Ce que l'étude de Proofpoint a révélé sur les attaques répétées

Une nouvelle étude de l'entreprise de cybersécurité Proofpoint inflige un rappel à la réalité aux organisations qui considèrent le paiement des rançons comme une solution rapide. Selon cette recherche, plus d'un tiers des entreprises ayant payé une demande de rançon ont par la suite été ciblées par une tentative d'extorsion secondaire. En d'autres termes, signer le chèque ne clôt pas l'incident ; pour une part importante des victimes, cela ouvre simplement un nouveau chapitre.

Cette constatation est importante car elle remet en question une hypothèse courante dans les conseils d'administration en situation de crise : que payer les attaquants est le moyen le plus rapide de faire disparaître le problème. Les données de Proofpoint suggèrent le contraire. Dès qu'une entreprise montre qu'elle est prête à payer, elle peut devenir une cible récurrente, que ce soit pour l'attaquant initial ou pour un autre groupe qui a appris que l'organisation est une proie facile.

Pourquoi payer la rançon ne garantit pas la sécurité des données

Le problème central mis en lumière par Proofpoint est que les négociations de rançon reposent sur la confiance envers des criminels qui n'ont aucune obligation contractuelle de respecter leur part du marché. Payer pour déverrouiller des fichiers chiffrés ne garantit pas que les données volées n'ont pas déjà été copiées ailleurs, ni que les attaquants ne revendront pas les identifiants d'accès, les cartes du réseau ou les fichiers exfiltrés à d'autres groupes criminels.

C'est le mécanisme qui sous-tend le cycle d'extorsion répétée décrit par l'étude. Les opérations modernes de rançongiciel s'appuient de plus en plus sur la double extorsion, en chiffrant les systèmes tout en dérobant des données sensibles avant d'exiger un paiement. Même si une clé de déchiffrement est fournie comme promis, les données volées restent elles-mêmes un passif. Elles peuvent être utilisées pour une deuxième pression, vendues sur des places de marché criminelles, ou exploitées par un acteur malveillant entièrement différent qui achète l'accès auprès de l'attaquant initial. Le paiement résout la panne immédiate, mais ne fait rien pour remédier à l'exposition sous-jacente des données de l'organisation.

La menace croissante pour les petites et moyennes entreprises

Alors que les grandes entreprises ont historiquement dominé les gros titres sur les rançongiciels, les petites et moyennes structures sont de plus en plus dans le viseur, souvent parce qu'elles disposent de moins de ressources pour investir dans la détection, la réponse et la récupération. Ces organisations peuvent être particulièrement vulnérables au scénario d'extorsion répétée décrit par Proofpoint, car un seul paiement réussi peut les signaler comme étant à la fois disposées et capables de payer à nouveau.

Cette dynamique est déjà à l'œuvre avec les opérations de rançongiciel en tant que service qui ciblent spécifiquement les petites organisations. Comme détaillé dans la couverture des gangs de rançongiciels Qilin et The Gentlemen qui intensifient leurs attaques contre les PME, ces groupes se disputent la domination en se concentrant sur des entreprises qui peuvent manquer de l'expérience en négociation, du conseil juridique ou de l'infrastructure de réponse aux incidents dont disposent les grandes sociétés. Lorsqu'une petite entreprise paie une fois, elle peut ne pas avoir les ressources pour changer fondamentalement sa posture de sécurité par la suite, laissant les mêmes vulnérabilités ouvertes pour la prochaine tentative.

Réduire vos risques : sauvegardes, chiffrement et planification des incidents

Les conclusions de Proofpoint renforcent un message que les professionnels de la sécurité répètent depuis des années : la prévention et la préparation comptent plus que la négociation. Quelques mesures pratiques peuvent réduire de manière significative à la fois la probabilité d'une attaque et les dommages si elle se produit.

Tout d'abord, conservez des sauvegardes hors ligne ou immuables qui sont testées régulièrement. Le paiement d'une rançon devient souvent la seule option lorsque les sauvegardes sont manquantes, obsolètes ou elles-mêmes chiffrées pendant l'attaque. Deuxièmement, chiffrez les données sensibles au repos et en transit afin que, même si les attaquants exfiltrent des fichiers, les données volées aient une valeur limitée. Troisièmement, établissez un plan de réponse aux incidents avant qu'une attaque ne se produise, et non pendant celle-ci. Ce plan devrait inclure des rôles clairs, des protocoles de communication et des contacts juridiques et d'investigation préalablement vérifiés, afin que les décisions ne soient pas prises dans la panique et sous la pression du temps.

Les organisations devraient également partir du principe que toute donnée touchée par une intrusion pourrait finir par être rendue publique ou revendue, qu'une rançon soit payée ou non. Se préparer à cette éventualité, par le biais de procédures de notification aux clients, d'offres de surveillance du crédit et d'un examen juridique, est bien plus fiable que d'espérer qu'un groupe criminel supprimera les fichiers volés après le paiement.

Ce que cela signifie pour vous

Si votre organisation est un jour confrontée à une demande de rançon, les recherches de Proofpoint suggèrent que la décision de payer ne doit pas être considérée comme une résolution garantie. Le risque de répétition du paiement d'extorsion par rançongiciel est réel et documenté : payer peut vous désigner comme une cible plutôt que de clore l'incident. Que vous dirigiez une petite entreprise ou que vous gériez la sécurité d'une plus grande société, l'hypothèse la plus sûre est que tout événement de rançongiciel peut ne pas être un incident unique à moins que vous ne vous attaquiez aux causes profondes qui ont permis l'intrusion en premier lieu.

Points clés à retenir

  • Ne partez pas du principe que le paiement met fin à la menace. Proofpoint a constaté que plus d'un tiers des victimes qui paient sont confrontées à une deuxième tentative d'extorsion.
  • Donnez la priorité aux sauvegardes immuables et testées afin que le paiement ne soit jamais votre seule voie de récupération.
  • Chiffrez les données sensibles pour limiter les dégâts d'une exfiltration, même si les systèmes sont compromis.
  • Élaborez et répétez un plan de réponse aux incidents avant une attaque, et non pendant celle-ci.
  • Reconnaissez que les petites entreprises sont de plus en plus ciblées par des groupes comme Qilin et The Gentlemen, ce qui rend la défense proactive essentielle, quelle que soit la taille de l'entreprise.