Les opérateurs de rançongiciels ciblent de plus en plus les responsables influents, selon Zscaler

Selon une étude de l’équipe ThreatLabz de Zscaler, les groupes de rançongiciels choisissent de plus en plus leurs victimes en fonction de leur influence sur les décisions de l’entreprise, plutôt que de cibler uniquement les cadres dirigeants ou les administrateurs système.

Les chercheurs ont examiné 351 victimes au sein de 334 organisations touchées par une campagne de rançongiciel au cours d’un même mois. Près des deux tiers des victimes occupaient des postes de direction ou plus élevés, tandis que leur âge moyen était de 46 ans. Environ 75 % travaillaient dans la comptabilité et la finance, les ventes, les opérations, les ressources humaines ou le marketing. Les organisations industrielles et informatiques représentaient à elles seules environ la moitié des employeurs touchés.

Zscaler indique que les attaquants semblent combiner les informations recueillies sur les réseaux compromis avec des données accessibles au public afin de comprendre les structures organisationnelles. Cette reconnaissance peut les aider à identifier les employés qui influencent l’approbation des paiements, les relations avec les fournisseurs, les budgets, les contrats, les comptes clients ou les dossiers sensibles du personnel.

Dans ce contexte, les chercheurs distinguent les privilèges techniques de ce qu’ils appellent les « privilèges métier ». Un compte n’a pas besoin de disposer d’un accès administratif pour être précieux si son propriétaire peut autoriser des dépenses, coordonner des services ou influer sur la gestion d’un incident. Les responsables établis âgés d’une quarantaine ou d’une cinquantaine d’années peuvent offrir un accès particulièrement utile aux processus métier et aux décideurs, sans nécessiter de compromettre directement l’équipe dirigeante.

L’enquête a également révélé que plus d’une douzaine d’organisations ont signalé la compromission de plusieurs employés. Cette tendance laisse penser que certains attaquants se sont propagés à travers plusieurs fonctions métier après avoir obtenu un point d’ancrage initial, améliorant potentiellement leur accès aux données et accentuant la pression exercée sur l’organisation victime.

L’extorsion au-delà du chiffrement

Ces résultats s’inscrivent dans une évolution plus large vers le vol de données et l’extorsion, plutôt que de s’appuyer uniquement sur le chiffrement des fichiers. Zscaler a indiqué que les activités de rançongiciel bloquées par sa plateforme cloud avaient augmenté de 146 % sur un an. L’entreprise a également enregistré une hausse de 70 % des incidents d’extorsion divulgués publiquement et une augmentation de 92 % du volume de données dérobées aux victimes.

Le rapport souligne la nécessité pour les organisations de protéger les comptes sensibles pour l’activité avec autant de rigueur que les comptes à privilèges traditionnels. Les revues des accès, l’authentification multifacteur, la segmentation, la surveillance des activités inhabituelles des comptes et les plans d’intervention en cas d’incident régulièrement testés peuvent contribuer à réduire l’impact des opérations de rançongiciel ciblées.