Le ciblage par rançongiciel suit les probabilités de paiement, pas la notoriété
Pendant des années, l'image populaire d'une victime de rançongiciel a été celle d'un nom connu : un système hospitalier, une grande compagnie aérienne, un fabricant mondial. Mais une analyse récente avance un point plus simple et plus utile : le ciblage par rançongiciel suit les probabilités de paiement, pas la notoriété. Les attaquants, et plus précisément les affiliés qui réalisent la majorité des intrusions par rançongiciel, ne courent pas après les gros titres. Ils courent après un paiement, et cela change qui finit dans leur ligne de mire.
L'économie derrière tout cela est simple. La plupart des rançongiciels modernes fonctionnent selon un modèle de rançongiciel en tant que service, où un groupe central développe le logiciel malveillant et l'infrastructure tandis que des affiliés indépendants se chargent des effractions proprement dites. Ces affiliés ne touchent une commission que lorsqu'une victime paie. Ce seul fait réorganise tout le processus de ciblage. Au lieu de se demander « qui ferait le plus grand bruit », les affiliés se demandent « qui est le plus susceptible de payer, et le plus rapidement ».
Pourquoi la probabilité de paiement l'emporte sur la reconnaissance de marque
Lorsque le paiement est la seule source de revenus, la notoriété devient sans pertinence, sauf si elle est corrélée à la volonté ou à la capacité de payer. Une marque bien connue disposant de sauvegardes solides, d'un plan de réponse aux incidents éprouvé et d'un engagement public à ne jamais négocier avec les attaquants est en réalité une cible médiocre, même si la compromettre générerait davantage d'attention médiatique. En revanche, une entreprise de taille moyenne aux défenses plus faibles, couverte par une assurance cyber et dont le modèle d'affaires ne tolère pas d'interruption devient bien plus attrayante.
Les signaux qui augmentent la probabilité de paiement perçue d'une victime incluent des preuves de fonds disponibles, un processus interne clair pour autoriser rapidement des paiements importants, une dépendance à des opérations continues et un historique (public ou déduit) de paiements de rançon passés. Les organisations qui ont publiquement refusé de payer envoient le signal opposé. Stadler Rail, par exemple, a refusé une demande de rançon de 12,3 millions de dollars du gang d'extorsion Everest après que des attaquants ont volé des données techniques via un fournisseur, une décision qui réduit l'incitation pour ce même groupe à prioriser des cibles similaires à l'avenir. Le gouvernement de l'État de Berlin a adopté une position similaire, confirmant qu'il ne paierait pas les pirates malgré une tentative d'extorsion active après une intrusion réseau. Chaque refus public érode le calcul des probabilités de paiement qui guide la prise de décision des affiliés.
L'angle de la vie privée : le vol de données n'attend pas une décision
Cette logique de ciblage a une conséquence directe sur la vie privée qui se perd souvent dans les débats sur le paiement des rançons. Bien avant qu'une victime décide de payer ou non, les attaquants ont généralement déjà exfiltré des données. Les opérations de rançongiciel modernes reposent de plus en plus sur la double extorsion, en chiffrant les systèmes tout en volant des fichiers sensibles pour servir de levier supplémentaire. Cela signifie que les informations personnelles, les dossiers financiers et les communications internes peuvent être exposés ou vendus quel que soit le résultat de la rançon.
L'attaque du groupe ShinyHunters contre la société colombienne de services financiers Addi.com illustre clairement ce risque. Le groupe a revendiqué la responsabilité d'avoir volé 16 millions de dossiers financiers, une ampleur d'exposition qui n'a rien à voir avec le fait qu'Addi.com était une cible célèbre ou politiquement significative. Cela reflète la même logique sous-jacente : une société de services financiers détenant de grands volumes de données sensibles représente une opportunité d'extorsion de grande valeur, indépendamment de la reconnaissance de marque. Pour les utilisateurs ordinaires, cela signifie que vos données peuvent se retrouver en danger simplement parce que l'organisation qui les détient semblait être un bon pari pour un affilié, et non parce qu'elle était une cible que quiconque aurait pu anticiper.
Ce que cela signifie pour vous
Si le ciblage est déterminé par les probabilités de paiement plutôt que par la notoriété, la conclusion pratique est qu'aucune organisation, quelle que soit sa taille ou sa visibilité, ne peut présumer être « trop petite pour compter » aux yeux des opérateurs de rançongiciels. Les petites entreprises, les prestataires de soins de santé, les plateformes financières et les agences gouvernementales locales sont fréquemment attrayants précisément parce qu'ils peuvent avoir des défenses moins matures et une pression opérationnelle plus forte pour rétablir rapidement l'accès.
Pour les individus, cela renforce une réalité familière mais importante : la sécurité de vos données personnelles dépend largement de la posture de sécurité de chaque organisation qui les détient, pas seulement des plus célèbres. Les institutions financières, les petits fournisseurs de services et les fournisseurs d'une chaîne d'approvisionnement sont tous des points d'entrée plausibles, comme le démontre l'incident de Stadler Rail.
Points à retenir concrets
Les organisations devraient considérer l'intégrité des sauvegardes, la planification de la réponse aux incidents et la communication publique sur la politique de rançon comme des outils qui réduisent directement leur attractivité aux yeux des affiliés en quête de paiements faciles. Les individus devraient partir du principe que tout service détenant des données personnelles ou financières sensibles pourrait être ciblé, et devraient utiliser des mots de passe forts et uniques, activer l'authentification multifacteur partout où c'est possible, et surveiller leurs comptes pour détecter toute activité inhabituelle après une notification de violation. Parce que le ciblage par rançongiciel suit les probabilités de paiement plutôt que la notoriété, rester vigilant avec les fournisseurs plus petits et moins connus est tout aussi important que de suivre l'actualité des attaques contre les grandes marques. Comprendre comment ces décisions sont prises est l'un des moyens les plus simples de garder une longueur d'avance sur le risque.
