Que faire lorsque votre entreprise est touchée par un ransomware

Le ransomware est une forme de cybercriminalité si rentable qu'il est devenu une industrie entièrement autonome avec ses propres changements et tendances. Il y a quelques années, par exemple, les développeurs et opérateurs de ransomwares étaient principalement intéressés par les utilisateurs à domicile. L'attaque des ordinateurs personnels était bon marché et certaines techniques ingénieuses d'ingénierie sociale garantissaient que le taux de réussite n'était pas mauvais. Pendant ce temps, la culture de sauvegarde des gens n'était pas vraiment géniale, ce qui signifiait que pour beaucoup, la seule option de récupération de leurs données était de payer la rançon. Mais ensuite, les choses ont commencé à changer.

Les opérateurs de ransomware sont passés des utilisateurs à domicile aux entreprises et aux grandes organisations

2017 a vu quelques épidémies massives de ransomwares, WannaCry et NotPetya, qui ont gagné beaucoup de publicité. Ils n'étaient pas spécifiquement destinés aux utilisateurs à domicile, mais les utilisateurs à domicile les ont vus aux actualités et ils se sont progressivement familiarisés avec la menace. Ils ont réalisé l'importance des sauvegardes et se sont mieux préparés à faire face aux attaques de ransomwares.

En toute honnêteté, les cybercriminels ne sont pas particulièrement désireux de partager leurs déclarations de revenus, mais le fait que les infections par les ransomwares sur les ordinateurs personnels soient en baisse depuis quelques années suggère que moins d'utilisateurs finaux sont enclins à céder aux pirates. demandes. Cela ne signifie cependant pas que l'activité des ransomwares diminue.

À un moment donné, les opérateurs de ransomware ont réalisé que l'effort supplémentaire d'attaquer les organisations plutôt que les utilisateurs individuels en valait la peine, et depuis, les incidents majeurs de ransomware ont principalement concerné les entreprises, les organisations de santé et les institutions gouvernementales. Une épidémie de ransomware dans une entreprise privée pourrait être particulièrement dommageable, c'est pourquoi les gens doivent apprendre à réagir à la menace non seulement lorsqu'ils sont à la maison, mais aussi au bureau.

Comment une infection par un rançongiciel peut-elle affecter votre entreprise?

D'un point de vue purement technique, une attaque de ransomware présente une entreprise avec deux problèmes majeurs: la perte de données et les temps d'arrêt.

Le verrouillage de vos données est le problème le plus évident. Une infection réussie par un rançongiciel peut crypter des secrets commerciaux, des informations spécifiques au produit et les détails du client. La perte de ce type de données peut entraîner la disparition de votre entreprise, ce qui signifie que vous pourriez être tenté d'envisager de répondre aux demandes des pirates et de payer la rançon. Même si vous le faites, cependant, vous ne pouvez avoir aucune garantie que toutes les informations seront retournées à leur état de pré-infection. Ce n'est pas le seul problème, cependant.

Par nature, les infections par rançongiciels sont assez bruyantes. Si jamais vous vous retrouvez au mauvais endroit d'une attaque, vous serez informé de ce qui se passe et vos clients apprendront également que quelque chose ne va pas assez rapidement. Une infection par un rançongiciel peut perturber complètement le fonctionnement d'une entreprise et l'empêcher de servir ses utilisateurs. Inévitablement, la cause du problème sera rendue publique et cela semera l'incertitude chez vos utilisateurs qui supposeront que votre entreprise ne prend pas particulièrement soin de la sécurité de leurs données. Cela signifie que gérer la situation aussi rapidement et efficacement que possible est extrêmement important.

Comment votre entreprise devrait-elle réagir à une attaque réussie de ransomware?

Comme vous pouvez le voir, les deux principales choses auxquelles vous devez penser sont la prévention de la perte de données et la minimisation des temps d'arrêt. Si vous travaillez pour une entreprise qui a été touchée par un ransomware, vous devez vous assurer que la récupération après l'attaque prend aussi peu de temps que possible, mais vous devez également prendre soin de vérifier que chaque fichier est là où il doit être avant de le mettre. l'entreprise revient en mode opérationnel. C'est un processus stressant qui nécessite beaucoup de concentration et un effort coordonné de tous les responsables.

Si un malware a réussi à s'infiltrer dans vos systèmes, contenir sa propagation devrait être votre priorité absolue. Ne sous-estimez jamais les rapports de comportement étrange des employés, et si vous découvrez qu'un seul ordinateur a été touché par un rançongiciel, assurez-vous que toutes les parties de l'infrastructure informatique de votre entreprise qui pourraient y être connectées ont eu leurs câbles réseau débranchés. Les familles de ransomwares modernes sont livrées avec des composants de type ver qui permettent à l'attaque de se propager rapidement, et les pirates veulent verrouiller autant de points de terminaison que possible avec l'idée d'exiger une rançon plus élevée. Plus le nombre de PC cryptés est élevé, plus vous aurez besoin de temps pour tout remettre en ligne.

Nous avons déjà mentionné que la réduction des temps d'arrêt devrait figurer en haut de votre liste de priorités. Cela étant dit, vous ne devriez pas précipiter le processus. Avant de tout mettre sous tension, vous devez vous assurer que toutes les traces du ransomware ont été supprimées et vous devez vérifier si tout est opérationnel. Des retards supplémentaires ne rendront pas vos clients très heureux, mais leur dire que vous êtes de retour en affaires et leur faire face à plus de problèmes peut les rendre encore plus bouleversés qu'ils ne le sont déjà.

En parlant de cela, si vous voulez vraiment que vos utilisateurs se sentent moins mal à propos de ce qui s'est passé, essayez d'être aussi transparent que possible sur l'attaque. Dites-leur comment les pirates informatiques sont entrés, ce que vous avez fait pour les arrêter et ce que vous prévoyez de faire pour empêcher de futures attaques. Dites à vos utilisateurs comment l'attaque les affectera ainsi que les services pour lesquels ils ont payé, et ne rien retenir. Bien que certaines entreprises semblent penser que c'est une bonne stratégie, minimiser le problème se retourne généralement contre et fait encore plus de dégâts à la réputation que l'attaque elle-même.

Il y a beaucoup de choses à penser, et même si vous faites tout par le livre, les conséquences pourraient encore être assez horribles. En juillet 2018, par exemple, LabCorp, l'un des plus grands réseaux de laboratoires au monde, a été touché par le ransomware SamSam. Bien que son équipe informatique se soit rapidement déplacée pour contenir le malware, SamSam a quand même réussi à infecter environ 7 000 points de terminaison et près de 2 000 serveurs.

Plus récemment, le bureau de change Travelex a été attaqué par le ransomware Sodinokibi (alias REvil), et pendant plus de deux semaines, ses employés ont été contraints d'utiliser des stylos et des morceaux de papier pour faire leur travail.

Une attaque de ransomware est susceptible de causer toutes sortes de problèmes, surtout si elle cible une plus grande organisation. Au risque de tomber dans le piège à clichés, il faut dire que la prévention active est la meilleure stratégie de lutte contre ce type de menace.

Que pouvez-vous faire pour empêcher une attaque de ransomware réussie?

Installer un programme anti-virus sur les ordinateurs de vos employés et sauvegarder leurs disques durs ne suffit pas. Encore une fois, nous parlons d'un processus complexe qui comporte de nombreux pièges, et l'état sain de l'activité des ransomwares montre clairement que les entreprises font constamment des erreurs.

Un simple produit de sécurité ne peut pas sauver la situation si l'ensemble de votre système informatique est basé sur un ancien logiciel qui n'a pas reçu ses correctifs de sécurité. Nul autre que les Nations Unies n'a appris à la dure à quel point les mises à jour de sécurité sont importantes, et si vous êtes responsable de la maintenance du réseau de toute une entreprise, vous n'avez aucune excuse pour exécuter des logiciels qui ont des failles de sécurité connues.

Il n'y a aucune excuse pour les réseaux mal configurés non plus. De nombreuses familles de ransomwares qui ciblent actuellement les organisations se propagent via des protocoles réseau non sécurisés qui ont été laissés ouverts par des administrateurs système négligents. Les mots de passe par défaut sont également un point culminant fréquent d'un certain nombre de rapports sur les incidents de ransomware, ce qui montre que l'ingénierie sociale dans les e-mails de spam est loin d'être la seule arme dans l'arsenal des pirates. Cela étant dit, former vos employés à ne pas cliquer sur les liens aléatoires et les pièces jointes dans les messages inattendus est toujours une bonne idée.

Comme vous pouvez le voir, il y a déjà beaucoup de tâches à accomplir, et nous n'avons même pas abordé la question de la sauvegarde des données.

Chaque entreprise doit avoir une stratégie de sauvegarde solide, et en créer une n'est pas aussi simple qu'il y paraît. Selon la façon dont vous utilisez vos données, vous devez penser à la fréquence à laquelle elles doivent être sauvegardées, mais peut-être plus important encore, vous devez penser au mécanisme réel de création de sauvegardes.

Idéalement, vous suivrez la règle 3-2-1, qui stipule que vous devriez avoir 3 copies de vos données stockées dans 2 endroits différents, dont 1 hors site. Si vous ne pouvez pas vous en tenir à cette stratégie, vous devez régulièrement tester vos sauvegardes pour vous assurer qu'elles sont fonctionnelles, et vous devez également les garder déconnectées du reste de vos systèmes informatiques. De cette façon, une attaque potentielle de ransomware ne pourra pas affecter les copies de vos données.

Ce ne sont là que quelques-unes des choses dont vous devez tenir compte, et selon l'activité de l'entreprise pour laquelle vous travaillez, il peut y avoir de nombreux autres facteurs que vous devrez peut-être garder à l'esprit. Dans l'ensemble, essayer de protéger une entreprise contre une attaque de ransomware est sans doute encore plus pénible que de nettoyer le gâchis après qu'il a déjà été touché. Étant donné l'ampleur des dégâts qui pourraient être dévastateurs, l'effort en vaut la peine.