Rapport sur les ransomwares : près de la moitié des victimes paient, puis négocient

Près de la moitié paient encore, mais elles négocient d'abord

Un nouveau rapport qui circule brosse un tableau familier mais inconfortable : près de la moitié des organisations touchées par un chiffrement par ransomware finissent par payer la rançon. La particularité est qu'environ la moitié de ces victimes ne se contentent pas de verser la totalité de la somme exigée. Au lieu de cela, elles négocient, obtenant souvent que les attaquants acceptent un montant inférieur au prix initial avant de déverrouiller les fichiers chiffrés.

En apparence, cela peut ressembler à une petite victoire pour les victimes. Obtenir d'un groupe criminel qu'il baisse son prix donne l'impression d'un succès mineur dans une situation par ailleurs mauvaise. Mais le vrai sujet ici n'est pas de savoir qui négocie le mieux. Il s'agit de ce que cela signifie : le paiement de rançon, et la négociation avec des criminels, est devenu une composante normalisée de la manière dont les organisations réagissent aux cyberattaques.

Pourquoi les entreprises paient au lieu de renoncer

Un ransomware fonctionne en chiffrant les fichiers et les systèmes d'une organisation, les rendant inutilisables jusqu'à ce qu'une clé de déchiffrement soit fournie, généralement en échange d'un paiement. Pour les entreprises sans sauvegardes solides, ou celles qui subissent des pressions pour rétablir rapidement leurs opérations, payer peut sembler être le chemin le plus rapide vers un retour à la normale. Ce calcul devient encore plus facile à justifier lorsque l'attaquant accepte de baisser le prix, ce qui, selon le rapport, arrive souvent.

Cette dynamique de négociation n'est pas nouvelle dans l'économie des ransomwares. De nombreuses opérations de ransomware fonctionnent désormais comme des entreprises, avec des chats d'assistance, des portails de paiement et, oui, une marge de négociation. Cette professionnalisation explique en partie pourquoi le paiement est devenu une issue si courante plutôt qu'un dernier recours.

Mais payer ne garantit pas une résolution sans tache. Même lorsqu'une rançon est payée et qu'une clé de déchiffrement est remise, rien ne garantit que les attaquants n'avaient pas déjà copié des données sensibles avant de les chiffrer. C'est un détail crucial souvent oublié dans les discussions sur les négociations de rançon : le paiement vise généralement à rétablir l'accès aux fichiers, non à effacer une violation qui a peut-être déjà eu lieu.

Le risque vie privée caché derrière chaque paiement de rançon

C'est ici que l'histoire rejoint un problème de vie privée bien plus vaste. Les attaques par ransomware impliquent de plus en plus un vol de données en parallèle du chiffrement, ce qui signifie que les attaquants exfiltrent des copies de fichiers sensibles avant de verrouiller les originaux. Des reportages connexes ont révélé que 49 % des victimes de ransomware perdent des données avant de détecter l'attaque, ce qui veut dire qu'au moment où une demande de rançon arrive, les dégâts pour les données personnelles et organisationnelles sont peut-être déjà faits.

Ce détail compte énormément pour toute personne dont les informations personnelles se trouvent dans les systèmes d'une organisation, qu'il s'agisse d'un employeur, d'un prestataire de soins de santé, d'une école ou d'un commerce en ligne. Une négociation réussie sur le montant de la rançon n'annule pas un vol de données qui a déjà eu lieu. Elle n'empêche pas non plus les attaquants de vendre ou de divulguer ces données par la suite, que la rançon ait été payée en totalité, négociée à la baisse ou refusée.

Payer une rançon, même réduite, risque également de renforcer le modèle économique lui-même. Chaque paiement effectué, négocié ou non, signale aux attaquants que le ransomware reste rentable, ce qui maintient intacte la structure d'incitation pour de futures attaques contre d'autres organisations.

Ce que cela signifie pour vous

La plupart des personnes qui lisent des statistiques sur les paiements de rançon ne sont pas celles qui décident de payer ou non. Cette décision revient généralement à la direction informatique, aux cadres dirigeants ou aux équipes de réponse aux incidents. Mais les conséquences se répercutent sur les employés, les clients et toute personne dont les données résident dans les systèmes touchés.

Si vous recevez une notification de violation de la part d'une entreprise qui a subi une attaque par ransomware, prenez-la au sérieux, que l'information mentionne ou non le paiement d'une rançon. Le vol de données peut se produire avant même le début du chiffrement ; une rançon payée et un système restauré ne signifient donc pas nécessairement que vos informations sont en sécurité. Surveillez les signes d'usurpation d'identité, gardez un œil sur vos comptes et envisagez une surveillance du crédit si l'organisation la propose à la suite d'un incident.

Pour les entreprises et les équipes informatiques, la tendance à la négociation rappelle que la planification de la réponse doit tenir compte de l'exposition des données, et pas seulement des temps d'arrêt des systèmes. Les sauvegardes vous aident à éviter de payer une clé de déchiffrement, mais elles n'empêchent pas la fuite ou la vente de données volées si les attaquants les ont déjà exfiltrées au préalable.

Points à retenir et actions concrètes

• Ne partez pas du principe qu'une rançon payée signifie que vos données n'ont jamais été copiées ou exposées ; demandez directement aux organisations concernées ce qui a été confirmé comme volé.
• Surveillez vos comptes et votre activité de crédit après toute notification de violation, même si l'entreprise affirme que la rançon a été réglée.
• Si vous dirigez une entreprise, privilégiez la détection précoce et la segmentation du réseau afin que les attaquants disposent de moins de temps pour exfiltrer des données avant que le chiffrement ne frappe.
• Comprenez que la négociation de rançon réduit le coût, pas le risque ; l'exposition des données volées demeure une menace distincte et durable.

Les tendances en matière de paiement de rançon continueront probablement à faire la une des journaux à mesure que davantage d'organisations pèsent le coût du paiement par rapport au coût de la reconstruction. Mais pour les utilisateurs ordinaires, le véritable enseignement ne porte pas sur les tactiques de négociation. Il s'agit de rester vigilant sur ce qu'il advient de vos données bien après que les gros titres sur un paiement de rançon se sont estompés.