Législation sur les paiements par ransomware : qu'est-ce qui a du sens et qu'est-ce qui n'en a pas ?
Ces dernières années, les attaques de ransomware sont devenues la branche la plus lucrative de la cybercriminalité. Les plus grands, les plus dangereux et les plus performants menaces et souches de ransomwares ont généré jusqu'à présent des dizaines de millions de dollars en 2021 et ils ne montrent aucun signe de ralentissement de leur activité.
Face à ce climat turbulent de ransomware, des idées ont circulé, concernant un cadre législatif qui pourrait interdire tous les paiements de ransomware. Bien sûr, à première vue, le raisonnement derrière une telle interdiction serait que de cette manière, de grandes quantités d'argent cesseraient d'affluer dans les coffres des pirates et des acteurs de la menace. Sur le papier, payer une rançon finance essentiellement des cybercriminels.
Bien sûr, la question n'est jamais aussi simple et les choses ne sont jamais en noir et blanc. Comme l'ont montré les dernières attaques de ransomware très médiatisées aux États-Unis, il existe des cas où des infrastructures critiques sont détruites et le pays tout entier en souffre grandement.
Colonial Pipeline, qui a payé plus de 4 millions de dollars en rançon pour obtenir un outil de décryptage, était le principal fournisseur de carburant liquide pour toute la côte est. Le travail de ransomware que le groupe DarkSide a effectué sur Colonial était essentiellement si dommageable que les États touchés ont dû commencer à transporter du carburant vers les régions périphériques à l'aide de camions-citernes.
Bien entendu, l'interdiction des paiements par ransomware n'arrêtera pas complètement les attaques. De plus, si un réseau majeur desservant une infrastructure vitale était touché et que le formatage et la réinstallation prenaient trop de temps, une interdiction de paiement similaire pourrait potentiellement mettre des États entiers à genoux et les mettre en état d'urgence.
Graeme Newman, souscripteur international de cyber-assurance dans une grande compagnie d'assurance britannique qui traite également de la cyber-assurance, a souligné une solution intermédiaire. Si les législateurs veulent empêcher les pirates informatiques d'obtenir des millions de n'importe quelle grande entreprise, mais veulent également donner aux fournisseurs d'infrastructures critiques un filet de sécurité, un organisme ou un système d'organismes spécialisés serait nécessaire. Ces entités examineraient chaque attaque au cas par cas et prendraient une décision finale si le paiement est vraiment nécessaire et si le refuser affecterait l'infrastructure vitale.
À l'heure actuelle, il n'existe aucun obstacle juridique empêchant une entreprise attaquée par un ransomware d'effectuer le paiement, que ce soit par l'intermédiaire d'un assureur ou directement. Il reste à voir dans quelle mesure cette situation changera dans un avenir prévisible.
