Un groupe de rançongiciels se faisant appeler WhiteArmor a affirmé avoir exfiltré des données de l'entreprise de logistique Ryder. Cette affirmation n'a pas été vérifiée, et le rapport source offre peu de détails. Même ainsi, l'incident constitue une étude de cas utile sur le fonctionnement du vol d'identifiants par les infostealers dans le cadre de rançongiciels, et sur ce que les utilisateurs ordinaires peuvent faire pour éviter de devenir le premier maillon d'une chaîne similaire.

Ce que WhiteArmor affirme à propos de Ryder

Selon un rapport de renseignement sur les menaces de Quasar Cybertech, WhiteArmor affirme avoir dérobé des données à Ryder. Le texte disponible du rapport est limité, et il ne confirme pas quelles données ont pu être dérobées, ni leur volume, ni comment le groupe s'est introduit. Les documents sources ne montrent pas que Ryder ait confirmé cette affirmation.

Cette distinction est importante. Les groupes de rançongiciels et d'extorsion publient parfois des affirmations qui s'avèrent exagérées, et d'autres qui se révèlent exactes. Tant que l'entreprise ou une partie indépendante n'a pas vérifié les détails, la bonne posture est la prudence plutôt que l'alarme.

Ce que le rapport met en avant, c'est la leçon défensive. Il décrit l'incident comme un rappel des risques posés par les campagnes de rançongiciels menées par des infostealers, et il conseille aux équipes de sécurité de surveiller les tentatives d'accès non autorisées provenant d'identifiants compromis. Il recommande également de revoir les plans de réponse aux incidents afin que les organisations soient prêtes à faire face à une éventuelle extorsion.

Comment les infostealers alimentent l'extorsion par rançongiciels

Un infostealer est un type de logiciel malveillant conçu pour extraire discrètement des informations sensibles d'un appareil infecté. Cela peut inclure des mots de passe enregistrés, des données de navigateur et d'autres éléments de connexion. Il ne se manifeste généralement pas comme le fait un logiciel malveillant destructeur, ce qui explique en partie pourquoi il peut passer inaperçu pendant longtemps.

Le lien avec l'extorsion est direct. Les identifiants volés peuvent être collectés, échangés ou réutilisés. Un attaquant qui détient un identifiant valide pour un système d'entreprise n'a pas besoin de forcer l'entrée ; il lui suffit de se connecter. À partir de là, les données peuvent être copiées, et le groupe peut ensuite menacer de les publier à moins d'être payé. C'est le schéma que le rapport évoque lorsqu'il parle de campagnes de rançongiciels menées par des infostealers.

Deux points méritent d'être soulignés pour les non-spécialistes :

  • La première compromission concerne souvent un seul appareil ordinaire, comme l'ordinateur portable d'un employé ou un ordinateur personnel utilisé pour le travail.
  • Les identifiants qui semblent légitimes sont difficiles à distinguer des vraies connexions, c'est pourquoi la surveillance doit se concentrer sur des schémas inhabituels, tels que des accès depuis des emplacements inattendus ou à des heures étranges.

Ce que cela signifie pour vous

Si vous êtes client, employé ou partenaire de Ryder, les sources ne contiennent aucune information confirmée sur ce qui a été dérobé, il n'y a donc rien à conclure pour l'instant. Les mesures raisonnables consistent à surveiller les communications officielles de l'entreprise et à se montrer sceptique face aux e-mails, appels ou SMS non sollicités qui mentionnent Ryder, des expéditions ou des problèmes de compte. Les campagnes d'extorsion et le hameçonnage qui en découle s'appuient parfois sur la publicité autour d'une violation revendiquée.

Si vous avez un compte chez une entreprise nommée dans une affirmation non vérifiée, vous n'avez pas besoin de paniquer, mais il est judicieux de :

  • Changer le mot de passe de ce compte si vous l'avez réutilisé ailleurs.
  • Activer l'authentification multifacteur si elle est disponible.
  • Vérifier l'activité de connexion récente pour tout élément inhabituel.

Pour les employés et les administrateurs, les conseils du rapport s'appliquent directement : surveiller les tentatives d'accès non autorisées utilisant des identifiants compromis connus, et s'assurer que votre plan de réponse aux incidents couvre ce qu'il faut faire si une demande d'extorsion arrive.

Comment protéger les comptes personnels contre le vol d'identifiants

Vous ne pouvez pas contrôler la manière dont une grande entreprise sécurise ses systèmes, mais vous pouvez réduire la valeur de tout ce qu'un infostealer pourrait dérober sur vos propres appareils.

Utilisez un mot de passe unique pour chaque compte. La réutilisation est ce qui transforme une connexion volée en de nombreuses autres. Un gestionnaire de mots de passe rend cela pratique.

Activez l'authentification multifacteur. Même lorsqu'un mot de passe est volé, un second facteur peut bloquer une connexion. Lorsque c'est possible, préférez les méthodes basées sur une application ou sur du matériel plutôt que les SMS.

Maintenez les appareils et les logiciels à jour. Les mises à jour du système d'exploitation, du navigateur et des logiciels de sécurité colmatent les failles sur lesquelles repose le logiciel malveillant.

Soyez prudent quant à ce que vous installez et cliquez. Les infostealers arrivent couramment via des téléchargements malveillants, des faux logiciels et des liens de hameçonnage. Restez fidèle aux sources officielles.

Évitez d'enregistrer des identifiants sensibles dans des endroits où ce n'est pas nécessaire. Les mots de passe stockés dans le navigateur sont une cible courante, envisagez donc un gestionnaire de mots de passe dédié avec un mot de passe principal robuste.

Si vous suspectez une infection, déconnectez-vous du réseau, lancez une analyse de sécurité réputée et changez vos mots de passe depuis un appareil sain.

L'essentiel

L'affirmation de WhiteArmor concernant Ryder reste non vérifiée, et les détails sont minces. Ce qui est clair, c'est la leçon plus large : le vol d'identifiants par les infostealers dans le cadre de rançongiciels commence par des connexions ordinaires, et ces connexions proviennent souvent d'appareils ordinaires. Utilisez des mots de passe uniques, activez l'authentification multifacteur et maintenez vos appareils à jour. Ces habitudes n'arrêteront pas toutes les attaques, mais elles font de vos comptes une cible beaucoup plus difficile et moins rentable.