Ce que montrent les nouvelles données sur les paiements de rançongiciels

Un nouveau rapport de la société de sécurité Proofpoint, publié mercredi, apporte une confirmation inconfortable pour quiconque a déjà envisagé de payer un gang de rançongiciels pour faire disparaître un problème : une part significative des victimes qui paient finit par faire face à une seconde demande d’extorsion. Ce rapport renforce ce que les chercheurs en sécurité et les intervenants en incident affirment depuis des années : les négociations de rançongiciels ne sont pas menées de bonne foi et payer ne garantit en rien qu’un attaquant s’en ira réellement.

Les données de Proofpoint ajoutent des chiffres concrets à un schéma que les défenseurs soupçonnaient depuis longtemps de manière anecdotique. Les organisations qui cèdent à une demande de rançon n’achètent pas la clôture du dossier. Elles achètent souvent une seconde occasion de pression pour le même attaquant, ou pour un groupe totalement différent, de revenir et d’exiger davantage.

Pourquoi payer une rançon invite à une seconde attaque

La logique qui sous-tend l’extorsion répétée est simple une fois qu’on l’envisage du point de vue de l’attaquant. Tout le modèle économique d’un groupe de rançongiciels repose sur la croyance des victimes que le paiement met fin à la crise. Mais il n’existe ni contrat légal, ni mécanisme d’exécution, ni risque de réputation suffisamment fort pour garantir la parole d’un attaquant une fois l’argent transféré. Si une victime a déjà montré sa volonté et sa capacité de payer, elle devient une cible plus attrayante, et non un compte soldé.

C’est en partie pourquoi les chercheurs en sécurité décrivent la négociation de rançongiciel comme fondamentalement différente d’une transaction commerciale normale. L’autre partie n’a aucun intérêt à réellement s’en aller. Un groupe criminel qui a réussi à extorquer un paiement une fois a toutes les raisons de tester si la même organisation paiera de nouveau, que ce soit en rechiffrant les systèmes, en menaçant de divulguer à nouveau des données précédemment volées, ou tout simplement en relançant une nouvelle demande liée à la brèche initiale.

Cette dynamique est étroitement liée à ce que l’industrie appelle la double extorsion ou la multi-extorsion, où les attaquants ne se contentent pas de chiffrer des fichiers mais volent aussi des données au préalable, ce qui leur donne plusieurs leviers pour faire pression sur une victime même après le paiement d’une rançon. Les conclusions de Proofpoint suggèrent que même après le succès de cette première campagne de pression, la source n’est pas nécessairement tarie.

Comment les brèches non détectées facilitent la réextorsion

L’une des raisons pour lesquelles l’extorsion répétée fonctionne si bien pour les attaquants est que de nombreuses victimes ne comprennent pas pleinement l’ampleur d’une brèche au moment où elles décident de payer. Si une organisation découvre des fichiers chiffrés et négocie une rançon sans avoir d’abord identifié précisément quelles données ont été consultées, copiées ou laissées en place sous forme de porte dérobée, elle accepte en fait un prix sans savoir ce qu’elle rachète réellement.

Cet écart entre la détection et la réponse est un thème récurrent dans la recherche sur les rançongiciels. Comme l’indique un rapport connexe sur les échecs de détection des rançongiciels, près de la moitié des victimes de rançongiciels perdent des données avant même de réaliser qu’une attaque est en cours. Ce délai a une importance considérable ici : si une victime ignore qu’un attaquant a exfiltré des données des semaines avant de déployer le rançongiciel, payer pour déverrouiller les fichiers ne résout en rien la question des informations volées stockées sur un serveur criminel, lesquelles peuvent être monétisées une nouvelle fois par une seconde demande, vendues séparément, ou utilisées pour une nouvelle menace de fuite ultérieure.

Mesures défensives : sauvegardes, surveillance et planification de la réponse aux incidents

L’enseignement pratique du rapport de Proofpoint n’est pas qu’il ne faut jamais payer de rançon, en aucune circonstance. C’est que le paiement ne doit jamais être considéré comme une résolution garantie. Les organisations, tout comme les particuliers qui gèrent des réseaux ou des entreprises de plus petite taille, ont tout intérêt à investir en amont dans la prévention et la détection plutôt qu’en aval dans la négociation.

Cela implique de maintenir des sauvegardes régulières, testées et hors ligne, afin que les fichiers chiffrés puissent être restaurés sans rien payer à personne. Cela implique d’investir dans des outils de surveillance capables de repérer un accès non autorisé aux données avant que les attaquants n’aient le temps d’exfiltrer de gros volumes d’informations sensibles. Et cela implique de disposer d’un plan de réponse aux incidents avant qu’une attaque ne survienne, un plan qui inclut une enquête de forensique pour déterminer exactement ce qui a été consulté, et pas seulement si des fichiers ont été chiffrés.

Ce que cela signifie pour vous

Pour les propriétaires de petites entreprises et les particuliers, le message de cette recherche est clair : ne partez pas du principe que payer une rançon est la solution rapide et propre qu’elle paraît être sur le moment. Les attaquants qui ont déjà montré leur volonté de vous extorquer une fois ont à la fois les moyens et les mobiles de recommencer. La véritable défense contre les attaques d’extorsion répétée par rançongiciel n’est pas une meilleure stratégie de négociation, mais la réduction des chances de se retrouver dans cette situation dès le départ, grâce à des sauvegardes solides, une détection plus rapide et un plan de réponse clair.

Points d’action concrets

  • Considérez le paiement d’une rançon comme un dernier recours, et non comme une solution garantie, car les données de Proofpoint montrent que les attaquants reviennent fréquemment avec de nouvelles exigences.
  • Privilégiez les sauvegardes hors ligne et testées pour que le chiffrement seul ne puisse pas imposer une décision de paiement.
  • Investissez dans des outils de détection qui repèrent l’exfiltration de données à un stade précoce, car une détection tardive donne aux attaquants plus de moyens de pression pour une extorsion répétée.
  • Élaborez un plan de réponse aux incidents avant qu’une attaque ne survienne, comprenant des étapes de forensique pour déterminer l’ampleur réelle de toute brèche.
  • Partez du principe que toute donnée volée avant le paiement d’une rançon reste un risque futur, quelles que soient les promesses des attaquants.