Les rançongiciels se moquent que ce soient les photos de bébé de vos enfants

L'après-midi du vendredi 12 mai 2017, des standardistes d'hôpitaux à travers l'Angleterre ont vu les écrans de leurs ordinateurs virer au rouge. Une fenêtre est apparue : vos fichiers ont été chiffrés ; envoyez 300 dollars en bitcoin ; le prix double dans trois jours. Des interventions chirurgicales ont été annulées. Des ambulances ont été détournées.

L'attaque s'appelait WannaCry. En une journée, elle avait atteint environ 200 000 ordinateurs dans 150 pays. Et elle a enseigné une leçon que l'industrie de la sécurité répète depuis, parce que personne ne veut l'entendre : pour un rançongiciel, vos données n'ont rien de précieux. C'est du stock.

Pour le chiffrement, tout n'est que des octets

C'est la première chose à comprendre, et c'est ce qui distingue le rançongiciel de toutes les formes antérieures de criminalité informatique. Un voleur dérobe ce qui a de la valeur et laisse le reste. Un rançongiciel chiffre sans discernement — photos de bébé, déclarations fiscales, vidéos de mariage, manifestes d'expédition d'une entreprise — parce que le chiffrement n'a pas besoin de savoir ce que sont les choses. Il parcourt le système de fichiers, repère les fichiers par leur extension et les brouille avec une cryptographie de niveau militaire que personne ne va casser.

La cruauté est structurelle, pas personnelle. Personne ne visait l'hôpital ; vous avez été chiffré parce que vous étiez joignable — une machine non corrigée sur un réseau, exécutant une version vulnérable du protocole de partage de fichiers SMB. WannaCry s'est propagé grâce à EternalBlue, un exploit développé par la NSA et divulgué un mois plus tôt par un groupe nommé Shadow Brokers. Vos souvenirs étaient des dommages collatéraux dans le programme d'armement de quelqu'un d'autre.

Six semaines plus tard est arrivé NotPetya — déguisé en rançongiciel, conçu comme un effaceur — entré par une mise à jour compromise de M.E.Doc, un logiciel ukrainien de comptabilité fiscale, puis propagé latéralement à travers les réseaux d'entreprise grâce aux mêmes exploits volés, en chiffrant les enregistrements maîtres de démarrage au point que les machines ne pouvaient même plus s'allumer. Peu importait ce qu'étaient les fichiers. Ce qui comptait, c'est qu'ils étaient là.

La photo de bébé à 300 millions de dollars

La victime la plus instructive de NotPetya a été Maersk, le géant danois du transport maritime — l'entreprise qui déplace environ un cinquième du fret maritime mondial. Le matin du 27 juin 2017, les employés de Maersk ont vu leurs écrans passer au noir, les uns après les autres, dans des bureaux du monde entier. Les téléphones ont été débranchés. Les systèmes de réservation qui programment les porte-conteneurs sont tombés. Pendant dix jours, l'entreprise a fait fonctionner une part importante de son activité mondiale avec du papier, WhatsApp et des instructions criées.

La reconstruction a été l'une des plus vastes jamais entreprises sous le feu : environ 4 000 serveurs, 45 000 PC et 2 500 applications réinstallés de zéro. La facture finale a été estimée entre 200 et 300 millions de dollars. La filiale européenne de FedEx, TNT Express, a perdu environ 300 millions de dollars dans la même attaque. Le laboratoire pharmaceutique Merck a perdu environ 670 millions de dollars.

Voici le détail qui compte pour cette histoire : Maersk a été sauvé, en partie, par la chance et la déconnexion. Un seul contrôleur de domaine au Ghana — hors ligne au moment critique à cause d'une coupure de courant locale — a survécu alors que toutes les machines connectées étaient chiffrées. Ce seul serveur injoignable est devenu la graine à partir de laquelle toute l'identité réseau de l'entreprise a été reconstruite. La copie qui a survécu était celle que les attaquants ne pouvaient pas toucher — pas le système de sauvegarde le plus sophistiqué, simplement celui qui se trouvait débranché.

Votre sauvegarde est aussi sur la liste

La stratégie de sauvegarde de la plupart des gens, quand ils en ont une, ressemble à ceci : un disque externe branché à l'ordinateur, ou un dossier qui se synchronise dans le cloud. Les deux sont joignables. Et « joignable », c'est exactement ce que chasse un rançongiciel.

Les rançongiciels modernes ne se contentent pas de chiffrer vos documents. Ils énumèrent les partages réseau. Ils chiffrent le disque USB posé sur votre bureau. Ils suppriment les copies d'ombre de Windows — les points de restauration du système lui-même — avant que vous puissiez vous en servir. Certaines variantes restent silencieuses pendant des semaines, chiffrant lentement les dossiers synchronisés dans le cloud, de sorte que des versions corrompues se propagent à tous les appareils et empoisonnent l'historique des versions. Votre sauvegarde, votre synchronisation, votre « ça va, c'est dans le cloud » — tout cela se trouve sur le même réseau, derrière les mêmes identifiants, à un mouvement latéral de distance.

C'est pourquoi les gens de la sécurité tracent une ligne dure entre une sauvegarde et une sauvegarde isolée. Une sauvegarde est une copie. Une sauvegarde isolée est une copie qu'on ne peut pas atteindre — pas vous, dans un moment de commodité, et donc pas un attaquant, dans un moment d'opportunité. La gêne est la protection. Chaque raccourci qui rend une sauvegarde plus facile à atteindre la rend plus facile à détruire.

La physique du « on ne peut pas y arriver d'ici »

Il y a une raison pour laquelle la référence de l'industrie en matière de reprise après rançongiciel n'a presque pas changé en trente ans : une copie hors ligne, dans un lieu séparé, testée par restauration. Des bandothèques. Des disques durs détachés. Des supports à écriture unique. La technologie est délibérément sans glamour, parce que le glamour est une surface d'attaque.

Imaginez ce que l'attaquant devrait faire pour détruire une copie correctement isolée. Il ne peut pas l'atteindre par le réseau, parce qu'elle n'y est pas. Il ne peut pas la chiffrer avec des identifiants volés, parce qu'aucun identifiant ne déverrouille un disque rangé dans un sac scellé sur une étagère. Il lui faudrait trouver physiquement le bâtiment, franchir la porte et mettre la main sur le support. Cela transforme une attaque logicielle extensible — un exploit, 200 000 victimes — en cambriolage. Et les cambriolages ne s'industrialisent pas. C'est tout l'enjeu : le rançongiciel est une économie d'échelle, et l'isolement physique casse cette économie.

Épicure avait un mot pour l'état que cela produit : l'ataraxie, généralement traduite par tranquillité — le calme qui ne vient pas de croire que rien de mauvais n'arrivera, mais d'avoir arrangé les choses pour que le mal, s'il arrive, ne puisse pas atteindre ce qui compte. La plupart des produits de sécurité vous vendent le premier type de calme : faites-nous confiance, nous veillons. Une copie hors ligne vous offre le second : peu importe qui veille, parce qu'il n'y a rien à voir.

La discipline sans gloire

Rien de tout cela n'est nouveau. La règle du 3-2-1 — trois copies, deux types de supports, une hors site et hors ligne — précède WannaCry de plusieurs décennies. Ce que l'ère des rançongiciels a changé, c'est le coût de sauter la dernière étape. En 2010, sauter votre copie hors ligne signifiait risquer un incendie domestique ou un disque mort. En 2017 et après, cela signifie risquer un adversaire qui chasse activement vos copies.

Et la dernière étape reste celle que personne ne fait, parce que c'est la seule qui résiste à l'automatisation. On n'isole pas en cochant une case. Il faut que quelqu'un débranche le disque, l'emmène quelque part, le mette sous tension deux fois par an, vérifie les données et le remette en place. C'est un travail de gardiennage — numéroter, sceller, consigner, contrôler — fait selon un calendrier, pour toujours.

C'est précisément pourquoi cela échoue comme habitude personnelle et réussit comme profession. Les meilleurs à ce jeu sont ceux pour qui ce n'est pas une corvée coincée entre d'autres corvées, mais le travail entier : recevoir le support, le sceller avec une bande numérotée, photographier le scellé, ranger les copies à deux endroits, inspecter les scellés selon le calendrier, consigner, recommencer — et ne mettre un disque sous tension pour le vérifier que lorsque son propriétaire le demande, par écrit. Ennuyeux, documenté, et — quand les écrans virent au rouge un vendredi après-midi — la différence entre une interruption et une fin.

Vos photos de bébé ne sont pas plus en sécurité parce que le rançongiciel aurait un cœur. Elles le sont quand il n'existe tout simplement aucun chemin de l'attaquant jusqu'au disque. Pas de chemin, pas de rançon. Ce n'est pas un argumentaire commercial. C'est de la physique.

Everkeep assure la garde hors ligne de disques chiffrés que vous possédez et chiffrez vous-même : scellés numérotés, photographies, deux copies dans deux lieux distincts, inspections des scellés selon le calendrier — et vérification sous tension uniquement sur votre demande écrite. 199 $/an par emplacement.