Selon le dernier rapport de Rubrik Zero Labs, 40 % des entreprises sondées ont été victimes d’une attaque par ransomware.
Imaginez la situation : vous travaillez sur des dossiers confidentiels et, soudain, l’écran se fige et ils disparaissent. Un message s’affiche alors :
« Oups, vos fichiers ont été chiffrés ! Si ce message apparaît, c’est que vos fichiers ne sont plus accessibles, car ils ont fait l’objet d’un chiffrement. Ne perdez pas votre de temps à essayer de récupérer vos fichiers. C’est impossible sans notre service de déchiffrement. »
S’ensuivent alors des instructions sur les modalités de paiement et le montant de la rançon. Ceci n’est pas une scène de film, mais bel et bien le message de l’attaque par le ransomware WannaCry en 2017. Cauchemardesque, n’est-ce pas ? En effet.
Pour qu’un ransomware fonctionne, les cybercriminels doivent s’introduire dans les systèmes de l’entreprise. Pour ce faire, beaucoup trompent les gens pour qu’ils leur donnent eux-mêmes accès. C’est là qu’intervient le phishing.
Le phishing constitue la première étape de nombreux incidents de ransomware. C’est l’un des moyens les plus courants utilisés par les cybercriminels pour inciter les individus à leur fournir des informations sensibles, telles que des mots de passe ou des identifiants.
Selon le Verizon Data Breach Investigations Report (DBIR)), le phishing représente l’un des quatre principaux points d’entrée dans une organisation. Une fois à l’intérieur, les acteurs cyber peuvent infecter vos systèmes avec des malwares, y compris des ransomwares.
Explorons les différences et points communs entre le phishing et le ransomware.
Qu’est-ce que le phishing ?
Les cybercriminels ont besoin d’accéder à des données et systèmes confidentiels pour déployer des logiciels malveillants. Il est difficile de concevoir qu’une personne puisse donner son mot de passe à un inconnu, mais les gens le font tout le temps. Surtout si cet « inconnu » travaille (ou semble travailler) pour votre entreprise ou un partenaire de confiance.
Lorsque les cybercriminels utilisent de faux documents (ex. : e-mails, sites web, feuilles de calcul, etc.) pour pousser les gens à donner des informations sensibles, on parle de phishing ou hameçonnage.
Ces acteurs malintentionnés se font souvent passer pour des institutions réputées et invoquent des raisons apparemment valables pour vous amener à cliquer. Ils peuvent prétendre devoir vérifier votre identité ou mettre à jour vos informations. Ils recourent souvent à l’urgence pour vous faire réagir rapidement, par exemple, en agitant la menace d’une perte d’accès à votre compte.
Comme les utilisateurs croulent sous une avalanche de messages, il leur est difficile de bien tous les examiner et de déterminer s’ils sont vraiment légitimes. Une situation parfaitement comprise par les attaquants qui utilisent l’ingénierie sociale – la manipulation des émotions et des comportements – pour prendre les gens au dépourvu et les convaincre de divulguer des informations confidentielles (mots de passe, numéros de cartes de crédit, informations de comptes bancaires, etc.).
Cependant le phishing n’implique pas toujours un utilisateur qui donne de lui-même ses informations. Les cybercriminels peuvent utiliser des messages de phishing pour infecter l’appareil d’un utilisateur avec un logiciel malveillant en l’incitant à cliquer sur un lien, à consulter un site web ou à ouvrir une pièce jointe. À partir de là, le malware s’occupe de voler des informations, le tout à l’insu de la victime.
Que les données personnelles soient révélées par l’utilisateur ou bien subtilisées à l’aide d’un malware, le phishing est la ligne de communication que le cybercriminel lance pour inciter les utilisateurs à mordre à l’hameçon.
Qu’est-ce qu’un ransomware ?
Maintenant que nous savons comment les ransomwares sont diffusés, penchons-nous sur leur mécanique.
Un ransomware est un logiciel malveillant qui chiffre des fichiers ou des données et exige le paiement d’une rançon en échange du déchiffrement. Dans certains cas, en particulier si les informations chiffrées sont de nature sensible (données médicales, adresses personnelles, numéros de sécurité sociale, etc.), le hacker menacera également de les divulguer si la rançon n’est pas payée, pour faire davantage pression. Les paiements sont généralement demandés en cryptomonnaies pour empêcher les pouvoirs judiciaires de remonter facilement aux attaquants.
Une attaque par ransomware se déroule en plusieurs étapes. La première consiste à s’introduire dans le réseau d’une entreprise, d’une manière ou d’une autre. Cette phase comporte généralement une forme de phishing, même s’il existe d’autres moyens de se procurer cet accès. La deuxième étape consiste à propager le malware dans le système de l’entreprise,
et ce souvent à l’insu de tous. Les systèmes peuvent continuer à fonctionner normalement même si le logiciel malveillant gagne du terrain. Pendant cette période, les attaquants font le point sur les systèmes et domaines auxquels ils ont accès et tentent d’accéder à d’autres parties de l’environnement.
La troisième étape concerne les tentatives d’identification et d’exfiltration de données précieuses. Identifiants de connexion, informations personnelles sur les clients ou les patients, propriété intellectuelle… Tous ces éléments sont de belles prises. Plus les données sont sensibles, plus elles ont de la valeur pour l’entreprise, et donc pour les attaquants.
Une fois que les cybercriminels ont trouvé ce qu’ils pensent être de nature critique – ou qu’ils sentent être sur le point de se faire prendre – ils passent au chiffrement des données pour les rendre inaccessibles.
Lors de la quatrième et dernière étape, les attaquants informent la cible de l’infection et exigent un paiement exorbitant. La demande de rançon contient généralement des instructions sur les modalités de paiement en échange d’une clé de déchiffrement
Le problème c’est que s’acquitter de la rançon ne garantit pas forcément aux entreprises la récupération de leurs données. Selon Rubrik Zero Labs, 46 % des organisations ont récupéré la moitié ou moins de leurs données via les outils de déchiffrement fournis par les hackers. Et seuls 16 % ont remis la main sur l’ensemble de leurs données.
Comparaison entre le ransomware et le phishing
Le tableau ci-dessous présente les différences entre le ransomware et le phishing.
| RANSOMWARE | PHISHING | |
Motif ? | Extorquer de l’argent à la victime | Obtenir des informations sensibles (mots de passe, numéros de carte de crédit…) |
Quoi ? | Logiciels malveillants qui chiffrent les fichiers ou les systèmes | L’ingénierie sociale qui incite les victimes à révéler des informations sensibles ou à autoriser l’accès à des systèmes privés |
Impact ? | Peut causer des dégâts importants aux fichiers ou aux systèmes de la victime Peut entraîner des temps d’arrêt et une perte de productivité ou de réputation Peut coûter très cher | Peut être utilisé pour voler des identifiants Peut être utilisé pour diffuser des logiciels malveillants, y compris des ransomwares |
À quelle fréquence ? | 40 % des entreprises interrogées par Rubrik Zero Labs ont déclaré avoir subi une attaque par ransomware. | 36 % de toutes les compromissions de données impliquent le phishing. |
Les clés pour se défendre contre le phishing et les ransomwares
Savoir repérer le phishing sauvage peut grandement contribuer à prévenir une attaque, y compris une attaque par ransomware. Les e-mails de phishing contiennent souvent des indices qui doivent éveiller vos soupçons :
Demande urgente de cliquer sur un lien ou d’ouvrir un document
Fautes d’orthographe ou de syntaxe
Le lien dans l’e-mail ne correspond pas à l’adresse que vous voyez lorsque vous survolez le lien
Très souvent, le message de phishing semble provenir d’une personne que vous connaissez. Si vous pensez que l’e-mail que vous lisez est frauduleux, n’hésitez pas à vérifier séparément auprès de la personne ou de l’entreprise concernée. N’oubliez pas de signaler la tentative de phishing à votre équipe IT ou de sécurité.
La protection multicouche est un autre moyen de se protéger et de protéger son entreprise contre les attaques. Utilisez des mots de passe robustes, changez-les lorsqu’on vous le demande et utilisez l’authentification multifacteur (MFA). Cependant, pas même les meilleurs outils, processus et pratiques ne peuvent vous garantir une protection à 100 %. Même armées de la meilleure défense, les entreprises restent vulnérables aux logiciels malveillants, y compris les ransomwares.
D’où l’importance de disposer d’une solution de sécurité des données pour pouvoir vous relever le plus rapidement possible en cas d’attaque par ransomware.
Une telle solution devrait offrir des sauvegardes immuables, impossibles à modifier, chiffrer ou supprimer par quiconque, y compris un acteur du ransomware. Sérénité garantie puisque vous avez accès à une copie fiable de vos données.
L’automatisation des sauvegardes constitue une autre fonctionnalité incontournable, garante de la mise à jour régulière de vos données de backup, avec une intervention manuelle limitée.
Il est aussi essentiel de pouvoir identifier et limiter les personnes ayant accès aux données sensibles, afin de réduire le risque d’exposition aux données.
Enfin, la rapidité de l’investigation et de la restauration relève de l’impératif pour vous aider à vite faire la lumière sur l’attaque et à récupérer vos données. Ainsi, vous minimisez les temps d’arrêt et pouvez relancer vos activités le plus tôt possible.
Rubrik offre ces fonctionnalités et bien plus encore. Cliquez ici pour en savoir plus sur Rubrik.