Proofpoint : payer les gangs de ransomware invite à des attaques répétées

Pourquoi payer une rançon ne met pas fin au problème

Quand un ransomware verrouille les systèmes d’une entreprise, l’instinct de payer et de passer à autre chose est compréhensible. Une nouvelle enquête menée par l’entreprise de sécurité Proofpoint auprès de 953 entreprises suggère que cet instinct peut se retourner contre vous. Selon les résultats, les organisations qui paient une demande de rançon deviennent souvent des cibles plus attractives, et non l’inverse. Dès qu’un groupe criminel confirme qu’une victime est prête à payer, cette même victime peut être marquée pour une nouvelle attaque.

C’est important, car la logique qui sous-tend le paiement des rançons a toujours reposé sur un échange simple : de l’argent contre une clôture du dossier. Les dirigeants approuvent les paiements en pensant que cela rétablira les systèmes, entraînera la suppression des données volées, limitera l’interruption des activités et protégera les clients. Les recherches de Proofpoint indiquent que cet échange est bien moins fiable que ce que pensent la plupart des organisations. Payer ne met pas nécessairement fin à la relation avec l’attaquant ; dans certains cas, cela en amorce une nouvelle.

La logique économique derrière une seconde demande

Les groupes de ransomware fonctionnent comme des entreprises, et les entreprises recherchent des clients réguliers. Une société qui a déjà montré qu’elle va payer est, du point de vue du criminel, une source de revenus éprouvée. Elle dispose d’un fonds de roulement, d’une équipe dirigeante prête à autoriser rapidement un paiement, et probablement encore de vulnérabilités qui ont permis la réussite de la première attaque.

Ce dernier point est crucial. Payer une rançon résout la crise immédiate, mais cela ne règle que rarement les failles de sécurité sous-jacentes qui ont permis aux attaquants d’entrer. Si le même vecteur d’hameçonnage, le même logiciel non corrigé ou le même point d’accès à distance exposé est toujours présent après l’incident, rien n’empêche le même groupe, ou un affilié ayant acheté l’accès aux données de la même victime, de réessayer. Notre couverture précédente des recherches de Proofpoint sur les payeurs de rançon approfondit la fréquence de ces incidents répétés et explique pourquoi le paiement lui-même peut servir de signal à d’autres groupes criminels indiquant qu’une cible est vulnérable.

Réduire le risque d’extorsion avant qu’il ne commence

La bonne nouvelle est que les organisations ne sont pas impuissantes. Les mesures qui réduisent le risque de ransomware sont en grande partie les mêmes que celles recommandées depuis des années par les équipes de sécurité, mais elles gagnent en urgence à la lumière de ces données.

Conserver des sauvegardes hors ligne et testées reste le moyen le plus efficace d’éviter complètement d’avoir à choisir entre payer ou ne pas payer. Si les systèmes peuvent être restaurés à partir d’une sauvegarde sans utiliser la clé de déchiffrement de l’attaquant, toute la logique de l’extorsion s’effondre. La segmentation du réseau est également importante : limiter la distance qu’un attaquant peut parcourir une fois à l’intérieur réduit le rayon d’impact de chaque compromission, ce qui diminue à son tour le levier de négociation lors d’une demande de rançon.

La surveillance continue des menaces et la détection des endpoints aident à repérer les intrusions avant qu’elles ne se transforment en chiffrement complet. De nombreuses attaques par ransomware se déroulent sur plusieurs jours ou semaines entre l’accès initial et la charge finale ; cette fenêtre est une occasion d’intervenir. Des pratiques d’accès à distance sécurisées, y compris l’utilisation d’un VPN pour les connexions chiffrées et l’authentification multifacteur pour toute personne se connectant depuis l’extérieur du réseau d’entreprise, ferment l’un des points d’entrée les plus couramment exploités par les criminels. Aucune de ces mesures ne garantit l’immunité, mais ensemble elles réduisent les chances qu’une entreprise se retrouve confrontée à une demande de rançon.

Ce que cela signifie pour vous

Si votre organisation est un jour touchée par un ransomware, les conclusions de Proofpoint suggèrent que payer ne doit pas être considéré comme une solution propre. Avant d’autoriser tout paiement, il convient de se demander si la vulnérabilité sous-jacente a été identifiée et corrigée, car si ce n’est pas le cas, le paiement pourrait n’être que le premier versement d’une relation continue avec l’attaquant.

C’est aussi le moment d’impliquer les forces de l’ordre tôt plutôt qu’après coup. Les agences qui suivent les groupes de ransomware peuvent parfois proposer des outils de déchiffrement, des renseignements sur les menaces concernant le comportement d’un gang spécifique, ou un contexte indiquant si un groupe a des antécédents d’extorsion répétée. Faire appel à une expertise externe en réponse aux incidents avant de prendre une décision de paiement, plutôt qu’après, donne à une organisation une vision plus claire de ses options réelles.

Pour les petites entreprises sans équipe de sécurité dédiée, le calcul est similaire, mais les ressources sont plus limitées. Cela rend la prévention encore plus importante : une hygiène de base comme des sauvegardes régulières, des logiciels corrigés et des outils d’accès à distance sécurisés fait davantage pour réduire le risque que n’importe quelle décision post-incident ne pourra jamais le faire.

Points essentiels à retenir

L’enseignement principal de cette enquête Proofpoint est simple : un paiement de rançon achète du temps, pas nécessairement la sécurité. Les organisations devraient traiter chaque incident de ransomware comme la preuve d’une faille de sécurité à corriger, qu’un paiement soit effectué ou non. Parmi les mesures concrètes à prioriser figurent la conservation de sauvegardes hors ligne, la segmentation des réseaux, la surveillance des signes précoces d’intrusion et la sécurisation de l’accès à distance avec une authentification forte et des connexions chiffrées.

Plus important encore, toute décision de paiement doit être accompagnée d’un véritable plan de remédiation, et non le remplacer. Les gangs de ransomware dirigent une entreprise, et les données suggèrent qu’ils savent exactement quels clients méritent d’être facturés deux fois.