Les attaques par rançongiciel ciblent les managers et autres dirigeants d’entreprise 

Les attaques par rançongiciel sont souvent évaluées à l’aune de leur impact final : systèmes chiffrés, données volées, perturbations opérationnelles et demandes de rançon de plusieurs millions de dollars. 

Pourtant, les employés compromis au cours des premières étapes d’une attaque reçoivent beaucoup moins d’attention. 

De nouvelles recherches de Zscaler ThreatLabz suggèrent que les opérateurs de rançongiciels ciblent de plus en plus les employés dont l’autorité et les accès professionnels peuvent offrir des voies d’accès précieuses au sein d’une organisation.

Principaux enseignements des conclusions de Zscaler sur les rançongiciels

• 62 % des victimes occupaient des postes de niveau manager ou supérieur
• 75 % des victimes travaillaient dans la finance, la vente, les opérations, les ressources humaines ou le marketing
• Environ 50 % des victimes travaillaient dans les secteurs de l’industrie ou de l’informatique
• 44 % des victimes appartenaient à la génération X, pour un âge moyen de 46 ans 

Les attaquants spécialisés dans les rançongiciels ciblent de plus en plus les managers et les dirigeants d’entreprise 

ThreatLabz a analysé une campagne de rançongiciel associée à un groupe connu pour obtenir un accès initial, voler d’importantes quantités de données d’entreprise et chiffrer sélectivement les systèmes critiques. 

Sur une période d’un mois, les chercheurs ont identifié 351 victimes au sein de 334 organisations. 

Les conclusions indiquent que l’autorité managériale, l’accès aux processus financiers et les relations interfonctionnelles peuvent rendre les employés plus intéressants aux yeux des attaquants.

Pourquoi les attaquants spécialisés dans les rançongiciels ciblent les managers disposant d’un accès privilégié aux activités de l’entreprise 

Parmi les victimes identifiées, 62 % occupaient des postes de niveau manager ou supérieur. Ce constat met en évidence une distinction importante entre les privilèges techniques et les privilèges métier.

Les programmes de sécurité traditionnels se concentrent souvent sur les utilisateurs disposant d’autorisations techniques élevées, mais les managers peuvent détenir des privilèges métier tout aussi précieux. 

Selon leurs responsabilités, ils peuvent approuver des paiements, superviser des budgets, communiquer avec des fournisseurs, examiner des contrats, accéder à des informations confidentielles ou coordonner des activités entre les services.

La compromission de ces comptes pourrait donc permettre aux opérateurs de rançongiciels de recueillir des renseignements, d’accéder à des informations sensibles, d’usurper l’identité d’employés de confiance ou d’étendre leur portée au sein de l’organisation.

L’étude a également révélé que la génération X représentait 44 % des victimes, dont l’âge moyen était de 46 ans. 

Cela n’indique pas nécessairement que l’âge constitue en lui-même un facteur de risque majeur, mais pourrait refléter l’ancienneté professionnelle. 

De nombreux employés de la génération X occupent actuellement des postes établis de management et de direction qui leur donnent les accès organisationnels recherchés par les attaquants.

Les fonctions métier les plus ciblées par les attaques par rançongiciel 

Environ 75 % des victimes travaillaient dans la comptabilité et la finance, la vente, les opérations, les ressources humaines ou le marketing.

La comptabilité et la finance représentaient 17,7 % des victimes, contre 17,4 % pour les ventes et 16,8 % pour les opérations. 

Ces fonctions traitent régulièrement des informations et des processus qui peuvent être précieux lors d’une attaque par rançongiciel.

Par exemple, le personnel comptable peut accéder aux factures, aux informations de paiement, aux coordonnées bancaires, aux approbations et aux dossiers des fournisseurs. 

Les responsables commerciaux peuvent travailler sur les comptes clients, les contrats, les tarifs et les prévisions de chiffre d’affaires. 

Les employés des opérations coordonnent souvent les fournisseurs, les équipes internes et les processus essentiels de l’entreprise.

Ces conclusions montrent pourquoi un employé n’a pas besoin d’identifiants d’administrateur pour créer une exposition importante. 

Un accès métier ordinaire peut ouvrir la voie à des informations sensibles, des applications d’entreprise, des processus financiers et des communications internes de confiance.

Pourquoi les attaquants spécialisés dans les rançongiciels ciblent les entreprises industrielles et technologiques 

Environ la moitié des victimes identifiées travaillaient dans deux secteurs : l’industrie représentait 35,5 %, tandis que les technologies de l’information en représentaient 14,6 %.

Les employés compromis d’organisations industrielles pourraient potentiellement donner accès aux systèmes qui prennent en charge la fabrication, la logistique ou la distribution. 

Dans les entreprises technologiques, les comptes des employés peuvent exposer la propriété intellectuelle ou les plateformes qui prennent en charge les produits et services numériques.

Ces environnements constituent des cibles précieuses pour les rançongiciels, car la perturbation de la production, de la logistique, des paiements ou des services numériques peut créer une pression opérationnelle et financière lors des négociations d’extorsion. 

Comment les organisations peuvent réduire le risque lié aux rançongiciels  

Ces conclusions suggèrent que les organisations devraient étendre leurs défenses contre les rançongiciels au-delà des comptes techniques privilégiés traditionnels. 

Les équipes de sécurité devraient prendre en compte l’autorité, les relations, les applications et les informations accessibles aux managers et aux autres employés essentiels à l’activité. 

Les organisations peuvent renforcer la protection de ces utilisateurs à haut risque en mettant en œuvre plusieurs mesures de sécurité complémentaires.

• Appliquer uneMFA résistante au phishing et un accès selon le principe du moindre privilège aux managers et aux autres employés à haut risque afin de réduire les abus d’identifiants et de limiter ce à quoi les attaquants peuvent accéder.
• Utiliser des outils de protection contre les rançongiciels qui combinent la détection sur les terminaux, le réseau, les identités et les comportements afin d’identifier et de bloquer les activités malveillantes avant la propagation du rançongiciel.
• Surveiller les identités et les sessions à la recherche d’activités suspectes, notamment les connexions inhabituelles, les changements inattendus de MFA, l’utilisation abusive de jetons, les transferts de données anormaux et les accès distants non autorisés.
• Restreindre les communications externes et vérifier les demandes sensibles afin de réduire les risques d’usurpation d’identité, d’ingénierie sociale et de contacts malveillants via les plateformes collaboratives.
• Exiger une vérification secondaire pour les actions à haut risque, notamment les paiements importants, les changements de coordonnées bancaires, les mises à jour concernant les fournisseurs, les réinitialisations d’identifiants et l’accès aux systèmes sensibles.
• Segmenter les systèmes critiques et conserver des sauvegardes isolées afin de restreindre les déplacements latéraux, de protéger les données essentielles et de faciliter la reprise sans dépendre du paiement d’une rançon.
• Tester des plans de réponse aux incidents avec des outils de simulation d’attaque reposant sur des scénarios de rançongiciel.

En définitive, une défense efficace contre les rançongiciels exige des organisations qu’elles envisagent les privilèges au-delà des identifiants d’administrateur. 

La protection des employés en fonction de leurs accès et de leur autorité peut contribuer à empêcher qu’un compte compromis ne se transforme en attaque par rançongiciel de plus grande ampleur. 

Zero Trust peut contribuer à renforcer cette approche en vérifiant en permanence les accès et en limitant la capacité des attaquants à se déplacer si un compte est compromis.