Ransomware et extorsion

Module 1: Pourquoi vous êtes une cible · Temps de lecture : 10 minutes

Objectif pédagogique : après cette leçon, vous pourrez expliquer comment un ransomware s'introduit, ce qu'est la double extorsion et quelles mesures limitent les dégâts.
Notions clés : ransomware, chiffrement, double extorsion, accès initial, déplacement latéral, rançon, décrypteur (No More Ransom)

Ce qu'est un ransomware

Un ransomware est un logiciel malveillant qui rend vos fichiers ou vos systèmes inutilisables puis exige une rançon. Le mot vient de l'anglais ransom : rançon. Cela se fait le plus souvent par chiffrement : le logiciel transforme vos fichiers en données illisibles, avec une clé que seul l'attaquant possède. Les fichiers sont toujours visibles, souvent avec une extension étrange ajoutée, mais vous ne pouvez plus les ouvrir. À l'écran ou dans chaque dossier apparaît un message : payez sous quelques jours, sinon tout est perdu.

Le chiffrement en lui-même n'a rien de malveillant. C'est la même technique qui protège votre ordinateur portable en cas de vol (leçon 5.2) et qui sécurise votre connexion à un site web. La différence réside dans qui détient la clé. Un chiffrement correctement mis en œuvre ne peut pas être cassé. C'est pourquoi dire « on va bien trouver un moyen de déchiffrer ça » n'est presque jamais une option, sauf si les créateurs du ransomware ont commis une erreur.

Selon le NCSC néerlandais, un ransomware touche non seulement les fichiers, mais aussi les systèmes et les sauvegardes. Ce dernier point est l'élément le plus important de cette leçon.

Comment il s'introduit

Une attaque par ransomware n'est pas un instant isolé, mais une série d'étapes. Elle commence par l'accès initial : le premier pied dans la porte. Les voies les plus courantes :

Après le premier accès, un attaquant attend souvent. Il observe les lieux, recherche les comptes d'administrateur et se déplace d'un ordinateur à l'autre. Cela s'appelle le déplacement latéral. Il recherche surtout deux choses : où se trouvent les données importantes et où se trouvent les sauvegardes. Ce n'est qu'une fois qu'il a trouvé les deux qu'il frappe, souvent la nuit ou le week-end, quand personne ne le remarque.

Pourquoi une sauvegarde connectée ne suffit pas

De nombreuses petites entreprises disposent d'une sauvegarde : un disque externe toujours branché sur l'ordinateur, ou un disque réseau (NAS) sur lequel une copie est effectuée chaque nuit. C'est mieux que rien en cas de panne de disque dur. Contre un ransomware, cela ne suffit souvent pas.

La raison est simple. Un ransomware chiffre tout ce à quoi l'ordinateur infecté ou le compte compromis peut accéder. Si le disque de sauvegarde est branché sur l'ordinateur, le ransomware peut l'atteindre. Si la sauvegarde se trouve sur un disque réseau auquel vous accédez avec le même compte, le ransomware peut l'atteindre. Un attaquant qui a pris le temps d'observer les lieux supprime parfois même délibérément les sauvegardes avant de chiffrer les données.

Il en va de même pour la synchronisation. Un dossier synchronisé automatiquement avec le cloud synchronise aussi la version chiffrée. Il est parfois encore possible de revenir à une version antérieure d'un fichier, mais cela dépend du service et de la durée pendant laquelle il conserve les versions.

Une sauvegarde qui survit à un ransomware possède au moins une copie que l'attaquant ne peut ni atteindre ni modifier : un disque posé dans un tiroir, ou une sauvegarde chez un prestataire distinct avec une identification propre que vous n'utilisez pas sur votre ordinateur de travail, ou un stockage qui rend la modification et la suppression techniquement impossibles pendant un certain temps. Vous mettrez cela en place étape par étape dans le module 6. Une sauvegarde que votre hébergeur réalise sur des serveurs distincts, indépendants de votre offre, constitue déjà une copie à distance pour votre site web et votre messagerie. Vérifiez tout de même combien de temps elle est conservée et qui peut la supprimer.

Double extorsion

Autrefois, une bonne sauvegarde était la réponse complète à un ransomware : on restaurait et c'était réglé. Les attaquants se sont adaptés. Avec la double extorsion, ils volent d'abord une copie de vos données avant de les chiffrer. Il y a alors deux menaces :

1. Payez, sinon vous ne récupérez pas vos fichiers.
2. Payez, sinon nous publions vos données : fichiers clients, devis, données salariales, boîtes mail.

Une sauvegarde aide contre la première menace, pas contre la seconde. Le NCSC néerlandais avertit également que les attaquants menacent parfois de publier les données volées. De plus, le vol de données à caractère personnel constitue en soi une violation de données, avec une obligation de notification à la CNIL (leçon 8.2), indépendamment de la question de savoir si vous payez ou non.

Il arrive qu'un attaquant aille encore plus loin et contacte directement vos clients ou partenaires commerciaux pour leur signaler que leurs données ont été dérobées chez vous. La pression ne pèse alors plus seulement sur vous, mais aussi sur votre réputation.

Payer ou non ?

Le conseil des autorités publiques et de la police est sans équivoque : il vaut mieux ne pas payer. No More Ransom, l'initiative portée notamment par Europol et la police néerlandaise, l'exprime ainsi : payer une rançon n'offre aucune garantie. Les raisons sont nombreuses :

• Vous n'avez aucune garantie de recevoir une clé fonctionnelle, ni que le déchiffrement réussira.
• Vous n'avez aucune garantie que les données volées seront ensuite réellement supprimées.
• Vous confirmez que votre entreprise paie, ce qui vous rend plus attractif pour une prochaine attaque.
• Vous financez les prochaines attaques contre d'autres victimes.
• La porte d'entrée n'est pas encore refermée. Sans enquête, cela peut se reproduire.

Le NCSC néerlandais considère la restauration à partir d'une sauvegarde comme la solution la plus fiable. Si cela échoue, vérifiez s'il existe un décrypteur : un programme gratuit capable de déchiffrer les fichiers d'une famille donnée de ransomware, parce que des chercheurs ont trouvé une faille dans cette famille ou saisi des clés. No More Ransom (https://www.nomoreransom.org) rassemble ces décrypteurs et vous aide à déterminer de quel ransomware il s'agit. Il n'existe pas de solution pour chaque famille, loin de là, mais vérifier ne coûte rien.

Portez plainte auprès de la police ou de la gendarmerie dans tous les cas, et vérifiez si vous avez une obligation de notification : auprès de la CNIL si des données à caractère personnel ont été touchées, auprès de l'autorité compétente (en France l'ANSSI) si vous relevez de la transposition française de NIS 2 (leçon 9.1), et parfois auprès d'un donneur d'ordre selon votre contrat.

Ce qui limite les dégâts

Vous pouvez réduire le risque d'attaque et limiter les dégâts si elle survient malgré tout. Un aperçu, avec la leçon où l'approfondir :

1. Mettre à jour, en particulier tout ce qui est exposé à internet : VPN, routeur, NAS, site web (leçon 5.1).
2. Authentification à deux facteurs (2FA) sur la messagerie, l'administration à distance et tous les comptes d'administrateur (leçons 2.3 et 2.4).
3. Droits minimaux : ne pas travailler au quotidien avec un compte d'administrateur, et ne pas donner à tout le monde l'accès à tout (leçon 7.1).
4. Une sauvegarde hors de portée de vos comptes habituels, testée régulièrement pour vérifier que la restauration fonctionne (module 6).
5. Une fiche d'incident pour que chacun sache quoi faire : débrancher le réseau, ne pas éteindre sans réfléchir, appeler (leçons 8.1 et 8.3).
6. Sensibilisation : un collègue qui signale immédiatement avoir ouvert une pièce jointe suspecte vous fait gagner des heures d'avance (leçon 9.2).

En pratique : voici à quoi cela ressemble

Un exemple, composé à partir de situations fréquentes. Une entreprise d'installation de douze salariés disposait d'un serveur VPN pour accéder aux fichiers depuis le domicile. Le micrologiciel n'avait pas été mis à jour depuis un an et demi. Par une faille connue, un attaquant s'est introduit, a observé les lieux pendant une semaine et a trouvé le compte d'administrateur du disque réseau. Un samedi soir, les ordinateurs, le disque réseau et le disque USB de sauvegarde qui y était branché ont été chiffrés. Ce qui a survécu : la messagerie et le site web, hébergés chez un prestataire avec sa propre sauvegarde, ainsi qu'une ancienne copie de la comptabilité sur un disque que le comptable gardait chez lui. Grâce à cela, l'entreprise a pu recommencer à facturer après quelques jours. Les devis et les plans des derniers mois avaient disparu.

Une mise à jour et un simple disque dans un tiroir auraient fait toute la différence entre quelques jours et quelques mois.

Résumé

• Un ransomware chiffre les fichiers, les systèmes et les sauvegardes et exige une rançon ; un chiffrement correctement mis en œuvre ne peut pas être cassé.
• Un ransomware s'introduit via le phishing, des mots de passe volés, des systèmes non mis à jour exposés à internet, l'administration à distance ou un fournisseur ; l'attaquant observe souvent les lieux avant d'agir.
• Une sauvegarde branchée sur l'ordinateur ou accessible avec le même compte est souvent chiffrée elle aussi.
• En cas de double extorsion, les données sont d'abord volées ; une sauvegarde ne protège alors pas contre la menace de publication, et il s'agit d'une violation de données.
• Il vaut mieux ne pas payer ; restaurez à partir d'une sauvegarde, consultez No More Ransom pour un éventuel décrypteur et portez plainte.

Quiz

Exercice

Exercice D1.3 : Et si cela arrivait cette nuit ? Passez en revue, pour votre propre entreprise, ce qu'un ransomware pourrait chiffrer cette nuit. Notez où se trouvent vos sauvegardes, si elles sont accessibles depuis un ordinateur de travail ordinaire ou avec un compte ordinaire, et quels systèmes sont exposés à internet. Répondez ensuite aux questions de réflexion.

Pour aller plus loin

Les étapes décrites dans les articles de WebOké valent pour l'environnement de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• WebOké Backups : consulter, restaurer ou télécharger une sauvegarde
• Guide DirectAdmin 16.1: Quelles sauvegardes propose WebOké
• Cybermalveillance.gouv.fr, assistance aux victimes de ransomware : https://www.cybermalveillance.gouv.fr/
• No More Ransom : https://www.nomoreransom.org/fr/index.html