Ransomware.

Ce qu'est réellement un ransomware, et pourquoi le chiffrement est la partie facile

Un ransomware est un logiciel malveillant qui s'empare de quelque chose dont vous avez besoin et vous fait payer pour le récupérer. Le mécanisme classique est le chiffrement : le logiciel brouille les fichiers sur les systèmes qu'il atteint et propose la clé de déchiffrement en échange d'un paiement, généralement en cryptomonnaie. Mais traiter le ransomware comme un problème de chiffrement passe à côté de ce qui le rend si destructeur. Le chiffrement est le symptôme visible d'une intrusion qui dure souvent depuis des jours ou des semaines.

Avant qu'un seul fichier ne soit verrouillé, un attaquant a généralement obtenu un premier accès, élevé ses privilèges, s'est déplacé latéralement sur le réseau, a localisé les systèmes qui comptent et, fréquemment, a exfiltré les données. Le verrouillage final n'est que le moment où l'opérateur décide de convertir cet accès en argent.

Cette séquence explique pourquoi les pires incidents de ransomware ne concernent plus seulement des fichiers chiffrés. Les opérateurs ont compris qu'une victime disposant de bonnes sauvegardes pouvait refuser de payer et restaurer ; ils ont donc ajouté un second levier : voler d'abord les données, puis menacer de les publier. C'est la double extorsion, et elle change entièrement le calcul.

Même une organisation qui restaure proprement à partir d'une sauvegarde reste confrontée à la perspective de voir des données confidentielles, des dossiers clients ou des contrats divulgués sur un site public. Certains groupes vont plus loin avec des pressions supplémentaires, en contactant directement les clients ou les régulateurs, ou en ajoutant une attaque par déni de service. La négociation, lorsqu'il y en a une, ne porte pas vraiment sur une clé de déchiffrement. Elle porte sur le fait que les données volées restent ou non confidentielles.

Comment il pénètre, et pourquoi le régulateur s'en préoccupe désormais

La voie d'entrée est rarement exotique. Les vecteurs dominants sont les plus banals : un e-mail de phishing qui distribue un loader ou collecte des identifiants, un service exposé sur Internet laissé sans protection ou non corrigé, un mot de passe d'accès distant faible ou réutilisé, et la chaîne d'approvisionnement, où un fournisseur ou un logiciel de confiance devient le chemin vers votre réseau. Rien de tout cela ne requiert un exploit inédit. Il suffit d'une porte ouverte, ce qui explique pourquoi la gestion de l'exposition et l'hygiène des identités réduisent davantage le risque de ransomware que n'importe quel produit isolé.

Un incident de ransomware est désormais un événement réglementaire, et non plus seulement technique. Parce que l'attaque implique presque toujours un vol de données, elle déclenche généralement les obligations relatives aux violations de données à caractère personnel au titre du GDPR, ce qui suppose une évaluation de notification à l'autorité de contrôle et, dans les cas graves, aux personnes concernées.

Les opérateurs de services essentiels et importants sont soumis à des obligations de notification d'incident qui se chevauchent au titre de la directive NIS2. Des agences nationales telles que l'ANSSI et l'ENISA publient des recommandations précisément parce que le même mode opératoire continue de fonctionner. La conséquence pratique pour une fonction risque est que le plan de réponse doit inclure le volet juridique et de notification dès la première heure, mené en parallèle de la reprise technique, et non rapporté après coup.

L'issue se décide avant l'attaque, pas pendant la note de rançon

L'idée la plus importante pour les praticiens est que le résultat d'un incident de ransomware est largement déterminé par le travail réalisé bien avant qu'il ne survienne. Une organisation capable de restaurer rapidement à partir de sauvegardes propres, testées, hors ligne ou immuables peut refuser de payer pour une clé. Celle dont les sauvegardes étaient accessibles depuis le même réseau, et donc chiffrées en même temps que tout le reste, n'a pas cette option.

La segmentation du réseau limite la distance qu'une intrusion peut parcourir avant d'atteindre les systèmes qui comptent. Une authentification forte sur l'accès distant et la messagerie ferme les portes d'entrée les plus courantes. Une détection qui repère les déplacements latéraux gagne les heures qui séparent un incident contenu d'un événement de chiffrement à l'échelle de l'entreprise.

Ce que font réellement les équipes compétentes, dès lors, c'est investir dans la posture en amont plutôt que dans l'art de la négociation. Elles conservent des sauvegardes isolées du domaine de production, chiffrées au repos, et restaurées selon un calendrier afin que la reprise soit prouvée plutôt que supposée. Elles segmentent les réseaux pour qu'un poste de travail compromis ne puisse pas atteindre sans entrave le serveur de sauvegarde ou les contrôleurs de domaine.

Elles maintiennent un plan de réponse aux incidents qui nomme les rôles, les décideurs, l'expertise forensique externe et le conseil juridique, ainsi que le circuit de notification, et elles le répètent. C'est là que le ransomware se relie directement à la gestion de la continuité d'activité et à la reprise après sinistre : le temps de reprise et le point de reprise qu'une organisation peut réellement atteindre, testés face à un scénario réaliste, font la différence entre une mauvaise semaine et une crise existentielle.