Ces derniers mois ont été le théâtre d’attaques plus ou moins médiatisées de logiciels de rançon ou « ransomwares ».
Jusqu’à l’année dernière, ce type d’attaque informatique touchait principalement les particuliers mais 2015 a marqué un tournant en matière de cibles visées. Les entreprises sont de plus en plus victimes de ces attaques que ce soit en raison de leurs ressources financières, ou du type de données qu’elles gèrent comme les bases clientes par exemple. A quoi ressemblent les attaques dont elles font l’objet ? Comment, peuvent-elles s’en prémunir ?
Le ransomware en entreprise ou quand le ver attaque le fruit
Un logiciel de rançon est un programme informatique rendant inaccessibles les fichiers situés sur l’ordinateur de l’utilisateur mais également sur le réseau de l’entreprise[1]. Il se présente sous la forme d’un add-on dont l’utilisateur a besoin pour lire un fichier (texte, tableur ou vidéo), une fois qu’il est téléchargé, il chiffre les données et supprime les originaux. Un message de rançon est ensuite envoyé à l’utilisateur pour demander un paiement (en argent ou bitcoins) en échange de la clé de chiffrement. Les ransomwares ciblent indistinctement tous les systèmes d’exploitation informatiques (Linux, Windows, Mac OS) et mobiles (Android, iOS). Ceci permet aux groupes malveillants de maximiser leur force de frappe et ce, avec efficacité.
Les attaques de ransomwares subies par les entreprises peuvent être classées en deux grandes catégories. La première regroupe les attaques dont elles sont la cible directe, cela a été le cas de l’hôpital presbytérien de Hollywood en février dernier lorsque la totalité de son système informatique a été paralysé. Face à cela, l’administration n’a pas eu d’autre choix que de transférer une partie de ses patients vers d’autres hôpitaux et payer une rançon de 40 bitcoins (environ 14 400 euros) afin de pouvoir débloquer son système. Au delà des dommages financiers subis par l’hôpital, c’est l’image du centre médical et la confiance des patients quant à la sécurité de leurs données qui ont été endommagées.
La deuxième catégorie d’attaques concerne les attaques visant les clients ou les employés, les entreprises sont alors des victimes collatérales. Prenons l’exemple de Free dont les clients ont été victimes du ransomware Locky. Ici, l’infection se présente sous la forme d’une pièce jointe à un mail d’apparence officielle (facture téléphonique). Une fois que l’utilisateur ouvre la pièce jointe et répare ce fichier « mal codé », le ransomware s’installe et bloque son ordinateur. S’ils n’ont pas d’assistance informatique extérieure, ils n’ont pas d’autre choix que de payer leur rançon pour récupérer l’accès à leur appareil. Seulement, si cette pièce jointe est téléchargée sur leur ordinateur professionnel, ce n’est pas leurs fichiers mais potentiellement tout le réseau de l’entreprise qui est menacé.
Quelle protection pour les entreprises ?
Le ransomware est une menace qui se propage très rapidement sur les réseaux et sa spécificité est le chiffrement. C’est pourquoi l’analyse et la régulation des certificats SSL doivent faire partie de la stratégie sécuritaire de l’entreprise. Aujourd’hui, 25% du trafic internet utilise le protocole SSL et la plupart des entreprises ont confiance en ce protocole de sécurité et préfèrent allouer leurs ressources à l’analyse du trafic non chiffré. Cela équivaut à fermer sa maison avec une porte blindée mais laisser la fenêtre du salon ouverte. Et c’est justement dans cette brèche que s’engouffrent les hackers. De plus en plus, ils utilisent des certificats SSL légitimes pour acheminer leurs ransomwares, Trojans et autres logiciels malveillants au cœur de l’entreprise. Selon les statistiques récupérées par Zscaler, 31% des logiciels malveillants bloqués en entreprises étaient transférés via HTTPS – donc chiffrés avec SSL. Au delà de l’implémentation d’une solution d’inspection du trafic SSL, des mesures telles que la création d’une liste de trafic SSL « certifiée » régulièrement mise à jour contribuent à la sécurisation du réseau de l’entreprise.
Par ailleurs, selon EY[2], 44 % du risque informatique en entreprise provient d’employés négligents ou imprudents. Ce dernier point soulève le problème de la gestion du « Shadow IT ». Par cette expression, il est fait référence aux applications déployées au sein d’une infrastructure sans avoir suivi les processus élaborés pour vérifier leur fonctionnalité, sécurité et capacité à prendre en charge plusieurs utilisateurs. Cela englobe l’usage de solutions telles que Skype, Facebook et dans une certaine mesure le Bring Your Own Device (BYOD). Le rôle du DSI est alors de fournir des applications validées par l’entreprise mais aussi de passer d’une approche « blocage/autorisation » à « gérer et surveiller ». Pour y arriver, le dialogue avec les employés est incontournable, il faut les éduquer aux dangers d’internet tout en surveillant l’émergence des applications qu’ils utilisent afin de ne pas exposer l’entreprise à de nouvelles menaces. Concrètement, cela peut se faire en les impliquant dans le processus de validation des applications autorisées en entreprise ou l’émission de recommandations quant au téléchargement de fichiers à installer autant sur leur ordinateur que leurs terminaux mobiles connectés au réseau de l’entreprise.
Il faut, enfin, s’assurer que la solution de sécurité mise en place en entreprise est capable de détecter les ransomwares et de les éliminer. Le ransomware est une réalité à laquelle les entreprises ne pourront échapper dans les mois et années à venir. Le principal défi qu’elles devront relever est la surveillance des multiples points d’entrée que le ransomware utilise pour se propager. Pour cela, elles doivent accepter que la menace est réelle et repenser leur sécurité afin qu’elle couvre la totalité de leur réseau. Sans oublier de prendre en compte le facteur humain qui est indissociable de cette menace.