MtoM Mag - Le journal de l'MtoM.

À l’occasion de la Journée Anti-Ransomware, il est important de reconnaître l’évolution constante du paysage des cybermenaces et la manière dont les organisations peuvent renforcer leurs défenses. L’évolution du ransomware traditionnel vers la cyberextorsion au cours des dernières années reflète un écosystème professionnalisé et décentralisé. Pour protéger votre organisation contre ce danger, il est essentiel de comprendre le paysage actuel des menaces et de mettre en œuvre des stratégies de défense robustes.

L’évolution de la menace des ransomwares

Le ransomware est passé d’attaques isolées visant principalement les grandes entreprises à un vaste écosystème de criminels indépendants exploitant des modèles de Ransomware-as-a-Service (RaaS). Cette industrialisation du ransomware a entraîné une augmentation du nombre de petites entreprises victimes, soulignant l’importance, pour toutes les organisations quelle que soit leur taille, de considérer la cybersécurité comme une nécessité stratégique et non comme une simple dépense informatique tactique.

Ce nouveau modèle de type franchise a également offert davantage de capacités aux attaquants pour exfiltrer des données, les conduisant à s’appuyer de plus en plus sur cette pratique pour générer des revenus, plutôt que sur le seul chiffrement des données contre rançon. Cela signifie que lorsqu’une rançon est payée, elle sert souvent à empêcher la divulgation publique de données sensibles, et non à restaurer l’accès à des fichiers chiffrés. Dans ces situations, les organisations doivent déplacer leur priorité de la simple restauration des systèmes vers la compréhension de l’ampleur de la violation de données et la communication efficace avec les parties prenantes concernées.

En outre, l’utilisation de l’intelligence artificielle permet aux cybercriminels de lancer des attaques plus variées, à une vitesse bien plus élevée et à grande échelle, rendant le modèle RaaS encore plus dangereux.

Stratégies de défense proactives

 1. Adopter une mentalité de « compromission présumée »

Les organisations doivent considérer chaque produit de sécurité comme une vulnérabilité potentielle et traiter agressivement la dette technique, en évoluant vers une architecture Zero Trust. Des acteurs avancés comme Salt Typhoon ont démontré que les compromissions sophistiquées reposent souvent sur des méthodes « classiques », exploitant des vulnérabilités connues dans des équipements périmétriques tels que les pare-feu et les VPN, alors même que des correctifs sont déjà disponibles.

 2. Développer un plan robuste de réponse aux incidents

Si une compromission survient, l’objectif ultime est de permettre à votre organisation de se rétablir rapidement, transformant une catastrophe potentielle en perturbation maîtrisable. La mise en œuvre de sauvegardes solides hors site ainsi que la segmentation réseau peut aider à empêcher les déplacements latéraux lors d’une attaque.

Un plan de réponse aux incidents efficace est essentiel. Un tel plan doit inclure un arbre décisionnel concernant les notifications, les responsabilités et les niveaux d’autorité, et il doit être accessible physiquement. S’appuyer uniquement sur des copies numériques peut être risqué si celles-ci tombent entre les mains de cybercriminels. Plus important encore, ce plan doit être testé afin de garantir son efficacité opérationnelle.

 3. Exploiter l’IA pour la défense

Les organisations doivent combattre l’automatisation par l’automatisation, en utilisant des mécanismes de défense pilotés par l’IA afin de neutraliser les menaces assistées par l’IA et d’assurer une reprise plus rapide.

L’IA jouant désormais un rôle majeur dans les attaques par ransomware, les organisations doivent utiliser des solutions intégrant l’IA pour la gestion des correctifs et les mécanismes de défense. De plus, l’intégration de l’IA dans les programmes de sensibilisation contre l’ingénierie sociale est essentielle, notamment pour former les employés à identifier les deepfakes générés par IA.

 4. Réviser les playbooks de sécurité

Une autre conséquence de l’IA est l’accélération considérable de la vitesse d’exécution des attaques. Les acteurs malveillants peuvent désormais réaliser l’ensemble des étapes, depuis l’accès initial jusqu’à l’exploitation, en seulement 72 minutes, grâce à l’orchestration des attaques par IA.

Les organisations doivent mettre à jour leurs règles SIEM ou EDR ainsi que les playbooks SOC afin de suivre le rythme de ces menaces plus rapides et pilotées par IA, tout en répondant aux défis liés à des menaces telles que le shadow AI et les injections de prompts.

À mesure que les ransomwares évoluent, nos mécanismes de défense doivent évoluer eux aussi. En reconnaissant la complexité du paysage actuel des menaces et en mettant en œuvre des mesures stratégiques fondées sur une compréhension approfondie de l’IA et de l’ingénierie sociale, les organisations peuvent conserver une longueur d’avance.