Londres veut couper les revenus des cybercriminels

Le gouvernement britannique va interdire le paiement des rançongiciels dans le secteur public

Cette décision du gouvernement britannique vise à jeter de l’huile sur le feu. Lorsque les agresseurs savent que quelqu’un va payer, ils continuent à frapper plus fort. C’est le modèle économique des ransomwares. Le ministère de l’intérieur prévoit désormais d’y mettre un terme, en commençant par les organisations du secteur public telles que les hôpitaux, les conseils, les écoles et les services publics. Ces services ne peuvent se permettre des temps d’arrêt, ce qui en fait des cibles faciles et de grande valeur. Le gouvernement intervient donc avec un message clair : ne payez pas la rançon. Au contraire, le système soutiendra ces institutions par des conseils, une clarté juridique et des partenariats plus solides avec les autorités chargées de la cybersécurité.

Environ 75 % des personnes et des organisations qui ont participé à la consultation ont soutenu cette politique. C’est un chiffre considérable. Ce soutien n’est pas seulement politique, c’est aussi la réaction de dirigeants qui ont dû faire face au chaos qui règne sur leurs réseaux et à la pression exercée par des agresseurs qui savent qu’ils les ont acculés. Pour remédier à cette situation, il faut refuser de financer le cycle de la criminalité, même si la douleur à court terme est réelle.

Il ne s’agit pas seulement de protéger les données. Il s’agit de maintenir la confiance du public, de rendre les systèmes plus résistants et de signaler que les réseaux criminels n’ont pas le droit de dicter leurs conditions. L’approche britannique n’empêchera peut-être pas toutes les attaques, mais elle accroît la pression là où cela compte, c’est-à-dire au niveau du coût économique pour les attaquants.

Dan Jarvis, ministre britannique de la sécurité, l’a bien compris : « Le ransomware est un crime prédateur qui met le public en danger, détruit les moyens de subsistance et menace les services dont nous dépendons. Il a raison. C’est un problème systémique. Et pour réduire son impact, il faut une action systémique. Shirine Khoury-Haq, directrice générale de Co-op, l’a confirmé par expérience. Après l’attaque de son organisation par Scattered Spider, son message était clair : il est temps d’agir, d’apprendre rapidement, de renforcer la résilience et de cesser de normaliser les rançongiciels.

Pour les dirigeants des services publics et les chefs d’entreprise qui ont des infrastructures critiques sous leur responsabilité, cela change la donne. Vous devez désormais planifier en supposant que vous ne pouvez pas payer. Cela signifie qu’il faut investir dans la cyberhygiène, les systèmes de sauvegarde et les équipes capables de réagir avec précision en cas de stress. Ce n’est pas facultatif.

Les attaques de ransomware constituent une grave menace pour les opérations et la sécurité

Nous ne parlons plus de désagréments ou de perturbations informatiques. Les attaques par ransomware touchent désormais la sécurité opérationnelle. Lorsqu’un hôpital n’a plus accès à ses systèmes ou que l’approvisionnement en eau est retardé, ce sont de vraies vies qui sont en jeu. Ce n’est pas de la théorie. Les systèmes britanniques, en particulier les infrastructures publiques, font l’objet de menaces de plus en plus agressives qui coûtent des millions à l’économie chaque année. Ce coût n’est pas seulement de l’argent brûlé dans une feuille de calcul. Il s’agit de services interrompus, d’opportunités manquées et de longs délais de rétablissement.

Les attaquants savent à qui ils ont affaire. Un hôpital doit être en ligne 24 heures sur 24, 7 jours sur 7. Un conseil municipal ne peut pas fonctionner en silence. Ces secteurs fonctionnent sous pression et dans l’urgence, exactement le type de pression qui fait que payer semble être la solution la plus rapide. C’est ce qui en fait des cibles privilégiées. Les cybercriminels misent sur le désespoir.

La résilience n’est donc pas seulement une question de renforcement des technologies de l’information. Il s’agit de changer la façon dont les dirigeants opèrent face à la menace numérique. Vous devez partir du principe qu’il y aura des perturbations et adopter une stratégie qui ne repose pas sur un rétablissement immédiat par le biais de paiements. Si vous êtes chargé de fournir des services en temps réel directement liés à la vie des gens, alors votre salle de réunion doit être aussi étroitement liée à la cybersécurité qu’à la finance.

Vous ne pouvez pas considérer qu’il s’agit d’un problème technique. Il s’agit d’un problème de continuité des activités, que les équipes dirigeantes doivent traiter avec le même sérieux que le risque réglementaire ou la fraude financière. En clair, si vos systèmes ne peuvent pas être mis hors service sans qu’une rançon soit demandée, c’est que vous n’êtes pas prêt. Investissez dans la préparation, la formation et une infrastructure qui ne s’effondrera pas lorsqu’elle sera prise pour cible, car ce problème n’est pas près de disparaître.

La déclaration obligatoire des incidents liés aux ransomwares pour renforcer le renseignement cybernétique

Vous ne pouvez pas lutter efficacement contre quelque chose si vous ne comprenez pas comment et quand il frappe. C’est pourquoi la prochaine mesure prise par le gouvernement britannique, qui rendra obligatoire le signalement des incidents liés aux ransomwares, est essentielle. Il s’agit d’une étape vers la création d’une image en temps réel des menaces au fur et à mesure de leur apparition. Lorsque les organisations signalent systématiquement les attaques, la communauté du renseignement peut identifier des schémas, suivre les acteurs de la menace et élaborer plus rapidement des réponses coordonnées. Le silence et la sous-déclaration permettent aux attaquants d’agir sans subir de graves perturbations.

Cette obligation de déclaration n’est pas une question de blâme ou d’inspection. C’est une question de rapidité et de transparence. Lorsque les dirigeants savent que chaque attaque doit être enregistrée, cela permet de faire passer les informations relatives à la cybersécurité au niveau de la direction. Il ne s’agit plus de considérer le ransomware comme un incident isolé, mais comme un point de données dans un paysage national de menaces.

Pour les entreprises, en particulier celles qui gèrent des infrastructures publiques, cela signifie de nouvelles obligations. Mais ces obligations s’accompagnent d’avantages stratégiques. Le partage des renseignements entraîne le partage des capacités de défense. Il améliore la qualité des orientations en matière de sécurité et permet aux équipes d’intervention nationales d’anticiper les perturbations plutôt que de se précipiter après elles.

Cette politique s’inscrit également dans une tendance mondiale. Les gouvernements s’orientent vers une coopération plus étroite entre les secteurs public et privé en matière de cyberdéfense. Pour les dirigeants, ces évolutions laissent entrevoir un avenir proche où la conformité et la maturité en matière de cybersécurité ne seront plus deux sujets distincts. Il s’agira d’une seule et même conversation.

Agir rapidement, partager des données intelligentes et rester intégré aux efforts cybernétiques au niveau national, voilà ce qui distinguera les organisations résilientes de celles qui sont à la traîne. Si vous attendez de revoir les mécanismes de réponse ou de retarder les réunions d’information des cadres sur les mesures des attaques, cette politique signifie qu’il n’est plus possible d’attendre.

Les critiques doutent de l’efficacité de l’interdiction pour modifier le comportement des cybercriminels.

Tout le monde n’est pas d’accord pour dire que l’interdiction du paiement des rançons changera les règles du jeu. Certains experts avancent un argument valable. La plupart des équipes de ransomware ne se soucient pas des cadres juridiques. Ils lancent des attaques générales, sur n’importe quel réseau, n’importe quelle faiblesse, n’importe où. Ce sont des opportunistes, pas des stratèges. C’est l’une des principales limites de cette politique : si les attaquants n’ont pas de stratégie de ciblage, une interdiction de paiement limitée au Royaume-Uni pourrait n’avoir que peu d’effet immédiat sur leur comportement ou leurs décisions de ciblage.

Jamie MacColl, du Royal United Services Institute, l’a clairement exprimé. Selon lui, la plupart des auteurs de ransomwares « ne sont pas perspicaces » et ne prendront pas le temps de comprendre la législation britannique spécifique. Cela signifie que les organisations britanniques peuvent toujours être touchées, malgré la loi. Elles ne seront tout simplement pas autorisées à payer, ce qui pose de nouveaux défis en matière de récupération si la préparation est insuffisante.

Rob Jardin, de NymVPN, a ajouté une autre dimension : les attaquants pourraient répondre au non-paiement non pas en reculant, mais en intensifiant les menaces. Si le paiement n’est plus une option, la vente ou la fuite de données volées devient le nouveau modèle commercial. Ce type d’escalade crée davantage de pression, en particulier pour les organisations qui gèrent des informations sensibles.

Pour les dirigeants, c’est la partie qui compte : les restrictions légales n’éliminent pas le risque. Elles modifient la nature de la menace et introduisent de nouvelles exigences en matière de capacité interne. Si les attaquants cessent d’exiger un paiement et commencent à vendre directement des données, votre risque ne concerne plus les temps d’arrêt, mais la perte d’actifs, le non-respect de la conformité et la confiance du public.

Disposer d’une protection des points d’extrémité, d’une architecture segmentée et de protocoles de récupération des données testés n’est plus une aspiration. C’est une nécessité. Les conseils d’administration doivent être informés des vecteurs de risque secondaires, des fuites, de l’exposition des données publiques, de la compromission par des tiers, et pas seulement de l’interruption du chiffrement. Vous pouvez soutenir la législation, mais vous devez également vous préparer à ce qui se passera lorsque les attaquants ne se soucieront pas de vos politiques locales. Car ils ne le feront pas.

L’accent est mis sur le renforcement des mesures de cybersécurité au-delà de la législation

Les politiques sont utiles, mais elles ne mettent pas fin à la menace. Ce qui compte le plus, c’est ce que les organisations font en interne, avant, pendant et après une attaque. Les experts s’accordent sur ce point. Une législation telle que l’interdiction du paiement des ransomwares ou la déclaration obligatoire est bénéfique, mais elle ne remplacera pas la nécessité d’une cyberdéfense solide. la nécessité d’une cyberdéfense solide au niveau institutionnel. C’est une question d’exécution.

Les entreprises doivent prendre au sérieux les stratégies de sécurité à plusieurs niveaux. Cela couvre des éléments de base tels que l’application régulière de correctifs et la protection des points d’accès. Mais cela signifie aussi qu’il faut renforcer la résilience opérationnelle, disposer de systèmes de sauvegarde testés, d’une surveillance en temps réel, de manuels d’incidents clairs et d’un personnel capable de prendre des décisions rapides lorsque le temps est compté. L’investissement dans la cybersécurité ne se fait plus de manière réactive. Il doit être stratégique et cohérent.

Jamie MacColl, chercheur principal au Royal United Services Institute, souligne l’importance des mesures d’autodéfense individuelles et institutionnelles. Il insiste sur le fait que les capacités défensives à la source, au sein de l’entreprise, au sein de l’infrastructure, doivent être améliorées. Les initiatives centralisées peuvent apporter un soutien, mais elles n’empêcheront pas les brèches de se produire à la périphérie, là où les attaquants du monde réel ont tendance à se concentrer.

Les organisations qui continuent de considérer la cybersécurité comme une question informatique, distincte du risque opérationnel, de la planification stratégique ou de la responsabilité financière, s’exposent à des risques. Plus vos opérations sont critiques, plus la cybersécurité doit être intégrée à chaque fonction. Les plans de reprise ne sont pas réservés aux responsables informatiques. Ils nécessitent une visibilité, un budget et une autorité au niveau du conseil d’administration.

Ce sur quoi les dirigeants doivent se concentrer aujourd’hui, c’est la préparation. Cela signifie qu’ils doivent comprendre exactement où se situent leurs vulnérabilités et appliquer leur capital de manière intelligente, et non réactive. Commencez par les principaux points d’exposition : identifiez ce que les attaquants trouvent le plus précieux et sécurisez ces surfaces d’attaque. Formez les équipes internes, non seulement le personnel technique, mais aussi les décideurs, à la manière de réagir clairement en cas de défaillance des systèmes.

La législation est un point de pression nécessaire. Mais la résilience se construit en interne, pas au Parlement. Si vous construisez une entreprise pour qu’elle perdure et prenne de l’ampleur, il n’est plus acceptable de l’ignorer.

Principaux enseignements pour les dirigeants

• Le gouvernement interdit le paiement des rançongiciels : Les organisations du secteur public au Royaume-Uni, y compris les hôpitaux et les infrastructures critiques, seront légalement interdites de payer des rançons. Les responsables de ces secteurs doivent préparer des plans d’urgence qui supposent qu’aucune option de paiement ne sera disponible.
• Risque opérationnel et sécuritaire lié aux attaques : Les ransomwares restent une menace à fort impact, perturbant les services essentiels et mettant en péril la sécurité publique. Les dirigeants doivent donner la priorité à la planification de la continuité opérationnelle et s’assurer que les scénarios de cyber-perturbation sont abordés au niveau du conseil d’administration.
• Signalement obligatoire des incidents : Le gouvernement britannique exigera que toutes les attaques de ransomware soient signalées, afin d’améliorer la réponse nationale aux menaces. Les organisations devraient mettre à jour leurs protocoles internes pour se conformer rapidement à cette obligation et bénéficier d’un partage coordonné des renseignements.
• Dissuasion limitée, exposition accrue aux risques : les experts préviennent que les groupes criminels peuvent ignorer les politiques britanniques et intensifier leurs tactiques, telles que les fuites de données. Les décideurs doivent renforcer leurs capacités défensives et se préparer à des risques accrus en matière de réputation et de réglementation.
• La cyber-résilience interne est essentielle : La législation ne suffira pas à mettre fin aux cybermenaces, la préparation des institutions est essentielle. Les dirigeants doivent investir dans des défenses à plusieurs niveaux, dans la formation et dans des cadres de réponse au niveau de la direction pour assurer une reprise rapide et une résilience à long terme.