Ransomware, voilà les professionnels !

C’est le PDG de Colonial Pipeline, dont le groupe d’énergie transporte près de la moitié des produits pétroliers américains qui l’a déclaré dans le Wall Street Journal soulignant que c’est le moyen le plus efficace pour faire redémarrer les opérations. Les opérations informatiques de remédiation IT dureront des mois et coûteront plusieurs dizaines de millions de dollars.

A chaque fois que j’écris dans cette rubrique de Smart DSI, j’ai l’impression de monter d’une marche sur l’échelle de la dégradation de la protection des flux numériques et de l’Internet et devant la dégradation des comportements dans la cybersécurité.

Et il est vrai que payer les rançons, l’officialiser sans retenue, ne fait que pousser à la multiplication de ces pratiques et de ces bandits de grand chemin des temps actuels !

Les entreprises paient (trop) facilement …

Selon une étude de l’éditeur Crowdstrike, la France se situe parmi les trois premiers pays au monde pour les attaques de rançon.

Pourquoi ? Pas uniquement à cause du fait que nos entreprises, notamment les moyennes et les ETI ne prennent pas en compte assez sérieusement avec les investissements nécessaires, les risques et failles de leurs informatiques, mais aussi parce qu’en cas d’attaque, elles payent (trop) facilement. Le sujet est public. Il a été mis en évidence par la commission du Sénat ainsi que par l’ANSSI.

Une estimation fait apparaitre un taux de paiement de 20% des demandes de paiement en provenance des entreprises françaises. A noter qu’en France, aucun cadre législatif n’interdit de payer des rançons des cyberattaques.

Et c’est souvent la double peine : l’entreprise paie, mais ne retrouve pas ses données.

La cyber-assurance

A ce sinistre douloureux, arrive en plus la composante de la cyber assurance. De plus en plus d’entreprises contractualisent cette option. Mais comme le directeur général de l’ANSSI Guillaume Poupard le soulignait récemment, certains assureurs poussent les victimes à payer la rançon. L’assureur préfère cela que de rembourser les dégâts, beaucoup plus coûteux, causés par la perte de données et la perte d’activité engendrée.

Et Guillaume Poupard va encore plus loin en pointant du doigt certains intermédiaires qui font un business du paiement des rançons et vont se rémunérer sur leur capacité à négocier la baisse des rançons. Honteux et malsain !

Il faudra que les cyber assureurs excluent de leur charte ou leur contrat, les intermédiaires et même déconseillent le paiement des rançons par leurs clients. Et en favorisant financièrement, à travers une notation objective et étayée par des critères techniques et organisationnels, les entreprises qui investissent dans la sécurité de leur système d’information.