Pourquoi 1 paiement de rançon sur 5 se termine encore par une trahison

Les entreprises néo-zélandaises qui hésitent à payer une demande de rançon viennent d’obtenir une donnée qui donne à réfléchir. Selon des informations sur les entreprises néo-zélandaises les plus susceptibles d’être ciblées par des pirates de rançongiciels, 80 % des victimes ayant payé ont reçu une clé de déchiffrement fonctionnelle et leurs données volées n’ont pas été divulguées comme promis. Cela semble rassurant jusqu’à ce que l’on retourne le chiffre : dans un cas sur cinq, les victimes ont payé et n’ont rien obtenu. Pas de clé, pas de suppression de fichiers, pas d’accord respecté.

Voilà le noyau inconfortable des risques liés au paiement de rançon. Tout le modèle d’extorsion repose sur la conviction des victimes que les criminels tiendront parole, car une réputation de fiabilité incite les futures victimes à payer. Mais la réputation parmi les groupes criminels ne constitue pas un contrat légal, et les informations montrent clairement que certains opérateurs prennent simplement l’argent et disparaissent, ou pire, reviennent chercher plus.

Comment les groupes de rançongiciels ciblent et ré-extorquent les victimes

L’un des détails les plus troublants du rapport concerne un groupe appelé SpaceBears, qui aurait ré-extorqué des victimes ayant déjà payé une première rançon. Au lieu de considérer un paiement comme la fin de l’incident, ces victimes se sont retrouvées à la case départ, confrontées à une deuxième demande pour les mêmes données dérobées. Cette tactique sape le postulat de base selon lequel payer résout le problème. Si un groupe criminel détient vos données, un seul paiement ne garantit pas qu’elles disparaissent de sa possession ou de celle de quiconque à qui il les revendra par la suite.

Les groupes de rançongiciels ont tendance à se concentrer sur les organisations qu’ils estiment plus susceptibles de payer rapidement, souvent parce que le coût de l’indisponibilité ou de l’atteinte à la réputation dépasse la rançon elle-même. Les coûts de récupération après une attaque sont constamment élevés, couvrant l’investigation médico-légale, la reconstruction des systèmes, la consultation juridique et les éventuelles obligations de déclaration réglementaire. Cette pression financière est exactement ce sur quoi les attaquants comptent lorsqu’ils fixent le montant et le délai de leur demande.

Réduire son exposition : les bases de la protection des données et de l’hygiène de sécurité

Étant donné que même un paiement réussi comporte environ 20 % de chances d’échec, et que certains groupes peuvent exploiter les victimes deux fois, la stratégie la plus durable consiste à réduire les probabilités d’une attaque réussie dès le départ. Cela commence par une hygiène de sécurité élémentaire mais souvent négligée : des sauvegardes régulières hors ligne ou immuables que le rançongiciel ne peut pas atteindre, l’application rapide des correctifs pour les vulnérabilités connues, l’authentification multifacteurs sur tous les points d’accès distants et la segmentation du réseau pour qu’un seul compte compromis ne puisse pas se transformer en un chiffrement généralisé.

La minimisation des données compte tout autant que les défenses techniques. Les organisations qui stockent moins de données sensibles, les conservent moins longtemps et chiffrent ce qu’elles gardent donnent moins de levier aux attaquants même en cas de brèche. C’est également là que comprendre la juridiction des VPN devient pertinent pour les entreprises et les particuliers qui manipulent du trafic sensible. Le pays où un fournisseur de services est légalement établi détermine quelles données il peut être contraint de remettre et quels recours juridiques les victimes ont en cas de problème. Choisir des outils et des fournisseurs dotés d’une situation juridictionnelle claire et favorable fait partie d’une posture de défense globale, et n’est pas un enjeu distinct de la prévention contre les rançongiciels.

Les discussions plus larges sur les politiques numériques en Nouvelle-Zélande recoupent également cette question. Comme le montrent les débats autour des projets néo-zélandais de vérification de l’âge, le pays débat activement de la quantité de données personnelles que les plateformes et les régulateurs devraient collecter et conserver. Chaque nouveau réservoir d’informations personnelles stockées constitue une cible potentielle pour les rançongiciels, ce qui fait de la minimisation des données une question de politique publique autant que d’entreprise.

Ce que cela signifie pour les entreprises et les utilisateurs quotidiens

Pour les entreprises néo-zélandaises, la leçon à retenir n’est pas que payer une rançon est toujours inutile. Le chiffre de 80 % montre que les attaquants tiennent souvent leurs promesses. Mais considérer le paiement comme une police d’assurance fiable est une erreur que les données ne confirment pas. Un taux d’échec d’un sur cinq, combiné à des cas documentés d’extorsion répétée, signifie que le paiement doit être un dernier recours, évalué à l’aune des facteurs juridiques, financiers et réputationnels, et non une réponse par défaut inscrite dans un plan de réponse aux incidents.

Pour les utilisateurs ordinaires, la leçon est similaire à plus petite échelle. Les sauvegardes personnelles, les mots de passe uniques et une manipulation prudente des pièces jointes et des liens restent les défenses les moins coûteuses et les plus efficaces contre les rançongiciels qui finissent par atteindre les particuliers via des campagnes d’hameçonnage. La récupération après coup, qu’il s’agisse d’une grande entreprise ou d’un utilisateur domestique, est coûteuse et incertaine comparée à la prévention.

Points clés à retenir

  • Environ 20 % des victimes de rançongiciels qui paient ne reçoivent rien en retour, malgré les promesses de clés de déchiffrement et de suppression des données.
  • Certains groupes de rançongiciels, dont SpaceBears, ont ré-extorqué des victimes ayant déjà payé une fois.
  • Des sauvegardes hors ligne fiables et des contrôles d’accès solides réduisent la dépendance aux paiements de rançon.
  • La minimisation des données et la prise de conscience de la juridiction des fournisseurs diminuent le levier que les attaquants peuvent exercer sur vous.
  • Les risques liés au paiement de rançon doivent être intégrés à la planification de réponse aux incidents de chaque organisation, et pas seulement au coût immédiat de la demande.

Comprendre les risques liés au paiement de rançon consiste au fond à reconnaître que la prévention, la discipline de sauvegarde et une gestion rigoureuse des données offrent plus de certitude que de faire confiance à une entreprise criminelle pour honorer son côté d’un marché d’extorsion.