Comment se prémunir contre les ransomwares : guide pratique à l'intention des entreprises

Les ransomwares constituent l’une des menaces les plus perturbatrices auxquelles les entreprises sont confrontées aujourd’hui. Une attaque réussie peut vous empêcher d'accéder à vos propres systèmes en quelques minutes, paralyser vos activités pendant des jours, voire des semaines, et vous laisser le choix entre payer une rançon ou tout reconstruire à partir de zéro. La bonne nouvelle, c'est que la majorité des attaques par ransomware peuvent être évitées, non pas grâce à des outils de sécurité sophistiqués, mais par l'application systématique de mesures que toute entreprise peut mettre en œuvre. Ce guide explique comment prévenir les ransomwares, quelles sont les mesures les plus efficaces et quel est le rôle du facteur humain dans ce domaine.

Qu'est-ce qu'un ransomware ? Petit rappel

Un ransomware est un type de logiciel malveillant qui chiffre des fichiers ou des systèmes et exige le paiement d'une rançon, généralement en cryptomonnaie, en échange de la clé de déchiffrement. Les attaques de ransomware modernes vont souvent plus loin : les pirates exfiltrent les données avant de les chiffrer et menacent de les publier si la rançon n'est pas versée, une technique connue sous le nom de « double extorsion ».

Les ransomwares parviennent jusqu’aux entreprises par un nombre limité de voies : des e-mails de hameçonnage qui incitent un employé à exécuter un logiciel malveillant, l’exploitation de failles non corrigées, des connexions de bureau à distance compromises, ainsi que des logiciels ou des composants de la chaîne d’approvisionnement infectés. Il est essentiel de bien comprendre ces points d’entrée pour assurer une prévention efficace : on ne peut bloquer que ce que l’on sait repérer.

Pour mieux comprendre le fonctionnement des ransomwares, consultez notre article consacré à leur définition et à leur fonctionnement.

Comment se prémunir contre les ransomwares : l'aspect technique

La prévention contre les ransomwares commence par la fermeture des failles les plus couramment exploitées par les pirates. Ces mesures techniques constituent la base indispensable ; sans elles, aucune formation de sensibilisation ne saurait compenser cette vulnérabilité :

• Veillez à ce que vos logiciels et systèmes soient toujours à jour. La plupart des ransomwares exploitent des vulnérabilités connues pour lesquelles des correctifs existent déjà. Un processus rigoureux de gestion des correctifs, appliqué aux serveurs, aux terminaux, aux équipements réseau et aux applications tierces, permet d'éliminer l'un des points d'entrée les plus courants.
• Activez l'authentification multifactorielle (MFA). Les identifiants piratés constituent l'une des principales voies d'accès des ransomwares, notamment via le bureau à distance (RDP) et les e-mails. Grâce à la MFA, les mots de passe volés ne suffisent plus à eux seuls pour obtenir l'accès.
• Limitez l'accès à distance. Désactivez le protocole RDP lorsque cela n'est pas nécessaire. Lorsque cela est nécessaire, utilisez un VPN avec authentification multifactorielle (MFA), limitez l'accès par plage d'adresses IP et surveillez les heures ou les lieux de connexion inhabituels.
• Segmentez votre réseau. Si un rançongiciel venait à s'introduire, la segmentation du réseau limiterait son champ de propagation. Les systèmes critiques et les données sensibles doivent être isolés des réseaux généraux des bureaux.
• Conservez des sauvegardes hors ligne ou dans un format immuable. Une attaque par ransomware qui toucherait votre système de sauvegarde irait à l'encontre de l'objectif même de ce dernier. Les sauvegardes doivent être stockées hors ligne ou dans un format immuable, testées régulièrement et conservées séparément des systèmes de production.
• Déployez une solution de détection et de réponse au niveau des terminaux (EDR). Les outils EDR modernes détectent les comportements de type rançongiciel, le chiffrement massif de fichiers et les mouvements latéraux, et peuvent mettre fin à une attaque en cours avant qu’elle ne cause des dégâts importants.
• Filtrez les pièces jointes et les liens contenus dans les e-mails. Le phishing étant le principal moyen de diffusion des ransomwares, les outils de sécurité des e-mails qui analysent les pièces jointes, bloquent les liens malveillants et signalent les expéditeurs suspects réduisent considérablement la surface d'attaque.

Prévenir les attaques par ransomware au sein de votre entreprise : le rôle de l'environnement de bureau

Les contrôles techniques portent sur les systèmes et les logiciels. Cependant, l'environnement de bureau présente des facteurs de risque supplémentaires qui vont au-delà de l'infrastructure informatique : appareils partagés, accès des visiteurs au réseau, appareils personnels connectés au Wi-Fi professionnel, clés USB apportées de l'extérieur, et employés soumis à la pression du temps qui prennent des décisions à la hâte sans prendre le temps de vérifier.

Pour prévenir les attaques par ransomware dans un contexte professionnel, il faut mettre en place des règles claires concernant ces facteurs de risque et s'assurer que les employés comprennent pourquoi elles existent :

• Séparation du réseau des invités. Les visiteurs et leurs appareils personnels ne doivent en aucun cas se trouver sur le même segment de réseau que les systèmes et les données de l'entreprise.
• Politique relative aux clés USB et aux supports amovibles. Les clés USB infectées constituent toujours un véritable vecteur de ransomware, en particulier dans les environnements industriels et logistiques. Une politique visant à restreindre ou à bloquer l'utilisation des clés USB sur les appareils professionnels permet d'éliminer ce vecteur d'attaque.
• Des procédures d'escalade claires. Les employés qui soupçonnent un problème – qu'il s'agisse d'un e-mail inhabituel, d'une fenêtre contextuelle inattendue ou d'un comportement anormal du système – doivent savoir exactement qui contacter et comprendre que cette démarche est encouragée, et non sanctionnée. Un signalement rapide peut permettre d'empêcher un incident de se transformer en attaque à grande échelle.
• Vérification des accès des fournisseurs et des tiers. De nombreuses attaques par ransomware s’introduisent via un fournisseur ou un prestataire de services gérés disposant d’un accès privilégié aux systèmes de la cible. Vérifiez qui dispose d’un accès externe, limitez-le au strict nécessaire et exigez des fournisseurs qu’ils respectent des normes de sécurité minimales.

Les ransomwares ne font pas de distinction selon la taille des organisations. Les petites entreprises et les bureaux sont souvent pris pour cibles précisément parce qu’on suppose qu’ils disposent de moins de mesures de sécurité, et cette hypothèse s’avère souvent exacte.

Le facteur humain : pourquoi la formation à la sensibilisation à la sécurité est essentielle pour prévenir les attaques par ransomware

Les contrôles techniques réduisent la surface d'attaque, mais ils ne peuvent pas éliminer le risque humain. Le phishing est le principal moyen de diffusion des ransomwares, et s'il réussit, ce n'est pas parce que les filtres techniques échouent, mais parce qu'une personne prend une décision dans un moment d'inattention, sous la pression du temps ou par confiance mal placée.

Un employé qui ouvre une pièce jointe malveillante, saisit ses identifiants sur une page de connexion falsifiée ou rappelle une « équipe de sécurité bancaire » n’est pas stupide. Il agit comme n’importe qui le ferait en se basant sur des informations incomplètes et sous pression. La question est de savoir comment permettre aux gens de reconnaître les schémas récurrents afin qu’ils prennent le temps de réfléchir et de vérifier avant d’agir, et cela ne s’acquiert qu’avec la pratique.

Les formations à la sensibilisation à la sécurité permettent de développer cette capacité grâce à des sessions régulières et courtes, ainsi qu’à des simulations réalistes d’hameçonnage. Les employés qui ont été confrontés à un e-mail d’hameçonnage convaincant dans le cadre d’une simulation sont mieux armés pour en repérer un dans la réalité. Les organisations qui mettent en place des programmes de sensibilisation continus constatent systématiquement une baisse des taux de clics sur les liens d’hameçonnage, ce qui se traduit directement par une réduction des points d’entrée des ransomwares.

La formation à la sensibilisation modifie également la manière dont les choses se déroulent lorsqu’un e-mail suspect arrive dans la boîte de réception. Les employés qui ont suivi cette formation sont plus enclins à signaler le message plutôt qu’à cliquer dessus. Ce changement, qui consiste à passer du statut de cible passive à celui de signalant actif, constitue l’une des mesures de réduction des risques les plus importantes qu’une organisation puisse mettre en œuvre, à un coût relativement faible et sans nécessiter d’infrastructure supplémentaire.

Liste de contrôle pour la prévention des ransomwares : où en est votre entreprise ?

Utilisez cette liste de contrôle pour évaluer dans quelle mesure votre organisation est actuellement protégée contre une attaque par ransomware :

• Tous les systèmes d'exploitation, applications et micrologiciels font l'objet de mises à jour de sécurité dans un délai défini
• L'authentification MFA est activée pour la messagerie électronique, l'accès à distance et les systèmes critiques
• Le RDP est désactivé ou protégé par un VPN avec authentification à plusieurs facteurs (MFA)
• Des sauvegardes hors ligne ou immuables sont en place et font l'objet de tests réguliers
• La segmentation du réseau permet de séparer les systèmes critiques des réseaux généraux de bureau
• Un système EDR ou équivalent est déployé sur tous les terminaux
• Le filtrage des e-mails est configuré pour bloquer les pièces jointes et les liens malveillants
• Les employés suivent régulièrement des simulations d'hameçonnage et des formations de sensibilisation à la sécurité
• Il existe un processus clair de remontée et de signalement des incidents, connu de l'ensemble du personnel.
• L'accès des tiers et des fournisseurs est examiné et limité au strict nécessaire

Si plus de deux ou trois de ces éléments font défaut ou ne sont pas clairs, votre organisation est exposée à un risque significatif d'attaque par ransomware, mais ces lacunes peuvent être comblées.