Ce que révèlent réellement les données de Proofpoint sur les ransomwares en Inde

Un nouveau rapport de l'entreprise de sécurité Proofpoint dresse un tableau préoccupant pour les organisations indiennes confrontées aux ransomwares. Les données montrent que 62 % des entreprises indiennes touchées ont signalé un impact global plus important lors de leur attaque la plus récente, signe que ces incidents deviennent plus dommageables, et non moins, même si la sensibilisation et les dépenses de défense augmentent. Le fait le plus notable est peut-être la confirmation que l'extorsion par vol de données lors de ransomwares en Inde est devenue la norme plutôt que l'exception : un vol de données a été confirmé dans 71 % des incidents examinés par Proofpoint.

Cette statistique redéfinit ce que de nombreuses organisations considèrent encore comme un problème de ransomware. Il ne s'agit plus seulement de fichiers chiffrés et d'une demande de rançon. Dans la grande majorité des cas étudiés, les attaquants avaient déjà exfiltré des données sensibles avant de verrouiller les systèmes, ce qui leur donne un deuxième moyen de pression, même si les sauvegardes de la victime sont suffisamment solides pour éviter de payer une clé de déchiffrement.

Pourquoi payer la rançon n'empêche pas les extorsions répétées

Malgré les recommandations généralisées des forces de l'ordre et des professionnels de la sécurité déconseillant de payer les demandes de rançon, 64 % des organisations indiennes touchées ont tout de même payé. L'instinct est compréhensible : un paiement semble être le chemin le plus rapide vers un retour à la normale. Mais les conclusions de Proofpoint suggèrent que cet instinct est de plus en plus mal avisé. Près de la moitié de ceux qui ont payé, soit 48 %, ont fait face à des demandes d'extorsion supplémentaires par la suite.

Ce schéma n'est pas propre à l'Inde. Il reflète ce que Proofpoint a documenté à l'échelle mondiale, où les payeurs de rançon sont souvent à nouveau ciblés et un paiement fonctionne moins comme une résolution que comme un signal aux attaquants qu'une cible est prête à négocier. D'autres recherches de Proofpoint ont révélé que 22 % des payeurs de rançon subissent des extorsions répétées, tandis que d'autres données indiquent qu'environ 1 payeur de rançon sur 3 est de nouveau touché. Le chiffre de 48 % d'extorsion répétée en Inde se situe dans la fourchette haute de cette tendance, ce qui suggère que les organisations indiennes pourraient être confrontées à une version encore plus prononcée de la même tendance mondiale.

Le taux de vol de données de 71 % : ce que les attaquants prennent avant de chiffrer

La raison pour laquelle l'extorsion répétée fonctionne si bien pour les attaquants est simple : une fois les données volées, le chiffrement devient presque secondaire. Si 71 % des incidents impliquent déjà un vol de données confirmé, alors payer pour une clé de déchiffrement ne résout en rien le problème de la copie des fichiers sensibles hébergée sur l'infrastructure de l'attaquant. Ces données peuvent être vendues, divulguées ou utilisées comme nouveau levier pour une deuxième ou une troisième demande, ce qui explique pourquoi tant d'organisations ayant payé une première fois finissent par payer à nouveau, ou sont confrontées à de nouvelles menaces même après avoir réglé la première.

C'est le changement fondamental qui distingue les ransomwares modernes des attaques de verrouillage de fichiers d'autrefois. Le chiffrement perturbe les opérations à court terme, mais le vol de données crée une responsabilité à long terme qu'un seul paiement ne peut résoudre. Pour les organisations qui gèrent des dossiers clients, des informations financières ou des données commerciales exclusives, l'exposition ne cesse pas lorsque les systèmes sont remis en ligne.

Réduire l'exposition : segmentation réseau, sauvegardes et contrôles d'accès

La réponse pratique à ce changement doit aller au-delà du simple fait de décider de payer ou non. Quelques mesures concrètes comptent plus que jamais :

  • La segmentation du réseau limite la distance qu'un attaquant peut parcourir une fois à l'intérieur, réduisant le risque qu'un seul compte compromis entraîne une exposition des données à l'échelle de l'organisation.
  • Des sauvegardes hors ligne et testées restent essentielles pour la récupération après un chiffrement, mais elles ne résolvent pas le vol de données ; elles doivent donc être associées à une surveillance des transferts de données sortants inhabituels.
  • Des contrôles d'accès stricts et des autorisations basées sur le moindre privilège réduisent le volume de données sensibles qu'un seul identifiant compromis peut atteindre.
  • La planification de la réponse aux incidents doit supposer que les données ont déjà été copiées, et pas seulement que les systèmes pourraient être verrouillés, et doit inclure un plan de communication pour les clients et les régulateurs si l'exposition de données est confirmée.

Les organisations qui élaborent leurs défenses autour de ces principes partent du principe que la prévention seule ne réussira pas toujours, et que limiter le rayon d'action d'une intrusion importe autant que d'empêcher les attaquants d'entrer en premier lieu.

Ce que cela signifie pour vous

Si votre organisation opère en Inde ou traite des données liées à des clients ou partenaires indiens, ce rapport est un signal pour revoir les plans de réponse aux incidents en gardant à l'esprit une question précise : que se passe-t-il après avoir découvert que des données ont déjà été volées, et pas seulement après le chiffrement des fichiers ? Traiter les ransomwares uniquement comme un problème de disponibilité, résoluble par des sauvegardes et un éventuel paiement, ne correspond plus à la manière dont ces attaques se déroulent réellement. Le schéma d'extorsion par vol de données lors de ransomwares en Inde décrit dans les données de Proofpoint montre que le moment du chiffrement n'est souvent qu'une étape d'une campagne plus longue.

Points clés à retenir

  • Partez du principe qu'un vol de données a eu lieu lors de tout incident de ransomware ; n'attendez pas la confirmation pour agir sur cette hypothèse.
  • Considérez le paiement d'une rançon comme une décision commerciale comportant un risque réel d'extorsion répétée, et non comme une résolution garantie, un schéma conforme à ce que d'autres recherches de Proofpoint sur l'extorsion répétée ont documenté sur différents marchés.
  • Investissez dès maintenant dans la segmentation et les contrôles d'accès, car ils limitent les dégâts quelle que soit la manière dont un attaquant pénètre.
  • Élaborez un plan de communication en cas de violation de données parallèlement à votre plan de reprise après ransomware, car les deux sont de plus en plus le même événement.

Comme le montrent continuellement des données sectorielles plus larges sur les paiements de rançon, l'expérience de l'Inde n'est pas une exception. C'est un reflet local d'un virage mondial vers une extorsion à plusieurs étapes, et les organisations qui s'y préparent dès maintenant seront bien mieux placées que celles qui espèrent encore qu'un seul paiement fera disparaître le problème.