Juste avant le week-end de Pâques, Marks & Spencer a été victime de l'une des pires attaques de rançongiciels que le pays ait connues ces dernières années. D'autres grandes enseignes de la distribution, comme Co-op, ont rapidement suivi. L'impact financier total de ces deux incidents à eux seuls est estimé jusqu'à 440 millions de livres sterling.
Pourtant, la vérité est que la majorité des rançongiciels ne ciblent pas des organisations de premier plan comme celles-ci. Les acteurs malveillants ciblent plutôt un plus grand nombre de petites entreprises, dont beaucoup ne disposent pas des ressources ni du savoir-faire nécessaires pour se défendre efficacement. Comme le montrent de nouvelles études, cela leur coûte cher. Avec l'arrivée prochaine d'une nouvelle législation sur la cybersécurité, renforcer la résilience devrait être une priorité urgente.
Payer le prix fort
Le Royaume-Uni est depuis longtemps une cible privilégiée des rançongiciels, grâce à sa richesse relative et à son économie fortement numérisée. Mais il y a une différence considérable entre être victime d'une attaque de rançongiciel et se faire voler et/ou chiffrer des données. Une meilleure cybersécurité et une détection et une réponse améliorées peuvent contribuer à atténuer considérablement l'impact. Malheureusement, selon une étude de Sophos, cela ne semble pas être le cas.
Construction fournisseur de sécurité interrogé plus de 200 responsables informatiques et de cybersécurité au Royaume-Uni dans le cadre d'une étude plus large couvrant les réponses de 3400 XNUMX victimes de ransomware. L'état des ransomwares au Royaume-Uni en 2025 révèle que 70 % des victimes britanniques ont vu leurs données cryptées, un chiffre bien supérieur à la moyenne mondiale de 50 % et au chiffre de 46 % signalé par les victimes britanniques en 2024.
Dans les deux cas, cette situation est préoccupante. Il semble que moins de victimes de ransomware disposent de la visibilité nécessaire sur leur environnement informatique pour comprendre qu'elles ont été touchées. La différence entre Co-op et M&S réside dans le fait que Co-op a investi dans des capacités de réponse aux incidents, qui ont permis de signaler les intrusions suspectes et de déconnecter ses systèmes avant leur chiffrement. L'impact de la violation qui en a résulté a été par la suite moins grave.
C'est peut-être pour cette raison que les victimes britanniques ont estimé n'avoir d'autre choix que de payer leur extorqueur, soit 103 % de la rançon demandée en moyenne, un montant bien supérieur à la moyenne mondiale de 85 %. Ce chiffre est d'autant plus important que la rançon médiane demandée au Royaume-Uni s'élevait à 5.4 millions de dollars (3.9 millions de livres sterling) l'année dernière, soit plus du double des 2.5 millions de dollars (1.9 million de livres sterling) rapportés lors de l'enquête précédente. Environ 89 % des demandes de rançon s'élevaient à plus d'un million de dollars, contre 1 % en 71.
« Mon expérience montre que le taux de chiffrement est étroitement lié à la rapidité de détection d'une attaque, et souvent à l'intervention précoce d'une équipe externe de réponse aux incidents », explique Chester Wisniewski, RSSI mondial de Sophos, à ISMS.online. « Les entreprises disposant d'une surveillance 24h/7 et XNUMXj/XNUMX et d'outils EDR/XDR réussissent généralement mieux à stopper les attaques en cours. Trop souvent, les victimes ne détectent l'attaque qu'à la réception de la demande de rançon, ce qui est bien trop tard. »
Où se trompent-ils ?
Les vulnérabilités exploitées (36 %), les e-mails malveillants (20 %) et les identifiants compromis (19 %) étaient les principales causes d'accès initial parmi les victimes de ransomware interrogées par Sophos. Pour contrer ces menaces et d'autres, l'éditeur de sécurité recommande un plan en quatre points :
La prévention: Réduisez les causes techniques et opérationnelles les plus courantes d’une attaque en renforçant la résilience.
Protection: Protégez les points d'entrée les plus courants des ransomwares, tels que les terminaux et les serveurs. Des outils anti-ransomware dédiés permettront de bloquer et de neutraliser le chiffrement malveillant.
Détection et réponse : Arrêtez et circonscrivez une attaque le plus rapidement possible, avant qu'elle n'ait le temps de causer des dommages majeurs. Les organisations qui ne peuvent pas le faire en interne peuvent recourir à la détection et à la réponse gérées (MDR).
Planification prospective : Mettez en place un plan de réponse aux incidents pour accélérer la reprise après une attaque. Des sauvegardes régulières hors site et hors ligne accéléreront également la reprise.
« Les cybercriminels dirigent des entreprises extrêmement performantes ; ils recherchent un rendement minimal et un maximum de revenus. Verrouiller les portes numériques à deux mains constitue donc un moyen de dissuasion considérable », affirme Lauren Wilson, directrice technique terrain chez Splunk. « Mais il ne suffit pas de prévenir : il faut être capable de détecter, de réagir et de récupérer pour atténuer véritablement l'impact global des ransomwares. »
Il est temps de s'aligner
Les responsables informatiques et de sécurité du Royaume-Uni devront peut-être revoir leurs plans de résilience aux ransomwares à la lumière de la législation à venir. nouveau projet de loi sur la cybersécurité et la résilience is prêt à interdire Le paiement de rançons pour les gouvernements et les fournisseurs d'infrastructures critiques (CNI) sera également pris en compte. De nouvelles organisations (comme les MSP) seront concernées. De plus, il exigera probablement un signalement plus rapide et plus complet des incidents, une gestion des risques liés aux tiers et une sécurité renforcée de la chaîne d'approvisionnement. Des amendes plus lourdes pourraient être imposées et les autorités de régulation du secteur seront certainement plus compétentes. Le projet vise également à se rapprocher des normes NIS 2, ISO 27001, ISO 27002 et d'autres normes et cadres de sécurité.
Il s'agit d'une excellente occasion pour ceux qui travaillent déjà sur la norme ISO 27001 d'anticiper ces nouvelles exigences et de renforcer leur cyber-résilience de manière rentable et rapide. Wilson explique à ISMS.online que ces normes sont « conçues pour accroître la maturité cybernétique au bénéfice de tous ».
Elle ajoute : « Des normes comme NIST ou ISO 27001 ont en commun d'aider les organisations à se concentrer sur les fondamentaux. Contrôle d'accès, correctifs réguliers, authentification multifacteur et formation de tous les employés. Bien que plus facile à dire qu'à faire, se concentrer sur ces fondamentaux peut contribuer grandement à contrer un pourcentage élevé de cyberattaques. »
Wisniewski de Sophos est d'accord avec la valeur des normes de bonnes pratiques.
« La grande majorité des attaques peuvent être évitées grâce à des contrôles de base déployés de manière cohérente sur l'ensemble du parc informatique », affirme-t-il. « Notre dernier rapport sur les adversaires actifs montre que la plupart des cas de ransomware commencent par des identifiants volés ou des vulnérabilités non corrigées, deux éléments couverts par les cadres de conformité. »
Toutefois, la conformité ne peut pas être abordée de manière isolée, conclut Wilson.
« Cela doit être considéré comme un élément d'une stratégie de cybersécurité globale qui englobe les personnes, les processus et la technologie », conclut-elle. « Les organisations doivent investir dans la résilience. Cela implique de comprendre les risques, de mettre en place des défenses et de s'assurer que les temps d'arrêt en cas d'interruption des opérations soient minimisés. »
