Quand les forces de l’ordre ont jeté un coup d’œil derrière le rideau

En février 2024, une coalition d’agences internationales de maintien de l’ordre a démantelé l’infrastructure derrière LockBit, l’une des opérations de ransomware les plus prolifiques de mémoire récente. Ce que les enquêteurs ont trouvé lorsqu’ils ont eu accès aux systèmes de LockBit ne se limitait pas à des preuves d’activité criminelle. Ils ont découvert que le groupe avait conservé des copies des données volées aux victimes, même après avoir affirmé à ces victimes, souvent en échange d’un paiement, que les données avaient été supprimées.

Ce simple détail a une importance bien plus grande qu’il n’y paraît à première vue. Pendant des années, le manuel standard des organisations frappées par un ransomware a inclus une option discrète et inconfortable : payer la rançon, obtenir de l’attaquant une promesse de suppression et passer à autre chose. La révélation concernant LockBit confirme ce que de nombreux chercheurs en sécurité soupçonnaient depuis longtemps. Cette promesse ne vaut souvent rien, et les victimes n’ont généralement aucun moyen de le savoir.

L’écart entre ce que l’on dit aux victimes et ce qui se passe réellement

Les négociations de ransomware se déroulent habituellement à l’abri des regards, sous la médiation d’entreprises de réponse aux incidents, d’assureurs ou des organisations victimes elles-mêmes. Lorsqu’un groupe criminel prétend avoir supprimé les fichiers volés, il est rarement possible de vérifier cette affirmation de manière indépendante. On demande en réalité aux victimes de faire confiance au même acteur qui s’est introduit dans leurs systèmes et a dérobé leurs données.

Le cas LockBit montre pourquoi cette confiance est mal placée. Même lorsqu’une entreprise criminelle est suffisamment sophistiquée pour gérer une véritable opération de « service client » à destination de ses victimes, avec des portails de négociation et des certificats de suppression, l’incitation sous-jacente à détruire effectivement les précieuses données volées n’existe tout simplement pas. Les données ont une valeur de revente, un effet de levier et une valeur potentielle d’extorsion future. Les supprimer va à l’encontre des intérêts de l’attaquant.

Ce décalage fait rarement la une de l’actualité au même titre qu’une annonce de violation. Les entreprises qui paient discrètement pour faire disparaître un problème n’ont guère de raison de rendre public le fait que la promesse de suppression n’a pas été honorée, surtout si elles ne l’apprennent jamais. Ce silence explique en partie pourquoi les conséquences néfastes surviennent plus souvent que ne le laisse paraître le bilan public. Le démantèlement de l’infrastructure de LockBit est l’un des rares cas où l’écart entre la promesse et la réalité est apparu au grand jour, un peu à la manière dont la perturbation par Google d’un réseau de piratage lié au PCC a levé le voile sur des activités qui, autrement, seraient restées cachées pour les organisations concernées.

Pourquoi cela devrait changer la façon dont les organisations envisagent les ransomwares

La leçon pratique n’est pas que payer une rançon est toujours un mauvais choix. Chaque incident s’accompagne de ses propres contraintes juridiques, opérationnelles et financières, et certaines organisations peuvent toujours estimer que le paiement est la moins mauvaise option. La leçon, c’est que le paiement ne doit jamais être considéré comme une résolution d’un problème d’exposition des données.

Dès lors que les données échappent au contrôle d’une organisation, elles doivent être traitées comme définitivement compromises, quelles que soient les assurances reçues par la suite. Cela signifie que les obligations de notification, les communications aux clients et les évaluations de risques doivent être menées comme si les données volées continuaient de circuler, car il est tout à fait possible que ce soit le cas. Les polices d’assurance cyber et les plans de réponse aux incidents qui partent du principe que tout sera réglé une fois le paiement effectué reposent sur un postulat dépassé et de plus en plus discrédité.

Ce que cela signifie pour vous

Pour les personnes dont les données ont pu être emportées dans une violation liée à une attaque par ransomware, la révélation LockBit est un rappel à ne pas baisser la garde simplement parce qu’une entreprise annonce que l’incident est « résolu ». Une promesse de suppression de la part de criminels n’est pas une garantie, et vos informations peuvent rester exposées bien après la disparition des gros titres.

Pour les entreprises, en particulier les petites et moyennes qui ne disposent pas d’équipes de sécurité dédiées, cela plaide en faveur de la prévention plutôt que de la négociation. De solides pratiques de sauvegarde, une segmentation réseau et une hygiène de base des terminaux réduisent les chances de se retrouver un jour dans une situation où l’on dépend de la parole d’un maître chanteur. Revoir la manière dont les comptes personnels et professionnels sont protégés, y compris si le trafic sensible est acheminé via des connexions sécurisées, est un point de départ raisonnable ; certaines organisations consultent des options comme celles que l’on trouve sur les pages comparant des fournisseurs tels que IVPN ou Mozilla VPN dans le cadre d’un effort plus large visant à réduire leur exposition, même si aucun outil unique ne saurait remplacer une stratégie de sécurité complète.

Points d’action à retenir

  • Partez du principe que toute donnée volée lors d’un incident de ransomware reste en danger indéfiniment, même si une promesse de suppression a été faite.
  • Ne permettez pas qu’un paiement de rançon remplace une notification complète de violation ni les mesures de protection des clients.
  • Priorisez les sauvegardes et la segmentation réseau afin que payer les attaquants ne soit jamais la seule option sur la table.
  • Si vous êtes informé que vos données ont été impliquées dans une violation, surveillez vos comptes et vos rapports de crédit bien au-delà de l’annonce initiale.
  • Exigez de la transparence de la part de toute organisation qui gère vos données sur la façon dont elle répond aux incidents de ransomware, et pas seulement sur le fait qu’elle ait payé ou non.

Le démantèlement de LockBit a offert un aperçu rare et sans filtre de la manière dont l’extorsion informatique se déroule réellement lorsque les criminels ne contrôlent plus le récit. Traiter les promesses de suppression comme des faits avérés, plutôt que comme des affirmations non vérifiées émanant d’un acteur hostile, a laissé trop de victimes avec un faux sentiment de clôture. Rester sceptique et rester préparé demeure la meilleure stratégie à long terme.