Double peine, payer une rançon et être sanctionné. Incitation à la formation du personnel d’entreprise à la sécurité informatique. Merci à mon correspondant.
Source undernew.fr
Alors que les entreprises continuent d’être les cibles privilégiées des cyberattaquants et qu’elles continuent de payer leurs rançons afin de limiter les dégâts, notre gouvernement tente d’apporter une réponse avec un rapport qui fait part de recommandations pour « lever les freins au développement en France d’un marché mature de la cyber assurance ». L’objectif est défini : en structurant le segment assurantiel, c’est tout l’écosystème numérique français qui pourrait devenir plus robuste grâce à une meilleure prévention.
Tribune – Dans les grandes lignes, ce rapport parlementaire propose d’interdire aux assureurs de couvrir les rançons. L’argument fort du gouvernement au pouvoir : « Le paiement des rançons alimente la cybercriminalité et rien ne garantit que la rançon payée soit un gage de retour à la situation initiale, explique la députée de la Loire, Valéria Faure-Muntian (LREM). « Le paiement encourage même les cybercriminels à récidiver et en incite d’autres à concevoir des cyberattaques ».
Face à cette situation inédite, il peut être de bon augure de se demander s’il est préférable que les entreprises payent leurs rançons ou non. Loïc Guézo, Directeur stratégie cybersécurité SEMEA chez Proofpoint, examine cette proposition :
« Notre dernier rapport State of the Phish 2021 indique que 34 % des organisations ont choisi de payer les rançons, et ce malgré les mises en garde du gouvernement sur le sujet. Cela signifie-t-il que la plupart des victimes optent pour des solutions rapides plutôt que pour un investissement à long terme dans la sécurisation de leurs actifs numériques ?
Nous pouvons certainement spéculer sur un certain nombre de facteurs qui auraient pu contraindre une organisation à payer une rançon en 2021. Les attaquants continuent de mettre leurs cibles sous pression, les menaçant non seulement de ne pas accéder aux données, mais aussi de les divulguer publiquement si les rançons ne sont pas payées. Ce deuxième niveau d’extorsion pourrait ainsi entacher la réputation des décideurs dans certains cas. Et en tout état de cause, si une organisation n’a pas anticipé ou testé de manière approfondie une réponse à une infection généralisée par rançongiciel, elle prend le risque d’être contrainte à devoir payer la rançon afin de limiter les dégâts matériels dans un contexte d’urgence.
La réaction à une infection par un rançongiciel est propre à chaque type d’entreprise. L’ampleur de l’infection, l’impact sur les opérations et le montant de la rançon sont autant de facteurs susceptibles d’influencer la décision de gestion retenue de l’attaque. Mais une bonne pratique est de privilégier d’investir en amont sur le vecteur initial d’entrée par mail que sur la remédiation et le paiement des rançons. »
Source undernew.fr (Plein de conseils sur la sécurité..)
Dans l’absolu c’est pas une mauvaise idée. Si les entreprises ne peuvent pas payer, le ransomware n’a pas de raison d’exister. Enfin, dans un monde idéal.
L’effet pervers, c’est que les raisons et les instigateurs vont juste changer. Ce sera une aubaine pour un patron qui veut couler la concurrence. L’objectif n’étant plus de se faire payer mais de ruiner la victime. A ce jeu là, une grosse boite genre multinationale pourra phagocyter n’importe quelle boite plus petite après l’avoir sabordée. Pour récupérer d’éventuels brevets qu’une petite boite ne veut pas vendre, ou simplement éliminer les empêcheurs de monopoliser tranquille.
Le créateur du ransomware ne sera plus payé par sa victime, mais par son commanditaire. Ca laisse présumer d’un développement accru de cette pratique. Puisque le créateur devient certain d’être payé à chaque attaque.
oui, il y a cet effet pervers.
MAIS, pour avoir crée des procédures de ‘bonne gouvernance’ dans la gestion d’informations & de sécurité, je peux vous assurer que la majorité des entreprises n’ont pas de plan de sécurité IT.
Très peu sont donc protégé contre les attaques.
Autant qu’ils investissent dans un audit, une bonne sécurité (et donc paye les IT), plutôt que les pirates.