Les cybercriminels n’ont pas d’état d’âme. La crise du Covid-19 n’a pas empêché la multiplication des attaques informatiques, sur des cibles parfois vitales. Après ceux de Dax et de Villefranche, le centre hospitalier d’Arles a notamment fait l’objet d’une attaque au ransomware en août 2021, au cœur de la troisième vague.
Les ransomwares, cependant, ne s’attaquent pas qu’à des cibles prestigieuses. Particuliers et professionnels en sont également victimes. Ces logiciels de rançon s’introduisent dans un système informatique lorsqu’un utilisateur clique sur un lien frauduleux, puis chiffrent les données internes pour les rendre inutilisables. Les cybercriminels demandent alors une rançon de cyberattaque pour débloquer les données. Que faire pour y échapper ?
L’assurance, une mauvaise solution
Face à cette menace, certains assureurs ont doté leurs contrats cybersécurité d’une option ransomware, qui permet le paiement de la rançon d’une cyberattaque. Mais cette disposition très contestée ne présente pas que des avantages. En effet, le paiement d’une rançon est toujours un pari.
- Tout d’abord, rien ne prouve que le cybercriminel acceptera de restaurer les données endommagées une fois la rançon de cyberattaque payée.
- De plus, le paiement d’une rançon ne protège pas de la récidive. Selon le principe du racket, celui qui paie une fois risque de se faire à nouveau rançonner. Ainsi, selon le spécialiste cyber Proofpoint, 40 % des entreprises ayant payé une première rançon sont de nouveau rançonnées.
- Par ailleurs, même restituées, les données peuvent se révéler définitivement endommagées.
De plus, sur un plan collectif, le paiement des rançons de cyberattaques encourage la multiplication des attaques. Il alimente également le crime organisé et la cybercriminalité. De 2019 à 2020, en effet, l’ANSSI a enregistré une hausse de 225 % des signalements d’attaque par rançongiciel. Dès lors, un système d’assurance contre les ransomware peut bien apparaître comme un véritable encouragement à ces pratiques. Les criminels ont en effet l’assurance d’obtenir un paiement.
Ces diverses raisons ont conduit les acteurs du numérique à réagir à ces pratiques d’assurance. Fin 2020, Emsisoft, spécialiste en cybersécurité, a notamment appelé à l’interdiction du paiement des rançons d’une cyberattaque. Aux États-Unis, le Trésor américain a rappelé que le paiement d’une rançon pouvait entraîner des sanctions pour la victime. Enfin, outre-Manche, l’ancien dirigeant de l’agence de sécurité cyber britannique a récemment plaidé pour l’interdiction du paiement d’une rançon de cyberattaque.
Vers l’interdiction du paiement des rançons ?
En mai 2021, Axa a annoncé mettre fin à son option « cyber rançonnage », mise en place quelques mois plus tôt. Cette décision découle de l’intervention du directeur de l’ANSSI lors d’une audition au Sénat. Ce dernier avait pointé le « jeu trouble » des assureurs, accusés de faire des entreprises françaises de cibles pour les cybercriminels en facilitant le paiement des rançons de cyberattaque.
Le 13 octobre 2021, la députée Valérie Faure-Muntian a dévoilé son rapport parlementaire sur la cyberassurance en France. Constatant que la moitié des victimes ont finalement cédé au chantage et payé la rançon, elle propose des mesures fortes. Elle remet notamment en cause la couverture du paiement des rançons par les assurances, pratique qui encourage et finance la cybercriminalité. Et si cette pratique est jusqu’ici légale en France, elle avance l’idée de l’interdire purement et simplement. Elle va même jusqu’à proposer de sanctionner les entreprises qui céderaient au chantage et procéderaient au paiement de la rançon de cyberattaque.
L’interdiction des contrats assurant les risques de chantage numérique est-elle une bonne solution ? La question est légitime, mais il ne faut pas perdre de vue que, dans ce cas, les victimes risquent de payer directement la rançon. Pénaliser les victimes ? C’est pour certaines d’entre elles une condamnation à la faillite. Sans leurs données, certaines entreprises doivent purement et simplement cesser leur activité.
La vraie solution : Le respect des bonnes pratiques
La vraie solution réside très certainement dans la prévention. La sensibilisation des salariés comme des dirigeants aux risques cyber est essentielle. Certaines entreprises ont même mis en place un système de sanction pour les salariés trop souvent piégés par les opérations de phishing. S’il s’agit généralement d’un simple avertissement, certaines vont jusqu’au licenciement pour faute. Avant d’en arriver là, mieux vaut bien sûr mettre en place une politique de sensibilisation efficace. On pourrait souligner d’ailleurs que les entreprises souscrivant une assurance sur les risques cyber sont déjà averties de cette problématique. La souscription de tels contrats peut également contribuer à les sensibiliser. Marc-Henri Boydon, fondateur du spécialiste de l’assurance cyber Cyber Cover, défend cet argument. Il avance qu’il n’a jamais eu à payer une rançon pour ses clients.
La prévention, cependant, vise à écarter à la fois le risque humain et le risque matériel. L’ultime parade consiste donc à sécuriser ses données en les confiant à une entreprise spécialisée. Ainsi, même en cas d’attaque et de dégradation irrémédiable, nul besoin de payer une rançon pour les récupérer.
Pour la sécurité de vos données, DropCloud a mis au point NeoBe, un logiciel de sauvegarde en ligne offrant les meilleures garanties.
- La sauvegarde s’opère de manière automatique.
- Les données professionnelles générées par un logiciel métier sont entièrement sécurisées.
- Vos données sont hébergées dans nos data-centers situés en France.
- Le transfert des données est crypté de bout en bout.
- La restauration de vos données est accessible 24 heures sur 24, et garantie par assurance.
- Nous vous proposons un accompagnement téléphonique gratuit.
- NeoBe est certifié ISO 27001, norme internationale de sécurité des systèmes d’information.
Avec NeoBe, vos données sont totalement à l’abri, et récupérables immédiatement en cas d’infection par un cryptovirus.
