Le business des cyberattaques par "ransomware" est très lucratif

Ces derniers mois, des centaines d'entreprises et des administrations suisses ont été victimes de cyberattaques par "ransomware", les rançongiciels. Il s'agit d'une véritable industrie. Au niveau mondial, le cybercrime pourrait coûter 10'000 milliards de dollars d'ici à 2025, selon le magazine Forbes.

L'écosystème des "ransomwares" a fortement évolué en 2022 avec des cybercriminels passés de grands groupes dominant le paysage comme les tristement célèbres Hive ou BlackCat à des activités à la demande, plus petites et flexibles, attirant moins l'attention des forces de l'ordre.

Au fil des ans, les groupes de cybercriminels ont évolué dans leur mode opératoire. Ils sont de plus en plus professionnalisés. Ils mutualisent leurs ressources et collaborent à travers le monde entier.

"Un kit" criminel

Pour Olivier Spielmann, premier vice-président de Global Managed Detection and Response chez Kudelski Security, les pirates sont devenus des prestataires de services. De l'envoi de mails à la recherche de vulnérabilités dans les logiciels sur Microsoft ou macOS, en passant par le blanchiment d'argent, les cybercriminels ont chacun leur spécialisation.

"C'est un kit. Vous payez au nombre de victimes. En général, le fournisseur du 'service' va toucher un pourcentage de la marge sur les transactions de rançons", décrit Olivier Spielmann lundi dans La Matinale de la RTS.

Des statistiques partielles

Le Centre national pour la cybersécurité (NCSC) ne dispose pas de suffisamment de données pour estimer les montants payés de manière fiable. Le NCSC a ouvert un guichet unique pour permettre aux particuliers et aux PME de pouvoir déclarer les cyberincidents sur une base volontaire.

Les statistiques sont partielles, mais les cybercriminels agissent de la même manière. Selon Pascal Lamia, adjoint du délégué fédéral à la cybersécurité, les sommes demandées varient en fonction du profil de la victime.

La nécessité d'une réponse plus importante

"La cybercriminalité est complètement horizontale dans l'écosystème criminel. Les ressources sont énormes. Si, en face, les Etats ne mettent pas en place des plateformes qui permettent à la police, à la justice, au monde académique et à la société civile de travailler ensemble très facilement et de façon très opérationnelle, on n'est pas adapté à la menace", estime Stéphane Duguin, directeur de CyberPeace Insitute, basé à Genève.

Le problème est "majeur", mais la politique "commence à bouger", notamment avec la création d'un Office fédéral de la cybersécurité, estime Gerhard Andrey, conseiller national (Les Verts/FR) et entrepreneur dans le monde du numérique. Mais il estime que le Département fédéral de la défense n'était "pas le bon endroit" pour créer un tel service.

Selon lui, il y a un "risque de ne pas avoir suffisamment de confiance" lorsqu'il faut pour une entreprise déclarer une cyberattaque, car le NCSC se trouve dans le même département que le service de renseignement. Gerhard Andrey est favorable à ce que les infrastructures critiques, au sens large, soient obligées de déclarer à la Confédération les cyberattaques dont elles sont victimes.

En 2022, en Suisse, le Centre national de sécurité a reçu à son guichet 34'000 signalements, dont 159 représentaient des rançongiciels soit plus du double par rapport à 2020.