Enquête benchmark cybersécurité : le ransomware, principal facteur de menace

Le ransomware est une forme particulière de cybercriminalité. Le mot dit tout : une prise d'otage. L'enquête benchmark sur la cybersécurité menée par Conscia en collaboration avec le cabinet d'études de marché commercial BenchLab montre que le ransomware est considéré comme le principal facteur de menace (82%).

La menace croissante et l'évolution de la cybercriminalité

Le ransomware est une forme particulière de cybercriminalité. Le mot dit tout : une prise d'otage. L'enquête benchmark sur la cybersécurité menée par Conscia en collaboration avec le cabinet d'études de marché commercial BenchLab montre que le ransomware est considéré comme la plus grande menace (82%).

Entre-temps, plusieurs études sur le ransomware présentent les chiffres de 2021. Conclusion : le montant des rançons exigées continue d'augmenter, tout comme les paiements effectués. Cela signifie-t-il que les organisations sont à la merci des « gangs » de ransomware ? Certainement pas ! Même si nous ne les voyons pas, une grande quantité d'informations précieuses est collectée et partagée collectivement sur les tactiques et les techniques utilisées par ces « gangs ».

Nous savons ainsi que 35 nouveaux « gangs » de ransomware sont apparus en 2021. [1] Certains groupes portent des noms trompeurs comme Hello Kitty et Robinhood. En bref, il s'agit de groupes de criminels qui ont trouvé dans le ransomware un business lucratif. À tel point que le Ransomware as a Service (RaaS) est désormais proposé, par des criminels à des criminels. Leurs activités ne devraient que croître dans les années à venir.

Les faits et les chiffres en un coup d'œil

Cette croissance était déjà perceptible l'an dernier. Le nombre de victimes a augmenté de 85%, les Amériques étant la principale cible avec 60%. Suivies de la région EMEA avec 31% et de l'Asie-Pacifique avec 9%. Le montant des rançons exigées a également augmenté de 144% pour atteindre 2.2 millions de dollars. Le montant finalement payé s'élevait en moyenne à environ 500,000 dollars ; soit 78% de plus qu'en 2020. [1] Parmi les organisations touchées par un ransomware, 58% procèdent au paiement. 14% paient plus d'une fois. 41% se sont remises de l'attaque en moins d'un mois, 61% en moins de trois mois.

Selon Maarten Werff, Solution Consultant Cybersecurity chez Conscia, le fait que les rançons soient souvent payées est révélateur. « C'est une industrie de plus en plus mature et ils mènent souvent une double attaque. D'abord, ils chiffrent les données pour les rendre indisponibles. Si vous ne payez pas assez vite, ils divulguent les données volées, comme des données personnelles. L'impact business ne se limite alors pas à la paralysie de l'organisation, il touche aussi l'image. »

Décrypter la méthode

La structure d'une attaque par ransomware est souvent la même. Après s'être introduits, généralement via une attaque de phishing, les attaquants restent silencieux pendant un certain temps avant de se déplacer latéralement. Sans surprise, la majorité (67%) des répondants à l'enquête benchmark déclarent ne pas savoir combien de jours il faut pour qu'une attaque soit remarquée. Les attaquants ont tout intérêt à rester à l'intérieur le plus longtemps possible, pour voler le plus possible.

Une fois l'attaque révélée, il est souvent clair à quel « gang » on a affaire. Généralement, l'organisation criminelle dispose d'un service desk (étrange mais vrai !). Ce n'est toutefois pas le seul élément qui révèle l'identité du groupe de ransomware. Dans le monde entier, des connaissances et des informations sont partagées sur ces « gangs », sur les tactiques et les techniques qu'ils utilisent. Conscia y contribue également via le framework MITRE ATT&CK. Le savoir, c'est le pouvoir, et cela permet aux organisations attaquées de résister, même quand les criminels sont déjà à l'intérieur. Même si les organisations ne rendent généralement pas public le fait d'avoir payé (par crainte de nouvelles attaques et d'une atteinte à leur réputation), le faire peut néanmoins contribuer à la lutte contre la cybercriminalité. Selon Werff, il existe certainement des cas où cela a été fait. « Très courageux et très instructif pour les autres experts ! »

Defense-in-Depth

Une protection à 100% contre les malwares liés aux ransomwares n'est pas réaliste, c'est pourquoi nous recommandons d'adopter une approche « defence-in-depth ». Cela consiste à appliquer une sécurité en couches sous différents angles : de la mise en œuvre de mesures techniques à la création de politiques et de procédures. Avec cette approche, vous avez plus de chances de détecter et d'arrêter les malwares avant qu'ils ne causent des dommages à votre organisation.

Le point de départ de l'approche defence-in-depth est l'« assume breach », qui part du principe que tout mécanisme de sécurité finit par être compromis. Mais au lieu de jeter l'éponge, vous pouvez prendre des mesures pour en atténuer l'impact en mettant en place une détection solide qui permet d'accélérer le temps de réponse aux incidents. Ces mesures de détection et de réponse exigent toutefois des connaissances, du temps et de l'expertise de la part des équipes IT/sécurité. Nous voyons donc de nombreuses organisations externaliser (partiellement) ces activités de détection et de réponse auprès d'un fournisseur de sécurité managée. Ainsi, l'équipe de sécurité IT peut se concentrer sur le renforcement de la cyber-résilience et assurer un meilleur alignement avec les objectifs de l'organisation. Il est important de garder à l'esprit que la cybersécurité est un processus continu qui doit être constamment évalué et adapté pour suivre un paysage de menaces en perpétuelle évolution.