Dès le premier jour de l’année 2022, les cybercriminels ont redoublé d’activité, et un nouveau rançongiciel a été lancé sur le net : Lapsus$. Ce rançongiciel a ciblé plusieurs organisations majeures, et ne fera certainement qu’élargir son champ d’action dans les prochaines années. L’arrogance des pirates à l’origine de ce rançongiciel, connu sous le nom de Groupe Lapsus$, se place haut : le gang a en effet posté un tweet depuis une des compagnies qu’il a infectées, écrivant que « Lapsus$ était le nouveau président du Portugal ». Ce tweet a bien malheureusement démontré le joug du groupe sur l’infrastructure de l’organisation piratée. Voici quelques-unes des dernières informations concernant le rançongiciel Lapsus$ et la manière dont il peut affecter votre entreprise.

Les organisations ciblées par Lapsus$

D’après The Record, le groupe de médias le plus répandu au Portugal, Impresa, était dans le viseur de Lapsus$ dès le début des congés du Nouvel An. Impresa est propriétaire de la chaîne télévisée principale du Portugal et des journaux les plus influents, SIC et Expresso. C’est par le compte Tweeter d’Expresso que les pirates ont piégé Impresa, ce qui leur a permis de démontrer le niveau de leur contrôle sur l’infrastructure technologique de l’organisation. Toujours selon The Record, le Groupe Lapsus$ s’en est aussi pris à tous les sites internet d’Impresa, en affichant un message (en portugais) sur chaque page d’accueil, lequel précisait aux lecteurs que le gang avait aussi pris le contrôle du compte Amazon Web Service (AWS) d’Impresa.

En plus de leur mainmise sur le compte Twitter d’Expresso, les cyber-pirates ont aussi pris le contrôle de la lettre d’information (la newsletter), envoyant des mails hameçons aux abonnés du journal et les informant que le président du Portugal avait été assassiné.

Cette pure exploitation des données volées sur le contrôle des réseaux sociaux a donné lieu à un commentaire d’Expresso, qui a publié le communiqué suivant, en portugais : « L’invasion d’une grande organisation est une fierté pour eux, et ils peuvent s’en vanter auprès de leurs pairs. Ces cybercriminels adorent le piratage et le sabotage, que ce soit au Portugal ou dans n’importe quel autre pays. »

D’autres victimes du Groupe Lapsus$ se sont manifestés : il s’agit du Ministère de la Santé du Brésil et de l’opérateur des télécommunications brésilien Claro. Le premier a perdu 50 TB de données au cours de la cyber-attaque. Le Groupe Lapsus$ a depuis révélé avoir effacé toutes les données relatives aux informations de vaccination contre la Covid.

Si les commentateurs d’Impresa ont raison et que le Groupe Lapsus$ fait tout cela pour l’esbrouffe, alors il y a fort à parier qu’il continuera à viser les grandes organisations gouvernementales et les compagnies à forte activité sur les réseaux sociaux. Les cyber-attaques semblent se concentrer aujourd’hui sur les pays de langues espagnole et portugaise, langues dans lesquelles sont rédigées les demandes de rançons.

Comment Lapsus$ atteint son objectif

Les experts en analyse ont pour l’instant conclu que le Groupe Lapsus$ a commencé ses attaques avec un mail hameçon. D’après une étude globale des fournisseurs de services, l’hameçonnage cause plus de la moitié des attaques au rançongiciel. L’hameçonnage est en effet un moyen très simple de s’infiltrer dans le réseau d’une entreprise, grâce à un simple téléchargement ou un clic sur un site internet gardé uniquement par mot de passe : les cybercriminels sont alors capables de se faufiler dans le système d’une entreprise jusqu’au panneau de contrôle de l’administrateur. L’accès à ce compte est exploité par Lapsus$ ouvertement, le groupe se manifestant sur les réseaux sociaux. Il y a de fortes raisons de croire que cette mise en scène spectaculaire sera reprise par d’autres cyber-pirates dans un avenir proche, et qu’elle fera même partie du plan d’attaque.

L’industrie de la cyber-sécurité a remarqué un changement dans le taux de dommages causés par les rançongiciels ces dernières années : du simple au double, voire au triple, allant bien au-delà du style « cryptage de données et rançon ». L’enquête des experts, toujours en cours, a révélé jusqu’à présent que l’attaque Lapsus$ vole et crypte les données dans un premier temps, puis s’étend jusqu’à prendre le contrôle du système.

Rançongiciels : à quoi s’attendre en 2022 ?

Les rançongiciels ont fait les gros titres en 2021 avec des gangs comme REvil et Darkside en tête. Des attaques colossales sur les infrastructures de services essentiels comme Colonial Pipeline aux États-Unis ont causé un arrêt momentané de leurs activités. L’apparition du Groupe Lapsus$ en ce début d’année laisse présager des événements à venir… Le rançongiciel est très rentable pour les cybercriminels, les rançons ayant augmenté de 518% en 2021. Il semble à présent qu’un nouvel élément soit à prendre en compte : la vantardise. Si Lapsus$ inspire les cyber-pirates dans l’avenir, les cyber-attaques risquent d’être beaucoup plus audacieuses, avec une large part de communication sur les réseaux sociaux et le détournement de sites internet. Tout cela affecte largement les marques et leur réputation. Aujourd’hui, ce « quadruple impact » causé par le rançongiciel comprend le cryptage, le vol de données, l’hameçonnage des clients et la mainmise sur les réseaux sociaux. Une attaque multi-niveaux bien implantée, conçue pour durer.

Ne laissez pas les rançongiciels gâcher votre année ni votre entreprise

Les rançongiciels sont dangereux pour toutes les entreprises, pas seulement les plus grandes. Les cybercriminels créent des versions RAAS des rançongiciels, disponibles sur abonnement. Toutes les entreprises, de toutes les dimensions et travaillant dans tous les secteurs, courent le risque d’être ciblées par une attaque au rançongiciel. Pour protéger votre compagnie, assurez-vous :

• De déployer une protection anti-spam et anti-hameçonnage, capable de bloquer les mails indésirables et les menaces les plus avancées,
• D’utiliser un filtre web capable d’empêcher vos employés de naviguer sur des sites frauduleux,
• De configurer une identification multifactorielle permettant de contrôler l’accès aux applications locales et au cloud,
• D’entraîner vos employés à la cyber-sécurité pour les rendre capables de distinguer les mails hameçons et les tentatives de piratage.