Cybersécurité : les demandes d’indemnisation liées à certains équipements réseau ont augmenté

Le RDP, une présence imminente

Une autre menace liée aux périphériques est le Remote Desktop Protocol (RDP), une fonction de communication à distance intégrée à Microsoft Windows, exposée sur Internet. « Après une baisse en 2022, le risque associé au RDP a augmenté en 2023. Les assurés utilisant le RDP exposé sur Internet étaient 2,5 fois plus susceptibles de subir un sinistre en 2023 », peut-on lire dans le rapport.

Coalition n’est pas le seul fournisseur à avoir observé cette tendance. Sophos a publié au début du mois son « Active Adversary Report of 1H 2024 », qui révèle que 90 % des attaques auxquelles l’éditeur de solutions de sécurité a répondu en 2023 impliquaient une utilisation abusive de RDP – une tendance constante au cours des dernières années.

Shelley Ma s’est expliquée sur la menace omniprésente du RDP, qu’elle a observée de première main : « Nous [Coalition] avons enregistré une hausse de près de 60 % des adresses IP uniques recherchant des RDP ouverts au cours de l’année écoulée, ce qui suggère une tendance croissante des attaquants à cibler ces points d’entrée », a-t-elle déclaré. « Je travaille dans le secteur depuis 2014 et les RDP ne disparaissent jamais. À l’époque, 90 à 95 % des ransomwares étaient dus à des RDP, et à ce jour, les RDP sont toujours présents, ce qui me surprend honnêtement. Même si l’industrie dans son ensemble s’est améliorée, le RDP est toujours un problème ».

Elle a attribué les risques RDP en partie au fait que les entreprises oublient parfois l’existence d’un point d’entrée parce qu’il s’exécute dans un ancien serveur. En outre, les RDP peuvent être scannés et détectés lorsque les équipes de sécurité exposent temporairement les instances pour faciliter la migration d’une plate-forme à une autre. Dans d’autres cas, une entreprise peut acquérir ou fusionner avec une autre organisation et ne pas savoir qu’il existe des instances RDP ouvertes dans l’infrastructure.

Lorsqu’elle alerte les assurés, Coalition considère que les risques liés au RDP sont critiques, et les notifications ont donc tendance à être plus agressives. Cependant, l’obtention de réponses peut dépendre de la personnalité du personnel informatique.

Outre le RDP, les ransomwares sont restés une menace constante l’année dernière. Coalition a constaté que la fréquence des ransomwares a augmenté de 15 % d’une année sur l’autre, sous l’effet d’un regain d’activité au cours du premier semestre 2023.

En ce qui concerne le second semestre 2023, Coalition a observé que la fréquence, la gravité et les demandes de ransomware ont diminué. Le rapport attribue le succès des efforts d’application de la loi aux fluctuations des niveaux d’activité des ransomwares tout au long de l’année. Par exemple, en décembre, le ministère de la Justice a annoncé que le FBI avait démantelé le gang du ransomware BlackCat/Alphv.

Coalition s’oppose à l’interdiction du paiement des rançons

Le rapport se concentre également sur le paiement des ransomwares, un sujet controversé ces derniers temps, car l’activité des ransomwares et le nombre de victimes ont atteint des records historiques en 2023. Coalition a constaté que la demande moyenne de rançon a augmenté de 36 % pour atteindre une moyenne de près de 1,4 million de dollars en 2023.

Certains professionnels de l’informatique affirment que le fait de céder aux demandes d’extorsion alimente les opérations des groupes de ransomware et devrait être interdit. D’autres estiment que le paiement devrait être une décision commerciale, car les attaques portent atteinte aux opérations, à l’économie et à la réputation des victimes.

« Si le paiement de toutes les rançons n’est pas la solution, une interdiction générale n’est pas réaliste. Les partisans d’une interdiction du paiement des ransomwares affirment souvent que les cyberassureurs font partie du problème, suggérant qu’ils paient des rançons comme moyen facile de s’en sortir, ou qu’ils considèrent l’assurance comme un substitut aux investissements en matière de sécurité », indique le rapport. « Les assureurs subissent souvent des coûts d’incident plus élevés que la demande de rançon initiale, en dépensant plus pour la réponse à la crise et les dépenses de récupération. »

Le rapport révèle que 40 % des assurés de Coalition ayant subi une attaque par ransomware l’année dernière ont payé. Mais Coalition a également réussi à négocier avec les acteurs de la menace une réduction du montant initial. L’assureur a négocié des demandes de réduction de 64 % en moyenne en 2023.

Selon Shelley Ma, les stratégies de négociation font appel à la psychologie, à la théorie des jeux et à différents principes mathématiques. Cela devient encore plus difficile maintenant que les attaquants ont apparemment adopté l’IA dans leurs pratiques. Lors des communications avec les acteurs de la menace, par exemple, Shelley Ma a remarqué une amélioration significative du vocabulaire utilisé.

« Si l’on compare les communications par courrier électronique d’un certain acteur en 2016 à celles d’aujourd’hui, on ne peut même pas dire qu’il s’agit de la même chose », a-t-elle déclaré.

Shelley Ma a également observé comment les attaquants utilisent l’IA pour synthétiser de grandes quantités de données beaucoup plus rapidement. Lors de l’exfiltration de centaines de gigaoctets de données, il peut être impossible pour les acteurs de la menace d’examiner et de déterminer exactement ce qui est encapsulé. Or, selon Shelley Ma, les outils d’intelligence artificielle permettent d’accélérer le processus, ce qui alimente les risques d’extorsion de données.

Les assaillants peuvent désormais dire : « Nous savons que vous avez des relations d’affaires avec les entreprises X, Y et Z. Nous savons combien vous gagnez sur la base du grand livre comptable ». Ils peuvent parcourir les données avec une grande facilité et les traduire dans leur langue maternelle. C’est un outil puissant ».