Les attaques par ransomware ont augmenté de 126% au 1er trimestre 2025, par rapport à 2024, avec une moyenne de 275 incidents par jour. Ces attaques représentent désormais 58 % de la valeur des sinistres de cyberassurance à grande échelle (1 million de dollars et plus) et ont causé 24 jours d'interruption de service cette année.
Les acteurs de la menace devenant de plus en plus sophistiqués, les gouvernements introduisent des règles de signalement plus strictes et, dans certaines régions, interdisent purement et simplement le paiement de rançons. Les enjeux sont élevés et, sans un plan éprouvé, votre entreprise risque de perdre des données, de voir sa réputation entachée et d'enfreindre la réglementation.
Les 5 étapes essentielles d'un plan d'intervention en cas de ransomware
1. Identifier rapidement la faille
La détection précoce est la base de votre défense. Utilisez des systèmes de détection des points d'extrémité et des outils de surveillance en temps réel pour repérer les comportements suspects, tels que
- Activité de chiffrement inattendue.
- Rapports d'utilisateurs sur l'inaccessibilité des données.
- Fichiers ou systèmes verrouillés.
- Les pics d'activité sur le réseau.
- Modifications anormales de fichiers.
2. Isolez immédiatement la menace
Il faut ensuite isoler immédiatement les systèmes infectés en fermant les comptes des utilisateurs, en désactivant les VPN et le Wi-Fi, voire en suspendant l'accès aux infrastructures critiques afin d'empêcher la propagation latérale du logiciel malveillant. Dans le même temps, évaluez la situation :
- Quels sont les systèmes touchés ?
- Quelles données ont été chiffrées ou volées ?
- Le ransomware utilisé est-il une souche connue ?
Les réponses à ces questions vous aideront à améliorer la rapidité et l'efficacité de vos efforts d'endiguement de la brèche.
3. Communiquer de manière sûre et transparente
Une communication efficace est essentielle pour alerter en toute sécurité les principales parties prenantes et lancer les efforts de réponse à un incident de ransomware :
- Identifiez les équipes à informer en cas de violation - équipe de réponse à l'incident, service informatique, sécurité, service juridique et direction générale.
- Dresser la liste de toutes les parties prenantes externes - clients, partenaires, autorités de réglementation, forces de l'ordre.
- Définir clairement les rôles et les responsabilités de l'équipe d'intervention en cas d'incident.
- Mettez en place un système d'alerte sécurisé capable de contourner le mode silencieux des téléphones.
- Créez des modèles de déclaration de détention que votre équipe peut rapidement personnaliser et partager afin de garantir la transparence et d'éviter la confusion et la désinformation.
- Fournir les bons outils et les bonnes plateformes pour une collaboration et un partage d'informations sûrs et fiables.
4. Contenir et neutraliser l'attaque
Vos équipes techniques, informatiques et de cybersécurité doivent travailler ensemble pour limiter la propagation et l'impact de l'attaque. Il peut s'agir de
- Segmentation du réseau pour contenir la brèche.
- Le blocage des adresses IP malveillantes.
- Suppression ou désactivation des charges utiles des logiciels malveillants.
- Désactiver l'accès aux commandes et au contrôle.
- la sécurisation et l'isolation des systèmes de sauvegarde.
5. Récupérer, signaler et renforcer
Le rétablissement ne se limite pas à la restauration des systèmes. Voici ce qu'un rétablissement complet après un incident devrait couvrir :
- Valider l'intégrité du système avant de le remettre en ligne.
- Des efforts de remédiation pour éradiquer toute trace de ransomware.
- Notification de tous les organismes de réglementation concernés dans les délais impartis.
- L'analyse approfondie des causes profondes afin d'éviter des attaques similaires à l'avenir.
- Rassembler et stocker la documentation pour les audits et les exigences réglementaires.
- Mise en place ou renforcement de systèmes de surveillance continue.
- Analyse des enseignements tirés et des domaines d'amélioration.
Ne pas laisser la communication s'obscurcir
Lors d'une attaque par ransomware, les outils de communication eux-mêmes sont des cibles fréquentes. Les attaquants perturbent de plus en plus les systèmes de communication internes :
- Le groupe Black Basta utilise BRUTED, un outil conçu pour attaquer les réseaux privés virtuels (VPN) et les périphériques de réseau. Cet outil peut bloquer l'accès à un réseau sécurisé, ce qui a un impact sur le courrier électronique et les plateformes de communication qui s'appuient sur des connexions VPN.
- Les attaques Medusa utilisent des outils "Bring Your Own Vulnerable Driver" (BYOVD) pour désactiver les outils de détection et de réponse des points d'extrémité. Cela désactive également les contrôles de sécurité qui protègent les systèmes de communication.
Si votre infrastructure de communication tombe en panne lors d'une intrusion, la réponse à l'incident sera bloquée. C'est pourquoi vous avez besoin d'un outil de communication de secours qui fonctionne indépendamment de votre environnement informatique principal.
Télécharger le livre blanc
Wire, votre canal sécurisé en cas d'attaque par ransomware
Wire est sécurisé de par sa conception, ce qui en fait la plateforme idéale pour soutenir votre stratégie de réponse aux ransomwares.
- Mode de repli - Wire fonctionne hors bande, garantissant une communication ininterrompue en cas de violation. Il fonctionne en temps réel ou de manière asynchrone, ce qui permet de soutenir les fournisseurs d'infrastructures critiques et les entreprises.
- Agnostique et fédéré - Wire fonctionne de manière cohérente sur tous les appareils et systèmes d'exploitation, ce qui permet aux équipes d'intervention d'agir rapidement, quel que soit leur emplacement. Il utilise également un modèle de fédération modérée qui facilite la communication entre les équipes de sécurité, les forces de l'ordre et les fournisseurs.
- Contrôle d'accès basé sur les rôles - Wire fonctionne sur la base d'une architecture de confiance zéro et de connaissance zéro qui ne fait confiance à personne ni à rien par défaut. Il contrôle l'accès en fonction du rôle et pas seulement de l'identifiant de l'utilisateur. Et il vérifie en permanence les utilisateurs pour s'assurer que toutes les informations partagées restent sécurisées, même si les pirates parviennent à utiliser des identifiants d'administration volés.
- Chiffrement de bout en bout - Wire utilise Messaging Layer Security (MLS) pour chiffrer entièrement chaque message et document partagé sur la plateforme. Cela signifie que chaque message est crypté au niveau de l'expéditeur et décrypté uniquement lorsqu'il atteint le destinataire prévu. Même si des acteurs menaçants parvenaient à accéder à la plateforme, ils ne seraient pas en mesure de lire les données qui y sont échangées.
Conclusion : Renforcer la résilience avant d'en avoir besoin
La fréquence et la sophistication des attaques de ransomware ne cessent de croître, ce qui rend un plan de réponse aux incidents solide et essentiel pour la continuité des activités. Sans une plateforme de communication hors bande, fiable et entièrement sécurisée, vos équipes ne peuvent pas se coordonner de manière sûre et efficace pendant un incident. Wire vous aide à exécuter une réponse cohérente et résiliente, sans compromettre la sécurité.