Attaque
Rançongiciel
Aussi appeléRansomwareLogiciel de rançon
En résumé
Un logiciel malveillant qui chiffre les données et systèmes d’une organisation pour en interdire l’usage, puis exige un paiement en échange de leur restitution. Dans la forme dite de double extorsion, les données sont aussi volées au préalable et leur publication est brandie comme menace.
Rançongiciel, en détail
Le chiffrement est la dernière étape visible d’une intrusion souvent bien plus longue. Les attaquants obtiennent un accès initial (identifiants volés, service exposé non corrigé, courriel piégé), puis explorent le réseau, élèvent leurs privilèges, neutralisent les outils de sécurité, repèrent et suppriment ou chiffrent les sauvegardes, et déploient enfin le chiffrement de façon simultanée, souvent un week-end ou une veille de fête, pour maximiser l’effet.
La double extorsion ajoute une seconde pression : même si les sauvegardes permettent de restaurer, les données volées peuvent être publiées ou revendues. La décision de payer ne règle donc pas la question de la confidentialité, et rien n’assure que les données soient détruites ni que la clé fournie restaure tout. Les autorités déconseillent de payer, et toute décision doit être prise avec conseil juridique et assureur.
La préparation porte sur trois axes : empêcher l’entrée (correction rapide des accès exposés, authentification multifacteur : définition), ralentir la progression (segmentation, comptes à privilèges protégés, EDR : définition), et assurer la reprise (sauvegardes déconnectées ou immuables, restauration testée, plan de gestion de crise connu à l’avance). Un exercice de restauration réel vaut mieux que la certitude théorique que les sauvegardes fonctionnent.
Qu’est-ce que cela change pour vous ?
Le coût d’un rançongiciel se mesure surtout en jours d’activité arrêtée et en temps de reconstruction, pas dans la rançon. La question à poser en amont est : en combien de temps savons-nous restaurer, et l’avons-nous déjà fait en conditions réelles ?
Exemple illustratif (fictif)
Supposons une entreprise industrielle dont les sauvegardes sont toutes accessibles depuis le même annuaire que la production. Devenus administrateurs, les attaquants peuvent supprimer les sauvegardes avant le chiffrement, et la reprise doit alors se faire à partir de copies anciennes.
La confusion fréquente
Croire qu’avoir des sauvegardes règle le sujet. Elles ne protègent ni contre la fuite des données volées, ni contre leur destruction si elles sont accessibles avec les mêmes identifiants que la production.
Comment le détecter chez vous ?
- Réponse à incident : la prestationComprendre, contenir, puis remettre en service, dans cet ordre.
- Sauvegardes et PCA/PRA : la prestationPouvoir repartir sans payer, avec des sauvegardes que l’attaquant n’a pas pu chiffrer.
Aller plus loin
- ArticleSauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?La règle 3-2-1 reste une base, mais les rançongiciels visent les sauvegardes. Copie immuable, comptes séparés et test de restauration : ce qu’il faut en plus.
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- AttaqueExfiltration de données : définitionLe transfert non autorisé de données depuis un système d’information vers un emplacement contrôlé par un attaquant.
- AttaqueHameçonnage : définitionUne technique de fraude qui se fait passer pour un tiers de confiance, par courriel, SMS, appel ou site factice, afin d’amener la victime à révéler des identifiants, ouvrir une pièce jointe piégée ou effectuer une action.
- DéfenseSegmentation réseau : définitionLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites.
- DéfenseEDR et XDR : définitionL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance.
- DéfensePlan de réponse à incident : définitionLe document, testé par des exercices, qui décrit qui fait quoi quand un incident de sécurité survient : qualification, décisions d’isolement, préservation des preuves, communication, notification aux autorités, reprise d’activité.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début