Enquête Proofpoint : Payer les gangs de ransomware se retourne souvent contre les victimes

Les paiements de rançon mettent rarement fin à la menace, selon l'enquête

Une nouvelle enquête du cabinet de sécurité Proofpoint apporte des chiffres inédits à l'appui d'un avertissement que les forces de l'ordre répètent depuis des années : payer un gang de ransomware fait rarement disparaître le problème. Selon l'étude, 58 % des entreprises interrogées au Royaume-Uni ont reconnu avoir payé une rançon à la suite d'une attaque par ransomware. Mais les données suggèrent que cette décision attire souvent plus de problèmes qu'elle n'apporte de clôture.

L'enquête a révélé qu'environ 22 % des organisations ayant payé une rançon ont été à nouveau extorquées par les mêmes attaquants, parfois pour des paiements supplémentaires liés aux mêmes données volées. Dans certains cas, les victimes ont payé une fois pour déverrouiller leurs systèmes pour être contactées des semaines ou des mois plus tard avec de nouvelles menaces de divulguer les mêmes informations si un autre paiement n'était pas effectué. Plus préoccupant encore, environ 2 % des victimes ayant payé une rançon n'ont jamais récupéré leurs fichiers, soit parce que les outils de déchiffrement fournis par les attaquants ont échoué, soit parce que les criminels n'avaient tout simplement jamais eu l'intention de tenir leur promesse.

Ce schéma rejoint ce que le FBI et Europol répètent aux entreprises depuis des années : les paiements de rançon financent les opérations criminelles, garantissent rarement une résolution nette et peuvent étiqueter une organisation comme une cible facile prête à payer à nouveau.

Pourquoi les paiements de rançon entraînent des attaques répétées

La logique derrière la ré-extorsion est simple du point de vue des criminels. Dès lors qu'une entreprise a montré qu'elle paiera pour faire disparaître un problème, elle devient une quantité connue pour les attaquants, et souvent pour d'autres groupes criminels qui achètent et vendent des données de victimes sur des forums clandestins. Payer une rançon ne signifie pas nécessairement que les données volées sont supprimées. Dans de nombreux cas, des copies restent sur l'infrastructure des attaquants, sont partagées avec des groupes affiliés ou sont discrètement conservées comme levier pour une deuxième série d'exigences.

C'est la tension centrale que les données de Proofpoint mettent en lumière : le soulagement à court terme de payer pour rétablir les opérations peut créer une responsabilité à plus long terme. Les attaquants savent qu'une entreprise sous pression pour reprendre ses activités, protéger la confiance des clients et éviter l'examen réglementaire est plus susceptible de payer à nouveau que de renoncer et d'accepter les retombées d'une fuite de données. Ce calcul est exactement ce qui alimente la ré-extorsion, et c'est pourquoi les chercheurs en sécurité continuent de décrire le paiement d'une rançon comme une décision qui échange une crise immédiate contre une crise potentiellement plus grande et récurrente. La couverture de cette même enquête Proofpoint sur les attaques répétées de ransomware a noté que la structure d'incitation pour les attaquants ne fait que se renforcer une fois qu'une victime montre qu'elle est prête à payer.

Les conséquences sur la vie privée au-delà de la rançon

Alors que la couverture des ransomwares se concentre souvent sur les temps d'arrêt opérationnels, les implications en matière de vie privée méritent une attention égale. Lorsqu'une entreprise paie une rançon pour empêcher l'exposition de données, elle fait effectivement confiance à une entreprise criminelle pour honorer une promesse sans aucune force exécutoire. Les dossiers clients, les données des employés, les détails financiers et les informations de santé peuvent rester exposés à la revente ou à une fuite, quel que soit le paiement. Pour les personnes dont les données se trouvent dans ces systèmes compromis, le paiement d'une rançon n'offre aucune réelle garantie que leurs informations personnelles sont en sécurité.

Cela est particulièrement pertinent pour les organisations traitant des données personnelles sensibles, où une violation peut déclencher des obligations de notification, des sanctions réglementaires et des dommages durables à la réputation bien après qu'une rançon ait été payée. Les conclusions de l'enquête renforcent le fait que le ransomware n'est pas simplement un incident informatique. C'est un incident de confidentialité avec des conséquences qui peuvent refaire surface longtemps après que les gros titres initiaux se soient estompés.

Ce que cela signifie pour vous

Si vous dirigez une entreprise ou gérez les décisions informatiques et de sécurité pour une organisation, l'enseignement de cette enquête est clair : payer une rançon n'est pas une voie garantie vers la résolution et peut augmenter votre exposition à des attaques futures. Les décisions prises dans la panique d'un incident actif doivent être mises en balance avec la réalité que les attaquants conservent souvent les données volées, quel que soit le paiement, et qu'une volonté visible de payer peut faire d'une organisation une cible récurrente.

Pour les consommateurs ordinaires, c'est un rappel que les violations de données liées aux attaques de ransomware peuvent avoir une traîne plus longue que ne le suggère la couverture médiatique initiale. Les informations personnelles exposées lors d'un incident peuvent refaire surface lors de fuites ultérieures, même si l'entreprise touchée a déclaré la situation comme résolue.

Points clés à retenir

• Près de six organisations britanniques sur dix interrogées ont payé une rançon après une attaque, selon les données de Proofpoint.
• Environ 22 % de celles qui ont payé ont été à nouveau extorquées, souvent en utilisant les mêmes données volées.
• Un faible pourcentage de victimes ayant payé n'ont jamais retrouvé l'accès à leurs fichiers.
• Les agences de maintien de l'ordre, dont le FBI et Europol, continuent de recommander de ne pas payer les demandes de rançon.
• Les entreprises devraient investir dans la planification de la réponse aux incidents, les sauvegardes hors ligne et la préparation aux notifications de violation plutôt que de considérer le paiement de la rançon comme une solution rapide.

Le ransomware reste une menace persistante, mais cette enquête donne du poids à un message que les professionnels de la sécurité défendent depuis des années : payer n'achète pas la tranquillité d'esprit. Les organisations comme les particuliers sont mieux servis par la prévention, la préparation et le scepticisme à l'égard de toute promesse faite par des acteurs criminels retenant des données volées en otage.