Les entreprises continuent de payer les rançons, selon de nouvelles données

Malgré des années de recommandations incitant les organisations à refuser les demandes de rançon, de nombreuses entreprises continuent de signer des chèques aux cybercriminels. Une nouvelle étude de l'entreprise de sécurité Proofpoint révèle que près d'un quart (22 %) des entreprises ayant payé une rançon ont été de nouveau frappées par une seconde demande d'extorsion, un chiffre qui soulève de sérieuses questions quant à l'efficacité réelle du paiement.

Cette étude paraît au moment où les autorités exhortent plus que jamais les organisations à tenir tête aux attaquants. Le National Cyber Security Centre (NCSC) britannique déconseille depuis longtemps le paiement des rançons, avertissant que cela encourage de nouvelles attaques et n'offre aucune garantie que les données volées ou chiffrées seront réellement restituées. Pourtant, les conclusions de Proofpoint suggèrent que les recommandations officielles et les décisions du monde réel sont souvent deux choses très différentes.

Pourquoi les entreprises paient malgré tout

Les attaques par rançongiciel mettent les entreprises dans une position peu enviable. Lorsque les systèmes sont verrouillés ou que des données sensibles sont menacées de divulgation publique, les dirigeants sont souvent contraints de peser le préjudice réputationnel, l'exposition réglementaire et l'interruption des activités par rapport au coût du paiement d'une rançon. Pour de nombreuses organisations, payer peut sembler être le moyen le plus rapide de revenir à la normale, même si les experts en sécurité avertissent que cela se déroule rarement aussi proprement.

Ce calcul devient encore plus périlleux compte tenu de la professionnalisation du secteur des rançongiciels. La négociation est devenue une véritable activité artisanale, avec des cabinets embauchés spécialement pour communiquer avec les attaquants et tenter de réduire les exigences. Mais ce secteur n'a pas été sans controverse. Dans une affaire notable, un négociateur professionnel a été condamné à 70 mois de prison pour son rôle dans une transaction avec le rançongiciel BlackCat, un rappel brutal que les personnes qui négocient ces paiements n'agissent pas toujours dans l'intérêt de l'entreprise. Une affaire connexe impliquant le même négociateur, identifié comme Martino dans les archives judiciaires, souligne encore plus à quel point l'écosystème du paiement de rançons peut devenir trouble et juridiquement risqué dès qu'un intermédiaire s'en mêle.

Le coût en matière de vie privée du paiement

Le chiffre de 22 % de récidive d'extorsion est significatif car il contredit la principale justification avancée par la plupart des entreprises pour payer : que cela règle le problème. Si près d'un quart des victimes sont de nouveau ciblées après avoir payé, le paiement n'achète pas la sécurité. Il ne fait peut-être que confirmer aux attaquants que l'organisation est disposée et capable de payer, ce qui en fait une cible plus attrayante pour de futures attaques.

Il y a aussi une dimension de vie privée qui est souvent négligée dans ces discussions. Les attaques par rançongiciel impliquent fréquemment le vol de données sensibles, de dossiers clients, d'informations sur les employés, de détails financiers, bien avant que tout chiffrement n'ait lieu. Payer une rançon n'annule pas cette exposition. Les attaquants ont peut-être déjà copié les données, et un paiement n'offre aucune garantie vérifiable qu'elles seront supprimées plutôt que vendues ou divulguées ultérieurement. Pour les personnes dont les données se trouvent dans les systèmes d'une entreprise compromise, la négociation de rançon qui se déroule à huis clos n'a que peu d'incidence sur la confidentialité de leurs informations.

Ce que cela signifie pour vous

Si vous êtes un consommateur, ces données vous rappellent que la décision d'une entreprise de payer une rançon ne protège pas nécessairement vos informations personnelles. Les notifications de violation et les offres de surveillance du crédit suite à un incident de rançongiciel méritent d'être prises au sérieux, que l'entreprise concernée affirme ou non avoir résolu la situation avec les attaquants.

Si vous travaillez dans l'informatique, la sécurité ou la direction, les conclusions de Proofpoint doivent être prises en compte directement dans la planification de la réponse aux incidents. Le paiement ne doit jamais être considéré comme une solution rapide. Les organisations qui ont payé une fois semblent rester des cibles attrayantes, ce qui signifie que les plans de reprise doivent inclure un renforcement post-incident plus solide, et pas seulement un virement bancaire et un soupir de soulagement.

Points à retenir et mesures concrètes

Quelques mesures pratiques peuvent contribuer à réduire à la fois la probabilité d'une attaque et les conséquences si elle se produit :

  • Conservez des sauvegardes hors ligne et testées afin que les demandes de déchiffrement perdent leur levier.
  • Traitez tout incident de rançongiciel comme une violation de données par défaut, car les attaquants exfiltrent fréquemment les données avant de les chiffrer.
  • Consultez les forces de l'ordre et des agences comme le NCSC rapidement, plutôt que de passer immédiatement au paiement ou à la négociation.
  • Si un négociateur est impliqué, examinez-le soigneusement compte tenu des risques juridiques mis en évidence par les récentes poursuites judiciaires.
  • Communiquez de manière transparente avec les clients ou les employés concernés, qu'une rançon ait été payée ou non.

Les rançongiciels ne vont pas disparaître, et la tentation de payer pour une résolution rapide restera forte. Mais ces nouvelles données renforcent ce que les régulateurs répètent depuis des années : payer une rançon est rarement la fin de l'histoire, et cela pourrait bien n'être que le début d'une seconde.