De nouvelles recherches menées à Singapour lancent un rappel inconfortable aux entreprises qui se demandent s’il faut payer une rançon : le paiement ne met souvent pas fin à l’épreuve. Selon un rapport du Singapore Business Review, 50 % des organisations locales touchées par des attaques d’extorsion ont versé de l’argent à leurs agresseurs, et une proportion frappante de ces victimes de ransomware qui ont payé se sont retrouvées confrontées à une seconde demande par la suite.

Cette constatation va à l’encontre de l’hypothèse courante selon laquelle payer une rançon est un moyen rapide de faire disparaître un problème coûteux. Pour de nombreuses organisations, cela semble produire l’effet inverse : cela signale aux groupes criminels que la victime est à la fois disposée et capable de payer, ce qui en fait un candidat de choix pour un second tour.

Ce que révèle l’étude

Le chiffre central de l’étude est simple mais qui donne à réfléchir. La moitié des organisations singapouriennes interrogées ayant subi une attaque de ransomware ou d’extorsion ont choisi de payer leurs agresseurs. C’est une décision à pile ou face prise sous une pression énorme, avec des systèmes chiffrés, des opérations à l’arrêt et des dommages à la réputation imminents qui pèsent tous sur le résultat.

Ce qui rend cet ensemble de données particulièrement remarquable, c’est le suivi : une partie importante de ceux qui ont payé n’ont pas obtenu de conclusion. Au contraire, ils ont reçu une deuxième demande d’extorsion, qu’elle provienne du même groupe qui revient pour en obtenir plus ou d’un acteur apparenté exploitant le même accès ou les données divulguées. Ce schéma n’est pas propre à Singapour. Des constats similaires sont apparus ailleurs, notamment une analyse montrant que les gangs de ransomware ré-extorquent 22 % des victimes ayant déjà payé, et des recherches menées en Nouvelle-Zélande ont révélé qu’environ 1 rançon sur 5 a été trahie par des attaquants qui sont revenus pour en demander davantage malgré avoir reçu le paiement.

Ensemble, ces données dressent un tableau cohérent sur différents marchés : payer une rançon ne garantit pas de manière fiable la sécurité, et dans un nombre significatif de cas, cela peut augmenter les chances d’être à nouveau ciblé.

Pourquoi les attaquants reviennent-ils à la charge

La logique comportementale est simple une fois que l’on se place du point de vue du criminel. Une victime qui a déjà payé a démontré trois choses précieuses pour un extorqueur : elle dispose d’argent, elle a décidé qu’il était préférable de payer plutôt que de subir l’alternative, et il se peut qu’elle manque de défenses techniques pour empêcher une nouvelle intrusion.

Les opérations de ransomware ressemblent de plus en plus à des entreprises avec leurs propres indicateurs internes. Un client qui paie, pour parler crûment, est une piste éprouvée. Certains groupes fonctionnent également comme des affiliés ou des franchises, ce qui signifie que les données ou l’accès au réseau d’une victime peuvent être revendus ou réutilisés par un groupe criminel totalement différent, entraînant une seconde demande qui n’a rien à voir avec le groupe à l’origine de la première attaque. Dans tous les cas, la victime se retrouve à supporter le risque une seconde fois.

C’est précisément la raison pour laquelle les agences de cybersécurité et les chercheurs déconseillent depuis longtemps de considérer le paiement d’une rançon comme une résolution plutôt qu’un palliatif temporaire et peu fiable.

Au-delà du paiement des rançons : bâtir de véritables défenses

Si le paiement n’est pas une solution garantie, sur quoi les organisations et les particuliers devraient-ils concentrer leur énergie ? La réponse consiste à réduire les chances d’une attaque réussie en premier lieu, et à limiter les dégâts lorsqu’elle se produit.

Cela commence par les bases : maintenir des sauvegardes hors ligne et testées afin que les données chiffrées puissent être restaurées sans négocier avec les attaquants. Cela signifie également renforcer les contrôles d’accès à distance, car les identifiants compromis et les protocoles de bureau à distance exposés restent des points d’entrée courants pour les groupes de ransomware. Chiffrer le trafic sensible et utiliser des connexions VPN sécurisées et bien configurées pour le travail à distance et hybride peut réduire la surface d’attaque sur laquelle les criminels s’appuient pour prendre pied. La formation des employés à repérer les tentatives de phishing, qui restent un vecteur de distribution majeur des charges utiles de ransomware, complète une stratégie de défense en couches qui ne dépend pas de l’espoir que les attaquants tiennent parole.

Ce que cela signifie pour vous

Pour les petites et moyennes entreprises en particulier, cette recherche devrait remodeler la planification de la réponse aux incidents. Si votre organisation est un jour touchée par un ransomware, la décision de payer ne doit pas être considérée comme une stratégie de sortie propre. Budgetez et planifiez comme si le paiement pouvait n’offrir qu’un soulagement temporaire, et non une résolution définitive. Cela signifie disposer d’un plan de réponse aux incidents documenté, de conseils juridiques et réglementaires prêts à l’avance, et d’une compréhension lucide que le fait de payer peut inviter à de nouveaux ciblages plutôt que d’y mettre fin.

Pour les particuliers et les télétravailleurs, le message à retenir est plus personnel : les points faibles exploités par les attaquants, qu’il s’agisse de logiciels non corrigés ou de connexions non sécurisées, sont souvent évitables grâce à des mesures d’hygiène de base plutôt qu’avec des outils coûteux.

Points clés à retenir

  • La moitié des organisations singapouriennes touchées par des attaques d’extorsion ont payé leurs attaquants, selon la nouvelle recherche.
  • Une proportion notable des victimes de ransomware qui ont payé a tout de même reçu une deuxième demande d’extorsion, faisant écho à des constatations similaires dans le monde.
  • Le paiement doit être considéré comme un dernier recours et non comme une solution garantie à une attaque en cours.
  • Des sauvegardes solides, un accès à distance sécurisé et une sensibilisation au phishing réduisent les chances d’avoir à prendre une telle décision.
  • Les organisations doivent planifier leur réponse aux incidents en partant du principe que les attaquants pourraient revenir, plutôt qu’en supposant que le paiement met fin à la menace.

En fin de compte, cette recherche appelle à déplacer l’attention des décisions de paiement réactives vers la prévention proactive. Les entreprises les mieux placées pour résister à une attaque de ransomware sont celles qui n’ont jamais à décider si payer vaut le risque.