Protection des sauvegardes contre le ransomware SafePay : les États-Unis, le Royaume-Uni et l'Allemagne lancent un avertissement

Un avertissement conjoint du FBI, de la CISA et d'agences de l'UE a placé le groupe de ransomware SafePay sous les projecteurs, les États-Unis, le Royaume-Uni et l'Allemagne étant désignés comme cibles de la campagne mondiale du groupe. Le détail clé pour les utilisateurs ordinaires et les petites entreprises : les attaquants s'en prennent aux sauvegardes. Cela fait de la protection des sauvegardes contre le ransomware SafePay une question bien plus vaste que le simple fait de disposer d'une deuxième copie de ses fichiers.

L'article source est bref, aussi ce billet se concentre-t-il sur ce que signale l'avertissement et sur les mesures pratiques que vous pouvez prendre. Lorsque nous décrivons le comportement typique des attaquants, cela reflète les rapports publics généraux sur SafePay et les pratiques courantes en matière de ransomware.

Ce que fait le ransomware SafePay et qui est ciblé

SafePay est un groupe de ransomware, ce qui signifie qu'il s'introduit dans les réseaux, verrouille les données et exige un paiement pour rétablir l'accès. Les rapports publics sur les menaces le décrivent comme une opération de double extorsion : les attaquants exfiltrent des données des systèmes de la victime avant de les chiffrer, puis exigent un paiement en cryptomonnaie. La menace est à la fois la perte d'accès et la fuite de fichiers sensibles.

L'avertissement conjoint décrit une campagne mondiale, et les agences impliquées couvrent les États-Unis, le Royaume-Uni et l'Allemagne. Les groupes de ransomware se limitent rarement aux grandes entreprises. Les petites entreprises, les cliniques, les écoles et les bureaux locaux disposent souvent de données précieuses mais de défenses plus minces, ce qui les rend attrayants. Les particuliers possédant des dispositifs de stockage en réseau à domicile ou dans un bureau à domicile peuvent également être exposés.

Les rapports publics sur SafePay indiquent que ses opérateurs pénètrent généralement en volant ou en devinant des mots de passe et en exploitant des vulnérabilités dans les systèmes de sécurité. Rien de tout cela n'est exotique, et c'est pourquoi les bases comptent tant.

Pourquoi les attaquants s'en prennent d'abord aux sauvegardes

Les sauvegardes sont le filet de sécurité. Si une victime peut restaurer à partir d'une copie propre, la demande de rançon perd l'essentiel de son levier. Les attaquants qui le comprennent tentent donc de retirer le filet avant de passer à l'action. Supprimer, chiffrer ou corrompre les sauvegardes en premier signifie qu'au moment où la note de rançon apparaît, les options de récupération ont déjà disparu.

C'est ce changement qu'il faut assimiler. Beaucoup de gens considèrent une sauvegarde comme quelque chose qui existe simplement. En pratique, une sauvegarde accessible depuis votre réseau principal, utilisant les mêmes identifiants de connexion, peut être trouvée et détruite par quiconque obtient cet accès. Une copie sur un disque branché en permanence à votre ordinateur, ou un dossier cloud qui se synchronise automatiquement, peut être chiffré avec tout le reste.

Comment protéger les sauvegardes : copies hors ligne, immuabilité et chiffrement

Une bonne protection des sauvegardes contre le ransomware SafePay commence par l'hypothèse qu'un attaquant finira par avoir accès à vos systèmes principaux, puis en veillant à ce que vos sauvegardes survivent à ce scénario. Trois idées aident :

• Conservez une copie hors ligne ou isolée. Un disque externe déconnecté après chaque sauvegarde ne peut pas être chiffré à distance. Pour les entreprises, cela signifie des copies qui ne sont pas accessibles en continu depuis le réseau de production.
• Utilisez des sauvegardes immuables. L'immuabilité signifie qu'une sauvegarde ne peut pas être modifiée ni supprimée pendant une période définie, même par un compte administrateur. De nombreux outils de sauvegarde et services de stockage cloud proposent ce réglage. Si un attaquant vole des identifiants administrateur, les copies verrouillées restent intactes.
• Chiffrez vos sauvegardes. Le chiffrement n'empêchera pas un attaquant de supprimer des données, mais il protège le contenu si une copie est volée. Cela compte dans un cas de double extorsion, où la fuite de données fait partie de la pression.

Deux habitudes complémentaires sont tout aussi importantes. Utilisez des identifiants distincts pour les systèmes de sauvegarde, idéalement protégés par l'authentification multifacteur, afin qu'un mot de passe quotidien volé ne les déverrouille pas. Et testez régulièrement les restaurations. Une sauvegarde que vous n'avez jamais restaurée est une supposition, pas un plan.

Défenses de base qui stoppent l'intrusion initiale

Protéger les sauvegardes est la dernière ligne de défense. Le meilleur résultat est de garder les attaquants à l'extérieur. Comme les rapports pointent vers des mots de passe volés ou devinés et des vulnérabilités exploitées, les défenses les plus utiles sont les moins glamour :

• Activez l'authentification multifacteur sur le courriel, l'accès à distance, les comptes cloud et les consoles de sauvegarde.
• Utilisez des mots de passe forts et uniques stockés dans un gestionnaire de mots de passe, afin qu'un identifiant divulgué n'ouvre pas plusieurs portes.
• Appliquez les correctifs rapidement, en particulier sur les systèmes exposés à Internet comme les pare-feu, les outils d'accès à distance et les logiciels de sauvegarde. Les failles connues non corrigées sont un vecteur d'entrée courant.
• Limitez l'accès à distance. Désactivez les services que vous n'utilisez pas et restreignez qui peut accéder au reste.

Un VPN peut aider à sécuriser les connexions à distance vers un réseau professionnel, mais il ne remplace pas les correctifs et l'authentification multifacteur, et il ne protégera pas les sauvegardes à lui seul.

Ce que cela signifie pour vous

La nature internationale de cet avertissement mérite d'être soulignée. La coopération des gouvernements par-delà les frontières sur les cybermenaces n'est pas nouvelle ; des alliances telles que Five Eyes et la plus large Fourteen Eyes sont connues pour le partage de renseignements, bien que ces arrangements concernent les données de surveillance et soient distincts de cet avis sur le ransomware. La conclusion pour les lecteurs est plus simple : lorsque plusieurs agences émettent un avertissement commun, la menace est large et ne se limite pas à une région ou un secteur.

Pour les particuliers, cela signifie vérifier si vos sauvegardes sont réellement séparées de votre ordinateur. Pour les petites entreprises, cela signifie demander qui peut supprimer vos sauvegardes, et si ce compte est protégé par l'authentification multifacteur.

Points clés à retenir

La protection des sauvegardes contre le ransomware SafePay se résume à un court audit que vous pouvez réaliser cette semaine :

1. Vérifiez votre configuration de sauvegarde. Disposez-vous d'au moins une copie hors ligne ou immuable ?
2. Séparez les identifiants. Assurez-vous que l'accès aux sauvegardes utilise des identifiants différents de ceux des comptes quotidiens.
3. Activez l'authentification multifacteur partout où elle est proposée, en commençant par le courriel, l'accès à distance et les outils de sauvegarde.
4. Installez les mises à jour en attente, en priorisant les pare-feu, les logiciels d'accès à distance et les applications de sauvegarde.
5. Testez une restauration de quelques fichiers pour confirmer que les sauvegardes fonctionnent réellement.

Aucune de ces étapes n'est compliquée, et ensemble elles retirent le levier dont dépendent les groupes de ransomware. Commencez l'audit dès aujourd'hui.