Rançon ou pas ? Pourquoi la cyber-extorsion est une crise de la vie privée

Lorsqu’une demande de rançon apparaît sur les écrans d’une entreprise, l’instinct est souvent de la traiter comme une urgence informatique : isoler le réseau, appeler l’équipe de sécurité, évaluer les dégâts sur les serveurs. Mais un corpus croissant de recommandations, détaillé tout récemment par Cyber Daily dans son analyse de la prise de décision en matière de cyber-extorsion, montre clairement que payer ou refuser une rançon dépasse largement le simple choix technique. C’est une décision juridique, financière et, surtout, une décision liée à la vie privée qui touche chaque client, employé et partenaire dont les données se trouvent dans les systèmes compromis.

Le champ de mines juridique derrière une décision de rançon

L’un des aspects les plus négligés de la cyber-extorsion est que payer les criminels n’est pas toujours juridiquement simple. Selon l’identité des auteurs de l’attaque, un paiement de rançon peut exposer l’organisation qui paie à un risque de sanctions, en particulier lorsque l’acteur de la menace ou son infrastructure est lié à une entité ou à une juridiction sanctionnée. Les organisations qui se précipitent pour payer sans examen juridique peuvent se retrouver confrontées à un contrôle réglementaire en plus de la violation elle-même. Comme nous l’avons indiqué dans notre précédent article sur la manière dont les paiements de rançon exposent aux sanctions de l’OFAC, la décision de payer ne concerne pas seulement la capacité d’une entreprise à assumer la demande. Il s’agit de savoir si le paiement lui-même est légal et si l’organisation a fait preuve de la diligence raisonnable nécessaire pour le déterminer.

C’est précisément pourquoi la réponse à la cyber-extorsion ne peut pas reposer uniquement sur le service informatique. Les conseillers juridiques, les responsables de la conformité et, souvent, les forces de l’ordre doivent faire partie de la discussion dès que possible, et non être sollicités une fois le paiement déjà effectué.

Pourquoi c’est un problème de confidentialité, et pas seulement un problème informatique

Les ransomwares consistaient autrefois principalement à verrouiller des fichiers. Cela a changé. Les groupes d’extorsion modernes volent de plus en plus les données avant de chiffrer quoi que ce soit, puis utilisent la menace de divulgation comme levier. Ce changement transforme chaque incident de ransomware en incident de confidentialité des données, que les systèmes soient finalement restaurés ou non.

Nous avons vu cette évolution s’accélérer en temps réel. Certains groupes ne se contentent plus de menacer directement l’organisation victime et menacent désormais de contacter les propres clients d’une entreprise, en exerçant une pression qui vise les personnes dont les informations personnelles sont réellement en jeu. Cette tactique change complètement la donne : même un paiement intégral de la rançon ne garantit pas que les données clients volées ne seront pas divulguées, vendues ou utilisées pour de nouvelles extorsions.

Les organisations qui évaluent une demande de rançon doivent se demander non seulement « pouvons-nous récupérer nos systèmes », mais aussi « qu’advient-il des données personnelles de toutes les personnes présentes dans nos systèmes, quelle que soit notre décision ». Un paiement de rançon peut permettre d’obtenir une clé de déchiffrement. Il n’efface pas le fait que des données sensibles ont été exposées à des criminels en premier lieu.

Payer ne garantit pas la sécurité

Même lorsque les organisations paient, il n’existe aucune preuve fiable que cela mette fin au problème. Une étude de Proofpoint a révélé qu’une part importante des entreprises qui paient une rançon sont confrontées à des tentatives d’extorsion répétées, parfois de la part des mêmes attaquants qui reviennent pour un deuxième paiement. Ces données remettent en cause l’une des justifications les plus courantes au paiement : la croyance qu’il fait disparaître le problème.

Certaines organisations ont choisi une voie totalement différente. Stadler Rail, le constructeur ferroviaire suisse, a publiquement refusé de payer une rançon de plusieurs millions de dollars après que des attaquants ont volé des données par l’intermédiaire d’un fournisseur tiers, pariant que le refus était moins risqué que de légitimer l’économie de l’extorsion. Pendant ce temps, le paysage des ransomwares ne cesse d’évoluer ; un récent tour d’horizon du secteur qui suit les groupes dominant l’environnement actuel des menaces montre que payer un gang ne réduit pas le risque global posé par les dizaines d’autres qui restent actifs.

Ce que cela signifie pour vous

Que vous dirigiez une petite entreprise ou que vous gériez la sécurité d’une grande organisation, la décision de payer ou non ne doit jamais être prise isolément par la personne qui gère les serveurs. Elle nécessite un examen juridique des risques de sanctions et d’exposition réglementaire, une évaluation de la vie privée pour déterminer exactement quelles données ont été consultées, et une compréhension réaliste du fait que le paiement n’offre aucune garantie contre de futures extorsions ou fuites. Pour les consommateurs ordinaires, la leçon à retenir est différente mais connexe : après une violation, la sécurité de vos données personnelles dépend fortement des décisions prises par des entreprises avec lesquelles vous n’interagirez peut-être jamais directement, ce qui explique pourquoi il est important de comprendre comment les organisations gèrent la cyber-extorsion, même si vous n’êtes pas celui qui fait face à la demande de rançon.

Enseignements pratiques

Les organisations doivent élaborer un plan de réponse aux incidents avant qu’une attaque ne se produise, un plan qui inclut explicitement des conseillers juridiques et une évaluation de la confidentialité en plus des mesures techniques de remédiation. Ne traitez jamais une décision de rançon comme une question purement financière ; les risques de sanctions et de conformité sont réels et peuvent aggraver la violation initiale. Partez du principe que toute donnée exfiltrée est peut-être déjà compromise, quel que soit le paiement, et planifiez les notifications aux clients et aux employés en conséquence. Enfin, rappelez-vous que la stratégie la plus sûre à long terme contre la cyber-extorsion n’est pas un paiement rapide de la rançon, mais des défenses plus solides qui empêchent la tentative d’extorsion de réussir dès le départ.