Les gangs de ransomware volent désormais les données avant de les chiffrer

Comment les ransomwares sont passés du chiffrement au vol de données et à l'extorsion

Pendant des années, les ransomwares suivaient un scénario simple. Les attaquants s'introduisaient dans le réseau d'une entreprise, chiffraient ses fichiers et exigeaient un paiement en échange de la clé de déchiffrement. Si la victime disposait de sauvegardes solides, elle pouvait souvent restaurer ses systèmes et s'en sortir sans payer. Ce filet de sécurité a largement disparu.

Les groupes de ransomware d'aujourd'hui sont passés à ce que les chercheurs en sécurité appellent la double extorsion. Avant de verrouiller quoi que ce soit, les attaquants copient discrètement les fichiers sensibles, les dossiers clients, les données des employés, les documents financiers et tout ce qui a de la valeur. Ce n'est qu'une fois le vol terminé qu'ils déclenchent le chiffrement. Cela signifie que payer pour une clé de déchiffrement ne résout plus le vrai problème. Même si une entreprise restaure ses systèmes à partir de sauvegardes, les données volées sont toujours là, et les criminels menacent de les publier ou de les vendre à moins qu'une seconde rançon ne soit payée.

Ce changement est important car il modifie qui est réellement la victime. Il ne s'agit plus seulement du service informatique qui s'efforce de restaurer les serveurs. Il s'agit de chaque client, patient ou employé dont les informations personnelles se trouvaient dans la base de données de cette entreprise. Les préoccupations concernant l'extorsion de données par ransomware et la vie privée s'étendent désormais bien au-delà de l'organisation compromise elle-même, touchant toute personne ayant un jour confié ses données à cette organisation.

Qui est exposé lorsqu'une entreprise de confiance est victime d'une attaque

Lorsqu'un groupe de ransomware viole une entreprise, l'exposition ne s'arrête pas à la paie ou aux secrets commerciaux de l'entreprise. Selon la cible, les données volées peuvent inclure des noms, des adresses, des numéros de sécurité sociale, des dossiers médicaux, des identifiants de connexion et des détails de comptes financiers. Les prestataires de soins de santé, en particulier, sont devenus des cibles fréquentes car les dossiers des patients ont de la valeur et les organisations subissent souvent des pressions pour résoudre rapidement les incidents. Les recommandations sur le ransomware Medusa pour les organismes de santé illustrent exactement comment cela se déroule, les agences fédérales détaillant comment le groupe s'infiltre dans les réseaux, exfiltre des dossiers sensibles et fait pression sur les victimes en menaçant de fuites publiques.

Ce qui est déconcertant pour les consommateurs, c'est que vous contrôlez rarement quelles entreprises détiennent vos données ou comment elles les protègent. Un détaillant, un assureur, un hôpital ou même un district scolaire peut être compromis, et vos informations peuvent se retrouver sur un site de fuite des mois ou des années après votre interaction avec cette organisation. Vous ne saurez peut-être même pas que vos données étaient impliquées avant de recevoir une notification de violation, ou jusqu'à ce qu'il soit trop tard.

Mesures à prendre si vos données apparaissent dans une fuite de ransomware

Si vous recevez une notification de violation ou découvrez que vos informations figurent dans une fuite, considérez cela comme un signal pour agir, pas pour paniquer. Commencez par confirmer exactement quel type de données a été exposé. Les numéros de compte financiers, les numéros de sécurité sociale et les informations médicales nécessitent des réponses différentes d'une simple adresse e-mail exposée.

Changez immédiatement les mots de passe de tous les comptes liés à l'organisation compromise et évitez de réutiliser ce mot de passe ailleurs. Si des informations financières ou d'identité étaient impliquées, envisagez de placer une alerte à la fraude ou un gel du crédit auprès des principales agences d'évaluation du crédit. Surveillez attentivement vos relevés bancaires et de carte de crédit pour détecter toute activité inhabituelle dans les semaines et les mois suivant l'incident, car les données volées sont parfois vendues et utilisées bien après la violation initiale.

Il vaut également la peine de signaler l'incident, à la fois à l'entreprise concernée et, si un vol d'identité se produit, aux autorités compétentes de protection des consommateurs. La documentation est importante si vous devez contester des frais ou des comptes frauduleux plus tard.

Réduire votre exposition : VPN, hygiène des identifiants et signalement aux autorités

Bien que vous ne puissiez pas contrôler si une entreprise avec laquelle vous avez fait affaire est compromise, vous pouvez réduire l'ampleur des dommages qu'une violation vous cause personnellement. Utiliser des mots de passe uniques et forts pour chaque compte, associés à un gestionnaire de mots de passe, limite la propagation d'un seul identifiant divulgué. Activer l'authentification multifacteur ajoute une autre barrière même si un mot de passe est exposé.

Les attaquants s'appuient de plus en plus sur des identifiants volés ou réutilisés pour obtenir un accès initial aux réseaux plutôt que sur des logiciels malveillants exotiques. Une vague récente d'incidents a montré comment des attaquants ont détourné des sessions Microsoft 365 via l'abus d'outils de gestion à distance plutôt qu'en exploitant une faille logicielle, soulignant à quel point les violations modernes dépendent de points d'accès quotidiens comme les connexions et les outils d'assistance plutôt que d'un piratage sophistiqué. Un VPN n'empêchera pas les serveurs d'une entreprise d'être compromis, mais il aide à protéger votre propre connexion contre l'interception sur les réseaux publics et peut réduire la quantité de données personnelles exposées lors de la navigation, ce qui importe davantage à mesure que vos informations circulent dans davantage d'endroits en raison de violations indépendantes de votre volonté.

Si vous soupçonnez que votre identité a été compromise, signaler l'incident à l'autorité compétente de cybercriminalité ou de protection des consommateurs de votre pays crée un enregistrement officiel et peut contribuer aux enquêtes plus larges sur les groupes criminels responsables.

Ce que cela signifie pour vous

Le ransomware n'est plus un problème qui n'affecte que les entreprises et leurs équipes informatiques. Parce que les attaquants volent désormais les données avant de les chiffrer, les particuliers deviennent des dommages collatéraux dès le moment où une entreprise détenant leurs informations est compromise. Les risques d'extorsion de données par ransomware et d'atteinte à la vie privée signifient que même les organisations dotées de systèmes de sauvegarde robustes ne peuvent pas pleinement protéger les clients et les patients dont les données ont été volées. Votre meilleure défense consiste à supposer que tout compte que vous avez jamais créé pourrait un jour être impliqué dans une violation, et à vous préparer en conséquence.

Points à retenir concrets

• Utilisez des mots de passe uniques et un gestionnaire de mots de passe afin qu'un seul identifiant divulgué ne compromette pas plusieurs comptes.
• Activez l'authentification multifacteur partout où elle est proposée.
• Surveillez attentivement les notifications de violation et les relevés financiers, et agissez rapidement si vos données apparaissent dans une fuite.
• Envisagez un gel du crédit si des informations d'identité sensibles comme un numéro de sécurité sociale sont exposées.
• Signalez tout vol d'identité ou fraude suspecté aux autorités appropriées pour créer un enregistrement documenté.

Comprendre comment les ransomwares sont passés d'une nuisance à écran verrouillé à une menace d'extorsion de données à grande échelle est la première étape pour vous protéger dans un monde où vos informations personnelles ne sont aussi sûres que l'entreprise la plus faible qui les stocke.