Payer les pirates de ransomware ne garantit pas la tranquillité

Les organisations qui paient une demande de rançon dans l'espoir de faire disparaître le problème devraient peut-être reconsidérer cette stratégie. De nouvelles recherches relayées par TechRadar ont révélé que si 56 % des victimes ayant payé une rançon ont effectivement retrouvé l'accès à leurs systèmes, plus d'un tiers, 37 %, ont été frappées par une seconde demande d'extorsion peu de temps après avoir remis le premier paiement. Enfin, 2 % des répondants ont payé et n'ont jamais récupéré leurs données.

Ces constats remettent en cause l'hypothèse courante selon laquelle le versement d'une rançon serait une transaction simple : payer, obtenir une clé de déchiffrement, passer à autre chose. Les données suggèrent au contraire que, pour une part importante des victimes, le premier paiement est traité par les attaquants comme une ouverture plutôt que comme une résolution. Cela rejoint les conclusions d'autres recherches récentes. Un autre rapport sur les ransomwares a révélé que près de la moitié des organisations paient puis négocient, renforçant l'idée que les paiements de rançon sont rarement un coût unique et propre.

Pourquoi les pirates reviennent à la charge

La logique d'une tentative d'extorsion répétée est simple du point de vue de l'attaquant. Si une organisation victime a déjà démontré sa volonté et sa capacité de payer, elle devient une cible plus attractive pour des demandes ultérieures. Les groupes de ransomware savent que les entreprises sous pression pour rétablir leurs activités, protéger les données de leurs clients ou éviter des sanctions réglementaires sont souvent prêtes à payer de nouveau plutôt que de risquer une interruption prolongée ou une divulgation publique de la brèche.

La recherche met également en lumière une autre subtilité du processus de négociation des rançons : la flexibilité des prix. Les experts cités dans le rapport notent que les opérateurs de ransomware baissent fréquemment leur demande initiale, certaines remises pouvant atteindre 96 % du prix de départ. Il ne s'agit pas de générosité. Cela reflète une stratégie de négociation où le premier chiffre est délibérément gonflé, le véritable objectif étant simplement d'extraire un paiement, n'importe quel paiement, de la victime. Comprendre cette dynamique est important, car cela montre que les demandes de rançon ne sont pas des prix fixes établis par un marché rationnel. Ce sont des offres d'ouverture dans une négociation conçue pour maximiser ce qu'une organisation déjà sous tension est prête à payer.

Pris ensemble, les demandes initiales gonflées, les rabais considérables et le schéma d'extorsion répétée brossent le tableau d'un écosystème fondé sur l'effet de levier plutôt que sur un échange équitable. Une fois qu'une victime paie, les attaquants ont la preuve que la pression fonctionne, et cette donnée peut être réutilisée, que ce soit contre la même organisation ou partagée dans les cercles criminels comme preuve qu'une cible mérite d'être poursuivie.

Ce que cela signifie pour vous

Pour les particuliers, les petites entreprises comme pour les grands groupes, le principal enseignement n'est pas que les rançons ne doivent jamais être payées en aucune circonstance (c'est une décision que chaque organisation doit peser en fonction de sa propre tolérance au risque et de ses obligations légales). C'est plutôt que le paiement ne doit jamais être considéré comme une solution garantie. Quiconque envisage de payer une rançon doit prévoir la possibilité qu'il ne s'agisse pas de la dernière demande, et que la récupération des données ne soit pas assurée même après que l'argent a changé de mains.

Cela est particulièrement pertinent pour les petites structures et les particuliers qui ne disposent peut-être pas d'équipes dédiées à la réponse aux incidents. Le même rapport sur les ransomwares montrant des victimes qui paient puis négocient à nouveau souligne que même des entreprises bien dotées peinent à boucler la boucle après une attaque. Sans l'appui de professionnels de la réponse aux incidents, les chances d'une issue favorable après paiement ne sont pas forcément meilleures pour les petites cibles.

La conséquence pratique est que la prévention et la préparation importent bien plus que les talents de négociateur après coup. Des sauvegardes fiables et hors ligne, des procédures de restauration testées et une sécurité robuste des terminaux réduisent le levier dont disposent les attaquants. Si une organisation n'a jamais besoin d'envisager de payer parce qu'elle peut restaurer à partir de ses sauvegardes, tout le cycle d'extorsion, y compris le risque d'une seconde demande, devient sans objet.

Mesures concrètes à adopter

Quelques actions concrètes peuvent réduire l'exposition aux ransomwares et au cycle d'extorsion qui s'ensuit :

  • Maintenez des sauvegardes régulières et testées, stockées hors ligne ou dans un environnement séparé et isolé afin que la récupération ne dépende pas de la coopération des attaquants.
  • Traitez tout paiement de rançon comme une décision d'affaires comportant un risque réel de demandes ultérieures, et non comme une résolution garantie.
  • Impliquez les forces de l'ordre et des professionnels expérimentés en réponse aux incidents avant de prendre une décision de paiement, car ils ont souvent une bonne connaissance des antécédents d'un groupe d'attaquants.
  • Investissez dans l'hygiène de sécurité de base, y compris l'application des correctifs, l'authentification multifacteur et la segmentation du réseau, pour réduire les chances d'être victime en premier lieu.

En définitive, cette recherche nous rappelle qu'un paiement de rançon n'achète pas une conclusion, il achète une chance. Les organisations qui misent sur la résilience plutôt que sur la négociation se trouvent dans une position bien plus solide, qu'elles soient un jour confrontées ou non à une demande de rançon.