Une nouvelle variante d'un ancien manuel d'extorsion

Les attaques par ransomware sont déjà assez stressantes sans qu'un second prédateur n'entre en scène. Selon des informations récentes, un acteur menaçant opérant sous le nom de « Ransom Busters » cible désormais les organisations déjà victimes de ransomware, cette fois en se faisant passer pour un service de récupération. L'acteur prétend pouvoir restaurer les fichiers chiffrés, offrant ce qui ressemble à une bouée de sauvetage aux entreprises désespérées de récupérer leurs données sans payer de rançon.

Mais l'offre n'est pas ce qu'elle paraît. Plutôt que d'agir comme une entreprise de récupération indépendante, Ransom Busters serait lié à l'opération de ransomware elle-même, fonctionnant comme un affilié qui profite des attaques mêmes qu'il prétend aider à résoudre. Pour les victimes déjà confrontées au chaos d'une violation, ce type de tromperie ajoute une nouvelle couche de risque dangereuse à une situation déjà difficile.

Comment fonctionne cette offre de récupération trompeuse

Le cœur du stratagème repose sur la confiance et l'urgence, deux choses dont les victimes de ransomware manquent cruellement. Lorsque les systèmes d'une entreprise sont verrouillés et que les fichiers sont chiffrés, les décideurs sont souvent en quête désespérée de toute voie viable vers la récupération. Un groupe se présentant comme un spécialiste de la récupération de données, surtout s'il semble avoir une connaissance interne de l'attaque, peut sembler une option crédible.

Cette crédibilité perçue est le piège. Comme détaillé dans la couverture précédente du stratagème Ransom Busters, l'acteur semble exploiter sa position d'affilié au ransomware pour s'insérer dans le processus de négociation, redirigeant efficacement les victimes vers des paiements qui profitent en fin de compte au même écosystème criminel responsable de l'attaque initiale. Au lieu d'un tiers indépendant travaillant à réduire les préjudices, les victimes peuvent avoir affaire à une branche rebaptisée de l'attaquant, déguisée pour ressembler à une solution plutôt qu'à une continuation du problème.

Cette tactique exploite une véritable lacune dans le paysage de la réponse aux ransomwares. Des entreprises légitimes de réponse aux incidents et de récupération de données existent, et les organisations désespérées se tournent souvent vers une aide extérieure lorsque les équipes informatiques internes sont dépassées. Ransom Busters semble capitaliser sur ce besoin légitime, l'utilisant comme couverture pour continuer à extraire de l'argent de victimes qui croient négocier avec une partie neutre.

Pourquoi cela importe pour la confidentialité des données

Au-delà du risque financier immédiat, des stratagèmes comme Ransom Busters soulèvent de sérieuses préoccupations en matière de confidentialité. Les attaques par ransomware impliquent fréquemment un vol de données en plus du chiffrement, ce qui signifie que des enregistrements clients sensibles, des informations sur les employés et des communications internes peuvent déjà être entre les mains de l'attaquant. Lorsqu'une organisation victime s'engage avec un faux service de récupération, elle peut transmettre encore plus d'informations, y compris des détails sur son réseau, ses données et sa volonté de payer, tout cela pouvant être utilisé pour intensifier la pression ou revendre l'accès à d'autres groupes criminels.

Il y a aussi un problème de confiance aggravé. Les victimes de ransomware doivent déjà s'inquiéter de savoir si les attaquants tiendront leurs promesses de supprimer les données volées après le paiement d'une rançon, une garantie qui n'a jamais été fiable en premier lieu. Ajouter un faux service de récupération par-dessus cette dynamique signifie que les victimes doivent désormais vérifier non seulement les affirmations de l'attaquant, mais aussi la crédibilité de quiconque propose de l'aide, exactement au moment où elles sont le moins équipées pour effectuer ce type de diligence raisonnable.

Ce que cela signifie pour vous

Si votre organisation est un jour victime d'un ransomware, la pression pour trouver une solution rapide peut troubler le jugement. Le cas Ransom Busters rappelle que toute offre d'aide n'est pas authentique, même celles qui semblent provenir de l'extérieur de l'attaque elle-même. Avant de faire appel à un service de récupération, vérifiez son identité de manière indépendante, vérifiez l'existence d'un historique commercial vérifiable et impliquez des professionnels de confiance en réponse aux incidents ou les forces de l'ordre plutôt que de vous fier uniquement à des sollicitations non sollicitées qui surgissent pendant ou immédiatement après une attaque.

Cela souligne également une leçon plus large en matière de confidentialité qui s'applique bien au-delà des ransomwares. Moins une organisation stocke ou expose de données sensibles inutilement, plus la cible qu'elle présente est petite. Des pratiques de sauvegarde solides, une segmentation du réseau et des plans clairs de réponse aux incidents réduisent l'emprise que les attaquants, et apparemment maintenant les faux acteurs de récupération, ont sur les victimes en premier lieu.

Points à retenir concrets

  • Traitez les offres de récupération non sollicitées avec scepticisme, en particulier celles qui surgissent immédiatement après un incident de ransomware.
  • Vérifiez toute entreprise de réponse aux incidents ou de récupération par des canaux indépendants avant de partager des détails sur votre réseau ou d'effectuer des paiements.
  • Impliquez les forces de l'ordre et des professionnels établis en cybersécurité plutôt que de négocier seul avec des parties inconnues.
  • Maintenez des sauvegardes hors ligne et testées afin que la récupération ne dépende pas de la confiance en un attaquant ou un intermédiaire.
  • Restez informé des tactiques évolutives en matière de ransomware, car des stratagèmes comme Ransom Busters montrent à quelle vitesse les méthodes d'extorsion peuvent s'adapter.

Le ransomware reste une menace sérieuse, et des arnaques comme Ransom Busters montrent que le danger ne se termine pas toujours lorsque l'attaque initiale se termine. Rester prudent, vérifier chaque affirmation et s'appuyer sur des ressources de sécurité de confiance sont les meilleures défenses contre le fait d'être victime deux fois.