Ransomware : les mensonges des cybercriminels
Les cybercriminels emploient diverses tactiques pour inciter leurs victimes à céder à leurs exigences et à payer la rançon demandée. D’une part, ils utilisent la menace de divulgation de données volées, une méthode qui s’inscrit dans ce que l’on appelle la double extorsion. Certains groupes ne chiffrent pas les données, se contentant de les voler.
En parallèle, ils recourent à des attaques par déni de service distribué (DDoS). Des opérateurs tels que REvil/Sodinokibi, SunCrypt, NoEscape et Alphv (BlackCat) ont déjà utilisé cette méthode. Ils communiquent également directement avec les employés ou les clients de la victime, soit par e-mail, soit en distribuant massivement des notes de rançon.
Les cybercriminels offrent des incitations pour encourager le paiement. D’abord, ils promettent un outil de déchiffrement qui permettrait de restaurer l’activité de l’entreprise. Ensuite, ils asnt que les données volées seront détruites et ne seront jamais utilisées ni vendues, fournissant un journal d’activité en guise de preuve. Enfin, ils proposent des conseils de sécurité pour éviter que la situation ne se reproduise. Cependant, ces promesses sont souvent partiellement tenues, voire totalement ignorées.
Des outils de déchiffrement peu efficaces
L’outil de déchiffrement fourni par les cybercriminels nécessite d’être utilisé manuellement sur chaque système affecté. Par exemple, les instructions de l’outil de déchiffrement de Conti indiquaient de le lancer avec des droits d’administrateur et d’attendre la fermeture de la fenêtre de l’outil. Cependant, il arrive que le processus doive être répété plusieurs fois sans succès, et les fichiers déchiffrés peuvent ne pas retrouver leur extension d’origine.
Les outils de déchiffrement de groupes tels que DarkSide, Mount Locker ou REvil sont souvent peu efficaces. REvil recommandait même de sauvegarder les fichiers chiffrés avant de tenter le déchiffrement. Aucune franchise de ransomware à ce jour ne permet d’industrialiser le déchiffrement à grande échelle.
Des conseils marginalement personnalisés
Les cybercriminels fournissent également des conseils de sécurité à leurs victimes, qui peuvent sembler logiques mais manquent souvent de profondeur. Par exemple, un attaquant a recommandé aux administrateurs système de travailler en mode privé, de ne pas sauvegarder de mots de passe dans leurs navigateurs, et de configurer des pare-feu pour limiter l’accès aux serveurs critiques. Cependant, ces conseils sont souvent des copier-coller, avec peu de personnalisation.
Des données volées pas toujours supprimées
Il n’y a pas eu de cas documenté où des données volées ont été divulguées malgré le paiement de la rançon, mais rien ne garantit que les données ne soient pas conservées ou revendues. Des fuites internes ont révélé que des données de victimes, y compris celles qui avaient payé, étaient conservées sur des serveurs de sauvegarde. En 2024, une opération contre LockBit a montré que certaines données appartenaient à des victimes ayant payé une rançon.
Voire divulguées malgré une rançon payée
Des cas récents, comme celui de Kadokawa, illustrent la cruauté des cyberattaques. Après avoir subi une cyberattaque, le conglomérat a payé une rançon de 2,98 millions de dollars pour la suppression des données volées, mais celles-ci ont malgré tout été divulguées. De même, PowerSchool a payé une rançon pour protéger des données d’étudiants, mais les cybercriminels ont continué à exploiter ces informations.
Ces événements soulignent la réalité inquiétante des cyberattaques : même en cas de paiement, la sécurité des données n’est pas garantie.
Source : LeMagIT
