Ransomware-as-a-Service : comment les chaînes d'approvisionnement basées sur le cloud sont facilement ciblées

Avec le cloud devenant le moyen principal d'accéder à un nombre croissant d'offres logicielles, il semble que chaque application migre vers un modèle de livraison « as-a-service » de nos jours. Il ne devrait donc pas surprendre que le ransomware ait sauté dans le wagon du cloud.

Qu'est-ce que le RaaS ?

Rencontrez le ransomware-as-a-service (RaaS), un moyen pré-emballé, facile à déployer, de verrouiller des réseaux de données puis d'extorquer leurs propriétaires pour paiement — généralement sous forme de Bitcoin ou autre cryptomonnaie — pour les déverrouiller.

Comme les formes les plus populaires de services gérés, le RaaS pourrait inclure un support technique 24/7 et des forums d'utilisateurs dédiés à tirer le meilleur parti de l'application. Les acheteurs peuvent acquérir la « solution » de plusieurs façons, y compris par abonnement mensuel, frais de licence unique ou partage des bénéfices avec le fournisseur du logiciel. Quelle que soit la façon dont il est fourni, le RaaS a un objectif commun : infliger le chaos numérique et engranger d'énormes profits dans le processus. C'est une raison majeure pour laquelle les revenus des ransomwares ont grimpé à environ 20 milliards de dollars aux États-Unis l'an dernier, selon Cybersecurity Ventures.

La chaîne d'approvisionnement mondiale, cible privilégiée

Disponible sur le dark web depuis environ 2016, le RaaS a rapidement grimpé en flèche depuis comme moyen de propager les ransomwares. La chaîne d'approvisionnement mondiale, composée de multiples partenaires indépendants de toutes tailles et degrés de sophistication technologique, est particulièrement vulnérable aux attaques. Les grands fabricants, distributeurs et détaillants pourraient se croire en sécurité, ayant dépensé des millions en mesures de sécurité strictes au sein de leurs propres maisons, mais le fournisseur le plus petit et le plus insignifiant peut servir de porte d'entrée vers une richesse de données sensibles sur les clients et les opérations. Selon certaines estimations, deux tiers de toutes les cyberattaques proviennent actuellement de la chaîne d'approvisionnement.

Les appareils mobiles, qui ont explosé en nombre et applications au cours de la dernière décennie, sont des vecteurs populaires d'infection. « Disons qu'un sous-traitant d'un développeur vient construire une extension logicielle basée sur API pour un client », dit Padmini Ranganathan, vice-présidente mondiale de la stratégie produit chez SAP Procurement. « Comment savez-vous que leur code est sécurisé ? Ou qu'ils protègent les appareils qu'ils utilisent ? »

Les réseaux doivent être tout aussi vigilants pour protéger les systèmes embarqués dans le cloud, dit Ranganathan. Et si la technologie cloud n'est pas une menace de sécurité automatique, elle augmente les niveaux de risque avec la prolifération des appareils connectés à l'internet des objets. Les entreprises doivent répondre en menant des audits rigoureux de tous les appareils et systèmes ayant accès à leurs données, tant en externe qu'en interne, dit-il.

Le coût de l'inaction

Avec le RaaS facilitant la tâche aux criminels pour tenir les réseaux en otage, on penserait que les entreprises privées et les agences gouvernementales prendraient un soin particulier pour protéger leurs données. La vague d'attaques par ransomware ces dernières années suggère que ce n'est pas le cas. En 2021 seul, les victimes ont inclus un oléoduc, un emballeur de viande, un distributeur chimique, un fabricant automobile, même un service de ferry sur Martha's Vineyard. Il ne semble pas y avoir de motif concernant l'entité touchée — seulement qu'elles se sont toutes révélées vulnérables à une forme d'attaque qui est devenue alarmantement facile à mettre en scène.

Les fournisseurs plus petits — ou grands, d'ailleurs — pourraient arguer qu'ils manquent de ressources pour investir dans la cybersécurité. Ranganathan suggère qu'ils ne voient pas le problème avec le bon état d'esprit. Certes, des mesures de sécurité appropriées peuvent être coûteuses à acquérir et servir de frein temporaire au bilan. Mais quel est le coût de la récupération d'une cyberattaque — surtout une demande de rançon qui pourrait s'élever à des millions de dollars ? Ou les retombées de la perte de clients furieux que leurs données personnelles sensibles aient été compromises par la négligence d'un détaillant ou fournisseur de services ? « Nous sous-estimons le concept de valeur à risque », dit Ranganathan.

La vigilance humaine, première ligne de défense

Un aspect important de la cybersécurité ne coûte pas nécessairement plus cher. C'est la sensibilisation et la diligence des employés face à la menace de violations à travers n'importe quel nombre de systèmes et appareils. Rien ne devrait être fait confiance au départ ; souvent, une attaque réussie peut être attribuée à l'imprudence humaine, pas aux vulnérabilités de la technologie.

Les techniques des pirates, bien sûr, continuent d'évoluer. L'attaque par ransomware d'aujourd'hui prendra probablement une forme totalement nouvelle dans les années à venir. La technologie s'efforcera de suivre le rythme de la menace en constante évolution, mais la vigilance constante de la part des concepteurs de systèmes et même des utilisateurs les plus occasionnels est la clé.

Les entreprises doivent accorder la même attention à la sécurité des systèmes qu'au monde plus éblouissant des ventes, du marketing et du développement de nouveaux produits. Dit Ranganathan : « Nous ne pouvons pas quitter des yeux l'hygiène architecturale au nom de l'innovation rapide. »