Le ransomware, ou « rançongiciel » en français, est l’équivalent numérique d’une prise d’otage. Il verrouille votre ordinateur ou votre téléphone. Il crypte vos données personnelles. Le but ? Argent.
Vous payez, ils promettent de déverrouiller le système ou de remettre la clé de décryptage. La plupart du temps, c’est un mensonge. Mais le mécanisme est simple. Il s’agit d’un malware conçu pour extorquer de l’argent en retenant votre vie numérique contre une rançon.
Ce n’est pas seulement une nuisance. C’est une industrie en plein essor.
L’augmentation du profit des cybercriminels
La croissance est stupéfiante. Symantec a signalé une augmentation annuelle de 113 % des incidents de ransomware en 2014. C’est une vieille nouvelle en matière de cybersécurité.
Regardez les données de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Entre 2019 et 2020, les attaques ont augmenté de 255 %.
Pourquoi ce pic ? Les hackers s’organisent. Ils ne se contentent plus de lancer des fléchettes sur une planche. Ils anticipent les cibles. Ils se préparent.
“Les hackers se préparent désormais à l’avance à cibler des institutions ou des entreprises importantes pour exiger des rançons extrêmement élevées.”
Les enjeux ont augmenté. Il ne s’agit plus seulement de verrouiller un ordinateur portable. Il s’agit de paralyser des organisations entières.
Double extorsion : la nouvelle normalité
L’ANSSI met en avant une évolution terrifiante : la double extorsion.
Les ransomwares traditionnels cryptent vos fichiers. Vous perdez l’accès à votre travail. Vous payez pour le récupérer.
La double extorsion ajoute une deuxième couche de menace. Si vous ne payez pas, les pirates ne se contentent pas de chiffrer vos fichiers. Ils les divulguent. Publiquement.
Cela change le calcul pour les victimes. Même si vous disposez de sauvegardes, les dommages à votre réputation causés par une violation de données sont catastrophiques. La pression est immense.
Le paiement reflète cet effet de levier. On parle de centaines de milliers d’euros. Parfois un million entier.
Où va cet argent ? Cela paie les hackers. Mais il sert aussi de « fonds d’investissement ». Les pirates utilisent les bénéfices pour créer des logiciels malveillants plus sophistiqués. Le cycle se nourrit.
Comment ces attaques se propagent
Les modes de livraison n’ont pas beaucoup changé. Ils ressemblent toujours à des e-mails légitimes.
Vous recevez un message avec une pièce jointe. Ou un lien vers un site Web compromis. Cliquez sur l’un ou l’autre et vous y êtes.
Certaines variantes de ransomwares, comme le tristement célèbre CryptoLocker, se concentrent uniquement sur le cryptage. Ils brouillent vos données afin que vous ne puissiez pas les ouvrir.
D’autres sont plus envahissants. Ils exécutent des applications qui modifient le registre du système d’exploitation. Cela verrouille toute la machine. Vous ne pouvez même pas démarrer correctement.
Qui est touché ?
Tout le monde. Mais certains secteurs souffrent plus que d’autres.
Les entreprises et les institutions sont des cibles privilégiées. Gouvernements locaux. Établissements de santé. Organismes du secteur public.
L’impact est immédiat et grave. Arrêt des opérations. L’activité s’arrête. Les pertes financières augmentent rapidement.
Pour les entreprises technologiques du secteur numérique, les dégâts sont plus profonds. La crédibilité s’évapore. Les clients partent. La confiance, une fois rompue, est difficile à reconstruire.
Mais ne pensez pas que vous êtes en sécurité parce que vous êtes une petite entreprise ou un particulier. Vous n’êtes pas.
Les acteurs malveillants ratissent large. Si vos données ont de la valeur ou si vos systèmes peuvent être exploités pour de nouvelles attaques, vous êtes une cible. La défense ne consiste pas à être trop grande pour échouer. Il s’agit d’être trop difficile à craquer.
Nous avons tendance à supposer que les ransomwares sont un problème informatique. Ce n’est pas le cas. Votre téléphone et votre tablette sont également un jeu équitable.
Le vecteur de menace est différent, mais le résultat est le même. Vos fichiers disparaissent. Ils sont cryptés. Vous recevez une facture pour le transfert Bitcoin ou PayPal pour les récupérer.
Sur mobile, ces attaques se cachent à la vue de tous. Ils n’ont pas besoin d’exploits sophistiqués. Ils ont juste besoin que vous téléchargiez la mauvaise chose.
Le piège des applications non officielles
Les utilisateurs d’Android sont ici particulièrement vulnérables. Pourquoi? Parce que l’écosystème permet le sideloading plus facilement qu’iOS. Mais même sur iOS, si vous jailbreakez ou utilisez des certificats d’entreprise, vous êtes exposé.
Les ransomwares se font souvent passer pour des applications utilitaires. Faux logiciel antivirus. Applications de streaming pornographique. Des choses que vous ne trouverez normalement pas sur le Play Store ou l’App Store officiel.
Prenons l’exemple de CryCryptor au Canada.
Il n’a pas été enterré dans un APK louche. Elle a été déguisée en application légitime de recherche de contacts COVID-19. Vous le téléchargez pour le bien public. Vous le lancez. Et soudain, vos photos, contacts et documents sont verrouillés derrière une clé de cryptage.
Le malware s’active lors de l’installation. Cela n’attend pas. Il crypte le stockage de l’appareil presque instantanément.
Il ne s’agit pas seulement de données volées. Il s’agit d’une prise en otage. Les attaquants ne veulent pas seulement votre mot de passe. Ils veulent votre accès.
Tactiques d’extorsion et de peur basées sur le Web
Vous n’avez pas toujours besoin de télécharger une application pour être infecté. Parfois, le navigateur est l’arme.
Les pirates créent de fausses pages de destination. Ils promettent des films piratés. Ou du contenu pour adultes. Ils s’attaquent à leurs impulsions. Mais le vrai piège n’est pas le fichier sur lequel vous cliquez.
C’est le pop-up.
L’écran devient noir. Ou rouge. Un message apparaît, prétendant provenir d’une agence gouvernementale. Le FBI. Hadopi. La police locale.
Le message indique que vous avez été attrapé. Téléchargement de contenu illégal. Violation du droit d’auteur. Posséder du matériel illégal.
Cette affirmation est absurde. Mais c’est conçu pour déclencher la panique.
On vous dit de payer une « amende » immédiatement. Les modes de paiement sont spécifiques. Abonnements SMS avec tarifs premium. Virements bancaires directs. Ou des services comme PayPal.
Il s’agit de l’ingénierie sociale dans sa forme la plus élémentaire. Aucune exécution de code. Aucun exploit du jour zéro. Juste une manipulation psychologique.
Si vous payez, vous vous marquez comme une cible facile. La prochaine fois, ils en redemanderont. Ou ils vendront votre numéro de téléphone à des escrocs.
Comment se protéger réellement
Il n’y a pas de sécurité parfaite. Il n’y a que la gestion des risques.
Vous ne pouvez pas éliminer toutes les menaces. Mais vous pouvez fermer les portes les plus évidentes.
1. Arrêtez de tomber dans le piège du phishing
Le phishing ne se limite pas au courrier électronique. C’est un SMS (smishing). Ce sont de faux sites Web. Ce sont des notifications push.
La clé est la vérification. Si vous recevez un message de votre banque ou du bureau des impôts, ne cliquez pas sur le lien.
Ouvrez l’application officielle. Connectez-vous vous-même. Vérifiez vos messages là-bas.
Si le message contient un lien vers une page de connexion, il est presque certainement faux. Les services légitimes envoient rarement des liens de connexion directs via SMS ou e-mails informels.
2. Renforcez votre authentification
Les mots de passe faibles constituent le point d’entrée le plus simple.
Si vous utilisez « password123 » ou votre anniversaire, vous avez terminé. Les outils automatisés peuvent résoudre ce problème en quelques secondes.
Utilisez des mots de passe uniques pour chaque compte. Un gestionnaire de mots de passe n’est pas négociable pour une protection sérieuse. Il génère des chaînes aléatoires et complexes. Vous n’avez besoin de mémoriser qu’un seul mot de passe principal.
Activez l’authentification à deux facteurs (2FA) partout. Pas le 2FA basé sur SMS si vous pouvez l’aider. Utilisez une application d’authentification ou une clé matérielle. Les SMS peuvent être interceptés via l’échange de carte SIM.
3. Utilisez des outils de sécurité, mais ne leur faites pas aveuglément confiance
Un pare-feu, un antivirus et un VPN sont des exigences de base.
Ils ne vous rendent pas invisible. Ils ne font qu’augmenter le coût d’entrée pour les attaquants.
Un VPN crypte votre trafic sur le Wi-Fi public. C’est crucial. Vous ne voulez pas que votre FAI ou le propriétaire du café voie ce que vous faites.
L’antivirus sur mobile concerne moins l’analyse que l’analyse comportementale. Il surveille les applications agissant étrangement. Comme une application de lampe de poche essayant d’accéder à vos contacts.
4. L’éducation est le meilleur pare-feu
Dans un environnement d’entreprise, la formation stoppe les attaques avant qu’elles ne commencent.
Pour les particuliers, la sensibilisation est tout aussi importante.
Comprenez la terminologie. Ransomware. CryptoLocker. Phishing. Phishing ciblé.
Lorsque vous savez comment fonctionne l’attaque, vous avez moins de chances de vous laisser prendre au piège. Vous repérerez l’urgence. Les tactiques de peur. Les demandes contre nature.
La réalité de la sécurité mobile
Nous
