Résumé
Le coût des activités a considérablement évolué avec le Ransomware, mais en termes de dollars et de bon sens (combien devriez-vous payer, et que faut-il faire ou ne pas faire ?), il semble qu'il y ait peu de consensus.
Nous faisons appel à l'un des experts en ransomware les plus reconnus du pays pour nous indiquer les priorités : une meilleure hygiène cyber, des patchs réguliers, des politiques de mots de passe plus robustes — point par point, tout y est. Et les nouvelles lois interdisant le paiement de rançons ? Hmm, dit-il… ne jamais dire jamais.
HOST: Maggie Miller, director of content marketing, Tanium
GUEST: Kurtis Minder, CEO, GroupSense
Notes de l'épisode
Découvrez ces articles dans Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber, ainsi qu'une récente alerte de nos analystes en informations sur les cybermenaces (CTI) sur le débat en cours en Australie.
- Comment les grandes entreprises font face au ransomware
- Le paiement des rançons devrait-il être interdit ?
- L'art de la négociation en matière de Ransomware
- CTI : L'Australie envisage d'interdire les paiements de rançons liés aux ransomwares
Transcript
L'entretien suivant a été modifié pour plus de clarté.
Kurtis Minder: Certains responsables gouvernementaux estiment que rendre les paiements illégaux suffirait à dissuader les victimes de payer et les cybercriminels d'attaquer. Or, il est fort probable que cela ne ferait que pousser ces pratiques dans la clandestinité. Si, en tant que petite entreprise, je dois choisir entre perdre ce que j'ai mis des 18 ans à construire ou enfreindre la loi en espérant ne pas me faire prendre, je pencherai sans doute pour la seconde option.
Maggie Miller: Bonjour, je suis Maggie Miller, et aujourd'hui dans Let's Converge, nous parlons de Ransomware et des questions clés que les organisations doivent se poser en cas d'attaque—des questions telles que : devons-nous payer la rançon ou non ? Quel montant devons-nous payer, ou devons-nous résister et ne rien payer du tout ?
Notre invité est Kurtis Minder, un négociateur en matière de Ransomware avec plus de 20 ans d'expérience dans le secteur de la sécurité de l'information.
En tant que fondateur et CEO de GroupSense, une société de cyber-reconnaissance, Kurtis sait de première main à quel point le monde du Ransomware est marqué par les contradictions. Par exemple, de nombreux chefs d'entreprise pensent que le paiement de la rançon est le moyen le plus rapide de surmonter une telle attaque et de protéger leurs clients. Mais certains experts affirment que les paiements de Ransomware ne font qu'encourager davantage d'attaques et des demandes plus élevées.
En 2021, le conglomérat français d'assurances AXA a annoncé qu'il annulerait les polices d'assurance cyber de toute entreprise effectuant des paiements de Ransomware. Et l'année dernière, la Caroline du Nord est devenue le premier État à interdire aux organismes gouvernementaux d'effectuer de tels paiements. Alors, que doivent faire les leaders d'entreprise ?
Merci beaucoup, Kurtis, de vous joindre à moi.
Minder: Merci de me recevoir.
Miller: Avant d'entrer dans les détails de la façon dont les organisations peuvent faire face au Ransomware, j'aimerais aborder quelque chose de fondamental : quelle est votre expérience en tant que négociateur en matière de Ransomware lorsque vous devez communiquer avec ces cybercriminels ? Est-ce hostile, est-ce menaçant ? Quel est le profil de ces hackers ?
Minder: Eh bien, cela varie. C'est nuancé, mais nous les désignons comme des acteurs malveillants plutôt que des hackers — le terme hacker ayant aussi une connotation positive. Mais dans l'ensemble, leur approche suit un modèle. Ils disposent d'un manuel opératoire et d'une structure organisationnelle, à l'image d'une entreprise. Et une fois que vous avez traité quelques dossiers en collaboration avec eux, vous vous familiarisez avec leur routine et leur manuel opératoire. Ainsi, même si cela semble très stimulant, une grande partie du travail est de nature mécanique. Il arrive que les choses déraillent ou prennent une direction inattendue, mais cela reste rare.
L'autre point que je soulignerais, c'est que traiter avec les acteurs de la menace dans le cadre de la négociation représente un vrai défi, qui constitue en quelque sorte le cœur du scénario. Mais il y a aussi tout un savoir-faire à déployer dans la relation avec la victime. Et selon la taille de la victime, cela peut aller des jeux de politique interne jusqu'au rôle de thérapeute, si l'on peut dire, pour les petites entreprises.
Miller: Wow. Pouvez-vous nous décrire les grandes étapes d'une attaque Ransomware ? Imaginons : j'arrive au travail, mes systèmes informatiques tombent en panne et une rançon est exigée. Quelles sont les premières mesures à prendre, et dans quel délai ?
Minder: La réponse prudente, c'est que cela dépend de votre organisation. Mais oui, c'est un vrai choc d'arriver au bureau et de constater que rien ne fonctionne. Et j'insiste sur le mot rien. Beaucoup d'acteurs malveillants sont devenus très habiles dans le volet perturbation.
Et quand on réfléchit à ce que rien signifie, cela ne veut pas dire uniquement que vous ne pouvez plus utiliser votre ordinateur, que vos clients ne peuvent plus interagir avec vous ou passer des commandes, ou encore que vous ne pouvez plus expédier vos produits si vous êtes fabricant. Cela signifie aussi que vous ne pouvez plus traiter les salaires ni communiquer avec votre personnel par voie électronique. Cela soulève donc un ensemble de défis particulièrement complexes. Dans l'idéal, toute organisation, quelle que soit sa taille, devrait disposer d'un plan et le mettre en œuvre. Ce plan est souvent dicté par des éléments tels que la cyber-assurance.
Ainsi, si vous disposez d'une cyber-assurance, celle-ci déterminera en partie l'ordre dans lequel vous effectuerez les différentes actions.
Je précise également que lorsque vous tombez sur la note de rançon elle-même — elles suivent souvent un modèle type — elle contiendra une série de consignes à suivre et à éviter de la part des cybercriminels, dont certaines ne sont pas sans pertinence, mais d'autres relèvent davantage de la mise en scène. Cependant, les notes de rançon ne mentionnent pas le montant demandé, si bien que vous ignorez ce que réclament les acteurs malveillants tant que vous ne les avez pas contactés. Il y a tout un art dans le moment et la rapidité avec lesquels on procède. Et cela repose vraiment sur les circonstances propres à l'attaque.
Miller: Wow. Nous savons que les attaques par rançon sont en hausse, mais comment évoluent-elles ? Qu'est-ce qui est nouveau ou différent dans les cyberattaques auxquelles vous faites face aujourd'hui par rapport à il y a quelques années ?
Minder: Eh bien, ils itèrent en permanence et cherchent à contourner nos défenses au fur et à mesure qu'elles s'améliorent. Il s'agit donc d'une sorte de jeu du chat et de la souris, tant sur le plan technique que stratégique. Ils sont allés jusqu'à engager des centres d'appels pour contacter vos clients ou employés et les informer de l'attaque, dans le but de vous forcer à leur parler et à payer. Ils ont donc considérablement renforcé la dimension extorsion de leur démarche.
Ce qui est frustrant, c'est que malgré l'évolution des composantes techniques dans cette course-poursuite, la nature des attaques reste la même qu'il y a quelques années. Ce sont généralement des erreurs d'hygiène cyber élémentaires commises par les entreprises qui permettent aux acteurs malveillants de s'introduire dans les systèmes sans grande difficulté.
Miller: L'un des rôles principaux d'un négociateur en matière de Ransomware est de déterminer le montant raisonnable à payer selon la taille et le profil de chaque entreprise. Comment procédez-vous pour établir cette évaluation ?
Minder: C'est une excellente question. Lorsque nous avons commencé à développer cette pratique, nous nous concentrions sur ce que j'appellerais la phase d'Engage avec l'acteur malveillant, c'est-à-dire la négociation. Mais on nous posait sans cesse la question en amont de ces dossiers : faut-il payer ? Et notre réponse était toujours la même : je ne sais pas, car il s'agit d'une décision d'ordre commercial, éthique, et dans une certaine mesure, juridique.
Si je vous présente les critères de base, le premier est le suivant : le paiement d'une rançon va-t-il à l'encontre de votre code d'éthique ou de vos valeurs fondamentales en tant qu'organisation ? C'est la première question. Car si c'est le cas, la réponse est évidente — nous ne paierons pas, quelles que soient les circonstances. Mais peut-être que vos valeurs fondamentales accordent la priorité à la pérennité de l'entreprise et au maintien des salaires de vos employés, ce qui est généralement le cas.
[Rires.] On passe alors au critère suivant : est-ce illégal ? Le Département du Trésor dispose d'une liste de personnes avec lesquelles toute transaction est interdite. Il est donc essentiel de comprendre les implications juridiques... et certains États adoptent désormais des lois en ce sens, notamment la Caroline du Nord, qui a rendu illégal le paiement d'une rançon. Nous devons donc bien appréhender les composantes de conformité liées à cette question. Est-ce illégal ? Vous avez donc franchi cette étape.
Voici la question la plus difficile, qui rejoint d'ailleurs la vôtre : est-il judicieux, d'un point de vue commercial, d'Engager des négociations et de payer une rançon, et quel est le montant approprié ? C'est une question particulièrement complexe, car une grande partie de l'attaque est de nature subjective et il est difficile d'y apporter une réponse quantitative. J'appelle cela le rayon d'explosion du Ransomware, où nous comprenons que l'Impact initial de l'attaque par Ransomware est une interruption opérationnelle.
Vous ne pouvez plus utiliser vos machines ni interagir avec vos clients. Des cercles concentriques d'Impact gravitent autour de cette interruption opérationnelle, dont les effets sont parfois plus durables et potentiellement plus coûteux ou dommageables que l'Impact opérationnel lui-même. Certains sont évidents — nous avons évoqué la partie extorsion. Ainsi, si des données sont divulguées ou que vos partenaires commerciaux ou employés sont contactés, cela génère une atteinte à la réputation et à la confiance. Il y a ensuite des aspects plus subtils : si vous n'êtes pas en mesure de verser les salaires, peut-être pendant une période prolongée, et que des départs surviennent, quel est le coût du recrutement, de la formation et de l'intégration de nouveaux collaborateurs pour remplacer ces personnes ?
Ce calcul est particulièrement difficile à établir, et dans la mesure du possible, en amont du dossier, nous accompagnons les entreprises dans cette réflexion, mais c'est en définitive à elles, en tant que victimes, de déterminer ce que cela vaut. Et parfois, cela détermine si nous nous engageons ou non, car si nous arrivons à un chiffre qui est tout simplement déraisonnable pour l'entreprise, la réponse est de ne même pas prendre contact avec les pirates — nous ne serons tout simplement pas en mesure de le faire et nous devons trouver une autre solution. C'est très compliqué.
Miller: Oui. J'ai interrogé une organisation plus tôt cette année qui avait été victime d'une attaque Ransomware et qui n'a pas payé. La raison était qu'elle disposait d'une sauvegarde de toutes ses données, ce qui lui a permis d'avoir accès à toutes les données dont elle avait besoin. Elle a également pu se reconnecter en toute sécurité. Elle avait mis en quarantaine l'endpoint infecté. Elle a pu mettre à jour chaque autre endpoint et se reconnecter assez rapidement.
Pensez-vous donc que c'est la meilleure position à adopter face à ce type de situation si elle venait à se produire ?
Minder: Certes, disposer d'une approche de continuité des activités et d'une stratégie technologique pour résoudre ce problème représente la meilleure situation. Mais cela ne fonctionne souvent pas aussi bien que vous venez de le décrire pour de nombreuses organisations. Selon la taille de l'organisation, on parle déjà de tout — plusieurs sites, plusieurs réseaux, plusieurs systèmes — et la restauration de l'ensemble peut s'avérer un processus long et fastidieux.
Nous avons même eu des cas où des personnes, au départ très confiantes, nous disaient : « Écoutez, nous ne voulons pas payer ces gens. Nous avons des sauvegardes irréprochables, nous allons procéder à la restauration. » Et je leur réponds : parfait, je ne souhaite pas non plus les payer [Rires], alors allons-y. Mais ils me rappellent 12 heures plus tard pour m'annoncer qu'il faudra en réalité huit semaines pour restaurer le système, alors qu'ils en ont besoin pour mercredi.
Tout dépend donc de l'organisation, de la qualité des sauvegardes et des processus de continuité d'activité mis en place du côté technologique.
À mon sens, il existe quatre façons de commencer à endiguer le problème du Ransomware : la première est la prévention. C'est ma préférée, car elle relève de notre sphère d'influence — elle est sous notre contrôle. Elle est peu coûteuse et proactive.
La deuxième est la technologie, qui est précisément le sujet dont vous parlez. Des outils capables de détecter la menace, de la mettre en quarantaine et de minimiser l'Impact.
Une troisième option serait une question de politique. Actuellement, si vous êtes victime d'un Ransomware, vous avez souvent deux options : payer une rançon, cesser votre activité, ou payer une rançon et procéder à des licenciements. Ou, si vous êtes un hôpital, vous payez une rançon ou des patients perdent la vie, ce qui est une réalité. Oui. Je suis convaincu qu'il existe une troisième option, qui pourrait être pilotée par une politique publique, offrant aux victimes une aide à la reprise d'activité — un programme leur permettant de ne pas avoir à payer de rançon tout en maintenant leur activité. C'est sur ce sujet que je travaille à Washington.
Le dernier [quatrième] est mon préféré, mais aussi le moins probable. Et il s'agit des conséquences négatives pour les cybercriminels. [Rires.]. Mais comme vous le savez, la plupart de ces cybercriminels opèrent dans des pays peu coopératifs, sans extradition et bénéficient d'une sorte d'amnistie officieuse de la part de leur gouvernement.
Miller: Oui. Je suis d'accord. Cette organisation à laquelle j'ai parlé a eu beaucoup de chance dans la situation où elle se trouvait. Ils ont dit que même le FBI, avec lequel ils travaillaient, leur avait indiqué qu'ils étaient dans une meilleure position que pratiquement toute autre entreprise traversant une telle situation.
Minder: Espérons que cela deviendra davantage la règle que l'exception à l'avenir.
Miller: J'apprécie la direction que vous preniez avec l'angle de la prévention. Quelles sont donc les mesures proactives que les organisations peuvent mettre en place ? Par exemple, dans quelle mesure une bonne hygiène cyber peut-elle aider une organisation à contrer ou à limiter les attaques ?
Minder: Je pense que l'un des avantages du côté intervention — et cela vaut aussi bien pour les intervenants techniques en cas d'incident que pour le travail que nous effectuons — est que nous dressons en quelque sorte un inventaire de la façon dont les acteurs malveillants obtiennent un accès dans chaque cas. Et si l'on synthétise ces données, on constate que la majorité des cas, environ 80 % et plus, auraient pu être évités dès le départ si des mesures de base en matière d'hygiène cyber avaient été appliquées, comme vous l'avez mentionné.
C'est frustrant, car la plupart de notre audience est probablement technique et axée sur la cybersécurité. Ils vont lever les yeux au ciel, et c'est normal. Je ne m'en offusque pas, car nous évoquons ces sujets depuis longtemps, mais ils ne sont toujours pas mis en œuvre dans de nombreuses organisations, ou ne le sont pas de manière satisfaisante. Des éléments tels que la politique de mots de passe et la politique de gestion des identifiants.
Ainsi, des mots de passe complexes, sans réutilisation. Et lorsque je parle de politique de gestion des identifiants, j'entends par là ne pas utiliser vos identifiants professionnels pour des activités sans lien avec l'entreprise. Ne l'utilisez pas pour créer votre compte Facebook… ni pour vous inscrire sur votre site de loisirs préféré, car les cybercriminels récupèrent les identifiants de ces sites et les utilisent contre nous.
Nous parlons beaucoup de l'authentification multifacteur, qui résout bon nombre de problèmes. Donc, si vous n'avez pas suivi les premières recommandations que j'ai mentionnées, l'authentification multifacteur y remédierait dans bien des cas.
Les Patches — vous savez, j'ai consacré toute ma vie professionnelle à la cybersécurité et je comprends les difficultés que rencontrent les organisations en matière de gestion des Patches, mais je dirais que même l'application des Patches de base reste un problème — sans parler des systèmes de contrôle industriel ; je parle simplement des ordinateurs portables, des navigateurs Safari ou autres, ou encore des téléphones mobiles. Je fais cette blague lors de mes conférences publiques : je dis que je sais que c'est vraiment agaçant de mettre à jour son téléphone en pleine partie de jeu de mots, mais faites-le quand même. Et je sais que vous êtes en train de scroller sans fin sur Reddit et que vous n'avez pas envie de redémarrer votre navigateur, mais faites-le quand même… Et intégrez cela dans la politique et dans l'hygiène cyber de l'organisation.
Miller: Oui. Ces conseils sont précieux, et on ne les répétera jamais assez. Dans quelle mesure le manque de compétences en cybersécurité a-t-il un Impact sur les Ransomware ? Certains y voient un problème distinct lié aux affaires, mais percevez-vous des liens ?
Minder: Tout à fait, et j'apprécie cette question car c'est un sujet qui me tient particulièrement à cœur. Il existe un déséquilibre entre l'offre et la demande en matière de talents en cybersécurité, ce qui prive la majorité du marché des ressources nécessaires pour combler leurs lacunes dans ce domaine. Et cela s'explique par une pénurie de talents. Les salaires moyens se situent tous en haut du marché, et les personnes motivées par des considérations économiques vont naturellement s'orienter dans cette direction.
Ainsi, lorsque vous évoluez dans le marché intermédiaire ou en dessous, votre accès à une véritable expertise en cybersécurité est quasi inexistant. Et la situation ne s'améliore pas. Par exemple, pour chaque incident de cybersécurité ou attaque Ransomware dont nous entendons parler aux informations, des milliers de petites entreprises sont touchées sans que cela ne soit médiatisé. Mais si vous êtes un pressing, une imprimerie ou un petit cabinet comptable de cinq personnes, il est peu réaliste de s'attendre à ce que vous compreniez et gériez les risques liés à l'ensemble de vos outils technologiques. Je ne sais pas comment fonctionne mon téléphone portable, et pourtant je travaille dans la technologie. C'est une boîte noire, n'est-ce pas ? Attendre de ces personnes qu'elles maîtrisent tous ces aspects est donc peu réaliste.
Alors, comment mettre des compétences de base en cybersécurité à la disposition de ces personnes ? J'ai une organisation à but non lucratif qui travaille sur ce problème, et je pense que cela a un Impact sur la sécurité nationale des États-Unis et sur l'économie.
Miller: C'est bien d'entendre votre point de vue à ce sujet. Pour changer de sujet : l'année dernière, la compagnie d'assurance AXA a annoncé qu'elle suspendrait les polices d'assurance cyber en France qui remboursent les entreprises pour les paiements de Ransomware. C'était en réponse à une demande des responsables cyber du gouvernement français qui cherchaient à endiguer la vague d'attaques Ransomware en constante augmentation. Quelles ont été les répercussions depuis lors ? Et cela a-t-il eu un effet sur la situation ?
Minder: Je pense qu'il y a un problème avec ce type de mesures, comme rendre les rançons illégales. C'est un peu comme demander à ses administrés de faire un sacrifice pour le bien commun.
À cela s'ajoute la question que vous avez posée précédemment : on demande à des personnes qui n'ont aucune capacité à se défendre de mourir sur la croix pour tout le monde, afin que personne ne paie. Je ne pense pas que cette approche soit raisonnable. Et cela aura sans doute un Impact plus important sur l'économie de ce pays. Je pense donc que l'éducation et les compétences en cybersécurité sont la bonne façon d'aborder le problème, plutôt que ces politiques punitives.
Miller: Est-ce que quelque chose comme ce qui s'est passé en France pourrait se produire ici aux États-Unis ?
Minder: C'est possible ; vous savez comment la politique peut être [Rires.]. J'ai tout de même un certain espoir, car je crois que les équipes de la CISA—Jen Easterly et son équipe—abordent la question sous le bon angle, avec une approche davantage axée sur la prévention et le soutien. Et ils orientent une partie de cette politique.
Et je fais tout ce qui est en mon pouvoir pour sensibiliser les législateurs de la Chambre et du Sénat à la réalité de la situation et aux dommages potentiels à long terme ainsi qu'à l'Impact que cela peut engendrer. Je pense qu'il nous appartient, en tant qu'experts techniques sur le terrain, de sensibiliser les législateurs, tant au niveau local qu'au niveau national, à chaque occasion, à ce que cela représente vraiment et à ce que c'est que d'être une victime, ainsi qu'aux circonstances entourant ces attaques—comme l'absence d'accès aux talents en cybersécurité—afin qu'ils ne perçoivent pas cela comme une situation purement négative ou ne portent pas un regard négatif sur la victime, car ces entreprises sont comme nous tous.
Ces entreprises font simplement leur job. Elles font de leur mieux—en particulier les petites entreprises qui viennent de traverser la crise du COVID et les problèmes de chaîne d'approvisionnement, et à qui l'on dit maintenant [si elles subissent une attaque Ransomware] qu'elles n'ont d'autre choix que de mettre la clé sous la porte ou d'enfreindre la loi.
Ensuite, avec l'approche juridique de la question, certains membres du gouvernement estiment que si l'on rend simplement cela illégal, les gens cesseront de payer des rançons et les cybercriminels cesseront leurs attaques. Mais ce qui se produira très probablement, c'est que vous pousserez ces comportements dans la clandestinité. Si j'ai le choix, en tant que petite entreprise, entre perdre mon activité sur laquelle j'ai travaillé pendant 18 ans ou enfreindre la loi sans forcément me faire prendre, je vais sans doute pencher pour la deuxième option. Je veux garder mes employés et préserver mon investissement.
Nous risquons donc de perdre la visibilité sur le niveau macro de ces attaques. Je pense que la CISA le croit aussi. Et j'espère qu'ils s'y tiendront.
Miller: Nous avons abordé des sujets sérieux, et j'aimerais terminer sur une note positive. Permettez-moi de vous poser cette question : Quelle est l'une de vos histoires de réussite préférées ? Peut-être une situation qui semblait désespérée au départ, mais qui a finalement bien tourné ?
Minder: Oh, nous en avons plusieurs, et certaines ressemblent au scénario où les sauvegardes ont sauvé la mise.
Je dois dire qu'il y a toujours quelques nuances dans ces scénarios, car les acteurs malveillants ont tout de même copié un grand nombre de données. Dans la plupart des cas, ils les vendront ou les divulgueront. Il y a aussi un aspect amusant : certains acteurs malveillants ont un tel volume de victimes qu'ils en oublient parfois certaines [Rires.]. Nous avons déjà vécu cette situation, où nous attendions qu'ils divulguent les données comme ils l'avaient menacé, et ils ne l'ont jamais fait. Ils ont simplement oublié. Ils ont 200 victimes, et ils passent à la suivante.
Nous avons également eu des cas où nous avons pu convaincre les acteurs malveillants de publier, à titre de preuve, les fichiers volés sur le dark web, ce qui nous a permis de récupérer les fichiers de configuration les plus critiques et d'effectuer une restauration. Nous avons donc eu de très bons résultats dans ce type de situation.
Mes préférés, cependant, sont l'Impact des programmes de prévention et le travail associatif que nous menons, où nous aidons concrètement les petites entreprises à effectuer ces changements gratuitement, tout en comblant le déficit de compétences en cybersécurité. C'est ce qu'il y a de mieux, car l'attaque ne se produit même pas. Nous l'anticipons.
Miller: C'est effectivement ce qu'il y a de mieux, et je suis heureux qu'il y ait des personnes comme vous pour nous aider à résoudre ce problème.
Minder: Merci.
Miller: Parfait. C'était un vrai plaisir de vous interviewer aujourd'hui, Kurtis. Merci d'avoir participé à ce podcast.
Minder: Avec plaisir. Merci de m'avoir invité.
Miller: Je me suis entretenu avec Kurtis Minder, fondateur et CEO de GroupSense, cabinet spécialisé dans la cyber-reconnaissance.
Pour en savoir plus sur les Ransomware, consultez Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber. Vous trouverez des liens vers plusieurs articles dans les notes de l'émission, ou rendez-vous sur tanium.com pour découvrir d'autres conversations avec les leaders du monde des affaires et les experts en sécurité. Abonnez-vous à Let's Converge sur votre application de podcast, et si cet épisode vous a plu, n'hésitez pas à nous laisser une note de cinq étoiles.
Merci de votre écoute. Nous avons hâte de partager de nouvelles perspectives cyber lors du prochain épisode de Let's Converge.
