Pourquoi les rançongiciels ciblent désormais le manager de 46 ans plutôt que le PDG
Faire payer une rançon à une entreprise, suggère une nouvelle recherche, ne commence plus par la boîte de réception du PDG. Cela commence par le manager de 46 ans qui peut réellement approuver le paiement. Telle est la conclusion des travaux de l’unité ThreatLabz de Zscaler, qui a décortiqué une campagne de rançongiciel et constaté que les attaquants avaient systématiquement visé l’encadrement intermédiaire plutôt que la direction.
La recherche, rapportée par The Register le 9 août, a suivi 351 victimes dans 334 organisations sur un mois. Le profil qui se dégage est remarquablement constant : près des deux tiers des personnes compromises occupaient un poste de manager ou un poste supérieur, et le salarié compromis type était un quadragénaire de 46 ans issu de la génération X. Trois quarts d’entre elles provenaient de cinq fonctions de l’entreprise : finances, ventes, opérations, ressources humaines et marketing. La moitié travaillait dans des entreprises industrielles ou du secteur des technologies de l’information.
L’organigramme comme plan d’attaque
La campagne montre à quel point le rançongiciel s’est éloigné de l’approche au fusil de chasse des notes d’extorsion envoyées en masse. Selon Zscaler, les attaquants ont étudié le terrain avant de frapper, assemblant des données récoltées sur des systèmes compromis avec des sources publiques pour cartographier qui dépend de qui et repérer les employés dont le levier sur la décision de paiement de l’entreprise est le plus fort.
La logique est brutale et simple. Un PDG peut être une cible symbolique, mais un manager de la comptabilité fournisseurs peut approuver une facture. Un responsable des ventes détient les comptes clients et les contrats en cours. Un chef de projet contrôle les budgets et les calendriers de livraison. Dans plus d’une dizaine des organisations touchées, plusieurs employés ont été compromis, les attaquants travaillant à travers différentes fonctions de l’entreprise plutôt que de se contenter d’un seul point d’appui.
Privilège métier contre privilège technique
Zscaler présente ce glissement comme un passage du privilège technique à ce qu’il appelle le « privilège métier ». Les équipes de sécurité ont traditionnellement traité les utilisateurs privilégiés comme les administrateurs et les autres comptes disposant de droits système élevés. Les attaquants de cette campagne visaient autre chose : des personnes dont les tâches quotidiennes touchent aux systèmes de facturation, aux flux de paiement, aux fichiers budgétaires, aux contrats fournisseurs, aux bases de données clients et aux dossiers du personnel.
L’idée clé est qu’aucun identifiant d’administrateur n’est nécessaire pour causer des dégâts à cette échelle ; un accès métier ordinaire suffit. Un compte de manager compromis ouvre la voie à des informations sensibles, aux processus financiers, aux applications d’entreprise et aux communications internes, tout cela utile pour l’extorsion, même avant toute opération de chiffrement.
Pourquoi la génération X
Le biais d’âge n’est probablement pas un hasard. Les salariés dans la quarantaine et la cinquantaine ont plus de chances d’avoir atteint des postes de management établis, avec accès à des systèmes de valeur et un pouvoir de décision, ce qui donne aux attaquants une porte d’entrée vers le cœur de l’entreprise sans toucher à la direction. Les victimes de la campagne étaient âgées de 23 à 70 ans, mais 44 % appartenaient à la génération X, ce qui tire la moyenne à 46 ans.
L’économie de l’extorsion est en expansion
Les données de la plateforme de Zscaler montrent l’ampleur : tentatives de rançongiciel bloquées en hausse de 146 % sur un an, cas d’extorsion annoncés publiquement en hausse de 70 %, et volume de données exfiltrées des victimes en hausse de 92 %. L’accent se déplace du chiffrement vers l’extorsion : au moment où la lettre de demande apparaît, le gang a peut-être déjà cartographié toute la chaîne d’approbation, qui valide les factures, qui détient les contrats, qui gère les dossiers du personnel, qui dépend de qui. Le chiffrement des fichiers, selon Zscaler, n’est que la partie la plus visible des dégâts.
De son côté, The Register a formulé une recommandation sèche à l’intention de la tranche démographique concernée : se déconnecter du réseau et prévenir les autorités.
Ce que les défenseurs doivent retenir
La conséquence pratique est que les équipes de sécurité doivent traiter les fonctions de management comme privilégiées en soi. L’accès aux systèmes financiers, aux plateformes de ressources humaines et aux bases de données clients doit être surveillé et protégé avec le même sérieux que les comptes administrateur, car c’est là que les attaquants regardent désormais. La défense contre les rançongiciels, autrement dit, est devenue un problème d’organigramme autant qu’un problème technique.
Traduit par Lydie