Ce que révèlent les nouvelles données sur la ré-extorsion par ransomware

De nouveaux chiffres rapportés par Connor Jones sur DataBreaches.Net confirment ce que les chercheurs en sécurité soupçonnent depuis des années : payer un gang de ransomware ne met pas fin à l’épreuve, cela ne fait souvent que marquer le début du deuxième round. Selon les données d’enquête citées dans le rapport, 58 % des organisations britanniques touchées ont choisi de payer une rançon l’année dernière. Parmi celles qui ont payé, 22 % ont été de nouveau visées par le même groupe criminel ou un autre, exigeant un second paiement.

Cela signifie qu’environ une organisation sur cinq ayant pris la décision difficile de payer n’a rien obtenu de durable en échange de son argent. Le cycle d’extorsion a simplement redémarré, parfois en l’espace de quelques semaines. Ce phénomène de paiements répétés d’extorsion par ransomware devient une caractéristique déterminante du paysage actuel des menaces, et il oblige les équipes de sécurité et les dirigeants à repenser entièrement le calcul qui consiste à se demander si payer est jamais une réponse rationnelle.

Pourquoi payer une fois invite une seconde attaque

La logique de la ré-extorsion est simple du point de vue criminel. Une fois qu’une organisation montre qu’elle est prête à payer, elle devient une cible marquée. Les opérateurs de ransomware conservent des registres indiquant quelles victimes ont cédé, à quelle vitesse elles ont payé et combien elles étaient disposées à verser. Ces informations circulent souvent au sein des réseaux d’affiliés et sont parfois vendues ou partagées entre groupes criminels opérant selon un modèle de ransomware-as-a-service.

Une victime qui paie 500 000 dollars une fois a effectivement signalé qu’elle dispose à la fois des réserves de trésorerie et de la tolérance au risque pour payer de nouveau. Les attaquants savent qu’une seconde intrusion, même moins sophistiquée, a de bonnes chances de réussir si les vulnérabilités sous-jacentes qui ont permis la première brèche n’ont jamais été entièrement corrigées. Dans de nombreux cas de double ou triple extorsion, les données volées ne sont même pas supprimées après le paiement, malgré des promesses contraires, laissant la porte ouverte à une nouvelle demande fondée sur la menace de publier ces mêmes informations dérobées.

C’est précisément pourquoi les forces de l’ordre, y compris le FBI, ont constamment déconseillé de payer les rançons. Le paiement ne garantit pas la récupération des données, ne garantit pas la suppression des fichiers volés et, comme le montrent ces nouvelles données, ne garantit pas que les attaquants resteront à l’écart.

Défenses proactives qui réduisent le risque de ransomware

Si payer ne résout pas le problème de manière fiable, la voie la plus durable consiste à réduire les chances qu’une brèche réussisse en premier lieu. Plusieurs couches défensives apparaissent régulièrement dans les conclusions de réponse aux incidents comme faisant la différence entre un incident maîtrisé et un incident catastrophique.

La segmentation du réseau limite la distance qu’un attaquant peut parcourir une fois qu’il a pris pied. Au lieu d’un réseau plat où un seul identifiant compromis ouvre l’accès à tout, les environnements segmentés obligent les attaquants à se battre pour chaque centimètre supplémentaire, ce qui donne aux défenseurs le temps de détecter et de réagir.

Les contrôles d’accès « Zero Trust » partent du principe qu’aucun utilisateur ni appareil n’est automatiquement digne de confiance, même à l’intérieur du périmètre de l’entreprise. Chaque demande d’accès est vérifiée, ce qui rend beaucoup plus difficile pour de simples identifiants volés de déverrouiller les systèmes critiques.

Des sauvegardes fiables, testées et hors ligne restent l’une des défenses anti-ransomware les plus efficaces qui soient. Les fichiers chiffrés cessent d’être un moyen de pression lorsqu’une organisation peut restaurer ses opérations à partir de sauvegardes propres sans négocier avec quiconque. Le mot clé est testées : les sauvegardes qui n’ont pas été vérifiées par des exercices de restauration réels échouent souvent au moment où on en a le plus besoin.

L’authentification multifacteur, l’application rapide des correctifs sur les systèmes exposés à Internet et la surveillance continue des mouvements latéraux inhabituels complètent la base qui distingue les organisations qui se rétablissent rapidement de celles qui finissent par faire face à une seconde demande d’extorsion.

Ce que les organisations devraient faire au lieu de payer

Lorsqu’un incident de ransomware survient, l’instinct de payer rapidement pour faire disparaître le problème est compréhensible, surtout sous la pression des clients, des régulateurs ou d’un conseil d’administration exigeant une résolution rapide. Mais les données sur la ré-extorsion montrent clairement que le paiement n’est pas une stratégie de sortie fiable. Les organisations ont tout intérêt à impliquer rapidement les forces de l’ordre, à faire appel à des professionnels de la réponse aux incidents capables d’évaluer l’étendue réelle de l’exposition des données, et à faire preuve de transparence envers les parties prenantes concernées plutôt que de supposer qu’un paiement discret fera disparaître le problème.

Ce que cela signifie pour vous

Que vous gériez l’informatique d’une petite entreprise ou supervisiez la politique de sécurité d’une grande organisation, ces données sont un signal clair pour réaffecter les priorités. L’argent mis de côté pour des fonds de prévoyance en cas de rançon est bien mieux dépensé dans des projets de segmentation, des déploiements Zero Trust et une infrastructure de sauvegarde testée régulièrement. Les polices de cyberassurance et les contrats de réponse aux incidents doivent également être revus pour s’assurer qu’ils mettent l’accent sur la prévention et la capacité de récupération plutôt que de simplement couvrir un paiement.

Pour les particuliers, la leçon est similaire à plus petite échelle : des mots de passe forts et uniques, l’authentification multifacteur et des sauvegardes régulières des appareils personnels et familiaux réduisent le risque qu’une seule infection par ransomware devienne un cauchemar récurrent.

Points clés à mettre en pratique

  • Traitez le paiement de la rançon comme un dernier recours, et non comme un premier plan d’intervention ; les données montrent qu’il échoue souvent à mettre fin à la menace.
  • Investissez dans la segmentation du réseau afin qu’un seul compte compromis ne puisse pas exposer tout l’environnement.
  • Adoptez les principes Zero Trust pour les accès internes et distants, en vérifiant chaque demande plutôt qu’en se fiant à la seule localisation réseau.
  • Conservez des sauvegardes hors ligne, testées régulièrement, pour que la reprise ne dépende pas de négociations avec des criminels.
  • Élaborez un plan de réponse aux incidents dès maintenant, avant qu’une attaque ne survienne, afin que les décisions ne soient pas prises sous l’effet de la panique et de la pression.

La hausse des ré-extorsions par ransomware est un argument de poids pour déplacer les ressources de la négociation réactive vers la défense proactive. Les organisations qui opèrent ce changement dès maintenant seront bien mieux placées que celles qui espèrent encore qu’un seul paiement fera disparaître le problème.