Les attaques de ransomware sur les villes sont en hausse

Une campagne de ransomware ciblant 23 villes américaines du Texas a suscité de vives inquiétudes quant à la vulnérabilité des gouvernements locaux et des services publics face aux cyberattaques. Ces événements surviennent peu de temps après des attaques similaires contre des organisations gouvernementales et des entreprises dans l'Indiana, en Floride et ailleurs. Ils reflètent un changement général dans la tactique des ransomwares, qui consiste à «attaquer et prier» des attaques sur un grand nombre de consommateurs individuels, et à «chasser le gros gibier», qui cible les organisations, généralement par l'intermédiaire de personnes en position de force.

Un rapport récent de la société de cybersécurité Malwarebytes a constaté une augmentation de 363% du nombre de détections de ransomwares dirigées contre des entreprises et des organisations (par opposition à des particuliers) entre 2018 et 2019. En résumé, les cybercriminels voient une opportunité d'extorquer bien plus d'argent aux organisations qu'aux particuliers . Bien que la majorité des attaques de ransomware se soient produites aux États-Unis, les gouvernements locaux du monde entier sont également vulnérables.

Les ransomwares se propagent généralement via des courriels de phishing ou des liens vers des sites Web infectés, en s’appuyant sur l’erreur humaine pour accéder aux systèmes. Comme son nom l'indique, le logiciel ransomware est conçu pour bloquer l'accès aux données, aux systèmes ou aux services jusqu'à ce qu'une rançon soit payée. Sur le plan technique, les villes ont tendance à être des cibles assez faciles car elles disposent souvent de systèmes d’exploitation sur mesure, de pièces anciennes et obsolètes, ainsi que de mesures de sauvegarde inefficaces.

Les villes ont également tendance à manquer de politiques de sécurité à l'échelle du système. Ainsi, si les cybercriminels parviennent à pénétrer dans un système, ils peuvent alors accéder aux autres et semer le chaos en gelant des données essentielles et en empêchant la fourniture de services. Toutefois, même si les organisations ont amélioré leur sécurité technique, les recherches que j'ai menées auprès de ma collègue Lena Connolly ont révélé que peu d'entre elles accordaient la même importance à la formation des employés pour qu'ils puissent identifier les attaques et y résister.

Cible acquise

Les employés de nombreuses petites et moyennes entreprises, comme les administrations locales, ne reconnaissent souvent pas la véritable valeur commerciale de leur organisation pour les criminels et pensent généralement qu'ils ne sont pas susceptibles d'être ciblés. En conséquence, ils peuvent également développer de mauvaises habitudes, telles que l’utilisation de systèmes de travail pour des raisons personnelles, ce qui peut accroître la vulnérabilité.

Les délinquants feront leurs devoirs avant de lancer une attaque, afin de créer la perturbation la plus grave possible. Après tout, plus la pression de payer la rançon est forte, plus le tarif peut être élevé.

Les pirates identifient les personnes clés à cibler et à rechercher les vulnérabilités telles que les ordinateurs qui ont été laissés allumés en dehors des heures de travail ou qui n'ont pas été mis à jour. Une fois qu'ils ont déterminé qui cibler, les cybercriminels ont recours à des techniques d'ingénierie sociale, telles que le phishing, qui manipulent psychologiquement les victimes pour ouvrir une pièce jointe à un courrier électronique ou cliquer sur un lien, ce qui permet au programme de ransomware d'entrer dans le système d'exploitation de l'entreprise.

Payer ou ne pas payer?

Le fait de payer ou non la rançon n’est pas une simple décision pour les autorités municipales dotées de services publics vitaux. La plupart des services de police ordonnent aux victimes de ne pas payer, mais comme l'a expliqué le maire Stephen Witt de Lake City, en Floride, après avoir ciblé sa paroisse: "Avec votre coeur, vous ne voulez vraiment pas payer ces gars-là. Mais dollars et centimes, représenter les citoyens, c’était la bonne chose à faire. "

Un autre problème est que les ransomwares ne sont pas toujours déployés pour extorquer de l'argent. Par conséquent, payer la rançon ne garantit pas que les données seront restaurées. Les attaquants peuvent avoir des motivations, des compétences et des ressources variées. Il est donc crucial de déterminer leur motif (souvent avec très peu d'informations).

Plutôt que de simplement gagner de l'argent en utilisant un ransomware, certains cybercriminels pourraient chercher à neutraliser les concurrents du marché fournissant des biens ou des services concurrents. Ils peuvent également utiliser les attaques à des fins politiques pour réduire la confiance du public dans la capacité d'un gouvernement local à fournir des services essentiels. Dans de tels cas, il est peu probable que les données soient restaurées, même si la rançon est payée.

Cherche couverture

De nombreuses villes sont assurées contre les attaques et les assureurs paient souvent la rançon pour récupérer des données volées – en faisant parfois appel à des négociateurs tiers, contre l'avis d'un conseil national. Paradoxalement, le fait de savoir que les cybercriminels sont susceptibles de se faire payer justifie le temps consacré à la recherche des faiblesses de leur cible et laisse la porte ouverte à de nouvelles attaques. C'est l'une des raisons pour lesquelles les cybercriminels ont changé de tactique et ont commencé à cibler des organisations.

Les autorités municipales doivent donc faire un choix difficile: payer pour restaurer des données et des services essentiels (et encourager les cybercriminels) ou admettre que leurs systèmes ont été compromis et faire face à une réaction sociale et politique. Néanmoins, les autorités municipales peuvent prendre certaines mesures pour se protéger, ainsi que leurs citoyens, contre les ransomwares.

Aujourd’hui, les autorités doivent supposer qu’il faut déterminer quand et non pas si une attaque aura lieu. Ils doivent installer des systèmes de sauvegarde des données protégées capables de remplacer les systèmes d'exploitation et les bases de données infectés, le cas échéant. Par exemple, au Royaume-Uni, une étude a révélé que 27% des organisations gouvernementales locales étaient ciblées par les ransomwares en 2017. Pourtant, 70% de leurs 430 répondants disposaient de systèmes de sauvegarde en place, en vue de la mise en place du règlement général de protection des données de l'UE (GDPR), et pourraient donc récupérer d'une attaque de ransomware beaucoup plus rapidement que leurs homologues américains.

Les autorités locales doivent, dans la mesure du possible, séparer leurs systèmes de données et installer les niveaux de sécurité appropriés. Ils doivent également former les employés à la nature de la menace et aux impacts de leurs propres actions lorsqu'ils travaillent dans les systèmes de l'entreprise. Ils doivent également connaître les mécanismes internationaux visant à prévenir et à atténuer les ransomwares (tels que nomoreransom.org), qui fournissent des conseils et publient les clés de certains ransomwares en ligne.

Les organisations publiques doivent être en mesure de réfléchir rapidement et de s'adapter à ces nouvelles menaces pour la sécurité, d'autant plus que les cybercriminels développent sans cesse de nouvelles techniques. Les administrations locales doivent être prêtes à prévenir simultanément les cyberattaques, à en atténuer les effets lorsqu'elles se produisent et à traduire les cybercriminels en justice.

Cet article est republié de The Conversation sous une licence Creative Commons. Lire l'article original.