Les entreprises sont de plus en plus vulnérables face aux rançongiciels, Numérique-Cybersécurité

Au printemps dernier, le
rançongiciel
REvil a permis d’extorquer aussi bien à Acer, le fabricant taïwanais d’ordinateurs, qu’à Quanta Computer, un fournisseur majeur d’Apple, une rançon de 50 millions de dollars. Le prix à payer pour délivrer les précieuses données informatiques que le cryptovirus avait chiffrées et débloquer ainsi les systèmes d’information (SI).

REvil a également infecté quatre filiales asiatiques d’AXA. Quant aux pirates russophones qui ont utilisé REvil pour contaminer début juillet Kaseya, ils ont eu moins de chance. Après avoir paralysé les systèmes informatiques de 800 à 1.500 entreprises clientes de cet éditeur américain de logiciels d’infrastructures et réseaux informatiques, ils ont réclamé 70 millions de dollars. Malheureusement, Joe Biden a appelé à Vladimir Poutine. Dans la foulée, les infrastructures de REvil ont disparu et Kaseya a reçu une clé universelle pour débloquer les données de ses clients. Est-ce la fin des rançongiciels ? Sûrement pas.

Selon une étude de l’entreprise de sécurité informatique Barracuda, les forfaits liés à ces cryptovirus ont augmenté 64 % en un an. Quelque 57 % des victimes sont des entreprises. Dans 14 % des cas, la demande de rançon dépassait 30 millions de dollars. Pour sa part, l’édition 2021 du baromètre de la cybersécurité des entreprises réalisé par Opinionway pour le Club des experts de la sécurité de l’information et du numérique (Cesin), 19 % des entreprises ont été victimes en 2020 d’une attaque de type « ransomware » provoquant un chiffrement ou un vol de données, voire un chantage à la divulgation des données (après rançon).

Des attaques par phishing

Principal vecteur d’attaque, dans 80 % des entreprises touchées, le
phishing
. A savoir un mail frauduleux qui vise à extorquer des données personnelles, afin d’usurper l’identité du salarié et pénétrer ainsi le SI de l’entreprise. Autre vecteur, l’exploitation des failles de sécurité contenues dans les logiciels (52 %), même ceux qui sont dans le cloud (SaaS).

Sur l’échiquier de la piraterie, les équipes se professionnalisent. « On constate une collusion entre les équipes structurées de pirates et certains Etats qui s’en font des alliés, analyse Alain Bouillé, délégué général du Cesin. Par ailleurs, avec les outils de piratage disponibles sur le dark Web, la cybercriminalité se démocratise. »

D’après une étude du CERT-W, (Computer Emergency Response Team de Wavestone), 30 % des attaquants (+ 9 % par rapport à 2019) sont des groupes mafieux structurés qui, à l’instar de véritables entreprises, développent leurs propres outils. Viennent ensuite les acteurs qui achètent et utilisent des outils de piratage sur étagère. A savoir les cybercriminels isolés (24 %) ainsi que les groupes non organisés (20 %).

De plus en plus rentables

Autre tendance : « Le délai moyen de réalisation d’une attaque par rançongiciel s’accélère puisqu’il est passé de cent jours en 2019 à vingt-neuf jours en 2020 », explique Gérôme Billois, expert en cybersécurité et gestion des risques numériques au cabinet Wavestone. Par ailleurs, le retour sur investissement d’une campagne d’attaques sur une vingtaine de cibles par des criminels affiliés à une plateforme de « Ransomware as a Service » (RaaS) est particulièrement élevé : de 232 % à 880 %, indique le CERT-W.

De fait, l’investissement total moyen s’élève à 151.020 dollars. Y compris l’infrastructure d’attaque, l’intrusion et la propagation du cryptovirus dans les SI, les ressources humaines (trois experts sur trois mois), les 30 % de commission pour la plateforme de RaaS. Sans oublier le blanchiment (50 % des gains). En moyenne, le gain brut oscille entre 1,4 et 4,3 millions de dollars par rançon.

Selon un rapport de l’assureur Hiscox, deux entreprises victimes de rançongiciel sur trois paient la rançon avec l’espoir de reprendre leurs activités au plus tôt. « Il n’y a pas mieux pour motiver les malfrats ! » déplore Alain Bouillé. Pointés du doigt par l’Agence nationale de la sécurité des systèmes d’information (Anssi) et le parquet de Paris lors d’une audition au Sénat en avril dernier, les assureurs changent leur fusil d’épaule. En tête, AXA France a suspendu sa couverture du remboursement des rançongiciels. Cependant, rien n’interdit encore de continuer de proposer cette garantie…

Pour Jean-Noël de Galzain, président d’Hexatrust, un club des acteurs français de la cybersécurité, les choses sont claires : « Les organisations ne peuvent plus utiliser le numérique dans leur métier sans investir un minimum dans la cyberprévention. » Une chose est sûre : le marché des rançongiciels s’asséchera si les entreprises appliquent les dix règles de base de l’hygiène numérique prônées par l’Anssi, s’appuient sur des partenaires de cyberprévention certifiés et refusent de payer les rançons.