'histoire se stabilise :

  1. Changez les mots de passe réutilisés. Commencez par le service concerné, puis tout autre compte partageant le même mot de passe. Utilisez un mot de passe unique pour chaque compte, idéalement stocké dans un gestionnaire de mots de passe.
  2. Activez l'authentification multifacteur. Privilégiez une application d'authentification ou une clé matérielle plutôt que le SMS lorsque c'est possible.
  3. Surveillez les e-mails d'hameçonnage et d'extorsion. Soyez sceptique face aux messages qui citent de vrais détails vous concernant et exigent de l'argent ou une action urgente. Ne répondez pas, ne cliquez pas sur les liens et n'ouvrez pas les pièces jointes. Rendez-vous directement sur le site officiel de l'entreprise.
  4. Vérifiez l'avis lui-même. Confirmez qu'il provient bien de l'entreprise via un canal que vous pouvez vérifier, car les attaquants imitent les notifications de violation.
  5. Surveillez vos comptes. Examinez vos relevés bancaires et de carte, et envisagez un gel de crédit si l'avis indique que des données financières ou d'identité ont été exposées.

L'essentiel

Le lien allégué entre un négociateur de rançons et un site d'extorsion de ShinyHunters n'est pas encore une affaire réglée, mais il montre à quel point la réponse aux violations repose sur une confiance que les particuliers ne peuvent pas constater. Jusqu'à ce que les faits soient pleinement établis, l'approche raisonnable est de vous protéger de la même manière à chaque fois : des mots de passe uniques, l'authentification multifacteur et une saine méfiance envers tout message qui s'appuie sur vos données fuitées pour vous effrayer. Faites cela après tout avis de violation, et vous réduisez la valeur de ce que les attaquants, ou leurs intermédiaires, détiennent.