Que s'est-il passé à la patinoire Thialf ?

Thialf, la célèbre patinoire néerlandaise connue dans le monde entier pour accueillir des championnats de patinage de vitesse, est la dernière victime d'une cyberattaque. Selon Microsoft, le groupe à l'origine de l'intrusion, connu sous le nom de The Gentlemen, a dérobé des données du site et menace de les publier sur le dark web si une rançon n'est pas payée dans les jours qui viennent.

Il s'agit d'un cas d'école de l'action d'un gang de ransomware à double extorsion : les attaquants ne se contentent pas de verrouiller les fichiers, ils dérobent d'abord des données sensibles et utilisent la menace d'une exposition publique comme moyen de pression. Pour une institution comme Thialf, cela pourrait signifier que des dossiers du personnel, des informations financières, des données de billetterie ou d'autres détails opérationnels se retrouvent en vente ou en téléchargement libre sur des forums criminels si la date butoir est dépassée sans paiement.

Comment fonctionne le modèle de double extorsion de The Gentlemen

Le scénario de la double extorsion est devenu l'approche par défaut pour la plupart des opérations de ransomware sérieuses, et The Gentlemen semble suivre le même schéma documenté dans d'innombrables autres cas. D'abord, les attaquants s'introduisent dans un réseau et exfiltrent discrètement les données avant de déployer un quelconque chiffrement. C'est seulement une fois les données en leur possession qu'ils verrouillent les systèmes de la victime et se manifestent, souvent avec un compte à rebours et un site de fuite sur le dark web comme preuve de ce qu'ils ont dérobé.

Cette tactique de pression à deux volets vise à fermer la porte de sortie la plus facile pour les victimes. Même une organisation dotée de sauvegardes solides et capable de restaurer ses systèmes chiffrés sans payer doit faire face à la seconde menace : l'exposition publique des fichiers volés. Cette combinaison a rendu la double extorsion bien plus efficace que l'ancien modèle à menace unique reposant uniquement sur le chiffrement, et c'est pourquoi les chercheurs en sécurité avertissent de plus en plus que les sauvegardes sont nécessaires mais ne suffisent plus à elles seules.

Explication du Ransomware-as-a-Service et du recrutement d'affiliés

Ce qui rend des groupes comme The Gentlemen particulièrement difficiles à éliminer, c'est qu'ils ne fonctionnent pas comme une seule équipe étroitement contrôlée. L'analyse de Microsoft décrit le groupe comme s'étant développé en recrutant des affiliés via des accords de type ransomware-as-a-service, un modèle économique dans lequel une équipe centrale construit et maintient le logiciel malveillant, l'infrastructure de négociation et les sites de fuite, puis loue cette boîte à outils à des affiliés indépendants qui réalisent les véritables intrusions.

Cette structure en forme de franchise signifie qu'un paiement de rançon ne va pas nécessairement à un unique cerveau. Il est partagé entre les développeurs et l'affilié qui a mené l'attaque, et cela signifie également que les démantèlements par les forces de l'ordre éliminent rarement la menace sous-jacente. Les affiliés migrent simplement vers une autre marque de ransomware-as-a-service et continuent leurs activités. C'est un modèle économique conçu pour la résilience, et c'est en partie pourquoi les ransomwares restent un problème persistant même si les gangs individuels apparaissent et disparaissent. Les discussions internes ayant fuité, détaillées dans une enquête du podcast de la BBC sur le gang de ransomware Conti, ont offert un rare aperçu du caractère très organisé et hiérarchique de ces opérations en coulisses.

Pourquoi les VPN seuls n'arrêteront pas les ransomwares, et ce qui aide réellement

Il est important d'être clair sur un point que beaucoup de couvertures médiatiques survolent : un VPN n'aurait pas empêché une attaque comme celle-ci, et aucun outil unique ne le fera. Les gangs de ransomware s'introduisent généralement via des e-mails de phishing, des identifiants volés, des logiciels non corrigés ou des services d'accès à distance exposés, et non par des brèches qu'un VPN grand public est conçu pour combler. Les organisations ont besoin de défenses superposées : authentification multifacteur, segmentation du réseau, sauvegardes hors ligne régulières, outils de détection sur les terminaux et formation du personnel à reconnaître les tentatives de phishing.

La décision de payer ou non est là où les choses deviennent vraiment difficiles, et les données sont décourageantes pour quiconque espère que le paiement garantit une résolution propre. Un rapport relayé par Proofpoint sur les payeurs de rançon souvent de nouveau ciblés a révélé qu'une part importante des organisations qui paient une fois sont ciblées une seconde fois, ce qui suggère que payer peut marquer une victime comme une cible facile plutôt que de clore l'incident. Toutes les organisations ne choisissent pas de céder, d'ailleurs. Le constructeur ferroviaire suisse Stadler Rail a publiquement rejeté une demande de rançon de 12,3 millions de dollars du gang Everest, démontrant ainsi que le refus est une voie viable, bien que difficile, que certaines victimes empruntent.

Ce que cela signifie pour vous

Pour la plupart des lecteurs, l'incident de Thialf n'est pas une menace directe, mais c'est un rappel utile du fonctionnement des opérations modernes de ransomware et des raisons de leur succès persistant. Si vous travaillez dans une organisation, en particulier une qui manipule des données clients, employés ou visiteurs, la leçon est que la prévention doit avoir lieu bien avant que le compte à rebours de l'attaquant ne commence. Si vous êtes un visiteur, un employé ou un partenaire de Thialf inquiet pour vos propres données, surveillez les communications officielles du site et soyez attentif aux tentatives de phishing qui font référence à la violation, car les attaquants et les opportunistes utilisent souvent les nouvelles d'une fuite pour lancer des escroqueries de suivi.

Points d'action concrets

  • Partez du principe que toute organisation détenant vos données pourrait être confrontée à un gang de ransomware à double extorsion ; demandez aux entreprises avec lesquelles vous interagissez à quoi ressemblent leurs pratiques de réponse aux incidents et de protection des données.
  • Si vous gérez des systèmes informatiques, donnez la priorité à l'authentification multifacteur, aux correctifs et aux sauvegardes hors ligne plutôt qu'à un produit de sécurité unique, y compris les VPN.
  • Ne présumez pas que payer une rançon résout proprement un incident. Les données suggèrent qu'il est fréquent que les organisations qui paient soient ciblées à nouveau.
  • Méfiez-vous des e-mails de phishing faisant référence à la violation de Thialf ou à des incidents similaires, car les attaquants exploitent souvent les nouvelles de violations publiques pour des escroqueries de suivi.
  • Suivez la manière dont les organisations touchées réagissent dans les jours à venir. La décision de Thialf de payer ou non ajoutera un point de données supplémentaire au débat en cours sur les paiements de rançon.

Alors que les opérations de ransomware-as-a-service comme The Gentlemen continuent de recruter des affiliés et de perfectionner les tactiques de double extorsion, des incidents comme celui de Thialf continueront probablement à faire la une. Rester informé sur la façon dont ces attaques se déroulent, et pousser les organisations dont vous dépendez à prendre la prévention au sérieux, reste l'une des démarches les plus pratiques à la portée du public.