Les attaques par ransomware contre les petites entreprises ont pris une tournure dramatique. Deux opérations cybercriminelles, Qilin et The Gentlemen, se livreraient une concurrence féroce pour dominer l'espace du ransomware-as-a-service, et les petites et moyennes entreprises (PME) se retrouvent prises entre deux feux. Plutôt qu'un seul gang dominant qui extorque les victimes, les chercheurs en sécurité observent désormais deux opérations agressives qui rivalisent de vitesse pour compromettre des réseaux, voler des données et exiger un paiement, souvent auprès d'organisations qui peuvent le moins se permettre une interruption.

Cette rivalité a son importance car elle modifie la structure des incitations pour les attaquants. Lorsque deux groupes se disputent des parts de marché dans l'économie du ransomware, tous deux ont intérêt à agir plus vite, à ratisser plus large et à cibler des proies faciles plutôt qu'à attendre le plus gros paiement possible. Les PME, qui fonctionnent généralement avec des équipes informatiques réduites et une infrastructure vieillissante, correspondent parfaitement à ce profil.

Pourquoi Qilin et The Gentlemen ciblent les PME

Les grandes entreprises investissent massivement dans des outils de détection, du personnel de sécurité dédié et des contrats de réponse aux incidents. Les petites entreprises n'ont généralement pas ce luxe. Un opérateur de ransomware qui évalue où consacrer un temps et des ressources limités choisira souvent la voie de la moindre résistance, et cette voie mène de plus en plus aux PME.

La concurrence entre des gangs comme Qilin et The Gentlemen semble accélérer cette tendance. Lorsque les affiliés d'un modèle de ransomware-as-a-service sont incités à toucher le plus de victimes possible, ils se tournent vers les organisations qui ont le moins de défenses et la capacité la plus faible à négocier ou à se rétablir par elles-mêmes. Il en résulte une approche axée sur le volume, où les PME deviennent la cible par défaut plutôt qu'une cible secondaire.

Comment ces gangs de ransomware obtiennent un accès initial

Les opérateurs de ransomware ont rarement besoin d'écrire un malware personnalisé sophistiqué pour s'introduire. Dans la plupart des campagnes suivies par le secteur, l'accès initial provient de faiblesses bien plus banales : des points d'accès distants exposés ou mal sécurisés, des identifiants volés ou réutilisés, des logiciels non corrigés et des courriels d'hameçonnage qui piègent un employé pour qu'il livre ses identifiants.

Une fois à l'intérieur, les attaquants se déplacent généralement latéralement dans le réseau, élèvent leurs privilèges et localisent les systèmes de sauvegarde avant de déployer la charge utile de chiffrement. Si les sauvegardes sont accessibles depuis le même réseau compromis, ou si le bureau à distance et l'accès VPN ne sont pas strictement contrôlés, les attaquants ont tout ce qu'il leur faut pour paralyser les opérations et exiger un paiement. Le vol de données se produit souvent en parallèle, ce qui donne aux gangs un deuxième levier de pression : payez ou vos fichiers volés seront publiés publiquement. La violation de World Leaks Mediaworks illustre exactement les dégâts que cette deuxième étape peut causer une fois que les données volées se retrouvent sur un site de fuite, téléchargeables par n'importe qui.

Le coût réel d'une attaque par ransomware pour une petite entreprise

Pour une grande entreprise, un incident de ransomware est douloureux mais surmontable. Pour une petite entreprise, il peut être une question de survie. L'interruption pendant la reprise signifie une perte de revenus sans aucune réserve pour l'absorber. La confiance des clients s'érode rapidement lorsque les fiches de paie, les dossiers clients ou les informations de santé sont exposés. Les obligations légales et réglementaires s'appliquent quelle que soit la taille de l'entreprise, et le coût de l'enquête forensique, de la reconstruction des systèmes et de l'éventuelle rançon peut anéantir les réserves de trésorerie sur lesquelles beaucoup de PME comptent pour rester à flot.

La rivalité entre Qilin et The Gentlemen ajoute de l'urgence ici. Quand les groupes se font concurrence sur la vitesse et le volume plutôt que sur la sélectivité, les entreprises qui pensent être trop petites pour intéresser un attaquant se voient de plus en plus souvent prouver le contraire.

Défenses par couches : VPN, sauvegardes et contrôles d'accès qui aident vraiment

Les PME n'ont pas besoin de budgets de niveau entreprise pour réduire significativement le risque, mais elles doivent combler les lacunes sur lesquelles les attaquants comptent le plus.

  • Sécuriser l'accès à distance. Si des employés ou des sous-traitants se connectent à distance, cet accès devrait passer par un VPN correctement configuré ou un outil d'accès "zero-trust" avec authentification multifacteur, et non par un port de bureau à distance exposé sur Internet.
  • Isoler et tester les sauvegardes. Les sauvegardes stockées sur le même réseau que les systèmes de production sont une vulnérabilité, pas un filet de sécurité. Des sauvegardes hors ligne ou immuables, testées régulièrement pour la restauration, sont ce qui permet véritablement à une entreprise de se rétablir sans payer de rançon.
  • Limiter les accès privilégiés. Ce n'est pas parce qu'un employé a besoin de droits administratifs. Restreindre l'accès réduit la distance qu'un attaquant peut parcourir une fois qu'il a pris pied.
  • Appliquer les correctifs systématiquement. De nombreuses intrusions par ransomware exploitent des vulnérabilités connues pour lesquelles des correctifs existent déjà. Une cadence régulière de mise à jour ferme les portes que les attaquants scrutent activement.

Ce que cela signifie pour vous

Si vous dirigez ou gérez l'informatique d'une petite entreprise, la rivalité entre Qilin et The Gentlemen vous rappelle que les groupes de ransomware traquent activement des organisations exactement comme la vôtre. Partir du principe que vous êtes trop petit pour attirer l'attention n'est plus une hypothèse sûre. Les entreprises qui se remettent le plus vite d'un ransomware sont presque toujours celles qui disposaient déjà, avant l'attaque, de sauvegardes hors ligne, de contrôles d'accès restreints et de connexions à distance sécurisées, et non pas celles qui les mettent en place après coup.

Points clés à retenir

  • Les attaques par ransomware contre les petites entreprises s'intensifient à mesure que des gangs rivaux se disputent les cibles et la vitesse.
  • Les accès distants mal sécurisés et la mauvaise hygiène des identifiants restent les points d'entrée les plus courants.
  • Les sauvegardes hors ligne et testées constituent le moyen le plus fiable d'éviter de payer une rançon.
  • Limiter les accès privilégiés ralentit les attaquants même après une compromission.
  • Le vol de données accompagne souvent le chiffrement, ce qui signifie que la sécurité proactive compte même si vous n'avez jamais l'intention de payer une rançon.

Garder une longueur d'avance sur les attaques par ransomware contre les petites entreprises ne nécessite pas un budget de sécurité colossal. Cela demande de combler les lacunes élémentaires que des gangs comme Qilin et The Gentlemen exploitent activement en ce moment même.