Ransomware : Ennemi public N°1

Un incident de type ransomware est souvent une triple peine : l’informatique est bloquée, voire détruite ; les données sont perdues ; l’entreprise paye la rançon mais ne récupère souvent rien…

Se protéger ….

Certes, une attaque par ransomware est souvent initiée par du phishing, un peu à l’instar d’un virus porté par un manque d’hygiène ou des gestes barrières non respectés. Je n’oublierai jamais la détresse du dirigeant d’une PME du nord de la France, leader dans la distribution de produits auprès de professionnels et artisans, qui avait investi dans un entrepôt moderne et entièrement robotisé et doté de processus efficaces mais dont l’informatique/bureautique pour la prise de commandes, la facturation, la base des clients, etc. était restée non protégée et qui a dû arrêter son activité pendant plus d’une semaine à cause d’un rançongiciel.

Alors que les dépenses informatiques se contractent dans la plupart des secteurs et des technologies à la suite d’une pandémie et de la crise économique qui s’en suit, les dépenses mondiales en produits et services de sécurité devraient enregistrer une solide croissance en 2020, dopées par la montée des menaces de sécurité, estime IDC. Elles atteindront 125,2 milliards de dollars en 2020, soit une augmentation de 6,0% par rapport à 2019. On dépense de plus en plus pour protéger le lien restant des entreprises avec leurs clients, leurs collaborateurs et leurs partenaires.

En même temps, dans la vie des entreprises, on constate une explosion des cyberattaques par ransomware. Le rapport de cyber-assurance Beazley Breach Briefing 2020 fait état d’une augmentation des attaques par ransomware d’environ 130%. Celles connues car beaucoup restent cachées. Heureusement que le RGPD oblige les entreprises victimes d’annoncer l’incident.

S’appuyant sur des cas concrets, le rapport de Beazley répertorie 775 incidents de cybersécurité liés à un rançongiciel. Une véritable explosion, +50% au 1^er trimestre 2020 par rapport au 4^ème trimestre 2019 !  D’après le rapport, la progression entre 2018 et 2017, n’avait enregistré qu’une croissance de 20 %, pour ce type de cyberattaque.

Le montant des rançons…

Le même rapport évalue la somme demandée par incident à 111 605 $ en moyenne – en forte augmentation, avec le constat que plus l’entreprise est importante plus le montant de la rançon est élevé. Ce qui représente 33 % de plus au premier trimestre 2020 qu’au dernier trimestre 2019. Quant à la taille des entreprises victimes, le rapport indique que l’effectif moyen se situe entre 500 et 700 employés, c’est-à-dire en baisse d’une année sur l’autre – les attaquants visent donc des entreprises de plus en plus petites.

A propos des récentes attaques par ransomware, de grands groupes en France ont fait état (officieux) de rançons demandées de l’ordre de la dizaine de millions de dollars. Peu importe que les entreprises-victimes aient payé ou non la rançon.

Dans son rapport annuel sur la gestion des cyber-risques, l’assureur Hiscox indique que les pertes des entreprises ayant subi une attaque via un ransomware étaient presque trois fois plus importantes que celles qui avaient subi un incident de cybersécurité de type malware, soit 821 000 €.

Le même rapport Hiscox estime à 18% les entreprises françaises attaquées ayant versé une rançon, et 19% des victimes de ransomware assurent avoir pu récupérer leurs données « sans devoir payer de rançon. » Et les autres ??

A noter que selon Coveware, les attaques Ryuk et Sodinokibi représentent 33% de l’explosion des rançons payées durant le 1^er trimestre 2020.

Que faut-il faire dans ce contexte ?

Avant toute chose, sensibiliser et former des utilisateurs de toutes professions au sein des entreprises, l’awarness comme disent les Anglo-Saxons, car le seul moyen de lutter contre le manque d’experts et d’ingénieurs est de remonter le niveau général de tous, de l’assistante au comptable, du chercheur au marketeur et au commercial. Le MOOC de l’ANSSI est un excellent outil de formation et sensibilisation.

Ensuite, se doter d’outils de sécurisation et de protection des vecteurs d’attaque, notamment protéger la messagerie et être vigilant dans la navigation web, car les attaquants arrivent dans la très grande majorité des cas par des mails de phishing ou des liens web.

Puis, surveiller, analyser, récolter et détecter les signaux faibles, indicateurs de compromissions ; surveiller les postes de travail, pardon les end-points dans toutes leurs dimensions : remote/télétravail, entreprises, smartphones, tablettes, etc. Inutile de dire que les SOC d’entreprise sont clés dans la lutte contre les ransomwares. Les grandes entreprises sont quasiment toutes organisées autour de CyberSOC dédiés, très souvent externalisés auprès de spécialistes.

Il faut aussi penser à inclure les maillons faibles comme les sous-traitants, les cabinets d’avocats, les prestataires marketing, les filiales éloignées, etc. qui souvent ne sont pas couverts. La capacité de résistance de la chaîne de protection est donnée par le maillon le plus faible !

Article Smart DSI – Septembre 2020