After taking a bit of a vacation in 2022, ransomware attacks are back with a vengeance and hitting financial institutions hard.
L'année dernière, alors que les organisations mettaient en place davantage de mesures de sécurité et faisaient preuve d'une plus grande rigueur dans leur manière de traiter avec les pirates informatiques réclamant des rançons, le nombre d'attaques réussies a chuté de 61 % , contre 2021, selon un rapport de Delinea, une société spécialisée dans les logiciels de gestion des accès. Même si aucun professionnel de la sécurité sensé n'aurait osé crier victoire dans la lutte contre ces menaces, ces chiffres ont néanmoins suscité un sentiment général d'optimisme, laissant penser que le secteur parvenait enfin à maîtriser le fléau coûteux que constituent les ransomwares.
Pas si vite.
En mars, pour diverses raisons, tout a basculé. Corvus Insurance, qui surveille les publications des pirates informatiques sur le dark web, a signalé une hausse de 60 % du nombre d'attaques par ransomware menées à bien au début de l'année 2023 , par rapport à la même période de l'année précédente. Plus inquiétant encore, l'entreprise a constaté une hausse de 300 % des attaques visant les sociétés de services financiers .
Ryan Bell, responsable du renseignement sur les menaces chez Corvus, estime que la menace de piratage a refait surface et pourrait causer toutes sortes de ravages pour les banques et autres institutions financières.
« Compte tenu de la baisse du nombre d'attaques l'année dernière, je pense que beaucoup de gens se sont peut-être laissés aller à un certain relâchement », déclare-t-il. « Mais attention, spoiler : cinq mois après le début de l'année, nous constatons à nouveau des hausses. » « À ce stade, nous parlons donc d’une tendance, et non d’une anomalie. »
Causes incertaines
Qu'est-ce qui explique cette tendance ? M. Bell et d'autres experts en sécurité ne peuvent qu'émettre des hypothèses. Certains suggèrent que les pirates informatiques n'ont pas vraiment été vaincus l'année dernière, mais qu'ils ont simplement été détournés par d'autres failles de sécurité très médiatisées liées à la guerre entre la Russie et l'Ukraine. D'autres avancent l'hypothèse que les améliorations apportées au logiciel de rançongiciel « » (), proposé sous forme de « ransomware-as-a-service » et vendu sur le dark web, ont facilité la tâche des groupes de pirates informatiques pour mener leurs attaques. D'autres encore mettent en avant des groupes de pirates informatiques tels que « » et le groupe russe « CL0P », qui exploitent les failles de logiciels courants.
«» Attention, spoiler : cinq mois après le début de l'année, nous constatons à nouveau une recrudescence des [ransomwares]. « À ce stade, nous parlons donc d’une tendance, et non d’une anomalie. »Ryan Bell, responsable du renseignement sur les menaces, Corvus Insurance
Si ces théories peuvent expliquer la recrudescence des ransomwares, ce dernier point, à savoir que des groupes criminels exploitent des failles de sécurité connues, pourrait bien être le plus important.
En juin, à peine une semaine après que le FBI et l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) eurent signalé que le groupe « CL0P » avait découvert une grave faille dans le logiciel de transfert de fichiers MOVEit, largement utilisé, ce groupe a lancé une attaque mondiale de grande envergure contre des agences gouvernementales américaines, des établissements scolaires et universitaires, des médias tels que la BBC et , des millions de citoyens en Louisiane, en Oregon et dans l’Illinois, ainsi que des milliers d’entreprises. [Depuis la mise sous presse de cet article, le nombre de victimes n'a cessé d'augmenter. Selon le site , début juillet, plus de 200 organisations (, dont le ministère américain de la Santé et des Services sociaux, l'UCLA et le cabinet d'avocats multinational Kirkland & Ellis) seraient en train de lutter contre cette violation de données, qui aurait touché les données d'environ 17,5 millions de personnes.]
Dans le secteur des services financiers, les premières victimes auraient notamment été de grandes institutions financières américaines ,, parmi lesquelles 1st Source, First National Bankers Bank, Putnam Investments et Umpqua Bank. En février, le groupe CL0P a également affirmé avoir exploité une vulnérabilité « zero-day » de type « » dans l'outil de transfert sécurisé de fichiers GoAnywhere MFT, affectant plus de 130 organisations. La plateforme bancaire fintech Hatch Bank a reconnu avoir été victime de cette attaque.
Passer à l'action
M. Bell souligne que le délai moyen entre la divulgation d'une faille de sécurité et son exploitation par des pirates informatiques n'est désormais plus que de deux semaines, ce qui ne laisse guère de temps au responsable de la sécurité des systèmes d' s (RSSI) d'une banque pour réagir. En effet, il arrive parfois que les pirates informatiques exploitent déjà une faille de sécurité avant même que les responsables de la sécurité des systèmes d'information n'aient eu le temps d'y remédier, explique-t-il.
«[Plusieurs] théories pourraient expliquer la recrudescence des ransomwares, mais celle selon laquelle des groupes criminels exploiteraient des failles connues pourrait être la plus plausible. »
Quelles que soient la rapidité ou les causes de ces attaques, les experts en sécurité affirment que les établissements financiers peuvent tout à fait minimiser les dommages potentiels causés par les ransomwares en prenant ces cinq mesures de précaution de bon sens :
1. Identifiez vos points faibles
Il est essentiel de connaître les systèmes et les logiciels que vous avez déployés et de vous tenir informé des vulnérabilités et des exploits connus, d'autant plus que ces attaques se multiplient à un rythme croissant. Les assureurs spécialisés dans la cybercriminalité, tels que , peuvent vous aider dans ce domaine, explique M. Bell. En effet, Corvus procède régulièrement à des analyses des systèmes de ses clients (lorsque cela est autorisé) afin de vérifier si les assurés sont susceptibles d'être affectés par des failles de sécurité connues et de les alerter le cas échéant.
2. Utilisez des outils de gestion de la configuration
Jeff Farinich, responsable de la sécurité des systèmes d'information (RSSI) chez le prêteur hypothécaire New American Funding, recommande de maintenir des configurations sécurisées à l'aide de divers outils de gestion des configurations sur les serveurs et, en particulier, sur les terminaux. Même s’il existe toujours un risque de prolifération des outils d’ , l’utilisation de deux ou trois d’entre eux peut vous permettre d’obtenir une vision plus complète de votre niveau de sécurité.
[À lire également : Qu'est-ce que la gestion de configuration ?]
3. Restez à l'affût des correctifs et des recommandations
Il n'y aura pas toujours de correctif de sécurité disponible lorsque vous devrez corriger une vulnérabilité « zero-day » au cours des quelques semaines qui suivent la divulgation publique de cette faille. Mais des experts comme M. Farinich affirment que le respect d'un rythme de mise à jour rigoureux permet d'éviter de nombreux problèmes.
Et lorsqu'il s'agit de vulnérabilités critiques, les éditeurs ont pour habitude de publier des mises à jour. Même lorsqu'ils ne sont pas en mesure de le faire, ils publient souvent des recommandations sur la manière de réagir face à une menace. Par exemple, concernant la faille de sécurité MOVEit, son éditeur, Progress Software Corp. ( ), a initialement recommandé de désactiver tout le trafic HTTP et HTTPS vers les environnements MOVEit jusqu’à ce que les entreprises puissent appliquer le correctif qu’il avait développé.
4. Faites attention à vos e-mails
Les pirates parviennent souvent à mener à bien des attaques par ransomware en incitant des employés peu méfiants à cliquer sur des liens contenus dans de faux e-mails, ce qui leur ouvre la voie à leurs activités numériques illicites. En effet, les pertes subies par les entreprises en raison des attaques de type « Business Email Compromise » (BEC) l'année dernière sont estimées à plus de 10 milliards de dollars ; il est donc essentiel de disposer de systèmes anti-hameçonnage.
Il est également important d'investir dans la formation et la sensibilisation des employés, car 82 % des fuites de données impliquent le « facteur humain », selon le rapport « Data Breach Investigations Report » de Verizon 2022 .
5. Ne vous fiez pas uniquement au MFA
M. Bell met également en garde contre l'idée selon laquelle votre d'authentification multifactorielle (MFA) de vous protégerait contre les attaques par ransomware. Bien qu'ils soient infiniment supérieurs aux mots de passe en matière de gestion des identités et des accès, les outils de « phishing-as-service » tels qu'EvilProxy et Greatness disposent désormais de puissantes capacités permettant de contourner l'authentification multifactorielle (MFA). En résumé, les pirates informatiques d' ont adapté.
« Si vous êtes responsable de la sécurité des systèmes d’information (RSSI) dans le secteur bancaire, vous devez redoubler d’efforts, car il est de plus en plus facile pour les pirates informatiques de contourner même les mesures de protection élémentaires telles que l’authentification multifactorielle (MFA) », explique M. Bell.
