Payer ou ne pas payer une rançon ? Comment faire face au dilemme

Les rançongiciels font la une et sèment la peur dans l’esprit des dirigeants confrontés à des arrêts d’activité paralysants et à des cauchemars en matière de relations publiques. Pourtant, trop nombreux sont les dirigeants prêts à payer une rançon sans envisager d’autres moyens de reprendre leurs activités, et qui accordent une confiance excessive à la couverture d’assurance et à l’honnêteté des cartels criminels. Le paiement d’une rançon ne permet pas toujours de récupérer ses données.

La question est donc la suivante : en supposant que vous le puissiez, devriez-vous payer la rançon ? Et, peut-être plus important encore, pourrez-vous justifier cette décision auprès de votre conseil d’administration, de votre assureur et des forces de l’ordre ?

La réponse ne tient pas facilement dans une réponse oui ou non conventionnelle. La réponse la plus proche est peut-être : cela dépend. L’idée est que le paiement d’une rançon est souvent le seul choix possible, mais qu’il ne devrait pas être le premier.

La cyberassurance et les sauvegardes de données ont apporté une solution partielle. Pourtant, la majorité des polices d’assurance, lorsqu’elles donnent lieu à un versement, engendrent des pertes importantes pour l’assureur. Cela signifie que les primes vont augmenter, que la couverture va diminuer et que davantage de mesures de contrôle inspirées du principe du « bon conducteur » seront appliquées. De fait, le renouvellement des assurances se mesure désormais en mois, et non plus en jours.

Par ailleurs, les sauvegardes conçues à l’époque de la continuité d’activité ne l’ont pas été pour résister à l’espionnage intentionnel, une tactique courante des gangs de rançongiciels. Il faut adopter une approche qui ne se contente pas de « réparer après coup ».

À lire aussi : The Successful CISO: How to Build Stakeholder Trust

Éviter les demandes de rançon liées aux rançongiciels

Lorsqu’on vous demande comment éviter au mieux de payer une rançon, la réponse consiste à détecter la cyberattaque dès ses premiers stades. Les criminels emploient des tactiques, techniques et procédures courantes, qui fournissent aux experts en sécurité une piste à suivre, et peuvent être repérés rapidement grâce à une détection et une réponse rapides.

Plus vous identifiez rapidement les premiers stades de l’attaque (et les indicateurs sont nombreux), plus vous avez de chances d’empêcher votre adversaire d’établir une connexion persistante conduisant au déploiement généralisé d’un rançongiciel.

En supposant que vous ne preniez pas les criminels sur le fait,  une récupération rapide est préférable au paiement. Grâce à des pratiques résilientes de continuité d’activité et à des programmes de reprise après sinistre en place, vous pouvez restaurer les systèmes tout en limitant les interruptions de service prolongées. Cela ne signifie pas que les criminels ne reviendront pas, mais le premier point est pour vous. Et si les criminels peuvent mettre vos activités à l’arrêt en quelques minutes, il vous faudra peut-être des semaines ou des mois pour reprendre un fonctionnement normal.

La majorité des entreprises qui paient des rançons pensaient être préparées. Elles ne se considéraient pas comme des cibles. Elles ont minimisé le risque ou surestimé leur capacité à repousser l’assaut. Ne faites pas comme elles.

Avant de payer une rançon, faites vos devoirs

Le paysage juridique des attaques par rançongiciel et des fuites de données a considérablement changé au cours des dernières années. Autrefois protégés par le secret professionnel entre l’avocat et son client, les documents liés à la réponse à incident, les décisions des dirigeants et les exclusions budgétaires potentiellement dommageables peuvent entraîner des poursuites coûteuses ou le rejet de demandes d’indemnisation.

De nombreuses agences gouvernementales promeuvent par ailleurs une doctrine du « ne payez pas », assortie de restrictions, voire de poursuites, si vous effectuez un paiement à un terroriste ou à un groupe cybercriminel connu. Vous devez donc faire vos devoirs avant de décider de payer.

Face à cette décision, personne ne la prendra à votre place. Personne n’indemnisera votre décision ni n’atténuera les responsabilités qui en découlent – lesquelles ne sont limitées que par la créativité des avocats du plaignant. Vous devez faire appel à des experts capables de vous aider à planifier et à réagir à un incident majeur tel qu’une attaque par rançongiciel. Connaissez vos obligations.

À lire aussi : Secure Access Service Edge: Big Benefits, Big Challenges

Avant de payer une rançon : les questions difficiles

Je le dis souvent : vous avez besoin d’informations précises pour prendre des décisions éclairées, conçues pour minimiser tout impact négatif.

Si vous êtes confronté à la décision intenable de payer une rançon, posez-vous les questions suivantes avant d’agir :

1. Pouvons-nous récupérer nos données sans payer la rançon ?
2. Le paiement de la rançon accélérera-t-il la récupération ?
3. Le paiement de la rançon est-il la seule option viable ?
4. Pouvons-nous payer la rançon sans risquer de sanction juridique ?
5. Devons-nous contacter les forces de l’ordre, et cela nous aidera-t-il si nous enfreignons une sanction ?
6. Notre assureur couvrira-t-il la rançon ?
7. Devons-nous informer nos clients, partenaires ou employés ?
8. Sommes-nous tenus d’informer les autorités de régulation ou les autorités de l’État ?

Lorsque vous répondez à ces questions, comme pour la question du paiement de la rançon elle-même, il ne s’agit pas d’un exercice consistant à répondre oui ou non de manière automatique. N’oubliez pas, bien sûr, que vous devrez assumer vos réponses et éventuellement défendre vos décisions devant un tribunal.

À lire aussi : Best Website Scanners 

Prévenir les rançongiciels 

Lors d’un événement consacré à la cybersécurité, j’ai eu le privilège de rencontrer Bruce Mathison, qui était un quarterback vedette des Buffalo Bills dans les années 1980. Alors que nous échangions un exemplaire dédicacé de mon livre contre un exemplaire dédicacé de sa carte de rookie, il m’a donné le meilleur conseil qui soit pour gérer des incidents indépendants de notre volonté.

Il a dit : « On ne s’entraîne pas jusqu’à réussir. On s’entraîne jusqu’à ne plus se tromper. » Un conseil avisé de la part d’un vétéran des terrains de football américain.

Alors, comment mettre en place des contrôles et des programmes – des méthodes pour s’entraîner – capables de détecter une attaque par rançongiciel et d’y répondre ? Des contrôles de sécurité élémentaires réduisent considérablement le risque d’une attaque par rançongiciel perturbant l’activité et permettent une récupération rapide qui ne repose pas sur le paiement de frais d’extorsion pour obtenir des clés de déchiffrement (ces clés ne fonctionnent pas toujours, mais c’est un autre sujet).

Voici les contrôles de base pour vos deux principaux groupes :

Pour les employés

1. Exigez une authentification multifacteur pour accéder aux systèmes de l’entreprise.
2. Protégez les connexions à distance à l’aide d’un Virtual Private Network (VPN) ou d’un service équivalent.
3. Imposez une formation et des tests de sensibilisation des utilisateurs couvrant les points suivants :
4. • Des leurres d’hameçonnage adaptés aux fonctions, et non des exemples génériques.
   • Le téléchargement de fichiers depuis des sources non fiables.
   • La vérification des URL et des extensions de fichiers afin de garantir que le contenu est légitime et conforme à l’intention.
   • L’interdiction des versions gratuites des applications.
   • Les exigences fondées sur la conformité.

Pour l’administration

1. Appliquez le principe du moindre privilège aux employés et supprimez les droits d’administration lorsque cela est possible.
2. Désactivez le Remote Desktop Protocol (RDP) lorsqu’il n’est pas utilisé.
3. Segmentez les systèmes du réseau.
4. Appliquez régulièrement les correctifs aux systèmes en vous fondant sur une liste priorisée des systèmes critiques.
5. Sauvegardez tous les fichiers et systèmes critiques au moyen d’architectures segmentées ou hors ligne, et testez régulièrement les services de basculement et de récupération.
6. Limitez l’accès administratif aux systèmes critiques à l’aide de Privileged Access Management (PAM) ou de systèmes similaires.
7. Déployez des agents Endpoint Detection and Response (EDR) sur les contrôleurs de domaine (DC), les systèmes de journalisation centralisée, les annuaires Active Directory (AD) et les autres systèmes critiques fréquemment ciblés par les criminels.

Même si les acteurs malveillants continueront probablement d’exploiter de nouveaux rançongiciels pour cibler les vulnérabilités, vous pouvez prendre certaines mesures pour renforcer les murs de votre forteresse. Et si ces murs sont franchis, n’oubliez pas de réfléchir soigneusement aux prochaines étapes.

Même si payer la rançon peut sembler être la manière la plus rapide et la plus simple d’aller de l’avant, les enjeux sont trop importants pour ne pas vous poser d’abord quelques questions essentielles.

À lire aussi : Tech Predictions for 2022: Cloud, Data, Cybersecurity, AI and More

À propos de l’auteur :

Mark Sangster, Vice President and Industry Security Strategist, eSentire