2ème partie : Choix de cibles, cibles de choix

Dans la première partie de cette série, nous avons parlé des attaques ciblées de ransomware et avons expliqué en quoi elles consistent.

De nombreuses attaques font la une ces derniers temps, mais il ne semble pas y avoir un type particulier de victime.

La réponse à la question « Suis-je la prochaine victime ? » est assez simple : Peut-être. C’est possible. Pourquoi pas ?

Le grand public pense à tort que les cybercriminels ne s’attaquent qu’aux gros poissons, ou aux grandes organisations dont les coffres sont pleins et qui ne sourcilleront pas lorsqu’on leur demandera des millions de dollars de rançon.

En réalité, les cybercriminels ne discriminent pas sur la taille. Les attaques ciblent des petites entreprises locales aux grandes sociétés, en passant par les services publics et les organisations médicales et gouvernementales.

Quelles sont les probabilités que mon organisation soit ciblée ?

Dans un Q&R publié plus tôt cette année, nous avons répondu à la question suivante :

Nous ne sommes pas une institution financière. Pourquoi les cybercriminels nous cibleraient pour une attaque de ransomware ? Pourquoi les cybercriminels s’en prendraient aux petits ?

Il n’y a pas de « Robin des Bois » ici : les cybercriminels jouent pour gagner. Une attaque ne doit pas être considérée comme personnelle, car les pirates ne s’intéressent pas vraiment à qui vous êtes.

Les pirates attaqueront s’ils estiment que leur potentiel de réussite est suffisamment élevé. Ils se soucient peu de l’impact de leurs actions. Plus les enjeux sont élevés, plus la probabilité que les organisations acceptent de payer une rançon est grande.

Tel que mentionné dans la première partie de cette série, avant qu’une attaque ne soit effective, les pirates ont pénétré dans le système de leurs victimes pendant un temps considérable. Pendant ce temps, ils apprennent tout ce qu’ils peuvent sur l’organisation, identifient les données précieuses et évaluent les contrôles de sécurité utilisés, désactivant souvent les outils de protection des points finaux et supprimant les sauvegardes.

Le montant de la rançon demandée aux victimes est généralement un montant que l’organisation est en mesure de payer.

L’autre facteur déterminant dans la réflexion « Pourquoi nous ? » se trouve dans la posture de sécurité d’une organisation. 

Les cibles sont sélectionnées en fonction de leurs faiblesses apparentes.

Les institutions financières disposent de ressources importantes et d’une infrastructure de sécurité robuste, ce qui fait des PME des cibles prisées par les groupes de pirates, qui sont aujourd’hui principalement des organisations criminelles.

Si vous jouez pour gagner, vous opterez naturellement pour des attaques sur des victimes qui ne sont pas en mesure de se défendre ou dont les défenses peuvent être facilement contournées.

Les cybercriminels sont avant tout là pour se faire payer, ils ne cherchent pas la reconnaissance.

Les cibles sont également choisies en fonction de leur position sur le marché ou dans l’industrie.

J’entends par là que certaines organisations ne peuvent tout simplement pas se permettre d’être « hors service », et donc par nécessité, l’incident doit être résolu le plus rapidement possible.

L’attaque du Colonial Pipeline au début de l’année en est un exemple. Trois jours après l’attaque, le président Joe Biden a déclaré l’état d’urgence le 9 mai 2021 et Colonial Pipeline a payé une rançon de 4,4 millions USD (75 bitcoins à l’époque).

Le pipeline fournit près de la moitié de l’approvisionnement en carburant de la côte Est des Etats-Unis, et une fermeture prolongée aurait provoqué des hausses de prix et des pénuries qui se seraient répercutées sur l’ensemble du secteur.

Le 12 mai, soit 6 jours après l’attaque, le pipeline a été remis en service et, le 15 mai, tous les systèmes et opérations de Colonial Pipeline étaient revenus à la normale.

Cela ne s’est toutefois pas produit sans que le coût national du carburant n’atteigne son niveau le plus élevé depuis plus de six ans.

« Notre but est de faire de l’argent, et non de créer des problèmes pour la société »

-DarkSide