Kurtis Minder a protégé l'écran de son ordinateur portable des regards indiscrets des passagers assis autour de lui dans l'avion.
Nous étions fin juin 2021, et le PDG et fondateur d’ , de GroupSense — qui se présente comme une société de cyber-reconnaissance —, se trouvait dans les dernières étapes, délicates et périlleuses, de la négociation d’un accord avec des cybercriminels qui exigeaient la somme colossale de 6 millions de dollars pour rétablir le fonctionnement normal du réseau et des données d’une entreprise cliente.
« Ça a été difficile », se souvient M. Minder, âgé de 44 ans, qui négocie chaque jour deux ou trois accords relatifs au rançongiciel . Contrairement à la plupart des attaques, les pirates informatiques ont, dans ce cas précis, dérobé les documents financiers de cette entreprise privée ; ils en connaissaient donc la valeur. Ils avaient également découvert la police d'assurance cyber de l'entreprise, qui indiquait que celle-ci disposait des moyens nécessaires pour payer. En résumé, les pirates avaient l'avantage.
« La plupart du temps, les négociations avec les auteurs de rançongiciels s’apparentent un peu à un match de tennis, où l’on fait des allers-retours sur les montants », explique M. Minder. « Cette fois-ci, ils n'étaient pas disposés à le faire. » « Ils campaient sur leurs positions. »
Alors que les attaques par ransomware aux États-Unis ont explosé de plus de 300 % selon et que les rançons connues ont bondi de 341 % pour atteindre 412 millions de dollars l’année dernière, contre 2019, les négociateurs tels que M. Minder deviennent des bouées de sauvetage indispensables pour des milliers d’entreprises et d’agences gouvernementales victimes à travers le monde. Cependant, leurs services peuvent susciter la controverse.
Le FBI et le Département de la Sécurité intérieure, qui mènent des enquêtes sur les attaques par rançongiciel, conseillent aux organisations de ne pas payer de rançon. Ils soulignent que le fait de payer ne garantit pas que vous récupérerez vos données. Cela encourage également — et subventionne — les activités des groupes spécialisés dans les rançongiciels.
Cela dit, il arrive parfois que des organisations — en particulier celles des secteurs des infrastructures et de la santé — soient littéralement confrontées à des décisions de vie ou de mort pour remettre leurs systèmes en service le plus rapidement possible. C'est là qu'interviennent des professionnels comme M. Minder.
[À lire également : L'assurance cyber n'est pas votre meilleure protection contre les cyberattaques]
Comme tout bon négociateur, Minder allie franchise, ruse et charme pour sortir ses clients des situations de crise. Au cours des récentes négociations, M. Minder a déclaré aux pirates informatiques que son client était prêt à payer, mais pas si le montant de la rançon devait le conduire à la faillite. Minder et ses clients sont restés patients et ont maintenu fermement cette position, alors même que les pirates informatiques intensifiaient la pression en faisant appel à un centre d'appels pour faire savoir au personnel et aux partenaires que l'entreprise n'agissait pas dans leur intérêt en refusant de se plier à leurs exigences financières.
Au final, alors que l'avion de Minder atterrissait sur le tarmac de San Francisco, il avait convaincu les pirates informatiques d'accepter une somme inférieure d'environ 85 % à 90 % à leurs demandes initiales. Ses compagnons de voyage n'en savaient rien.
Qui allez-vous appeler ?
Comme même les personnes les moins informées le savent désormais, un rançongiciel est un type de logiciel malveillant (appelé « malware ») qui bloque généralement l'accès à un système informatique ou à des données en chiffrant ces dernières ou les programmes qui s'y trouvent. Les auteurs de ces attaques exigent ensuite le versement d'une rançon pour débloquer les systèmes et les données, un processus qui peut durer des semaines, voire des mois.
Comme peu d'entreprises peuvent se permettre de rester sans systèmes informatiques ni informations pendant une période aussi longue, les dirigeants avisés font appel à une aide extérieure pour déterminer la solution la plus rapide : . En général, la première étape consiste à contacter un avocat spécialisé dans la protection de la vie privée, à s'adresser à un assureur spécialisé dans la cyberassurance, ou les deux. Chacun d'entre eux évaluera les risques encourus par le client (juridiques, technologiques ou autres) et proposera une série de mesures à prendre.
«La plupart du temps, la négociation avec les auteurs de ransomware s’apparente à un match de tennis où l’on fait des allers-retours sur les montants. »Kurtis Minder, PDG et fondateur de GroupSense
Souvent, ils orientent ensuite les dirigeants vers un négociateur spécialisé dans les rançongiciels afin de les aider à gérer la situation avec les pirates informatiques. Michael Phillips, avocat en exercice, directeur des sinistres chez Resilience, une start-up spécialisée dans la cyberassurance, et coprésident du groupe de travail sur les ransomwares de l’Institute for Security & Technology, affirme qu’il va de soi de diriger la plupart des clients vers des négociateurs.
Selon lui, certains dirigeants impulsifs et responsables informatiques tenteront inévitablement de négocier de leur propre chef, mais ils ne comprennent pas les règles du jeu et peuvent aggraver considérablement la situation si on ne les freine pas.
« J’ai eu affaire à un PDG qui était absolument furieux », raconte M. Phillips. « C'était un type fougueux et viril qui voulait contacter l'agresseur pour lui dire exactement ce qu'il pensait de lui — pour le menacer. » « Mais ce genre de comportement ne fait qu’aggraver la situation et incite les pirates à durcir leurs revendications, à se faire discrets ou à lancer davantage d’attaques par dépit. »
De plus, si le moment vient de devoir effectivement payer un cybercriminel, note M. Phillips, rares sont les dirigeants d'entreprise ou responsables informatiques qui savent par où commencer pour réunir la quantité de bitcoins dont ils auront besoin pour conclure la transaction.
« Il ne faut surtout pas essayer d’acquérir des millions de dollars de cryptomonnaie sans l’aide d’un expert », déclare-t-il. Vous ne bénéficierez pas de la même sécurité en matière de tarification qu'avec un expert. « J'ai discuté avec des personnes, par exemple, qui ont acheté des cryptomonnaies à un cours tellement surévalué que cela leur a coûté bien plus cher que cela n'aurait dû, et j'ai également discuté avec d'autres qui ont fini par payer deux fois parce qu'elles avaient envoyé des bitcoins à la mauvaise adresse. »
Connaissez votre ennemi
Kirsten Bay, PDG de Cysurance, une société qui propose des assurances cyber aux petites entreprises et à leurs partenaires, explique que son entreprise oriente également ses clients vers des négociateurs, car ceux-ci savent mieux que quiconque comment limiter les coûts globaux et accélérer les procédures.
« Les négociateurs spécialisés dans les ransomwares savent ce qu’il est raisonnable de payer pour des organisations d’une certaine taille, quels sont les attaquants impliqués, les types d’attaques, etc. », explique M. Bay. « Ils connaissent vos concurrents et savent lesquels vous permettront de bénéficier de réductions de 60 %, 40 % ou 20 %, ce qui peut vous faire réaliser d’importantes économies. »
«Parfois, les entreprises… prennent simplement la décision commerciale de tenter une restauration à partir des sauvegardes et envoient balader le pirate. »Minder
Cela ne signifie pas pour autant que les négociateurs se résignent d'emblée à payer les cybercriminels. Selon M. Minder, bien que 80 % de ses clients déboursent effectivement une certaine somme, environ 20 % d'entre eux ne le font jamais.
« Il arrive que certaines organisations adoptent une position éthique, en affirmant que le paiement d'une rançon n'est pas conforme à leurs valeurs fondamentales », explique-t-il. « D’autres fois, elles disposent d’un plan de continuité d’activité satisfaisant, qui leur indique clairement la marche à suivre pour résoudre le problème. » Ou bien ils ne pensent pas que les conséquences de l'attaque seront trop graves. Ou bien ils prennent simplement la décision, d'un point de vue commercial, d'essayer de restaurer leurs données à partir des sauvegardes et de dire au pirate d'aller se faire voir. »
Peu d'organisations peuvent toutefois se permettre un tel luxe. En réalité, la plupart des victimes de cyberattaques sont des petites entreprises disposant de ressources informatiques limitées, et elles « paniquent », explique Keith Swanson, ancien inspecteur de police à Scottsdale (Arizona), aujourd’hui négociateur spécialisé dans les ransomwares chez Kivu Consulting à Phoenix, ainsi que responsable de l’intervention en cas d’incident et de l’expertise informatique chez l’assureur Allstate.
[À lire également : Pourquoi les cybercriminels s'attaquent aux petits services publics]
Lorsque cela se produit, explique M. Swanson, c'est au négociateur qu'il revient de les calmer. Il collabore avec le client afin de déterminer comment les pirates ont réussi à s'introduire dans le réseau. (Astuce : Les terminaux mal sécurisés ou mal configurés , ainsi que les logiciels non mis à jour, sont souvent à l'origine du problème.) Il aide ensuite ses clients à déterminer si les pirates ont mis la main sur des données privées ou sensibles, identifie le groupe de cybercriminels à l'origine du rançongiciel (en analysant leurs communications avec la victime), puis examine les différentes options permettant de rétablir le fonctionnement normal du système.
M. Swanson explique à ses clients que les cybercriminels suivent un calendrier précis pour les négociations et les prévient qu'il faudra du temps pour parvenir à une conclusion. Plus important encore, il leur rappelle que même s’ils paient la rançon et reçoivent la solution cryptographique à leur problème, les systèmes ne reviendront pas immédiatement à la normale. Les données ne vous seront pas transmises rapidement. Cela aussi prend du temps.
La survie des plus calmes
C'est une situation très stressante pour la plupart des chefs d'entreprise, explique-t-il. La pérennité de leurs entreprises ainsi que leurs relations avec leurs clients, leurs partenaires, leurs investisseurs, leurs salariés et les médias sont toutes menacées.
« Un de nos clients, victime d’un piratage, nous a appelés un vendredi après-midi en nous disant : “Nous sommes prêts à tout faire tout de suite !” » déclare M. Swanson. « Ils ont dit : “Nous devons payer cette rançon dans les 30 prochaines minutes afin de pouvoir remettre notre système en service d’ici lundi.” » Nous n'avons pas de sauvegardes. « Nous devons payer, car c'est plus rapide pour nous de déchiffrer les données de cette manière. » Bien sûr, ce n'est pas vrai. Nous n'avons jamais vu personne, même en payant la clé cryptographique, reprendre ses activités en moins d'une semaine. Le processus de chiffrement et de déchiffrement endommage les fichiers. Cela interrompt les connexions. Cela rend les ordinateurs instables. « C'est un cauchemar. »
Dans la plupart des cas, les négociateurs parviennent à ramener les dirigeants à la réalité. Ils auront ensuite une conversation franche au sujet de l'état de leurs sauvegardes. S'il s'avère que les bases de données piratées se trouvaient sur site, mais que l'organisation a eu la bonne idée de stocker des informations hors site, elle se trouve alors en position de force. Ils ne sont pas obligés de négocier, même si cela vaut parfois la peine si un accord permet d'accélérer le processus de récupération ou d'amener les pirates informatiques à s'engager à ne pas diffuser les données saisies sur le Dark Web.
Se préparer au combat
M. Swanson et M. Minder affirment tous deux qu'ils n'entament jamais une négociation avec l'intention de payer un cybercriminel. Mais si un client se trouve en position de faiblesse, il sait que c'est là le résultat probable. C'est à ce moment-là que, comme tout négociateur de police expérimenté dans une prise d'otages, ils ont recours à autant d'astuces du métier que possible pour établir un lien.
La communication avec les auteurs d'attaques par ransomware se déroule généralement ainsi : un jour, les employés arrivent au travail et constatent que les systèmes sont hors service. L'e-mail ne fonctionne pas. Ils ne peuvent pas accéder aux principales applications internes. Les connexions numériques avec le monde extérieur disparaissent. Au beau milieu de tout cela, une demande de rançon électronique s'affiche sur les écrans des dirigeants et des responsables informatiques, exigeant une somme d'argent — sous forme de bitcoins intraçables — en échange d'une clé de déchiffrement. Cette note pourrait même permettre d'identifier l'auteur des faits. Conti, DarkSide, Maze et NetWalker sont des acteurs malveillants courants.
«» Vous ne devriez pas tenter d'acquérir des millions de dollars de cryptomonnaie sans l'aide d'un expert. « [Cela peut] coûter bien plus cher que prévu. »Michael Phillips, avocat, Resilience
À partir de là, il est assez facile de communiquer avec les pirates. La lettre comporte généralement une adresse chiffrée ProtonMail ou un lien vers un portail de discussion sur Tor (abréviation de « The Onion Router »), un réseau open source axé sur la confidentialité qui permet aux utilisateurs de naviguer sur Internet de manière anonyme.
Selon M. Swanson, une partie de la stratégie consiste à limiter les communications avec les pirates informatiques.
« Nous ne voulons pas continuer à faire des allers-retours avec eux », déclare-t-il. « Nous tirons parti de la situation en leur disant : “Écoutez, c’est vous qui avez mis le feu à notre maison.” » « Nous nous efforçons de repartir sur de bonnes bases. » Vous les gardez à distance pour ne pas paraître désespéré. Nous verrons comment ils réagissent. Analysez leur ton. « Et s'adapter au fur et à mesure. »
[À lire également : Comment réagir face à une fuite de données]
« Le ton des pirates informatiques varie », explique M. Swanson. Certains sont « des types qui cherchent à se faire un nom en jouant les durs ». Et puis il y a des types qui nous traitent de « p****s » et de « c***ards », et d’autres noms du même genre. « La plupart de ceux que je rencontre, cependant, se montrent plutôt professionnels. »
Minder a vécu des expériences similaires.
« Si je devais décrire leur attitude générale, je dirais qu’elle est froide. » « La plupart ne sont pas menaçants », dit-il. « Ils sont très directs : “Voilà ce que j’ai.” » « Voici ce que je vais faire et quelles en seront les conséquences pour vous si vous ne payez pas. » « Ils ne sont pas vraiment hostiles. »
Évolution des implications juridiques
Les négociateurs travaillent rarement en vase clos. La plupart des échanges reçoivent l'accord du client. Ils veillent également à associer les forces de l'ordre (le FBI) à leurs démarches. Et ils doivent garder à l'esprit la réglementation fédérale qui définit les groupes auxquels il est permis de verser une rançon et ceux auxquels cela n'est pas autorisé.
Peu de gens savent que le paiement d'une rançon n'est généralement pas illégal. En réalité, les agences fédérales telles que le FBI se contentent de déconseiller cette pratique, en soulignant qu’elle ne garantit pas la récupération des données. Le paiement d'une rançon peut toutefois devenir illégal si une organisation verse de l'argent à un pirate informatique figurant sur l'une des listes de sanctions de l'Office of Foreign Assets Control (OFAC) du Département du Trésor américain ( ). À l'instar de la liste de surveillance antiterroriste du gouvernement, ces listes recensent des groupes de pirates informatiques soupçonnés d'être liés à des puissances étrangères hostiles, telles que la Corée du Nord ou l'Iran. Et ces listes ne cessent de s'allonger. En effet, une étude de Chainalysis intitulée « » ( ) a révélé que 32 % des paiements connus liés à des rançongiciels effectués cette année présentaient un risque de sanctions liées à l'OFAC, contre 15 % en 2020.
Les négociateurs affirment néanmoins qu'ils parviennent systématiquement à s'entendre avec la plupart des pirates informatiques sur des montants de rançon compris entre 10 % et 25 % des demandes initiales.
« C’est une forme d’art », déclare M. Swanson. « Nous utilisons nos propres mots pour y parvenir. » Notre créativité. Notre timing. Nous avons parfois utilisé la COVID comme prétexte. Bon sang, pendant les élections, nous avons même utilisé Donald Trump. « Tout ce qui nous vient à l'esprit sur le moment, nous en tirons parti. »
Faire face à la réaction négative du secteur
Tout le monde dans le secteur ne s'accorde pas à dire que la négociation avec les auteurs de ransomware relève d'un tel art.
L'assureur français AXA, par exemple, a récemment décidé de ne plus rembourser les rançons versées aux auteurs de logiciels de rançon , après que des responsables gouvernementaux ont fait part de leurs craintes quant au fait que cela puisse encourager la criminalité. Par ailleurs, un groupe baptisé «The No More Ransom Project » a vu le jour avec le soutien d’entreprises spécialisées dans la cybersécurité, ainsi que d’Amazon Web Services, afin de lutter contre le paiement des rançons. Et en août, Microsoft a pris une participation dans la start-up Rubrik afin de développer des produits permettant de récupérer rapidement des données sans avoir à payer les pirates informatiques.
La réaction hostile au paiement des rançons (qui ne vise pas nécessairement les négociateurs) s'étend également au secteur des services financiers, où les primes d'assurance contre les cyberattaques n'ont cessé d'augmenter à la suite d'attaques majeures par ransomware visant notamment SolarWinds, Kaseya, CNA Financial, Colonial Pipeline et Acer, entre autres. John Donnelly, PDG de Marsh, affirme par exemple que les taux de primes d'assurance cyber ont augmenté jusqu'à 60 % au cours de l'année écoulée. Cela réduit indéniablement les résultats financiers des entreprises du classement Fortune 1000 , dont environ 70 % seraient couvertes par une assurance cyber, selon M. Bay, de Cysurance. Mais pour les petites entreprises victimes d'attaques, cette hausse des tarifs est considérable, au point que beaucoup d'entre elles n'ont plus les moyens de s'offrir une assurance.
[À lire également : L'assurance cyber n'est pas votre meilleure protection contre les cyberattaques]
« C’est vraiment sur le marché intermédiaire que les gens souffrent le plus », déclare M. Bay. « Lorsque votre chiffre d'affaires annuel passe en dessous de 50 millions de dollars, vous pouvez vous attendre à un taux de couverture compris entre 30 % et 40 %. » « Nous devons nous améliorer. »
Mme Bay affirme que, contrairement à d'autres observateurs, elle ne pense pas que le paiement de rançons soit la principale cause de la hausse des primes d'assurance cyber.
« Ce sont les coûts annexes qui sont à l’origine de la majeure partie des difficultés et des pertes », explique-t-elle. « Il se peut qu’une personne verse 12 000 dollars de rançon à l’issue d’une négociation, mais qu’elle doive en outre supporter 300 000 dollars de frais de remise en état. » À moins qu'il ne s'agisse d'une attaque majeure visant la chaîne d'approvisionnement, comme celle de Kaseya, c'est la remise en état qui coûte si cher aux entreprises. « Ainsi, plus les négociateurs parviennent rapidement à faire avancer quelqu’un dans le processus, mieux c’est. »
