Ce qu'est un rançongiciel — et ce que les attaquants espèrent vraiment
Un rançongiciel — ransomware en anglais — est un programme malveillant dont le but est d'obtenir de la victime le paiement d'une rançon, contre la promesse de retrouver l'accès à ses données, rendues inaccessibles par des mécanismes de chiffrement. L'attaquant adresse ensuite à la victime un message lui proposant, contre paiement, de lui fournir le moyen de déchiffrer ses données.
Ce modèle est lucratif pour les cybercriminels précisément parce qu'il fonctionne : les organisations victimes, confrontées à un arrêt brutal de leur activité, cèdent parfois à la pression. Le montant des rançons demandées peuvent être très élevées.
Pourquoi payer ne résout rien — et aggrave la situation
Le paiement ne garantit absolument pas la récupération des données
Payer la rançon ne garantit pas l'obtention d'un moyen de déchiffrement permettant de recouvrer l'accè à ses données. Et dans l'hypothèse où la clé de déchiffrement serait fournie, l'expérience montre que celle-ci ne fonctionnent souvent pas ou ne permettent pas de reconstituer l'intégralité des fichiers chiffrés. En particulier, les fichiers modifiés par une application et chiffrés dans le même temps par le rançongiciel ont de fortes chances d'être corrompus — comme c'est souvent le cas des fichiers de bases de données. Autrement dit, payer risque de ne rien changer à la perte effective des données.
Payer finance et encourage les attaquants
Le paiement de la rançon incite les cybercriminels à poursuivre leurs activités et entretient ce système frauduleux. En cédant, une organisation contribue directement au financement des opérations futures — y compris celles qui cibleront d'autres victimes. Le rançongiciel offre aux cybercriminels un modèle économique très rentable : c'est précisément parce que des victimes paient que ce modèle perdure.
Payer renforce le risque d'être à nouveau attaqué
Le paiement de la rançon n'empêchera pas votre entité d'être à nouveau la cible de cybercriminels. Au contraire : une organisation qui paie signale qu'elle est prête à le faire. Elle devient une cible d'autant plus attractive pour de futures cyberattaques.
A la place, adopter les bons réflexes
La première priorité n'est pas de négocier, mais de contenir la propagation. L'ANSSI recommande de déconnecter au plus tôt les supports de sauvegarde — après s'être assuré qu'ils ne sont pas infectés — et d'isoler les équipements infectés du réseau. Il faut également bloquer toutes les communications vers et depuis Internet : ainsi, l'attaquant ne sera plus en mesure de piloter son rançongiciel ni de déclencher une nouvelle vague de chiffrement. Cette mesure coupe également le risque d'exfiltration de données. Pour découvrir tous les bons réflexes à avoir en cas d'attaque par rançongiciel, lisez notre article.
En résumé
Payer la rançon ne garantit pas la récupération des données, expose l'organisation à de futures attaques, et finance directement les cybercriminels. La bonne réponse à une attaque par rançongiciel n'est pas financière : elle est technique, organisationnelle et judiciaire. Elle se prépare avant l'incident — avec des sauvegardes déconnectées, un plan de réponse éprouvé et des équipes sensibilisées — et se déploie dans les premières heures qui suivent la détection.
Source : ANSSI, « Attaques par rançongiciels, tous concernés — Comment les anticiper et réagir en cas d'incident ? », version 1.0, août 2020.fig
Cet article a été créé en mobilisant des publications et contenus émanant principalement de l'ANSSI ou d'autres acteurs publics, a mobilisé des solutions d’intelligence artificielle, et a fait l'objet d'une relecture et de modifications avant publication.