Comment reconnaître et éviter avec succès les attaques de ransomware
Le nombre des cyberattaques augmente et - et avec lui la pertinence des mesures de cybersécurité.. Surtout pour les institutions publiques et les entreprises du secteur de la construction de machines et d'équipements, les ransomwares ou logiciels de rançon représentent actuellement le plus grand risque. En effet, ces logiciels malveillants parviennent à crypter des fichiers importants ou à bloquer entièrement le système. En général, les victimes des attaques n'obtiennent à nouveau l’accès qu’en échange d’ une rançon très élevée. Or, un paiement aux hackers (pirates informatiques) n'offre aucune garantie d'obtenir effectivement la clé de déverrouillage. Une étude récente de Sophos, l'un des leaders mondiaux en cybersécurité de nouvelle génération, montre que 46 % des entreprises ont répondu à la demande de rançon en cas d'attaque de ransomware en 2021 avec une issue incertaine.
Or, les sommes demandées ne sont pas le seul dommage qui menace les entreprises en raison d'une attaque de ransomware. L'entreprise perd également de l'argent en raison des longs temps d'arrêt - il n'est pas rare qu'ils durent jusqu'à six semaines. En 2021, le préjudice total est estimé à 223,5 milliards d'euros, selon Bitkom.
Détecter et éviter les attaques de ransomware
Des analyses concernant les attaques de ransomware dans le secteur de la construction mécanique et d'équipements ont démontré que les logiciels malveillants sont introduits de manière ciblée dans les entreprises. Les e-mails classiques d'hameçonnage (ou phishing) jouent plutôt rarement un rôle . Souvent, les pirates informatiques répondent aux e-mails que les employé.e.s d'une entreprise ont eux-mêmes envoyés, de sorte que cela n’éveille aucun soupçon dans un premier temps. À l'instar d'un cheval de Troie, les responsables des attaques de ransomware ciblent d'abord les entreprises de la chaîne d'approvisionnement et espionnent ainsi les constructeurs mécaniques et d'équipements. Les données sont parfois extraites pendant plusieurs semaines, sans que personne ne s'en aperçoive. À la fin, le système est crypté par les hackers et en général, - le plus gros des dégâts est alors déjà fait.
Lorsqu'une cyberattaque est suspectée, les entreprises concernées doivent vérifier tout d'abord s'il s'agit d'un incident normal (virus, e-mail d'hameçonnage) ou d'une urgence au sens d'une attaque de ransomware. Celle-ci se manifeste au plus tard lorsque vous n'avez plus accès ni à vos données ni au système. Néanmoins, il peut déjà y avoir des premiers indices avant cela : des fichiers peuvent être retrouvés sur le bureau (desktop) ou sur le serveur de fichiers alors qu'aucun collaborateur de l'entreprise ne les y a déposés. Il est également fréquent que des documents comportant la phrase « What happened ? » soient imprimés juste avant qu'un système ne soit crypté.
Comment donc s'en protéger ?
Une chose est sûre : les attaques de ransomware ne peuvent pas être évitées. En effet, plus de 20 groupes professionnels sont désormais actifs dans ce domaine afin de nuire de manière ciblée aux entreprises. Pourtant, chacun et chacune d'entre nous peut contribuer à réduire au mieux le succès des pirates informatique.
Les trois précautions à prendre sont :
- éviter les accès directs à l'entreprise (par ex. via VPN, Remote Desktop Protocol (RDP) ou Citrix) ou du moins en limiter la durée
- authentification via deux facteurs ou authentification multi-facteurs pour tous les points d'accès, par ex. mot de passe et SMS
- désactiver tous les programmes et fonctions non nécessaires et les patcher régulièrement
Au cas où une attaque de ransomware a lieu, la première chose à faire est de garder son calme et d'agir rapidement ! Dans le cas idéal, les entreprises commencent dès maintenant à repasser leur liste d'urgence - or, dans la plupart des cas, celle-ci n'existe même pas. Toutefois, les attaquants sont souvent aussi peu préparés que les victimes du piratage. Étant donné que la plupart des attaques de ransomware sont commandées manuellement, les pirates demeurent souvent un certain temps dans le système et peuvent, dans le meilleur des cas, être repérés.
Les trois prochaines étapes pour les entreprises sont :
- bloquer tous les accès depuis l'extérieur
- déconnecter le réseau
- protéger les systèmes clés
En outre, si vous disposez de suffisamment de temps et de personnel, il est recommandé de mettre en place une équipe de crise composée de collaborateurs des différents départements de l'entreprise.
- Celle-ci peut mettre en place des voies de communication alternatives, par exemple via des services de messagerie.
- Par ailleurs, les numéros de téléphone les plus importants - du moins ceux du département informatique - devraient également être sauvegardés en dehors du système concerné.
- Ensuite, il est temps d'avertir les collaborateurs et collaboratrices. Le homeoffice peut alors poser un défi supplémentaire, car sans VPN l'accès à la messagerie fait généralement défaut.
- Les entreprises concernées par les attaques de ransomware ne devraient pas communiquer avec les attaquants.
- Il est préférable de faire appel à des professionnels en matière de cybersécurité qui peuvent aider à reconstruire le système.
Le BSI (Office fédéral allemand de la sécurité des technologies de l'information) a publié un certain nombre de catalogues de protection des technologies d'information, qui contiennent diverses mesures visant à informer les victimes des cyberattaques. Cependant, ces recommandations sont très spécifiques aux logiciels individuels utilisés par chacune des entreprises.
Cybersécurité dans la construction mécanique et d'équipements
La construction de machines et d'équipements compte parmi les cibles les plus attrayantes pour les pirates informatiques et requiert donc des mesures de protection particulières, indépendamment du danger que représentent les ransomwares. En effet, les petites et grandes entreprises de ce secteur sont tout autant touchées par les attaques, même celles qui travaillent dans le domaine de la sécurité. Sans les mesures de sécurité adéquates, les cyberattaques nuisent non seulement aux entreprises individuelles, mais aussi à l'ensemble du secteur.
Dans ce scénario, deux défis sont particulièrement en ligne de mire :
- La durée de fonctionnement des machines et des équipements diffère considérablement de la durée d'utilisation des logiciels :
Tandis que les machines peuvent être utilisées jusqu'à 30 ans, les logiciels deviennent souvent obsolètes après une durée de quelques mois seulement. Sans l'exécution de patches et de mises à jour réguliers, leur fonctionnement est restreint. Par conséquent, les entreprises sont encouragées à se concentrer sur le fait que la numérisation et la cybersécurité devraient suivre le même rythme que les installations et les systèmes utilisés.
- Les chaînes d'approvisionnement représentent un des points d'attaque préférés des cyberattaques :
Étant donné que les constructeurs de machines et d'équipements livrent en partie dans des infrastructures critiques, ils peuvent être utilisés comme instrument pour attaquer leurs exploitants. Il est par exemple possible de nuire simultanément à deux systèmes indépendants l'un de l'autre si les deux utilisent les mêmes composants.
Le Centre de compétence Industrial Security, qui fait partie du VDMA (Association allemande de la construction mécanique), a analysé la thématique complexe des ransomwares et de la cybersécurité et en a déduit 15 mesures obligatoires pour les constructeurs de machines et d'équipements. Parmi les quatre plus importantes figurent :
- Proposer des formations de sensibilisation aux employés et à la direction afin de garantir une sensibilisation continue.
- Développer des concepts pour les comptes administratifs ou les comptes ayant des droits d'accès élevés, vu que ces derniers sont souvent la cible des attaques.
- Procéder à des segmentations du réseau, par exemple en instaurant des pares-feu et en isolant certains domaines, y compris au niveau numérique, afin que l'attaque ne puisse pas s'étendre à l'ensemble de l'entreprise.
- Vérifier si un système peut être restauré à partir d'une sauvegarde.
Ceci montre que non seulement les entreprises et les institutions doivent apporter leur contribution à la cybersécurité, mais surtout nous, en tant qu'individus qui pouvons prévenir les attaques de ransomware.
