Un nombre record de groupes de ransomware, mais le nombre de victimes n'augmente pas

L'activité des ransomwares a atteint un nouveau jalon ce trimestre, non pas parce que les attaques ont ralenti, mais parce que le nombre d'attaquants a augmenté. Les sites de fuite de données ont suivi 93 équipes de ransomware actives durant la période, un record, selon de nouveaux chiffres rapportés par ITBrief. Pourtant, malgré cette augmentation du nombre d'opérateurs, le nombre total de victimes est resté largement stable par rapport au trimestre précédent.

Cela peut sembler une bonne nouvelle à première vue. Ce n'est pas le cas, du moins pas de la manière dont cela apparaît. Les sites de fuite de données ont enregistré 2 139 victimes de ransomware pour le trimestre, pratiquement inchangé par rapport aux trois mois précédents, mais toujours 33 % plus élevé que la même période un an plus tôt. En d'autres termes, l'écosystème des ransomwares ne s'est pas refroidi. Il s'est simplement réparti entre davantage de groupes, chacun revendiquant une part plus petite d'un gâteau qui continue de croître.

Pourquoi davantage de groupes ne signifie pas moins de risques

Le nombre record d'opérations de ransomware actives indique un changement significatif dans la structure de l'écosystème criminel. Pendant des années, une poignée de marques dominantes de ransomware contrôlait l'essentiel du volume d'attaques. Lorsque les forces de l'ordre perturbaient l'une de ces opérations majeures, le nombre de victimes baissait souvent sensiblement avant de rebondir.

Ce schéma semble se décomposer. Avec 93 groupes qui se disputent désormais des cibles, l'économie des ransomwares ressemble moins à un petit nombre de monopoles criminels qu'à un marché fragmenté. Les groupes plus petits, plus récents ou rebaptisés peuvent absorber le volume d'attaques que les opérations plus importantes généraient auparavant seules. Cela rend la menace globale plus résiliente. Éliminer un ou deux groupes importants ne réduit plus significativement l'activité totale des attaques, car des dizaines d'autres sont prêts à combler le vide.

Cette fragmentation a également des conséquences pratiques pour les défenseurs et les organisations soucieuses de la confidentialité. Plus de groupes signifie plus de variations dans les tactiques, les outils et le comportement de négociation des rançons, ce qui rend plus difficile l'élaboration d'un manuel défensif unique. Certaines équipes s'appuient sur des techniques bien rodées de hameçonnage et d'exploitation d'accès à distance, tandis que d'autres agissent rapidement pour exploiter des vulnérabilités récemment divulguées dans les logiciels d'entreprise. Un exemple récent est l'exploitation par Storm-1175 d'une faille de N-central pour déployer StormEncryptor, qui montre à quelle vitesse une seule vulnérabilité non corrigée dans un logiciel de gestion informatique largement utilisé peut devenir le point d'entrée d'un incident de ransomware à part entière.

Les conséquences pour la vie privée d'un taux d'attaques stable mais soutenu

Lorsque le nombre de victimes de ransomwares reste stable, il est tentant d'interpréter cela comme une stabilisation. Mais des chiffres stables reposant sur une augmentation de 33 % en glissement annuel et un nombre record de groupes actifs racontent une histoire différente : le niveau de risque de base a simplement augmenté et s'y est installé.

Chaque incident de ransomware comporte une composante d'exposition des données qui va au-delà des fichiers verrouillés. La plupart des opérations modernes de ransomware associent le chiffrement au vol de données, publiant les enregistrements volés sur des sites de fuite lorsque les victimes refusent de payer. Cela signifie que les informations personnelles, les dossiers financiers, les données de santé et les communications internes sont de plus en plus exposés au risque de divulgation publique, pas seulement à des temps d'arrêt opérationnels. Avec davantage de groupes gérant des sites de fuite et des infrastructures de négociation indépendants, il devient plus difficile pour les victimes et les chercheurs de suivre où aboutissent les données compromises.

Pour les consommateurs, cette fragmentation importe car elle multiplie les voies par lesquelles leurs données personnelles peuvent se retrouver exposées. Une violation chez un prestataire de soins de santé, un district scolaire ou un fournisseur de petite entreprise peut tout aussi facilement aboutir à une divulgation publique de données qu'une violation chez une grande entreprise. Le nombre record de groupes actifs suggère que les attaquants sont de plus en plus disposés à cibler des organisations petites ou moyennes qui peuvent avoir des budgets de sécurité plus faibles mais qui détiennent toujours des données personnelles sensibles.

Ce que cela signifie pour vous

Si vous êtes un particulier, le risque pratique n'a pas changé radicalement, mais les probabilités qu'une organisation détenant vos données soit frappée par un ransomware ont silencieusement augmenté. Si vous dirigez une entreprise, en particulier une petite ou moyenne, le nombre record de groupes actifs signifie que vous ne pouvez plus supposer que vous êtes trop petit pour être une cible. Les attaquants se diversifient, et cette diversification comble les lacunes qui protégeaient auparavant les petites organisations des équipes de ransomware sérieuses.

Le point essentiel est que la menace des ransomwares n'est plus définie par une poignée de noms de groupes tristement célèbres. C'est un écosystème large et fragmenté où des dizaines d'opérateurs chassent activement des points d'entrée vulnérables, des logiciels non corrigés aux outils d'accès à distance exposés.

Points à retenir concrets

  • Traitez le correctif des logiciels fournisseurs et tiers comme une priorité, pas comme une réflexion après coup. Les vulnérabilités dans les outils informatiques largement utilisés restent un point d'entrée courant pour les équipes de ransomware.
  • Supposez que toute organisation détenant vos données personnelles, quelle que soit sa taille, pourrait être une cible. Surveillez les notifications de violation et envisagez une surveillance du crédit ou de l'identité si vous êtes informé d'un incident.
  • Les entreprises doivent maintenir des sauvegardes hors ligne et testées ainsi qu'un plan de réponse aux incidents qui tient compte du vol de données et de l'exposition sur les sites de fuite, pas seulement du chiffrement des systèmes.
  • Restez informé des campagnes de ransomware spécifiques et des vulnérabilités exploitées affectant les logiciels sur lesquels votre organisation s'appuie, car les nouveaux groupes adoptent ces tactiques plus rapidement que jamais.

Le nombre record de groupes de ransomware actifs ce trimestre est un signal que le paysage des menaces devient plus distribué et plus difficile à perturber par des démantèlements isolés. Des chiffres de victimes stables ne signifient pas un risque stable. Ils signifient que la pression a simplement trouvé de nouvelles façons de se propager.