Une banque a pris les pirates de ransomware au mot

Une institution financière américaine, identifiée selon les rapports de cybersécurité comme River Bank, a révélé un incident de cybersécurité matériel après que des attaquants par ransomware ont dérobé des téraoctets de données sensibles, y compris des profils de clients, des documents internes et des relevés bancaires confidentiels. Après le paiement d'une rançon, la banque a déclaré qu'elle pensait que les attaquants avaient supprimé les données volées, se fondant en grande partie sur les assurances du groupe criminel lui-même.

C’est ce détail qui rend l’histoire remarquable. Les négociations de ransomware se terminent souvent par une promesse que les fichiers volés seront détruits une fois le paiement effectué. Mais il n’y a aucun processus de vérification indépendant intégré à ces transactions. Une banque, ou toute organisation, qui se fie à la parole d’un gang criminel n’a aucun moyen réel de confirmer la disparition des données. Elles pourraient être copiées, revendues ou conservées pour une seconde tentative d’extorsion des mois plus tard.

Pourquoi faire confiance à un gang de ransomware est un pari risqué

Les opérations de ransomware sont construites autour de l’extraction de paiements, et non du respect des accords. Une fois que les attaquants ont exfiltré les données, ils contrôlent toutes leurs copies. Une promesse de suppression est inapplicable, et il n’existe aucun mécanisme technique permettant à une organisation victime de confirmer la conformité. Même si les personnes spécifiques derrière une attaque ont l’intention de supprimer leur copie, les données volées transitent souvent par des réseaux d’affiliés, des courtiers d’accès initial ou des acheteurs tiers avant même qu’une rançon ne soit demandée. Supprimer une copie ne signifie pas que toutes les copies ont disparu.

Pour une banque qui traite des profils de clients et des dossiers financiers confidentiels, cela a une importance énorme. Les données bancaires ne sont pas comme un mot de passe volé que l’on peut simplement réinitialiser. Les numéros de compte, l’historique des transactions et les documents internes de conformité conservent leur valeur pour la fraude et l’usurpation d’identité longtemps après la divulgation d’une violation. Lorsqu’une institution dit aux régulateurs et aux clients qu’elle pense que les données ont été supprimées, elle demande essentiellement au public de faire confiance aux mêmes acteurs qui ont pénétré et volé l’information en premier lieu.

Ce schéma n’est pas propre à un seul incident. Les chercheurs en sécurité et les rapports du secteur ont montré à maintes reprises que les groupes de ransomware conservent, revendent ou divulguent fréquemment des données même après avoir reçu un paiement. Traiter l’assurance d’un groupe criminel comme une résolution de la violation, plutôt que comme une affirmation non vérifiée, crée un précédent troublant dans la manière dont les institutions financières communiquent le risque aux clients dont les données ont été réellement exposées.

Ce que cela signifie pour vous

Si vous êtes client d’une institution qui a divulgué une violation, ou même d’une qui n’a pas (encore) signalé d’incident, l’hypothèse la plus sûre est que toute donnée impliquée dans une attaque de ransomware doit être considérée comme définitivement compromise, quelles que soient les affirmations des attaquants. En pratique, cela signifie :

  • Surveillez attentivement les relevés de compte et les rapports de crédit pour détecter toute activité inhabituelle, surtout dans les mois suivant une divulgation de violation par votre banque.
  • Changez vos mots de passe bancaires en ligne et activez l’authentification à plusieurs facteurs si vous ne l’avez pas déjà fait, car les documents internes volés peuvent parfois contenir des informations utilisées pour répondre aux questions de sécurité ou réinitialiser les identifiants.
  • Soyez sceptique face aux appels, SMS ou courriels non sollicités faisant référence à votre banque, à votre numéro de compte ou à des transactions récentes. Les données bancaires volées sont fréquemment utilisées pour élaborer des tentatives d’hameçonnage convaincantes.
  • Envisagez d’utiliser un VPN lorsque vous accédez à vos services bancaires en ligne sur des réseaux Wi-Fi publics ou inconnus, car le chiffrement de votre connexion réduit le risque que vos identifiants soient interceptés indépendamment de toute violation au sein de l’institution elle-même. Des services comme l’essai gratuit de Mozilla VPN offrent un moyen peu engageant de vérifier si la navigation chiffrée s’intègre à vos habitudes bancaires habituelles.

Aucune de ces mesures ne peut annuler une violation qui a déjà eu lieu, mais elles réduisent les chances que les données volées se traduisent par un préjudice financier direct pour vous.

La perspective plus large pour les institutions financières

Cet incident met en évidence une tension plus large dans la manière dont les organisations victimes de violations communiquent avec le public. Les régulateurs exigent de plus en plus la divulgation des incidents de cybersécurité importants, mais les règles de divulgation n’exigent pas des organisations qu’elles vérifient les affirmations des attaquants avant de les répéter. Lorsqu’une banque dit à ses clients qu’elle pense que les données ont été supprimées, cette déclaration reflète davantage un espoir qu’une preuve. Les institutions financières qui traitent des données sensibles de clients doivent adopter des pratiques de réponse aux incidents qui supposent la conservation la plus pessimiste des informations volées, plutôt qu’une communication publique qui reprend les éléments de langage d’un gang de ransomware.

Points clés à retenir

Le paiement d’une rançon ne garantit pas la suppression des données, et aucune banque ou entreprise ne peut vérifier qu’un groupe criminel a effectivement détruit les fichiers volés. Si votre institution financière a divulgué une violation, considérez vos données comme exposées indéfiniment : surveillez vos comptes, renforcez la sécurité de vos connexions et restez attentif aux tentatives d’hameçonnage faisant référence à des détails réels de compte. Faire confiance aux promesses des acteurs de ransomware n’est pas une stratégie de sécurité, et cela ne devrait pas être la vôtre non plus.