Le ransomware 101 : atténuer les risques liés à la réalité actuelle des ransomwares

Les ransomwares constituent une réalité malheureuse pour les entreprises numériques modernes, mais il existe des outils, des technologies et des bonnes pratiques pour aider les services de sécurité à éviter d’être la proie des cybercriminels – et à minimiser les dégâts lorsqu’ils subissent une attaque.

Qu’est-ce qui empêche les responsables de la sécurité de dormir la nuit ? La liste pourrait être infinie, mais en 2024, les ransomwares figureront probablement en tête des attaques les plus redoutées par les entreprises.

Non seulement les ransomwares restreignent l’accès aux systèmes essentiels, mais ils exigent également le paiement d’une rançon et divulguent des données. Les responsables de la sécurité doivent protéger leurs environnements contre ces attaques malveillantes et, surtout, élaborer une stratégie de Recovery permettant de ramener l’entreprise à un état sécurisé connu.

Les ransomwares sèment le chaos dans les systèmes informatiques depuis près de 35 ans, et ces logiciels malveillants créés par des cybercriminels pour mener des attaques contre les entreprises, les organisations et les particuliers ne montrent aucun signe de ralentissement, alors que les environnements deviennent plus sophistiqués et que le monde est plus connecté que jamais.

Selon un rapport du SANS Institute s’appuyant sur des données d’eCrime.ch, les attaques par rançongiciel ont augmenté de près de 73 % entre 2022 et 2023, avec un total de 4 611 cas signalés en 2023. Les observateurs du secteur estiment que le coût mondial des dommages causés par les ransomwares atteindra 265 milliards de dollars d’ici 2031. Alors que 80 % des organisations ont été victimes d’un ransomware en 2021, 60 % des responsables de la sécurité ont déclaré que les ransomwares constituaient une menace aussi grave que le terrorisme. La gravité de ces attaques peut paralyser ou détruire une entreprise, que ce soit sur le plan financier ou en raison d’une atteinte à l’image de marque – et peut même avoir des conséquences mortelles lorsque les prestataires de soins de santé sont pris pour cibles.

Une attaque par ransomware a pour but de nuire à une entreprise et de procurer un gain financier à son auteur. Pour se remettre plus rapidement d’une attaque, les victimes de ransomware doivent disposer d’un plan d’intervention en cas d’incident.

Un plan d’intervention en cas d’incident aidera une entreprise à se préparer à un incident lié à un rançongiciel, à y réagir et à s’en remettre. Les responsables de la sécurité doivent fournir des directives sur les activités et responsabilités clés afin d’accélérer le délai total de Recovery et la restauration des données. Le délai de Recovery après une attaque peut varier de quelques jours à plusieurs mois, la moyenne étant d’environ trois semaines.

Voici quelques étapes clés d’un plan de Recovery après une attaque par rançongiciel :

Sécuriser le périmètre : dès les premiers signes d’une attaque, veillez à verrouiller les systèmes. On estime que la fenêtre d’attaque d’un rançongiciel est de 84 minutes ; c’est le temps nécessaire avant que les données ne deviennent inaccessibles, ne soient exfiltrées ou détruites. Fermez tous les points d’entrée et d’accès à l’entreprise en identifiant les ressources existantes, ce à quoi elles donnent accès et comment les mettre hors service.

Évaluez les dégâts : une fois l’environnement sécurisé, évaluez l’étendue des dégâts causés par l’attaque. Identifiez les données qui ont été exposées ou qui ont fait l’objet d’une fuite, et déterminez l’impact au regard des réglementations sectorielles, régionales, nationales et internationales. Prenez connaissance des obligations de divulgation et communiquez avec l’ensemble des équipes sur la meilleure façon de respecter ces exigences.

Déterminez la cause : il est essentiel de comprendre comment et pourquoi l’organisation a été victime d’une attaque par ransomware. Le périmètre était-il non sécurisé ? Les contrôles appropriés étaient-ils en place pour détecter rapidement l’attaque ? L’organisation a-t-elle dispensé suffisamment de formations de sensibilisation à la cybersécurité pour prévenir les tentatives de phishing ? Existe-t-il un plan de protection des données permettant de sécuriser les informations des clients ? Comprendre comment l’attaque par ransomware a pu se produire au sein d’une organisation contribuera grandement à prévenir de futures violations.

Récupérer les données : Restaurez les données nécessaires à partir d’une sauvegarde antérieure, datant d’avant l’infection par le rançongiciel. Il est important d’identifier un point de restauration antérieur à l’infection et de procéder dans un premier temps à la restauration dans un environnement de test (sandbox) afin d’éviter que le rançongiciel ne soit réintroduit dans l’environnement de production.

Communiquer avec les parties prenantes : faites preuve de transparence envers les parties prenantes clés. Le PDG et les dirigeants doivent être informés dès que possible et alerter le conseil d’administration. Mais les personnes les plus importantes sont celles touchées par la violation, telles que les clients, les partenaires ou les employés, qui doivent être informées au plus vite.

Réaliser une analyse post-attaque : effectuez un audit de sécurité pour repérer les faiblesses et passer en revue les politiques, les protections des terminaux, les contrôles de sécurité et les configurations. Identifiez les vulnérabilités et les axes d’amélioration afin d’aider l’organisation à agir plus efficacement à l’avenir et à renforcer sa résilience face à de futures attaques.

Pour de nombreuses entreprises, les ransomwares sont inévitables. Il est essentiel d’élaborer un plan d’intervention en cas d’incident afin de protéger l’environnement contre les attaques, de former les employés et les utilisateurs finaux à la manière d’éviter les déclencheurs, et de réagir rapidement pour limiter les dégâts et récupérer les données. Sans Readiness adéquate face aux ransomwares, les entreprises risquent fort d’être victimes d’attaques – subissant des pertes de données, des menaces de sécurité et des temps d’arrêt coûteux pour l’activité, à une époque où les utilisateurs et les entreprises exigent que leurs données soient accessibles et disponibles 24 heures sur 24.