L'appel au service d'assistance technique a été reçu à l'adresse 07 h un matin d'été de l'année 2021. Toutes les icônes sur le bureau de l'appelant étaient devenues vides, a-t-il déclaré. Rien n'a fonctionné.
À l'autre bout du fil, John Abercrombie a tout de suite compris ce qui n'allait pas. Le responsable du support technique d'une petite entreprise de construction commerciale du nord de la Californie a demandé à la personne qui appelait de débrancher immédiatement son ordinateur. Une minute plus tard, Abercrombie a reçu un autre appel d'une succursale, qui lui a fait part de la même réclamation.
« À ce moment-là, je me suis dit : “On est vraiment dans le pétrin” », se souvient-il aujourd’hui.
Abercrombie a appelé pour réveiller un technicien qui habitait plus près du siège social de l'entreprise : « Peu importe si vous êtes en pyjama, venez sur place et commencez à débrancher tout ça ! » a-t-il déclaré.
À ce moment-là, plus d'une centaine de serveurs et d'ordinateurs de bureau de l'entreprise avaient été infectés par des logiciels malveillants. L'attaque par ransomware « » n'avait pas seulement verrouillé les données de l'entreprise, mais elle avait également chiffré les fichiers du système d'exploitation, rendant ainsi les machines inutilisables. Et les malheurs d'Abercrombie ne faisaient que commencer.
Il a ensuite appelé sa compagnie d'assurance cyber , qui lui a recommandé un avocat. Cet avocat a alors fait appel à une équipe d'intervention en cas d' capable de l'aider à remédier à la situation, en procédant à l'
d'une machine à la fois.
Il a fallu environ une semaine pour remettre l'entreprise sur pied, en partie parce que les pirates s'étaient infiltrés dans le réseau depuis une durée indéterminée et avaient supprimé manuellement certaines de ses sauvegardes en ligne. Au total, M. Abercrombie a travaillé 15 heures par jour pendant un mois pour reconstruire les systèmes à partir de zéro et permettre à l'entreprise de retrouver son fonctionnement normal.
Finalement, sa compagnie d'assurance a versé la rançon — un montant de l'ordre de quelques centaines de milliers — et l'entreprise a pu déchiffrer les fichiers que les pirates avaient restitués.
John Abercrombie n'est pas le vrai nom de cet homme. Certains détails de l'attaque ont été modifiés afin de protéger l'identité de son entreprise, de crainte qu'elle ne devienne la cible d'autres attaques. Mais son histoire est courante. Selon un récent rapport de la commission sénatoriale de la sécurité intérieure et des affaires gouvernementales intitulé « » (), plus de 3 700 entreprises ont signalé une attaque par ransomware au FBI en 2021. Ce chiffre est très certainement bien inférieur au nombre réel d'attaques.
Les ransomwares constituent toujours un danger réel et immédiat, tant pour les petites entreprises que pour les grandes sociétés internationales. Et si les chefs d'entreprise ne disposent pas d'un plan détaillé pour y faire face, ils risquent de se retrouver dans une situation très délicate. Voici ce que les dirigeants doivent faire pour mettre leur plan en œuvre s'ils devaient un jour faire face à une attaque.
Une histoire bien connue de malware liée à des faits divers criminels
Qu'il s'agisse d' , de Campbell Soup , de , de Colonial Pipeline , ou encore de , des petits commerces familiaux , jusqu'à , des gouvernements dans leur ensemble — aucune organisation n'est à l'abri des attaques par ransomware. C'est un problème qui touche les organisations et les particuliers depuis des décennies.
«À ce moment-là, je me suis dit : “On est vraiment dans le pétrin.” »John Abercrombie, directeur du support technique, secteur de la construction commerciale
Le premier cas connu d'attaque par ransomware remonte à l'an 1989. Un logiciel malveillant connu sous le nom de « cheval de Troie du SIDA » a été diffusé via une disquette infectée et affichait un message exigeant le paiement d'une somme comprise entre 189 et 378 dollars.
Le problème est aujourd'hui bien plus grave. Le rapport « 2022 Data Breach Investigations Report » de Verizon, disponible à l'adresse , a mis en évidence une augmentation alarmante des attaques par ransomware, dont la sophistication ne cesse de croître. La hausse de 13 % du nombre d'attaques enregistrée en 2021 a constitué la plus forte augmentation observée depuis cinq ans. Selon une analyse réalisée par Endpoint à partir des données fournies par Chainalysis, spécialiste de la blockchain, les entreprises ont versé près de 1,3 milliards de dollars en cryptomonnaies à des groupes de ransomware depuis 2020. Cela représente environ quatre fois le montant total versé entre 2016 et 2020.
En 2021, les services de renseignement, les organisations criminelles et les « hacktivistes » russes ont reçu jusqu’à 74 % des rançons versées par des entreprises occidentales, soit environ 400 millions de dollars en cryptomonnaies, rapporte Chainalysis. Une étude publiée en juin par « » de Microsoft a révélé que la Russie avait pris pour cible 128 organisations dans 42 pays hors d’Ukraine depuis le début de la guerre, parmi lesquelles des gouvernements, des groupes de réflexion, des organisations humanitaires, des fournisseurs informatiques et des entreprises gérant des infrastructures critiques . Le ciblage russe de a été couronné de succès dans 29 % des cas. Au moins un quart de ces intrusions réussies ont donné lieu à un vol de données.
La réponse la plus efficace face à ce type d'attaques n'a guère évolué depuis l'apparition des ransomwares. Si vous disposez de sauvegardes hors ligne à jour, vous pouvez réinitialiser les machines infectées, restaurer les données et reprendre votre journée de travail. Vous risquez de perdre quelques heures de données, mais cela vaut tout de même mieux que de payer une rançon, ce qui ne garantit pas nécessairement que vous receviez les clés permettant de déchiffrer les données volées.
« Une fois que votre réseau a été compromis, disposer de bonnes sauvegardes hors ligne est la meilleure chose que vous puissiez espérer », souligne Josh Bryant, directeur principal de la gestion technique des comptes chez Tanium.
Il n'existe pas de solution miracle face à l'épidémie actuelle de ransomware
Alors, pourquoi les ransomwares constituent-ils toujours un problème aussi grave ?
L'une des raisons est que de nombreuses organisations ne mettent pas suffisamment en place de sauvegardes, note Mike Meikle, consultant en sécurité de longue date qui estime consacrer environ 20 % de son temps à la résolution de problèmes liés aux ransomwares. En particulier, les organisations ne procèdent pas à des tests suffisants pour s'assurer que leurs sauvegardes sont fiables et contiennent toutes les données essentielles et à jour nécessaires à la reprise de leurs activités.
L'autre raison majeure est que le secteur des ransomwares s'est perfectionné. L'essor des « ransomwares en tant que service » (RaaS) permet à des attaquants moins expérimentés de mener plus facilement des attaques. Pourquoi consacrer du temps et de l'argent à développer votre propre logiciel malveillant alors que vous pouvez simplement louer celui de quelqu'un d'autre ? De nombreux pirates informatiques font appel à des « courtiers en accès initial » — d’autres pirates qui parviennent à s’introduire dans des réseaux et vendent ces portes dérobées aux groupes criminels, ce qui leur facilite encore davantage la tâche.
Ces derniers temps, ces gangs se sont montrés plus sélectifs dans le choix de leurs cibles, s'attaquant davantage aux organisations disposant de moyens financiers importants qu'aux petites entreprises. Selon Chainalysis, le montant moyen des rançons versées est passé d'environ 25 000 dollars en 2019 à près de 120 000 dollars en 2021. Les pirates passent de plus en plus de temps à se cacher au sein du réseau d'une entreprise : ils se déplacent latéralement, recherchent des failles et exfiltrent des données sensibles.
Ils ont également adopté un modèle économique secondaire : l'extorsion. Selon la société de gestion des risques cybernétiques Kroll, près de huit attaques par rançongiciel sur 10 survenues au cours du premier semestre 2021 comportaient la menace de diffuser les données volées sur l'Internet public.
Les vecteurs d'attaque les plus courants sont toutefois restés pratiquement inchangés au fil des ans : les vulnérabilités logicielles qui ne sont pas corrigées et des personnes qui sont amenées par la ruse à divulguer leurs identifiants d'accès ou à exécuter du code malveillant.
« Empêcher cette première intrusion est extrêmement difficile », déclare M. Bryant, de Tanium. « Peu importe le nombre de mesures de sécurité techniques que vous mettez en place, les pirates peuvent toujours vous piéger pour s'introduire dans votre environnement. » « Et une fois à l’intérieur, ils peuvent vivre de ce que leur offre le territoire et se déplacer latéralement. »
Que faire après une attaque par ransomware ?
Si vous avez la malchance d'être victime d'un logiciel malveillant, la première personne que vous devez contacter est votre service juridique, explique M. Bryant. Ces derniers peuvent, à leur tour, entrer directement en contact avec votre compagnie d'assurance cyber et votre équipe d'intervention en cas d'incident.
«Une fois que les pirates ont pénétré dans le système, ils peuvent exploiter les ressources disponibles et se déplacer latéralement. »Josh Bryant, directeur principal de la gestion technique des comptes chez Tanium.
En cas de procédure judiciaire, toute mesure prise par l'équipe IR serait protégée contre toute divulgation en vertu du secret professionnel entre avocat et client. Les avocats seraient également amenés à signaler l'incident aux autorités judiciaires, telles que l'Agence fédérale américaine pour la cybersécurité et la sécurité des infrastructures ( , Cybersecurity and Infrastructure Security Agency, , CISA) ou le Centre de signalement des délits sur Internet (Internet Crime Complaint Center, , , IC3) du FBI.
Plus important encore, vous devez mettre en place un plan de reprise d'activité pour l'ensemble de l'organisation, un plan que vous savez déjà mettre en œuvre. « Organiser régulièrement des exercices sur table ou des simulations auxquels participent toutes les parties prenantes importantes peut grandement contribuer à garantir un rétablissement complet après une cyberattaque », ajoute M. Bryant.
[À lire également : 5 étapes pour élaborer un plan d'intervention en cas d'incident à toute épreuve]
Après avoir détecté une intrusion, vous devrez déterminer comment les attaquants ont pu s'introduire dans le système et où ils se sont rendus par la suite. Votre système d'alerte a-t-il manqué quelque chose ? Disposez-vous des contrôles adéquats concernant les droits d'accès de vos salariés ? Selon M. Bryant, le fait de limiter la capacité d'un adversaire à agir permettra d'éliminer la grande majorité des menaces liées aux ransomwares. Si les pirates ne parviennent pas à se déplacer latéralement au sein de votre réseau, ils auront davantage tendance à se tourner vers une cible plus facile.
Selon lui, le fait que vous finissiez par payer une rançon dépend de la situation. Il s'agit d'une décision qui doit mettre en balance les risques et les avantages, et qui relève généralement de la responsabilité des services juridiques et de la direction. Bryant recommande de poser des questions telles que : Quel est le niveau de perte acceptable ? Pouvons-nous nous passer de données pendant une semaine ou un mois si nos sauvegardes en ligne les plus récentes sont compromises ?
« Même si vous décidez de procéder au déchiffrement, il est tout de même conseillé de mener une enquête approfondie pour vous assurer que les pirates n’ont rien laissé derrière eux, puis d’effacer vos systèmes et de les réinitialiser à partir de sauvegardes fiables et en bon état », explique M. Bryant.
Et, bien sûr, vous souhaitez faire tout ce qui est en votre pouvoir pour vous assurer qu'une telle intrusion ne se reproduise plus.
John Abercrombie sauvegarde désormais tous les serveurs critiques de son entreprise sur un appareil installé sur site qui réplique les sauvegardes vers un espace de stockage dans le cloud à l'aide d'identifiants d'accès distincts de ceux du reste du réseau. L'entreprise a adopté un nouveau logiciel de protection des terminaux basé sur l'IA, ainsi qu'un logiciel de sécurité des e-mails , et a fait appel à une société spécialisée dans la détection et la réponse gérées (MDR) pour en assurer la gestion. Elle a mis en place l'authentification à deux facteurs et a lancé une formation à la lutte contre le hameçonnage à l'intention de l'ensemble de ses collaborateurs.
La prochaine vague de logiciels malveillants
Abercrombie se souvient que le plus effrayant dans cette attaque par ransomware subie par son entreprise, c'était de prendre conscience que rien n'empêchait celle-ci d'être à nouveau prise pour cible.
« Il existe de nombreux groupes spécialisés dans les ransomwares », déclare-t-il. « Ce n’est pas comme si l’on allait dire : “Oh, l’un de nos concurrents les a attaqués le mois dernier, on va leur laisser passer.” » « Depuis cet incident, nous accordons donc une attention toute particulière à la sécurité. »
Quel est le meilleur conseil qu'Abercrombie puisse donner aux autres ? « Élaborez un plan », dit-il. « Ainsi, lorsque cela arrivera — et cela arrivera —, vous ne serez pas pris au dépourvu, à vous demander quoi faire. »
