Payer ou ne pas payer : DriveSavers donne son opinion après avoir été cité par le Financial Times

Le gouvernement britannique fait avancer des projets visant à interdire purement et simplement le paiement de rançons pour les organismes du secteur public et les fournisseurs d'infrastructures essentielles nationales, y compris le NHS, les municipalités et les écoles. Il s'agit d'une réponse sérieuse à un problème sérieux. La plupart des victimes de rançongiciels sont des petites et moyennes entreprises, et non des exploitants d'infrastructures essentielles. Une interdiction visant les exploitants d'infrastructures essentielles ne cible qu'une faible part de l'ensemble des attaques; à elle seule, elle risque donc de peu réduire le volume total de la criminalité liée aux rançongiciels.

Il existe déjà un cas concret à ce sujet. La Caroline du Nord a interdit les paiements de rançongiciels pour les entités gouvernementales en 2021, et la Floride a emboîté le pas en 2022. Aucune de ces deux interdictions ne semble avoir dissuadé de façon significative l'activité criminelle dans l'un ou l'autre État. Haydn Brooks, chef de la direction de Risk Ledger, a soulevé un point connexe dans le même article : si les organismes publics ne peuvent pas payer, les groupes criminels risquent de se tourner vers des cibles moins réglementées du secteur privé, et les assureurs pourraient réagir en excluant complètement les indemnisations liées aux rançongiciels, ce qui ferait grimper les primes en conséquence.

Le cadre juridique est différent ailleurs. Le Royaume-Uni, l'Australie et d'autres territoires où DriveSavers exerce ses activités envisagent ou appliquent leurs propres restrictions; les organisations situées en dehors des États-Unis ne devraient donc pas présumer que les règles américaines s'appliquent à elles.

Les dossiers sur lesquels DriveSavers travaille présentent une structure qui n'était pas aussi constante il y a quelques années. Avant de chiffrer les systèmes, les attaquants corrompent ou suppriment désormais l'infrastructure de sauvegarde : les référentiels de sauvegarde Veeam, les hôtes Hyper-V et les hôtes VMware ESXi en sont des exemples typiques. Environ la moitié des dossiers de récupération de données après rançongiciel traités par DriveSavers au cours des deux dernières années impliquaient des attaquants ciblant spécifiquement les sauvegardes Veeam avant même de toucher aux serveurs principaux. Veeam est la plateforme de sauvegarde dominante pour les environnements virtualisés, avec environ 550 000 clients à l'échelle mondiale, et bien des équipes de TI ne réalisent pas que les fichiers de sauvegarde Veeam supprimés ou corrompus peuvent souvent quand même être récupérés grâce aux outils et techniques de récupération exclusifs mis au point par DriveSavers.

Les déchiffreurs fournis par les cybercriminels sont eux aussi peu fiables, particulièrement pour les fichiers volumineux et les bases de données. Les organisations qui paient la rançon pour obtenir un déchiffreur ont souvent encore besoin d'une récupération de données professionnelle par la suite afin de retrouver un ensemble complet de fichiers utilisables, car le processus de déchiffrement lui-même laisse les données corrompues. Et les sauvegardes immuables, bien qu'elles méritent réellement un investissement, ne sont pas infaillibles. DriveSavers a récupéré des données critiques dans des cas où un serveur de sauvegarde présenté comme immuable avait été carrément supprimé, parce que le logiciel gérant cette immuabilité avait lui-même été compromis.

Dans le cadre d'un mandat récent, DriveSavers a aidé une compagnie d'assurance à éviter une demande de rançon évaluée à plusieurs millions de dollars, en récupérant toutes les données opérationnelles nécessaires à partir de sauvegardes supprimées. Les services de récupération de données requis n'ont coûté qu'une fraction de cette somme. Cela fait partie d'un changement plus large : les compagnies d'assurance demandent maintenant systématiquement si la récupération des données est réalisable avant d'autoriser le paiement d'une rançon, ce qui n'était pas une question standard il y a quelques années.

Payer une rançon ne garantit pas que les attaquants remettront une clé de déchiffrement fonctionnelle, que vos données reviendront intactes, ou que les données volées ne referont pas surface ailleurs plus tard.

L'affirmation inverse exige tout autant de prudence, et il est utile de distinguer deux concepts :

Certaines autres personnes citées aux côtés de Maus ont soulevé un point qui mérite plus d'attention que le débat sur l'interdiction lui-même. Gavin Millard, VP produit chez Tenable, l'a formulé sans détour : la question la plus utile est de savoir comment rendre les rançongiciels moins rentables dès le départ. La plupart des attaques exploitent encore des vulnérabilités connues et des systèmes exposés, si bien que la gestion de l'exposition apporte plus de bénéfices à long terme que n'importe quelle politique de paiement. Spencer Young, chez Delinea, a soulevé un point connexe concernant les contrôles d'accès : limiter les autorisations permanentes afin qu'un seul identifiant volé ne puisse pas circuler librement sur un réseau réduit l'ampleur des dégâts, même lorsqu'une attaque réussit.

Sur le plan de la préparation, les organisations qui se rétablissent le plus rapidement ont généralement déjà documenté l'emplacement de leurs sauvegardes, les systèmes jugés critiques et les personnes à contacter, avant même qu'une attaque ne survienne. Cette liste de contacts doit être conservée à part des serveurs principaux afin de ne pas être chiffrée en même temps que tout le reste, et elle doit inclure un conseiller juridique, l'assureur en cybersécurité ainsi qu'un service de récupération de données.

Résoudre le dilemme du paiement d'une demande de rançon n'est jamais simple. Considérez-le comme une décision reposant sur plusieurs facteurs, et non comme un choix moral unique : le degré de sensibilité des données, le fait que les sauvegardes aient survécu ou non, l'identité précise de l'attaquant, l'ampleur de l'exposition juridique, et le réalisme concret d'une récupération de données. Faites appel à une aide extérieure tôt, avant qu'une échéance de rançon ne vous force la main, afin de disposer d'un maximum de ces éléments plutôt que d'un minimum.

Lisez le rapport complet du Financial Times : « Surge in ransomware hacks deepens divide over whether to pay » (un abonnement pourrait être requis).