Le pari d’une banque sur l’honnêteté criminelle
En matière de ransomware, l’un des aspects les plus étranges de l’ensemble du modèle économique criminel est la promesse qui suit le paiement : remettez l’argent, et nous supprimerons vos données volées. River Financial Corporation, la société mère de River Bank & Trust, basée en Alabama, semble avoir pris cette promesse au pied de la lettre. Dans un formulaire 8-K déposé auprès de la Securities and Exchange Commission, la banque a indiqué avoir « pris des mesures pour tenter de supprimer les données concernées, notamment en obtenant des déclarations » des attaquants, c’est-à-dire une assurance écrite que les informations volées seraient détruites. Il est à noter que le dépôt ne confirme pas explicitement si River Bank a effectivement versé une rançon, même si l’obtention de telles « déclarations » de la part d’opérateurs de ransomware n’intervient généralement qu’après un échange d’argent.
Cette révélation intervient à un moment délicat pour quiconque serait tenté de faire confiance à une promesse de suppression de données de la part d’un ransomware. Le démantèlement de l’opération de ransomware LockBit par les forces de l’ordre a révélé que les données des victimes étaient conservées sur l’infrastructure du groupe, même lorsque les victimes avaient déjà payé la demande d’extorsion. En d’autres termes, la case cochée « données supprimées » sur laquelle tant d’entreprises s’appuient pour clore l’incident et rassurer les régulateurs, les clients et leur propre conseil d’administration était, dans au moins certains cas documentés, tout simplement fausse.
Pourquoi une promesse de suppression de données par ransomware tient rarement la route
L’idée même de payer un gang de ransomware pour la suppression de données repose sur une contradiction évidente : vous demandez à une organisation criminelle, celle-là même qui s’est introduite dans votre réseau et a volé des documents sensibles, de renoncer volontairement à son moyen de pression. Il n’existe aucun mécanisme d’exécution, aucune piste d’audit ni aucun recours juridique si le groupe conserve une copie, la vend sur une place de marché du dark web ou l’utilise pour un second chantage par la suite. Les chercheurs en sécurité avertissent depuis longtemps que les vidéos de « preuve de suppression », les captures d’écran ou les déclarations écrites fournies par les équipes de ransomware sont par nature invérifiables. Le démantèlement de LockBit n’a fait qu’apporter des preuves tangibles de ce que beaucoup dans la communauté de la sécurité supposaient déjà.
Pour une institution financière, cela revêt une importance capitale. Les banques détiennent certaines des données personnelles les plus sensibles qui soient, notamment des numéros de sécurité sociale, des détails de comptes et des historiques de transactions. Lorsque ces données sont exfiltrées lors d’une intrusion, la promesse d’un criminel de les supprimer n’offre aucune protection réelle aux clients dont les informations ont été exposées. Elle offre, au mieux, un argument pour un dossier réglementaire.
Comment la brèche s’est produite
L’incident de River Bank ne s’est pas produit en vase clos. Selon des rapports antérieurs de renseignement sur les menaces, la brèche a été liée à un acteur non autorisé ayant obtenu un accès via une vulnérabilité d’un protocole VPN vieillissant, un détail exploré dans notre article précédent sur l’incident de ransomware de River Bank & Trust. Les infrastructures d’accès à distance obsolètes restent l’un des points d’entrée les plus courants pour les équipes de ransomware, précisément parce qu’elles se trouvent souvent en périphérie du réseau, sont faciles à scanner et sont fréquemment négligées dans les cycles de gestion des correctifs. Une fois à l’intérieur, les attaquants se déplacent généralement latéralement, localisent les données de valeur et exfiltrent les informations avant même de déclencher une charge utile de ransomware, ce qui signifie que le vol se produit souvent bien avant que quiconque ne remarque quoi que ce soit d’anormal.
Ce que cela signifie pour vous
Si vous êtes client de River Bank & Trust, ou de tout établissement ayant divulgué un incident de ransomware, la réalité pratique est la suivante : aucune promesse des attaquants de supprimer vos données ne doit être considérée comme une garantie de sécurité. Une fois que des informations quittent le réseau d’une entreprise lors d’une attaque de ransomware, elles doivent être traitées comme définitivement compromises, quelles que soient les assurances obtenues par la suite. Cela signifie surveiller vos comptes et vos rapports de solvabilité pour détecter toute activité inhabituelle, être attentif aux tentatives d’hameçonnage qui font référence à des détails de compte réels (une tactique de suivi courante lorsque des données bancaires volées circulent parmi les groupes criminels) et envisager un gel de crédit si des numéros de sécurité sociale ou des numéros de compte faisaient partie de l’ensemble des données exposées.
Pour les entreprises et les institutions financières qui suivent cette affaire, la leçon est plus large. S’appuyer sur une promesse de suppression de données d’un ransomware dans le cadre d’une stratégie de réponse aux incidents, et encore moins la communiquer aux régulateurs comme une mesure d’atténuation, envoie un mauvais signal quant au sérieux avec lequel une organisation traite la protection des données. Des sauvegardes vérifiées, la segmentation du réseau et l’application rapide de correctifs sur les infrastructures d’accès à distance telles que les passerelles VPN protègent bien davantage les données des clients que toute assurance obtenue d’une entreprise criminelle ne pourra jamais le faire.
Points à retenir
- Considérez toute promesse d’un groupe de ransomware de supprimer des données volées comme invérifiable et inapplicable, et non comme une véritable protection.
- Si vous êtes client d’une institution qui a divulgué une brèche, surveillez de près vos relevés et vos rapports de crédit, et envisagez un gel de crédit.
- Soyez particulièrement vigilant face aux messages d’hameçonnage qui mentionnent des détails exacts de compte ou des informations personnelles dans les semaines et les mois suivant un incident divulgué.
- Les organisations doivent donner la priorité à l’application de correctifs sur les vulnérabilités connues des VPN et des accès à distance, car les protocoles obsolètes restent l’un des principaux points d’entrée pour les équipes de ransomware.
Alors que les enquêtes sur les ransomwares continuent d’exposer l’écart entre ce que promettent les groupes criminels et ce qu’ils font réellement, les consommateurs comme les entreprises devraient agir comme si les données volées n’étaient jamais vraiment disparues, quelle que soit la déclaration écrite fournie par une équipe de ransomware.
