Rapport sur les rançongiciels : 37 % des payeurs confrontés à des demandes répétées

Le véritable moteur de profit des rançongiciels n'est pas le chiffrement

Pendant des années, la défense contre les rançongiciels s'est concentrée sur un moment précis : la seconde où les fichiers sont verrouillés. Mais de nouvelles conclusions relayées par The National CIO Review montrent clairement que le chiffrement est souvent la partie la moins intéressante d'une attaque par rançongiciel pour les criminels qui la perpètrent. Le véritable bénéfice provient du vol de données, et ce bénéfice ne s'arrête pas lorsque la rançon est payée ou que les systèmes sont restaurés.

Selon le rapport, 54 % des organisations touchées ont payé la rançon demandée. Ce chiffre n'est pas surprenant en soi, compte tenu des perturbations que peuvent causer les systèmes chiffrés. Ce qui est frappant, c'est ce qui s'est passé ensuite : 37 % de ces organisations ayant payé ont reçu ultérieurement une nouvelle demande du même attaquant ou d'un autre. En d'autres termes, plus d'un tiers des victimes qui pensaient avoir clos l'incident se sont retrouvées à la case départ, à devoir négocier à nouveau pour les mêmes données volées.

Pourquoi les données volées continuent de rapporter aux attaquants

Une fois que les attaquants exfiltrent des données avant de déployer le chiffrement, ils obtiennent plusieurs sources de revenus distinctes qui ne dépendent pas du maintien des systèmes de la victime verrouillés. Le rapport en décrit plusieurs :

• Menaces de divulgation publique : Les attaquants menacent de divulguer des fichiers sensibles si un deuxième paiement n'est pas effectué, même après la rançon initiale pour les clés de déchiffrement.
• Revente des données volées : Les informations sont vendues sur des places de marché criminelles à d'autres acteurs malveillants, que la victime initiale ait payé ou non.
• Abus d'identifiants : Les noms d'utilisateur, mots de passe et jetons d'accès trouvés dans les fichiers volés sont réutilisés pour compromettre d'autres comptes ou systèmes, parfois au sein d'organisations partenaires ou de fournisseurs.
• Attaques consécutives : Les détails recueillis lors d'une violation, comme des schémas de réseau, des contrats fournisseurs ou des communications internes, rendent les intrusions futures plus faciles et plus ciblées.

C'est pourquoi les chercheurs en sécurité décrivent de plus en plus les rançongiciels modernes comme un problème de vol de données auquel s'ajoute du chiffrement, plutôt que l'inverse. Le chiffrement perturbe les opérations pendant des jours ou des semaines. Les données volées peuvent être exploitées comme une arme pendant des mois ou des années.

Un exemple récent de cette dynamique rendue publique concerne la violation de données de Tata Electronics qui a divulgué les secrets de l'iPhone 18 Pro, où un groupe de rançongiciel se faisant appeler World Leaks a publié des informations sensibles sur des produits non commercialisés après avoir accédé aux systèmes internes. Des cas comme celui-ci illustrent comment les données d'entreprise volées conservent de la valeur pour les attaquants bien au-delà de l'intrusion initiale, et comment les menaces de divulgation seules peuvent placer les organisations face à des décisions difficiles même sans déploiement effectif de chiffrement.

Pourquoi le paiement ne garantit pas la fin de l'histoire

Le chiffre de 37 % de demandes répétées mérite une attention particulière car il remet en cause une hypothèse courante : que le paiement de la rançon clôt l'incident. En réalité, une fois que les données ont quitté le réseau de l'organisation, la victime n'a aucun moyen de vérifier que les copies ont été détruites, que l'attaquant ne revendra pas les informations ou qu'un autre groupe n'a pas déjà obtenu les mêmes fichiers. Le paiement répond au problème de chiffrement. Il ne fait rien pour le problème de vol de données, car ces données échappent déjà au contrôle de la victime dès leur exfiltration.

Cela a des implications directes sur la manière dont les organisations envisagent la préparation aux rançongiciels. La planification des sauvegardes et de la récupération compte pour remettre les systèmes en ligne, mais elle ne fait rien pour empêcher une fuite, une revente ou une deuxième tentative d'extorsion. Empêcher l'exfiltration en premier lieu, par la segmentation du réseau, des contrôles d'accès stricts et la réduction au minimum des données sensibles stockées ou accessibles, importe tout autant que la planification de la récupération.

Ce que cela signifie pour vous

Que vous gériez l'informatique d'une petite entreprise ou que vous protégiez simplement vos propres comptes, la leçon à tirer de ces données est la même : partez du principe que toute violation impliquant vos informations pourrait entraîner une exposition continue, et non un incident ponctuel. Si une entreprise avec laquelle vous interagissez divulgue une attaque par rançongiciel, traitez-la comme un risque ouvert. Les mots de passe réutilisés, les anciens identifiants de compte et les détails personnels liés à cette violation peuvent refaire surface dans des tentatives de bourrage d'identifiants ou des escroqueries consécutives longtemps après que l'actualité s'est estompée.

Pour les organisations, le principal enseignement est de traiter la minimisation des données et la segmentation du réseau comme des défenses essentielles contre les rançongiciels, et non comme des réflexions après coup. Limiter les données sensibles accessibles à partir d'un seul point compromis réduit ce que les attaquants peuvent voler, même s'ils y parviennent.

Mesures concrètes à adopter

• Utilisez des mots de passe uniques pour chaque compte et mettez-les à jour si vous êtes informé d'une violation impliquant vos données, même des mois plus tard.
• Activez l'authentification multifacteur partout où c'est possible pour réduire la valeur des identifiants volés.
• Si vous dirigez une entreprise, auditez les données sensibles stockées et les personnes qui peuvent y accéder ; moins de données exposées signifie moins de levier pour les attaquants.
• Ne partez pas du principe qu'un incident de rançongiciel est terminé une fois la rançon payée ou les systèmes restaurés. Surveillez les signes de fuite de données ou de nouvelles tentatives d'extorsion.
• Segmentez les réseaux pour qu'un seul appareil ou compte compromis ne puisse pas exposer l'intégralité de votre environnement de données.

Le plus grand avantage des rançongiciels n'est pas le chiffrement qui fait les gros titres. C'est le vol de données qui se produit discrètement au préalable et continue de générer de la valeur pour les attaquants bien après que la crise initiale semble résolue.