Pendant des années, le mode opératoire des ransomwares semblait simple : s'introduire, chiffrer les fichiers, exiger un paiement pour les déverrouiller. Mais un nombre croissant de reportages, y compris une récente analyse invitée de la journaliste spécialisée en sécurité Stefanie Schappert, pointe vers une réalité différente. Les gangs d'extorsion dépensent désormais autant d'énergie à protéger leur image publique qu'à pirater des réseaux. Comprendre pourquoi en dit long sur la façon dont l'extorsion de données par les gangs de ransomwares fonctionne réellement aujourd'hui, et ce que cela signifie pour quiconque voit ses informations personnelles se retrouver dans la mauvaise base de données.

Pourquoi les gangs de ransomwares se soucient de leur image publique

Il peut sembler contre-intuitif que des organisations criminelles fondées sur le vol et la coercition se préoccupent de leur image de marque, mais la réputation est devenue un actif commercial fonctionnel pour ces groupes. Lorsqu'un gang affirme avoir piraté une entreprise, les victimes comme les chercheurs en sécurité ont besoin d'une raison de croire que la menace est réelle. Un gang connu pour mettre à exécution ses menaces de fuite, ou pour réellement supprimer les données après paiement, crée un levier simplement par son existence. Les victimes qui supposent qu'un groupe bluffe sont moins susceptibles de payer. Les victimes qui ont vu ce même groupe publier des documents volés d'une cible précédente sont bien plus susceptibles de négocier rapidement.

C'est pourquoi certains groupes d'extorsion maintiennent des sites de fuite, publient des déclarations, et corrigent même les faits lorsque la couverture médiatique comporte des erreurs. L'objectif n'est pas les relations publiques pour elles-mêmes. Il s'agit de maintenir la crédibilité d'une menace, car une menace que personne ne craint n'a aucune valeur financière.

Comment les tactiques d'extorsion axées sur la réputation accroissent la pression sur les victimes

Une fois qu'un gang a fait ses preuves, il peut exercer une pression plus efficacement. Au lieu de s'appuyer uniquement sur le chiffrement pour bloquer une victime hors de ses propres systèmes, de nombreux groupes volent désormais d'abord les données et font planer la menace d'une exposition publique sur la cible, que les fichiers soient ou non chiffrés. C'est ce qu'on appelle parfois la double extorsion, et cela fonctionne parce que les dommages d'une fuite de données — amendes réglementaires, poursuites judiciaires, préjudice réputationnel — ne peuvent pas être annulés de la manière dont des fichiers verrouillés peuvent être restaurés à partir de sauvegardes.

Ce changement explique pourquoi tant de violations récentes impliquent des dossiers clients, des historiques de navigation ou des documents d'identité plutôt que de simples serveurs verrouillés. Lorsque la violation par un tiers de Zara a exposé des données de navigation et d'achat, la valeur pour les attaquants ne résidait pas dans la perturbation des opérations de Zara. Elle résidait dans les données personnelles elles-mêmes, et dans le levier que ces données procurent une fois que la réputation d'un gang rend crédible la menace d'exposition.

Ce que cela signifie pour la protection des données personnelles au-delà du chiffrement

Pour les consommateurs ordinaires, cette tendance modifie le calcul autour de ce qui constitue une violation grave. Un ransomware de chiffrement seul affecte principalement l'organisation qui a été touchée. L'extorsion de données affecte toutes les personnes dont les dossiers se trouvaient dans les systèmes de cette organisation, parfois des années après les faits. Le règlement de l'affaire Avis Budget et la violation de Quest Apartments, où les clients ont été invités à remplacer physiquement leurs passeports et permis de conduire, illustrent tous deux comment les données personnelles volées continuent de causer des préjudices longtemps après que l'incident initial a fait les gros titres. Les mots de passe peuvent être réinitialisés. Les numéros de passeport et les données d'identité gouvernementales ne peuvent pas être remplacés aussi facilement, ce qui explique précisément pourquoi les gangs ciblent de plus en plus ce type d'informations.

Les attaquants s'appuient également sur des outils comme les keyloggers pour récolter des identifiants de connexion avant même qu'une tentative d'extorsion ne commence, capturant silencieusement des noms d'utilisateur et des mots de passe qui seront ensuite regroupés dans des caches de données volées ou vendus séparément. Comprendre comment fonctionnent les keyloggers est un point de départ utile pour saisir comment les identifiants finissent entre les mains de criminels.

Construire une posture de sécurité qui présuppose la violation

Parce que l'extorsion axée sur la réputation suppose que les données volées finiront par être divulguées, monétisées, ou les deux, la stratégie de défense la plus réaliste est celle qui présuppose qu'une violation se produira plutôt que d'espérer le contraire. Cela signifie maintenir des sauvegardes hors ligne ou immuables afin que les menaces de chiffrement perdent leur pouvoir, surveiller les comptes pour détecter toute activité de connexion inhabituelle, et pratiquer une hygiène rigoureuse des identifiants : des mots de passe uniques pour chaque service, l'authentification multifacteur partout où elle est proposée, et des mises à jour régulières des mots de passe pour les comptes liés à des informations personnelles ou financières sensibles.

Ce que cela signifie pour vous

Si vous avez reçu une notification de violation ces dernières années, la tendance à l'extorsion de données par les gangs de ransomwares signifie que le risque ne s'est pas arrêté à l'arrivée de la lettre de notification. Les données volées ont tendance à circuler, à être revendues ou à refaire surface dans de futures arnaques longtemps après que l'incident initial est résolu. Traiter chaque avis de violation comme un risque continu, et non comme un événement ponctuel, est l'approche la plus sûre.

Points clés à retenir

Vérifiez si des comptes utilisent des mots de passe apparus dans des violations précédentes, et mettez-les à jour immédiatement. Activez l'authentification multifacteur sur les comptes financiers, de messagerie et liés à l'identité. Surveillez les notifications des entreprises avec lesquelles vous avez fait affaire, car les gangs d'extorsion de données divulguent souvent les dossiers volés bien après l'attaque initiale. Et lorsque des documents d'identité sensibles comme des passeports ou des permis de conduire ont été exposés, suivez les recommandations officielles en matière de remplacement plutôt que de supposer que le risque est passé. Les gangs de ransomwares se soucient peut-être de leur réputation pour obtenir un levier, mais rester informé et proactif demeure le moyen le plus fiable de limiter les dommages qu'ils peuvent causer.