Ransomware, voilà les professionnels !

C’est le PDG de Colonial Pipeline, dont le groupe d’énergie transporte près de la moitié des produits pétroliers américains qui l’a déclaré dans le Wall Street Journal soulignant que c’est le moyen le plus efficace pour faire redémarrer les opérations. Les opérations informatiques de remédiation IT dureront des mois et coûteront plusieurs dizaines de millions de dollars.

A chaque fois que j’écris dans cette rubrique de Smart DSI, j’ai l’impression de monter d’une marche sur l’échelle de la dégradation de la protection des flux numériques et de l’Internet et devant la dégradation des comportements dans la cybersécurité.

Et il est vrai que payer les rançons, l’officialiser sans retenue, ne fait que pousser à la multiplication de ces pratiques et de ces bandits de grand chemin des temps actuels !

Les entreprises paient (trop) facilement …

Selon une étude de l’éditeur Crowdstrike, la France se situe parmi les trois premiers pays au monde pour les attaques de rançon.

Pourquoi ? Pas uniquement à cause du fait que nos entreprises, notamment les moyennes et les ETI ne prennent pas en compte assez sérieusement avec les investissements nécessaires, les risques et failles de leurs informatiques, mais aussi parce qu’en cas d’attaque, elles payent (trop) facilement. Le sujet est public. Il a été mis en évidence par la commission du Sénat ainsi que par l’ANSSI.

Une estimation fait apparaitre un taux de paiement de 20% des demandes de paiement en provenance des entreprises françaises. A noter qu’en France, aucun cadre législatif n’interdit de payer des rançons des cyberattaques.

Et c’est souvent la double peine : l’entreprise paie, mais ne retrouve pas ses données.

La cyber-assurance

A ce sinistre douloureux, arrive en plus la composante de la cyber assurance. De plus en plus d’entreprises contractualisent cette option. Mais comme le directeur général de l’ANSSI Guillaume Poupard le soulignait récemment, certains assureurs poussent les victimes à payer la rançon. L’assureur préfère cela que de rembourser les dégâts, beaucoup plus coûteux, causés par la perte de données et la perte d’activité engendrée.

Et Guillaume Poupard va encore plus loin en pointant du doigt certains intermédiaires qui font un business du paiement des rançons et vont se rémunérer sur leur capacité à négocier la baisse des rançons. Honteux et malsain !

Il faudra que les cyber assureurs excluent de leur charte ou leur contrat, les intermédiaires et même déconseillent le paiement des rançons par leurs clients. Et en favorisant financièrement, à travers une notation objective et étayée par des critères techniques et organisationnels, les entreprises qui investissent dans la sécurité de leur système d’information.

Les mixeurs de cryptomonnaies anonymisent les transactions

Les rançons étant payées en cryptomonnaies, ce sont des véritables ou officielles lessiveuses qui sont employées pour faire perdre la trace de destinataires des fonds. C’est ce qu’on appelle les mixeurs de cryptomonnaies qui permettent d’anonymiser des transactions réalisées sur Bitcoin ou autres cryptocoins. Le mixeur, appelé le scrambler, permet l’anonymat des transactions en coupant les connexions entre le portefeuille électronique d’origine et celui du destinataire. Habituellement, l’action est réalisée en plaçant les fonds des rançons payées dans un pool contenant beaucoup de cryptomonnaies. Un brassage est ensuite fait avant que les fonds soient envoyés vers un portefeuille cible choisi par l’hacker.

Payer c’est aussi alimenter par des circuits mafieux de perte de trace et de blanchiment des groupes mafieux, des pays terroristes telles que la Corée du Nord ou la Russie. Ce qui pour certains pays de droit, est un délit de financement du terrorisme.

Le monde de la cyberdélinquance s’est professionnalisé

Ce qu’il faut comprendre en fait, est que le monde de la cyberdélinquance, est passé à une autre échelle de professionnalisation. A l’instar de la profession légitime organisée en éditeurs/constructeurs, intégrateurs/sociétés de conseils et utilisateurs finaux, il est dorénavant constitué d’occultes mais de vrais éditeurs de solutions de ransomware et malware en mode SaaS, sorte de marque blanche, qui sont commercialisés et propagés par des groupes d’hackeurs motivés par l’argent, par l’idéologie, par le terrorisme d’Etat, etc. L’image du jeune hacker solitaire, brillant et passionné dans sa chambre d’étudiant est depuis longtemps aux oubliettes.

Ces hackeurs apparaissent, disparaissent et se transforment constamment. Darkside celui qui début mai a empoché la belle rançon payée par le PDG de Colonial Pipeline, a totalement disparu. Mais déjà en juin, des experts annoncent son retour sous un autre nom !

Smart DSI  juin 2021