Ransomware : les cyber criminels passent au double cryptage des données piratées pour faire payer deux fois leurs victimes

Atlantico : Comment fonctionne le système de Ransomware et de double cryptage des données numériques ? 

Loïc Guezo : Le ransomware est un système de « rançongiciel » c’est le principe d’un logiciel malveillant qui va être introduit dans le système d’information de la future victime soit par une vulnérabilité informatique, soit par un mail via le chargement d’une pièce jointe. L’opération d’attaque à proprement parler, c’est un logiciel qui va chiffrer l’ensemble des données de la victime, c’est l’équivalent d’une prise d’otage numérique, les serveurs ne fonctionnent plus. Les pirates informatiques vont alors demander une rançon en cryptomonnaie type bitcoins afin d’éviter toute traçabilité, pour libérer ces données par le biais d’une clef de déchiffrement. En ce qui concerne le double cryptage, je préfère utiliser le terme de « double chiffrement ». La victime ne doit surtout pas céder en payant la rançon, par ailleurs elle doit s’assurer que l’attaquant n’a pas exfiltré de données auquel cas il peut procéder à un chantage sur la divulgation des données. Dans ces cas, c’est la double peine pour la victime et ce qu’il faut bien comprendre c’est que ce sont des criminels en face donc il n’y a aucune raison de leur faire confiance. 

En Irlande, le système de santé (Health Service Executive) a été victime de ransomware. La France de son côté est-elle suffisamment protégée contre ces risques de cyberattaques ? 

Tous les pays sont confrontés à la complexité de la sécurité numérique. En France, selon les chiffres de l'Agence nationale de la sécurité des systèmes d’information (ANSSI), 192 incidents ont été rapportés en 2020 contre 54 en 2019. Dès lors qu’un incident touche des données nominatives, il doit y avoir un rapport adressé à la Commission nationale de l'informatique et des libertés (CNIL). Bien qu'il soit illégal, le marché du ransomware est très rentable, avec en face des services de police et de justice débordés par l’explosion des cas. Les enquêtes internationales prennent environ entre 3 et 5 ans, c’est donc très compliqué d’identifier ces cybercriminels et ensuite de juger. Dans le cas de l’Irlande, comme ce sont des données nominatives très sensibles, on peut penser que l’organisme victime va payer. Si tel n'est pas le cas, il reste une deuxième possibilité pour le criminel, analyser les données et se tourner individuellement vers chaque victime en menaçant de révéler son dossier médical. Il faut vivre avec l’idée qu’il n’y a pas de solutions sûres à 100%. En revanche, on peut minimiser les risques en utilisant des clefs de chiffrement afin de rendre ces données inexploitables. 

Quels sont les nouveaux moyens mis en place pour lutter contre ces criminels du net ? 

En France, il y a le « plan cyber » à 1 milliard d’euros annoncé par le président mi-février avec plusieurs volets : la mise en place de centres de soutien en régions, des moyens renforcés pour le secteur public, les hôpitaux, les collectivités territoriales. Il y a aussi la « Loi de programmation militaire 2019-2025 » qui intègre une partie cyber. À l’échelle européenne, la France est assez exemplaire. Il faut espérer que ces réactions en France comme aux États-Unis avec le décret de cybersécurité signé par Joe Biden mettent une telle pression sur les cybercriminels que leurs actions n’en soient que plus difficiles. La sécurité c’est toujours un bon équilibre entre la technologie, des processus et des humains. Aujourd’hui, il y a tout un tas d’outils, d’angles d’attaques comme des spots de publicités pour alerter sur ces sujets liés à la sécurité numérique. Le Club de la sécurité de l'information français (CLUSIF) dont je suis le secrétaire général va d’ailleurs obtenir le statut de reconnaissance d’utilité publique et ça prouve la montée en gamme du milieu associatif sur la prise en compte des milieux cyber. 

Y a t-il des pays qui font office de modèles en termes de cybersécurité ? 

L’exemplarité, c’est être capable d’apprendre de ce qu’il s’est passé pour proposer des schémas de progression les plus efficaces. Israël par exemple à la réputation d’avoir une très bonne capacité cyber, elle se place d’ailleurs deuxième derrière les États-Unis. Le pays a notamment créé un cyber campus « Cyber Spark » qui sert aujourd’hui de modèle à la France.  Il y a beaucoup d’innovations dans le domaine de la cybersécurité qui viennent d’entreprises, de start-ups israéliennes.