Veeam a récemment organisé son événement utilisateur, Veeamon 2025à San Diego. Le spectacle annuel a été utilisé par le leader du marché de la résilience des données pour annoncer de nouveaux produits et innovations aux milliers de participants. Un pilier de l’événement a été la publication du rapport de l’état de ransomware de Veeam qui met en évidence les tendances clés et comment la lutte contre cette tendance progresse.
Avec Émission de sécurité RSAC Au robinet, j’ai pensé qu’il était logique de regarder les points forts du rapport et les implications aux équipes de sécurité. Le point de données le plus flagrant est de savoir à quel point les ransomwares répandus sont aujourd’hui. Près de 70% des entreprises ont connu une attaque de ransomware au cours de la dernière année, légèrement en baisse par rapport à 75% l’année précédente. Ne vous laissez pas berner par cette amélioration. Les ransomwares ont avancé, les cybercriminels sont plus intelligents et les entreprises ont plus de mal à se remettre des attaques de ransomwares, selon Veeam’s “2025 Tendances des ransomwares et stratégies proactives” rapport.
Le rapport, basé sur une enquête auprès de 1 300 organisations dans le monde, a découvert un changement majeur dans le fonctionnement des cybercriminels. Ils sautent leur tactique habituelle pour verrouiller les systèmes, aller tout droit pour le vol de données à la place. La nouvelle tactique consiste à pénétrer dans un réseau, à extraire des données sensibles, telles que les dossiers financiers ou la propriété intellectuelle, puis menacer de la libérer à moins qu’une rançon ne soit payée. Ces attaques d’exfiltration uniquement se produisent rapidement et sont plus difficiles à détecter, en particulier lorsque les entreprises ont une faible sécurité.
Ce ne sont pas seulement les tactiques qui ont changé, mais aussi les groupes effectuant des attaques de ransomwares. En 2024, les forces de l’ordre mondiales ont abattu des groupes tels que Lockbit, Blackcat et Black Basta. Cette application a provoqué la formation de petits groupes, dont beaucoup se concentrent désormais sur les entreprises de taille moyenne avec des défenses plus faibles.
Ces cybercriminels lancent également des attaques beaucoup plus rapidement. L’année dernière, par exemple, deux des meilleurs groupes de ransomware ont mené des attaques en moins de 24 heures après avoir accédé. Historiquement, les acteurs de la menace pénètrent dans un environnement, et cela pourrait prendre des semaines ou même des mois pour déterminer les données à voler. La vitesse d’accélération d’entrée au vol supprime la plupart du temps que les équipes de sécurité doivent trouver les anomalies qui pourraient conduire à des indicateurs de compromis.
Une tendance positive est que moins d’entreprises sont céder aux demandes de rançon. En 2024, 36% des victimes ont refusé de payer, et beaucoup ont réussi à négocier des paiements beaucoup plus bas. En moyenne, 82% de ceux qui ont payé ont fini par payer moins que la demande d’origine. La rançon typique a chuté de près de la moitié, atteignant un minimum de 110 000 $ d’ici la fin de 2024.
Les entreprises qui ont travaillé avec des experts en réponse aux incidents étaient beaucoup moins susceptibles de payer, prouvant à quel point l’aide extérieure peut être importante pendant une crise. Il est difficile d’appeler cela une victoire, mais au moins les dommages financiers sont minimisés – bien que l’on puisse affirmer que les mauvais acteurs se marient en volume.
Une tendance que j’ai vue au fil des ans est que le paiement d’une rançon ne garantit pas la sécurité, et le rapport Veeam l’a supporté. Il a constaté que 69% des entreprises qui ont payé une rançon avaient à nouveau été attaquées. De plus, les nouvelles lois et les efforts internationaux découragent complètement les paiements. Le Initiative internationale de contre-ransomwaresoutenu par 68 pays, pousse les organisations à renforcer les défenses plutôt que de financer les cybercriminels. Certains gouvernements ont même interdit les paiements de rançon du secteur public.
Le vrai défi vient avec la récupération. C’est là que de nombreuses entreprises échouent. La majorité des répondants au sondage – 89% – ont déclaré que les attaquants ont ciblé leurs sauvegardes. En moyenne, un tiers de ces sauvegardes ont été falsifiés ou supprimés. Moins de 10% ont récupéré 90% de leurs serveurs à temps, et à peine à moitié récupéré la plupart de leurs systèmes.
Ne sautez pas les meilleures pratiques
Pourquoi la récupération est-elle si difficile? De nombreuses entreprises sautent les meilleures pratiques de base. Seulement 32% ont utilisé des sauvegardes immuables qui ne peuvent pas être modifiées, tandis que 28% ont testé leurs données restaurées dans un environnement sûr avant de ramener les systèmes en ligne. Étonnamment, près de 40% ont rétabli les données directement dans des environnements en direct sans vérifier les logiciels malveillants, ouvrant la porte à la réinfection et en temps d’arrêt prolongé.
J’ai parlé à CISO après le CISO qui a avoué qu’ils ont restauré les données infectées, ce qui a ensuite conduit à une autre violation et à une autre demande de ransomware. Il est essentiel que les entreprises aient un Copie immuable des données propres pour récupérer.
Bien que la technologie soit critique, le rapport a souligné la fréquence à laquelle les entreprises sous-estiment le rôle important que les gens jouent dans la réponse des ransomwares. Seulement 26% avaient un processus clair pour décider de payer une rançon, et 30% avaient une chaîne de commandement définie pour gérer les attaques. Plus d’un tiers des entreprises permettent au personnel interne de communiquer directement avec les cybercriminels, au lieu de faire venir des négociateurs professionnels, ce qui est risqué.
Bien que 98% des entreprises aient un plan de réponse aux ransomwares, moins de la moitié comprenait des détails clés tels que des sauvegardes vérifiées (44%), des copies de sauvegarde propres (44%), une infrastructure alternative (37%), des plans de confinement (32%) ou une chaîne de commandement claire (30%). Les sociétés qui se sont rétablies étaient les plus rapides qui ont fait enfermer ces détails et ont pratiqué leur réponse à l’avance.
La plupart des entreprises reconnaissent qu’elles doivent faire mieux. Presque tous les personnes interrogées ont déclaré qu’ils prévoyaient d’augmenter leurs budgets pour la prévention et la reprise en 2025. Cependant, Veeam a averti que jeter de l’argent sur le problème ne suffit pas. Le ransomware n’est pas quelque chose que les entreprises peuvent complètement éviter. La vraie différence revient à la résilience, ce qui signifie à quelle vitesse et efficacement une entreprise peut se remettre sur pied après une attaque.
Les entreprises qui se rétablissent s’assurent rapidement que leurs sauvegardes sont verrouillées et propres avant de restaurer quoi que ce soit. Ils ne comptent pas non plus uniquement sur leurs équipes informatiques pour lutter contre les incendies. Ils investissent dans de bonnes habitudes de sécurité, telles que la mise à jour des systèmes, la limitation de l’accès et l’utilisation de meilleurs outils de détection. Enfin, ils ne gèrent pas tout seul. Ils embauchent des équipes de réponse aux incidents et des négociateurs qui savent gérer la situation.
En d’autres termes, les entreprises qui rebondissent les plus rapidement sont celles qui planifient à l’avance, ne coupez pas les coins en matière de sécurité et savent quand demander de l’aide.
