Rançongiciel : ce qui se passe vraiment, et ce qui l’aurait évité

Un rançongiciel n'est pas un coup de foudre. C'est une chaîne d'étapes, et une chaîne se casse à n'importe lequel de ses maillons. Comprendre le déroulement permet de voir où intervenir — et, accessoirement, de constater que les mesures efficaces sont peu nombreuses et à la portée de toute organisation.

Cet article décrit un mécanisme. Il ne donne aucune méthode exploitable, ne raconte aucun cas client, et ne se termine pas par « appelez-nous » : il doit vous servir sans nous.

Maillon 1 — l'entrée

Trois portes, et elles sont presque toujours les mêmes.

Une pièce jointe ou un lien. Un message crédible, souvent une réponse à une conversation réelle, avec un document à ouvrir. La personne qui clique n'est ni imprudente ni négligente : le message était vraisemblable, et c'était son travail de l'ouvrir.

Un mot de passe réutilisé. Un service extérieur subit une fuite ; le couple adresse et mot de passe se retrouve dans une liste. Si la même combinaison ouvre votre messagerie ou votre accès distant, l'entrée ne demande aucune compétence particulière.

Un service exposé et non mis à jour. Un accès distant, un serveur de fichiers, un outil de gestion accessible depuis Internet, dont la faille est publique et corrigée depuis des mois. Les recherches sont automatiques et permanentes.

Maillon 2 — la progression silencieuse

C'est l'étape que l'on ignore, et c'est la plus longue : plusieurs jours, parfois plusieurs semaines. Rien ne se passe visiblement. La machine fonctionne normalement, personne ne signale de lenteur.

Pendant ce temps, l'accès obtenu sert à regarder : quels serveurs existent, où sont les données qui comptent, quels comptes disposent de droits étendus, et — point décisif — où sont les sauvegardes et comment elles sont branchées.

Cette phase explique pourquoi les mesures de détection classiques passent souvent à côté : il n'y a pas d'attaque en cours, seulement une session ouverte qui fait des choses banales avec des identifiants légitimes.

Maillon 3 — l'élévation des droits

Un compte ordinaire suffit à entrer, pas à tout chiffrer. L'étape suivante consiste donc à obtenir un compte d'administration, souvent en récupérant des identifiants restés en mémoire sur une machine, ou en exploitant un compte de service dont le mot de passe n'a pas changé depuis des années.

C'est le maillon qui justifie une règle simple et souvent négligée : personne ne travaille au quotidien avec un compte d'administration. Le compte à droits étendus sert aux opérations qui l'exigent, et à rien d'autre.

Maillon 4 — le chiffrement

Il se déclenche en une fois, généralement la nuit ou un vendredi soir, et il vise en priorité ce qui bloquerait le retour à la normale : les serveurs de fichiers, les bases de données, et les sauvegardes accessibles.

C'est ce dernier point qui transforme un incident en arrêt d'activité. Une organisation dont les sauvegardes sont chiffrées en même temps que la production n'a pas subi une panne : elle a perdu son moyen de s'en remettre.

Maillon 5 — la demande

Elle arrive avec un compte à rebours et, de plus en plus souvent, avec une seconde menace : les données ont été copiées avant d'être chiffrées, et seront publiées à défaut de paiement. C'est ce qu'on appelle la double extorsion, et elle change la nature du problème — restaurer vos serveurs ne fait rien disparaître.

Faut-il payer ?

La réponse honnête tient en trois constats, sans posture morale.

• Le paiement n'achète pas une garantie. Il achète l'espoir d'une clé de déchiffrement, dont on découvre parfois qu'elle est lente, incomplète ou défaillante sur certains fichiers.
• Il ne fait pas disparaître les données déjà copiées. Rien ne permet de vérifier une promesse de suppression.
• Il ne protège pas d'une seconde demande. Une organisation qui a payé est une organisation dont on sait qu'elle paie.

La décision revient à la direction, souvent sous pression et en quelques heures. C'est précisément pour cela qu'elle doit avoir été discutée à froid, avant.

Les trois mesures qui cassent la chaîne

Elles ne demandent ni budget considérable ni équipe dédiée. Chacune casse un maillon différent, et c'est leur cumul qui protège.

1. Une sauvegarde hors ligne, testée

Elle casse le maillon 4. Une copie qu'aucune machine du réseau ne peut modifier — support débranché entre deux sauvegardes, ou espace distant en écriture unique — reste debout quand le reste tombe. Et elle ne vaut que si elle a été restaurée au moins une fois : la procédure est décrite dans notre article sur le test des sauvegardes.

2. La double authentification

Elle casse le maillon 1. Un mot de passe volé ou réutilisé ne suffit plus à entrer. À activer en priorité sur la messagerie, les accès distants et les comptes d'administration — dans cet ordre, la messagerie servant de porte de secours à tout le reste.

3. Les mises à jour

Elles cassent le maillon 1 également, par l'autre porte. L'essentiel n'est pas la vitesse mais l'exhaustivité : il faut d'abord une liste de ce qui est exposé sur Internet. On ne met pas à jour ce dont on ignore l'existence, et les oublis se logent presque toujours dans un outil installé il y a des années pour un besoin ponctuel.

Aucune de ces trois mesures ne suffit seule. Ensemble, elles obligent à franchir trois obstacles indépendants — ce qui est déjà beaucoup pour une opération automatisée qui cherche le passage le plus facile.

Le plan du jour J

Une page suffit, mais elle doit exister, et être imprimée : elle sera inaccessible si elle est stockée sur le réseau chiffré.

1. Qui décide. Une personne nommée, et son suppléant. Sans cela, les premières heures se passent à chercher qui a autorité pour arrêter des systèmes.
2. Qui débranche quoi. Isoler ne veut pas dire éteindre : une machine éteinte perd des traces utiles à l'analyse. Débrancher le réseau, oui ; couper l'alimentation, seulement sur instruction.
3. Qui prévient qui. La direction, le prestataire informatique, l'assureur, et — si des données personnelles sont concernées — l'autorité compétente, dans le délai prévu par la réglementation applicable.
4. Ce qui doit continuer. Quelles activités doivent fonctionner même sans système, et comment. C'est la partie que personne n'écrit et qui sert le plus.

Ce qu'il faut retenir

Le scénario est mécanique et connu ; il n'a rien d'imparable. Une sauvegarde hors ligne testée, la double authentification sur les accès sensibles et un inventaire à jour de ce qui est exposé retirent l'essentiel du risque, pour un coût sans commune mesure avec celui d'un arrêt.

Nos pages Cybersécurité et DevOps & Cloud traitent de la protection et de l'infrastructure. Mais les trois mesures ci-dessus se mettent en place sans nous, et c'est par elles qu'il faut commencer.