Les victimes de ransomware qui paient en espérant faire disparaître le problème sont souvent déçues. Une nouvelle étude mondiale, le rapport AI-Era Ransomware Report, a interrogé près de 1 000 professionnels de la sécurité sur 12 marchés et a constaté que payer une rançon est loin d'être une solution garantie. Ces résultats apportent un poids supplémentaire à un avertissement que les chercheurs en sécurité répètent depuis des années : les paiements de rançon répétés en cas de double extorsion sont un risque réel et croissant, et non un cas limite rare.

Ce que révèle le rapport AI-Era Ransomware Report

L'enquête dresse un tableau saisissant de la manière dont les organisations réagissent une fois qu'une attaque de ransomware frappe. Plus de la moitié des organisations ayant subi une attaque, soit 54 %, ont fini par payer une rançon pour tenter de restaurer leurs données sensibles. Parmi celles qui ont payé, 56 % ont effectivement retrouvé l'accès à leurs fichiers ou systèmes. Mais le chiffre le plus préoccupant concerne la suite : plus d'un tiers des victimes, soit 37 %, ont reçu une deuxième demande d'extorsion après avoir déjà payé la première.

Cette statistique à elle seule devrait remodeler la façon dont les organisations envisagent la réponse aux ransomwares. Payer n'est pas une transaction ponctuelle qui clôt l'incident. Pour plus d'un tiers des victimes de cette étude, ce n'était que le premier mouvement d'un cycle plus long et plus coûteux.

Pourquoi payer ne garantit ni la sécurité ni la récupération des données

Il vaut la peine de s'attarder sur les chiffres. Même parmi les organisations qui ont payé, près de la moitié n'ont pas complètement récupéré leurs données. Et une grande partie de celles qui ont récupéré leurs fichiers ont ensuite été à nouveau ciblées, que ce soit par le même attaquant exigeant plus d'argent ou par un groupe différent ayant vu dans le paiement la preuve que la victime était prête à négocier.

Ce schéma concorde avec d'autres recherches récentes. Une enquête Proofpoint couverte par vpn.social a également constaté que payer les gangs de ransomware se retourne souvent contre les victimes, une part importante de celles qui paient faisant face à de nouvelles tentatives d'extorsion. Une fois qu'une organisation paie, elle peut se retrouver sur une liste de payeurs confirmés, une information qui circule parmi les groupes criminels et qui en fait une cible plus attrayante pour de futures attaques, et non moins attrayante.

Il n'existe par ailleurs aucun contrat exécutoire dans une négociation de ransomware. Les attaquants n'ont aucune incitation légale ou réputationnelle à honorer leur part du marché une fois l'argent transféré. Les clés de déchiffrement peuvent être incomplètes, buguées ou tout simplement jamais livrées. Les données volées et utilisées comme levier peuvent toujours être vendues, divulguées ou conservées pour un second round d'extorsion, indépendamment de ce qui a été promis.

Les alternatives à la prévention : sauvegardes, chiffrement et segmentation du réseau

Compte tenu de ces probabilités, la stratégie la plus résiliente consiste à réduire la probabilité d'avoir à décider un jour de payer ou non. Quelques pratiques se révèlent systématiquement efficaces comme défenses :

  • Maintenir des sauvegardes hors ligne et testées. Des sauvegardes déconnectées du réseau principal et régulièrement testées pour la restauration permettent à une organisation de se remettre sans négocier avec un attaquant.
  • Chiffrer les données sensibles au repos et en transit. Même si les attaquants exfiltrent des fichiers, un chiffrement fort limite ce qu'ils peuvent réellement utiliser ou vendre, réduisant ainsi le levier derrière une menace de fuite de données.
  • Segmenter les réseaux. Diviser les systèmes en zones isolées limite la propagation du ransomware une fois qu'il a pris pied, contenant les dommages à une plus petite partie de l'organisation.
  • Appliquer correctement les correctifs et surveiller en continu. De nombreuses intrusions par ransomware exploitent encore des vulnérabilités connues non corrigées ou des identifiants d'accès à distance faibles ; une hygiène de base ferme donc une grande partie des points d'entrée.

Aucune de ces mesures ne rend une organisation immune à l'attaque, mais ensemble, elles réduisent à la fois la probabilité d'une brèche réussie et la pression à payer si une brèche se produit.

Élaborer un plan de réponse aux incidents avant qu'une attaque ne frappe

Les organisations qui s'en sortent le mieux après un incident de ransomware sont généralement celles qui avaient déjà répété leur réponse avant l'attaque. Cela implique un plan documenté qui précise qui prend la décision de payer ou non, quels contacts juridiques et policiers sont notifiés, comment les communications avec les employés et les clients sont gérées, et comment les systèmes sont isolés et restaurés.

Réaliser des exercices de simulation, où le personnel déroule un scénario d'attaque simulée, aide à faire apparaître les lacunes du plan sans qu'il n'y ait de pression réelle. Cela accélère également la réponse réelle lorsqu'un incident survient, réduisant la fenêtre d'exposition et diminuant la tentation de payer simplement parce qu'aucune autre option ne semble prête.

Ce que cela signifie pour vous

Pour les responsables informatiques et les équipes de sécurité, ce rapport rappelle que les paiements de rançon répétés en cas de double extorsion sont suffisamment courants pour être intégrés à la planification, et non un cas extrême. Traitez le paiement d'une rançon comme un dernier recours avec une réelle chance d'échec, et non comme une police d'assurance fiable. Budgetisez la prévention (sauvegardes, segmentation, surveillance) comme vous le feriez pour tout autre coût d'infrastructure essentiel, car les chiffres suggèrent que c'est moins cher à long terme que des négociations répétées avec des attaquants.

Pour les utilisateurs individuels et les petites organisations sans équipe de sécurité dédiée, les mêmes principes s'appliquent à plus petite échelle : conservez une copie hors ligne de tout ce qui est irremplaçable, utilisez le chiffrement lorsqu'il est disponible, et sachez à l'avance qui vous appelleriez si vos systèmes étaient un jour verrouillés.

Points clés à retenir

  • 54 % des organisations interrogées ayant subi une attaque de ransomware ont payé la rançon, mais seulement 56 % des payeurs ont pleinement retrouvé l'accès à leurs données.
  • 37 % des organisations ayant payé ont été frappées par une deuxième demande d'extorsion, montrant que payer ne met pas fin au risque.
  • Les sauvegardes hors ligne, le chiffrement et la segmentation du réseau réduisent à la fois les chances d'une attaque réussie et la pression à payer.
  • Un plan de réponse aux incidents testé, élaboré avant qu'une attaque ne survienne, raccourcit le temps de récupération et réduit la dépendance aux paiements de rançon.
  • Les lecteurs peuvent consulter les résultats de l'enquête Proofpoint pour des données corroborantes supplémentaires sur la fréquence à laquelle les paiements de rançon échouent à résoudre une attaque.