Rançongiciels: payer ou pas, le dilemme des victimes

En mars 2020, le comté de Tillamook, dans l’Oregon, a accepté de payer 300.000 dollars pour récupérer des données encryptées par des pirates informatiques. Comme de nombreuses victimes de hackers, elle a préféré céder à la demande de rançon, ce que déconseillent pourtant certains experts.

« Nous n’avions plus ni téléphone, ni internet, ni système informatique », a raconté lors d’un séminaire en ligne Bill Baertlein, à la tête de ce territoire rural de 26.000 habitants près de Portland, surtout connu pour son fromage.

Les autorités ont étudié si le système pouvait être débloqué sans payer mais « nous avons déterminé qu’on ne pourrait probablement pas le faire », a-t-il expliqué.

Les négociations avec les pirates, originaires selon lui de Russie, ont duré plusieurs semaines et la ville a finalement payé, avec l’aide d’une société de sécurité informatique.

« On croit que ça n’arrive qu’aux autres, eh bien ça nous est arrivé et ça peut arriver à n’importe qui », a-t-il commenté.

Au total, l’affaire a coûté 525.000 dollars à Tillamook, frais juridiques et commissions compris, mais c’est toujours moins que le million qu’il aurait fallu dépenser pour refaire l’ensemble du système, une opération qui aurait duré entre un et deux ans, selon M. Baertlein.

Quatre mois plus tard, l’Université de l’Utah payait près de 460.000 dollars pour récupérer les données de ses étudiants et de son personnel, encryptées par des pirates, malgré le « risque » que cybercriminels ne respectent pas « les termes de la négociation ».

Pour faire pression sur leur victime, les pirates font parfois fuiter une partie des données.

C’est ce qui est arrivé à la police de Washington, visée par une attaque du groupe cybercriminel Babuk qui s’est emparé des dossiers administratifs et personnels de policiers de la capitale américaine.

Les cyberpirates ont diffusé mardi les dossiers cryptés d’une vingtaine d’agents, a confirmé une porte-parole de la police.

« Les négociations sont dans l’impasse, le montant qui nous été offert ne nous convient pas », a expliqué le groupe dans un message, menaçant de dévoiler l’ensemble des dossiers volés avec leur clé de décodage.

– Rapport coût-bénéfice –

Ils concernent des évaluations psychologiques, des entretiens professionnels, les numéros de sécurité sociale, adresses et numéros de téléphone des agents, ou leurs signatures électroniques, selon des médias spécialisés. Des données qui pourraient ensuite être utilisées par d’autres cybercriminels.

D’autres attaques, comme celles sur des infrastructures cruciales, ont des répercussions économiques.

Le piratage la semaine dernière de Colonial Pipeline, gestionnaire d’un important réseau d’oléoducs aux Etats-Unis, a provoqué la paralysie des opérations de ce dernier et la panique de milliers d’automobilistes, qui se sont rués sur les stations-service de la côte Est, entraînant une pénurie d’essence dans plusieurs régions.

Colonial Pipeline a annoncé mercredi avoir « amorcé » le redémarrage des opérations de son oléoduc. Mais il faudra cependant « plusieurs jours » avant un retour à la normale, a dit le groupe.

Après cette nouvelle attaque majeure, le président américain Joe Biden a signé mercredi un décret pour améliorer la cybersécurité aux Etats-Unis.

Le décret présidentiel entend notamment obliger les sociétés à communiquer en cas de failles informatiques. Il exige aussi des standards de cybersécurité pour le gouvernement et les agences fédérales et la création d’un bureau national de la cybersécurité

Les entreprises « doivent considérer le rapport coût-profit » d’une rançon, a dit lundi Anne Neuberger, la conseillère principale en cybersécurité de la Maison Blanche.

La police fédérale et certains experts déconseillent en effet le paiement d’une rançon.

« Cela encourage aussi les criminels à viser de nouvelles victimes et incite d’autres personnes à s’engager dans ce type d’activités illégales », explique le FBI sur sa page internet consacrée aux vols de données.

Selon la société de sécurité informatique danoise Heimdal, la moitié des victimes de piratage n’ont jamais récupéré leurs données. Et, même si elles sont récupérées, il n’y a aucune garantie qu’elles n’aient pas déjà été revendues sur le dark web.

Enfin, pour les sociétés américaines, le paiement d’une rançon pourrait être illégal dans certaines situations, souligne Heimdal.

En octobre 2020, le Bureau de contrôle des avoirs étrangers (OFAC) du ministère du Trésor a indiqué que les entités ayant payé une rançon pourraient faire l’objet d’une enquête et être passibles d’amendes, même si elles sont passées par un intermédiaire comme une société d’assurance, pour avoir financé un groupe criminel soumis à des sanctions de Washington.