Un seul groupe de ransomware a réussi à s'infiltrer dans certaines des institutions les plus connues d'Afrique du Sud, notamment le Congrès national africain (ANC), Anglo American, Mediclinic, South African Airways (SAA) et Pick n Pay. Le point commun de ces incidents est le ransomware à double extorsion, une tactique devenue le mode opératoire standard des cybercriminels qui ciblent les grandes organisations en Afrique du Sud et au-delà.
Ce qui rend cette série de violations remarquable, ce n'est pas seulement la taille ou la notoriété des victimes. C'est qu'un seul acteur malveillant a réussi à pénétrer à plusieurs reprises des secteurs radicalement différents : un parti politique, un géant minier, un prestataire de soins de santé privé, une compagnie aérienne nationale et un grand distributeur. Cette diversité en dit long sur le mode de fonctionnement actuel des groupes de ransomware, et sur les raisons pour lesquelles le ransomware à double extorsion en Afrique du Sud est devenu un problème si persistant pour les organisations qui détiennent des données clients, patients ou citoyens.
Ce qui s'est passé : le groupe de ransomware derrière les violations de l'ANC, de SAA et de Pick n Pay
Selon les informations disponibles, la même menace ransomware a été associée aux intrusions à l'ANC, chez Anglo American, Mediclinic, SAA et Pick n Pay. Plutôt que de cibler un seul secteur ou type d'organisation, ce groupe a jeté un large filet sur des entités parapubliques, des géants industriels, des prestataires de soins et des enseignes grand public. Cette ampleur suggère que le groupe est opportuniste, s'attaquant aux réseaux qu'il parvient à compromettre, sans se limiter à un secteur ou à un mobile particulier.
Chacune de ces organisations détient des catégories de données différentes mais tout aussi sensibles. L'ANC détient des informations politiques et sur ses membres. Anglo American, en tant que société minière mondiale, détient des données opérationnelles et d'entreprise. Mediclinic détient des dossiers médicaux de patients. SAA détient des données de passagers et de voyages. Pick n Pay détient des données de fidélité et de transactions clients. Qu'un seul groupe puisse s'étendre à tous ces environnements différents souligne que les opérateurs de ransomware d'aujourd'hui ne recherchent pas un seul type de butin ; ils recherchent un moyen de pression, où qu'ils puissent le trouver.
En quoi le ransomware à double extorsion diffère des attaques traditionnelles
Le ransomware traditionnel était relativement simple : les attaquants chiffraient les fichiers de la victime et exigeaient un paiement en échange d'une clé de déchiffrement. Au fil du temps, les organisations ont mieux su se défendre contre ce modèle en conservant des sauvegardes hors ligne, ce qui leur permettait de restaurer leurs systèmes sans jamais payer la rançon.
Les groupes de ransomware se sont adaptés. Le ransomware à double extorsion ajoute un deuxième niveau de pression. Avant de chiffrer les systèmes de la victime, les attaquants copient d'abord discrètement, ou exfiltrent, des données sensibles du réseau. Une fois le chiffrement déclenché et la demande de rançon délivrée, la victime fait face à deux menaces distinctes : payer pour remettre les systèmes en ligne, et payer à nouveau (ou en plus) pour empêcher la publication ou la vente en ligne des données volées.
Cette approche neutralise la défense par sauvegarde sur laquelle comptent de nombreuses organisations. Même si une entreprise peut restaurer ses systèmes à partir de sauvegardes sans payer de rançon, elle doit encore faire face au fait que ses données, qu'il s'agisse de dossiers financiers, d'informations médicales ou de bases de données clients, se trouvent entre les mains de criminels qui menacent de les divulguer. C'est précisément pour cette raison que la double extorsion est devenue la stratégie dominante des ransomwares : elle donne aux attaquants un deuxième levier même quand le premier échoue.
Pourquoi cela est important si vous êtes client de ces organisations
Si vous êtes membre de l'ANC, patient chez Mediclinic, voyageur fréquent de SAA, titulaire de la carte Smart Shopper de Pick n Pay, ou lié à Anglo American de quelque manière que ce soit, ce type de violation n'est pas un simple problème abstrait d'entreprise. C'est un risque direct pour vos informations personnelles. Les attaques à double extorsion ciblent précisément le type de données qui a de la valeur au-delà de l'organisation elle-même : noms, coordonnées, numéros d'identification, informations financières, dossiers médicaux et données de programmes de fidélité.
Lorsque ces données tombent entre les mains d'un groupe de ransomware, elles ne restent pas nécessairement confinées. Les enregistrements volés lors de violations comme celles-ci sont souvent publiés, vendus ou diffusés sur des forums criminels, parfois bien après que l'incident initial a disparu des gros titres. L'ampleur de l'exposition peut être énorme. Pour avoir une idée de l'ampleur que peut prendre ces effets en cascade, la violation de données au Mexique qui a exposé 195 millions d'identités montre à quel point une seule intrusion à grande échelle peut avoir des répercussions une fois que les données d'identité volées commencent à circuler.
Contrairement aux campagnes cybernétiques liées à des États, qui se concentrent souvent sur l'espionnage ou la perturbation d'infrastructures, comme on l'a vu dans les attaques parrainées par un État signalées à Singapour, les groupes de ransomware à double extorsion sont motivés par l'argent. Cela signifie que les données qu'ils vous volent sont traitées comme une marchandise, destinée à être monétisée par des paiements de rançon, la revente ou des fuites publiques conçues pour faire pression sur l'organisation victime.
Mesures pratiques pour protéger vos données après une violation chez un tiers
Vous ne pouvez pas empêcher qu'une organisation avec laquelle vous faites affaire soit violée, mais vous pouvez contrôler votre réaction et le degré d'exposition qui en résulte.
- Vérifiez si vos informations faisaient partie des notifications de violation émises par l'ANC, Anglo American, Mediclinic, SAA ou Pick n Pay, et suivez toute instruction spécifique qu'ils fournissent.
- Changez les mots de passe de tous les comptes liés à ces organisations, surtout si vous avez réutilisé ce mot de passe ailleurs.
- Activez l'authentification à deux facteurs partout où elle est proposée, en particulier pour les comptes financiers, de santé et de fidélité.
- Surveillez vos relevés bancaires et de carte de crédit pour y détecter des transactions inhabituelles, car les données financières et d'identité sont souvent l'actif le plus précieux volé lors de ces violations.
- Méfiez-vous des tentatives d'hameçonnage ultérieures, car les données personnelles volées sont fréquemment utilisées pour créer des courriels ou messages frauduleux convaincants qui font référence à de véritables informations de compte.
La situation plus large du ransomware à double extorsion en Afrique du Sud
Le fait qu'un seul groupe de ransomware puisse s'introduire dans un parti politique, un conglomérat minier, un réseau de soins de santé, une compagnie aérienne et un distributeur montre que le ransomware à double extorsion en Afrique du Sud est devenu un risque partagé entre les secteurs, et non un problème de niche pour une seule industrie. Les organisations ont la responsabilité de sécuriser leurs réseaux, mais les individus ont aussi un rôle à jouer pour limiter les dégâts une fois qu'une violation se produit.
Se tenir informé des organisations avec lesquelles vous interagissez et qui ont été touchées, mettre à jour rapidement vos identifiants et guetter les signes d'utilisation abusive sont des mesures pratiques et réalisables. Les violations de données impliquant de grandes institutions continueront de se produire, mais la rapidité avec laquelle vous y réagissez peut faire la différence entre un inconvénient mineur et un grave problème d'usurpation d'identité.
