Comment protéger votre entreprise contre les cyberattaques de ransomware ?
Il est rapporté que 10% des violations de données où les données sont volées impliquent maintenant un ransomware. En 2022, il y a eu une augmentation des violations par ransomware, qui est plus importante aujourd'hui qu'au cours des cinq dernières années. En 2021, 66% des entreprises ont été victimes de ransomwares. Il ressort clairement de ces statistiques que les ransomwares constituent un risque commercial que de nombreuses organisations doivent prendre en compte pour se protéger des violations de données et de la vie privée. Dans cet article, nous allons expliquer comment vous pourriez être affecté par un ransomware et comment appliquer des méthodes pour prévenir de futures cyberattaques.
Qu'est-ce qu'un ransomware ?
Un ransomware est un type de programme malveillant conçu pour crypter les fichiers, les systèmes ou les réseaux d'une victime et les rendre inaccessibles. Le pirate à l’origine du ransomware exige ensuite le paiement de la clé de décryptage permettant de déverrouiller les fichiers. Il peut également menacer de divulguer des données sensibles si l'organisation victime ne paie pas la rançon. Un ransomware peut être téléchargé involontairement sur un ordinateur ou un système, généralement en ouvrant une pièce jointe dangereuse ou en cliquant sur un lien contenant un programme malveillant.
Si une attaque par ransomware entraîne l'altération, la destruction ou la divulgation non autorisée de données à caractère personnel, elle peut être considérée comme une violation de la protection des données en vertu du Règlement général sur la protection des données (RGPD), ce qui peut entraîner des amendes importantes et des atteintes à la réputation si elle n'est pas traitée correctement.
En 2021, l'US Colonial Pipeline a été fermé pendant plusieurs jours à la suite d'une cyberattaque de ransomware ayant coûté 4,4 millions de dollars. De même, en janvier 2023, le journal The Guardian a confirmé avoir subi une cyberattaque de ransomware qui a perturbé certains de ses services. Les détails complets de l'attaque sont inconnus, mais, il est dit que les cybercriminels ont eu accès aux systèmes du journal par le biais d'un compte compromis.
« Au Royaume-Uni, les forces de l'ordre déconseillent d'accepter les demandes de paiement de rançon, dans la mesure où l'accès aux données perdues n'est pas garanti et où vos réseaux ou systèmes sont toujours infectés par des programmes malveillants. Cela signifie que vous serez probablement visé par de futures cyberattaques. Il est préférable de prendre des mesures préventives et de s'assurer que votre organisation dispose d'un plan de réponse clair en cas de cyberattaque. »
Charlotte Gerrish de Gerrish Legal
Ransomware et protection des données
Souvent, les entreprises négligent les cyberattaques de ransomware lorsqu'elles essaient d'adhérer aux dispositions du RGPD. L’autorité de contrôle de la protection des données du Royaume-Uni, l'Information Commissioner's Office (ICO), reconnaît que les ransomwares sont l'un des plus grands cyberincidents affectant les données à caractère personnel, avec pour conséquence la perte d'accès à ces données et leur perte permanente dans le pire des cas. Les données à caractère personnel volées peuvent ensuite être ciblées par des criminels. En qualité de responsable du traitement des données, si vous êtes confronté à une violation de données à caractère personnel due à une cyberattaque de ransomware, en vertu de l'Article 33 paragraphe 1 du RGPD, vous devez informer sans délai l’autorité de contrôle compétente de cette violation.
Comment prévenir les cyberattaques de ransomware ?
Vous trouverez ci-dessous quelques mesures clés que vous pouvez mettre en œuvre pour protéger votre entreprise contre les ransomwares :
Mettez en place des politiques de mots de passe sécurisés
Les cybercriminels à l’origine de ransomware volent les identifiants de connexion, tels que les noms d'utilisateur et les mots de passe, pour accéder aux systèmes de l'entreprise. Une politique de sécurité des mots de passe d’une entreprise doit exiger des employés qu'ils créent des mots de passe complexes et qu'ils les changent régulièrement afin d'empêcher les hackers d'obtenir un accès à long terme aux systèmes de l'entreprise. Il faut également déconseiller aux employés de réutiliser les mots de passe ou d'utiliser le même mot de passe pour plusieurs comptes. Il peut également être judicieux de changer les mots de passe lorsqu'un employé quitte l'organisation afin de minimiser le risque que des informations sensibles soient connues par des personnes extérieures.
Vous pouvez également mettre en place une authentification multifactorielle, de sorte que les employés soient tenus de fournir une deuxième forme d'authentification, par exemple un code envoyé sur leur téléphone ou un scan d'empreinte digitale, en plus de leur nom d'utilisateur et de leur mot de passe lorsqu'ils se connectent aux systèmes de l'entreprise. Ces mesures empêchent tout accès non autorisés même si un hacker vole les identifiants de connexion.
Sauvegarder régulièrement les données
Sauvegarder régulièrement les données et s'assurer que les sauvegardes ont été effectuées avec succès est un moyen de prévention indispensable. Créez et stockez des sauvegardes régulières de données sur un dispositif externe, tel qu'un disque dur externe ou un système de stockage cloud. Vous devriez toujours avoir accès à une copie récente de vos données, même si une cyberattaque de ransomware se produit et que vos données sont cryptées.
Informez vos employés sur les attaques de phishing
L’hameçonnage ou phishing consiste à envoyer des courriels, des SMS ou d'autres formes de communication frauduleuse pour inciter des personnes à divulguer des informations sensibles comme des noms d'utilisateur, des mots de passe ou des données financières.
Les attaques de phishing sont une porte d'entrée courante pour les pirates qui exploitent des ransomware. Elles incitent les employés à télécharger des logiciels malveillants ou à cliquer sur des liens malveillants. Vous pouvez créer une politique interne qui détaille les types d'attaques auxquelles votre entreprise peut être exposée et les mesures que les employés doivent prendre s'ils reçoivent un courriel suspect, par exemple en le signalant à un membre de la direction. En informant vos employés sur les attaques de phishing, vous réduisez le risque de réussite d'une attaque de ransomware.
Maintenez les systèmes à jour avec les correctifs de sécurité
Dans le cas de l'attaque de ransomware visant le Guardian, les pirates auraient obtenu un accès grâce à une vulnérabilité de type « zero-day » dans un logiciel populaire.
Une vulnérabilité de type « zero-day » est une vulnérabilité logicielle inconnue du vendeur et pour laquelle il n'existe aucun correctif. Les cybercriminels ont exploité ces vulnérabilités pour accéder aux systèmes de l'entreprise.
Il est donc très important de rester attentif aux mises à jour des logiciels et aux correctifs de sécurité. Les employés doivent également mettre à jour leurs appareils, tels que les ordinateurs portables et les smartphones, avec des correctifs de sécurité, car ils peuvent constituer une porte d'entrée potentielle pour les cybercriminels.
Disposez de plans de réponse aux incidents efficaces
Malgré tous vos efforts pour prévenir une cyberattaque de ransomware, il est essentiel d'avoir un plan en place.
Un plan de réponse aux incidents efficace doit décrire les mesures à prendre pour contenir l’attaque et empêcher sa propagation, ainsi que les mesures à prendre pour récupérer vos données et restaurer vos systèmes.
Le Guardian a réagi à l'attaque en fermant certains de ses services pendant son enquête. Votre plan d'intervention peut inclure les contacts clés en cas d'attaque, les critères d'escalade ou un organigramme indiquant ce qu'il faut faire à chaque étape et quand faire appel à une assistance juridique.
Comment Gerrish Legal peut-il vous aider ?
Gerrish Legal est un cabinet juridique numérique dynamique. Nous sommes fiers de prodiguer des conseils juridiques experts et de haute qualité à nos précieux clients. Nous sommes spécialisés dans de nombreux aspects du droit numérique tels que le RGPD, la confidentialité des données, le droit numérique et technologique, le droit commercial et la propriété intellectuelle. Nous donnons aux entreprises le soutien dont elles ont besoin pour gérer leurs activités avec succès et en toute confiance tout en se conformant aux réglementations légales, sans avoir à se plier aux exigences numériques en constante évolution.
Nous sommes là pour vous aider, contactez-nous dès aujourd'hui pour plus d'informations.
Article de Nathalie Pouderoux, Paralegal / Consultante pour Gerrish Legal