Payer ou ne pas payer : DriveSavers donne son avis après avoir été cité par le Financial Times

Le gouvernement britannique fait avancer des projets visant à interdire purement et simplement le paiement de rançons pour les organismes du secteur public et les opérateurs d'infrastructures critiques nationales, y compris le NHS, les collectivités locales et les écoles. Il s'agit d'une réponse sérieuse à un problème sérieux. La plupart des victimes de rançongiciels sont des petites et moyennes entreprises, et non des opérateurs d'infrastructures critiques. Une interdiction visant les opérateurs d'infrastructures critiques ne cible qu'une faible part de l'ensemble des attaques ; à elle seule, elle risque donc de peu réduire le volume total de la criminalité liée aux rançongiciels.

Un cas d'école existe déjà pour illustrer cela. La Caroline du Nord a interdit les paiements de rançongiciels pour les entités gouvernementales en 2021, suivie par la Floride en 2022. Aucune de ces deux interdictions ne semble avoir dissuadé de manière significative l'activité criminelle dans l'un ou l'autre de ces États. Haydn Brooks, PDG de Risk Ledger, a soulevé un point connexe dans le même article : si les organismes publics ne peuvent pas payer, les groupes criminels risquent de se tourner vers des cibles moins réglementées dans le secteur privé, et les assureurs pourraient réagir en excluant totalement les indemnisations liées aux rançongiciels, ce qui ferait grimper les primes en conséquence.

Le cadre juridique diffère ailleurs. Le Royaume-Uni, l'Australie et d'autres juridictions où DriveSavers opère envisagent ou appliquent déjà leurs propres restrictions ; les organisations situées en dehors des États-Unis ne doivent donc pas présumer que les règles américaines s'appliquent à elles.

Les dossiers traités par DriveSavers présentent une structure qui n'était pas aussi systématique il y a quelques années. Avant de chiffrer les systèmes, les attaquants corrompent ou suppriment désormais l'infrastructure de sauvegarde : les référentiels de sauvegarde Veeam, les hôtes Hyper-V et les hôtes VMware ESXi en sont des exemples typiques. Environ la moitié des dossiers de récupération de données après rançongiciel traités par DriveSavers au cours des deux dernières années impliquaient des attaquants ciblant spécifiquement les sauvegardes Veeam avant même de toucher aux serveurs principaux. Veeam est la plate-forme de sauvegarde dominante pour les environnements virtualisés, avec environ 550 000 clients dans le monde, et de nombreuses équipes informatiques ignorent que les fichiers de sauvegarde Veeam supprimés ou corrompus peuvent souvent encore être récupérés grâce aux outils et techniques de récupération propriétaires développés par DriveSavers.

Les déchiffreurs fournis par les cybercriminels se révèlent également peu fiables, en particulier pour les fichiers volumineux et les bases de données. Les organisations qui paient la rançon pour obtenir un déchiffreur ont fréquemment encore besoin d'une récupération de données professionnelle par la suite pour retrouver un ensemble complet de fichiers utilisables, car le processus de déchiffrement lui-même laisse les données corrompues. Et les sauvegardes immuables, bien qu'elles méritent réellement un investissement, ne sont pas infaillibles. DriveSavers a récupéré des données critiques dans des cas où un serveur de sauvegarde présenté comme immuable avait été purement et simplement supprimé, parce que le logiciel gérant cette immuabilité avait lui-même été compromis.

Lors d'un mandat récent, DriveSavers a aidé une compagnie d'assurance à éviter une demande de rançon décrite comme se chiffrant en millions de dollars, en récupérant toutes les données opérationnelles nécessaires à partir de sauvegardes supprimées. Les services de récupération de données requis n'ont coûté qu'une fraction de cette somme. Cela s'inscrit dans une évolution plus large : les compagnies d'assurance demandent désormais systématiquement si la récupération des données est envisageable avant d'autoriser le paiement d'une rançon, ce qui n'était pas une question standard il y a encore quelques années.

Payer une rançon ne garantit ni que les attaquants remettent une clé de déchiffrement fonctionnelle, ni que vos données seront récupérées intactes, ni que les données volées ne finiront pas malgré tout par ressurgir ailleurs plus tard.

L'affirmation inverse exige la même prudence, et il est utile de distinguer deux concepts :

Certaines autres personnes citées aux côtés de Maus ont soulevé un point qui mérite davantage d'attention que le débat sur l'interdiction lui-même. Gavin Millard, VP produit chez Tenable, l'a formulé sans détour : la question la plus utile est de savoir comment rendre les rançongiciels moins rentables dès le départ. La plupart des attaques exploitent encore des vulnérabilités connues et des systèmes exposés, si bien que la gestion de l'exposition apporte davantage de bénéfices à long terme que n'importe quelle politique de paiement. Spencer Young, chez Delinea, a soulevé un point connexe concernant les contrôles d'accès : limiter les autorisations permanentes afin qu'un seul identifiant volé ne puisse pas circuler librement sur un réseau réduit l'ampleur des dégâts, même lorsqu'une attaque réussit.

En matière de préparation, les organisations qui se rétablissent le plus rapidement ont généralement déjà documenté l'emplacement de leurs sauvegardes, les systèmes jugés critiques, et les personnes à contacter, avant même qu'une attaque ne survienne. Cette liste de contacts doit être conservée séparément des serveurs principaux afin de ne pas être chiffrée en même temps que le reste, et elle doit inclure un conseiller juridique, l'assureur en cybersécurité, ainsi qu'un service de récupération de données.

Résoudre le dilemme du paiement d'une demande de rançon n'est jamais simple. Considérez-le comme une décision reposant sur plusieurs facteurs, et non comme un choix moral unique : le degré de sensibilité des données, la survie ou non des sauvegardes, l'identité précise de l'attaquant, l'ampleur de l'exposition juridique, et le réalisme effectif d'une récupération de données. Faites appel à une aide extérieure le plus tôt possible, avant qu'une échéance de rançon ne vous force la main, afin de disposer d'un maximum de ces éléments plutôt que d'un minimum.

Lisez le rapport complet du Financial Times : « Surge in ransomware hacks deepens divide over whether to pay » (un abonnement peut être requis).