Les attaques par rançongiciel se stabilisent, note le Club des experts de la sécurité de l’information et du numérique (Cesin) dans son dernier baromètre annuel. Interrogés par questionnaire, 12% des 456 membres de l’association ont en effet déploré une attaque de ce genre. Dans les trois quart des cas, cette attaque, la plus grande menace cybercriminelle du moment, a été suivie d’un chiffrement d’une partie ou de la totalité des données, et pour le dernier quart, d’un vol de données et d’un chantage à la divulgation.
L’an passé, 14% des membres du Cesin interrogés avaient déploré une attaque par rançongiciel. “On voit une stabilisation” du phénomène criminel, “cela commence à s’essouffler un peu”, espère Alain Bouillé, le délégué général du Cesin. Une photographie qui devra être confirmée: en 2023, le parquet de Paris avait ouvert 512 nouvelles enquêtes pénales à la suite d’une attaque par rançongiciel, un chiffre en hausse de 20%.
Baisse des paiements, selon Coveware
Mais “de moins en moins d’entreprises payent”, assure également Alain Bouillé. Selon le spécialiste américain des négociations Coveware, la part des victimes d’un rançongiciel qui accepte de payer une rançon n’a en effet jamais été aussi basse. De 85% au premier trimestre 2019, elle serait tombée à 29% au dernier trimestre 2023, après être passée en dessous du seuil de 50% entre le second et le troisième trimestre 2021. Par contre, toujours selon les données de Coveware, le montant moyen des rançon est toujours très élevé, à 568 000 dollars, certes en forte baisse après un pic en milieu d’année 2023.
Au-delà des rançongiciels, le nombre d’attaques informatiques globalement identifiées par le Cesin reste stable. Quarante-neuf pour cent des répondants ont constaté au moins une cyberattaque significative dans leur entreprise, contre 45% en 2022. Pour 60% des entreprises visées, cette attaque informatique a pris la forme d’un hameçonnage, qu’il soit ciblé, par mail ou téléphone. De même, 43% des entreprises visées ont déploré l’exploitation d’une faille et 34% d’entre elles une attaque en déni de service, une part en forte hausse. A contrarier, les arnaques au président sont elles en baisse.
« Efforts probants »
“La menace est omniprésente et en constante évolution, cependant les efforts déployés sont probants dans l’anticipation des crises”, salue le Cesin. L’association cite ainsi les investissements dans les outils de protection, l’amélioration de la capacité de détection et de gestion des incidents, les campagnes de sensibilisation ou encore les exercices d’entraînement aux situations de crises.
Dans l’ensemble, les responsables de la sécurité des systèmes d’information interrogés se déclarent plutôt confiants dans la prise en compte des enjeux de la cybersécurité par leur comité exécutif, à 75%. De même, ils sont 62% à être assez ou très confiant dans la capacité de leur entreprise à faire face aux cyber-risques. Une confiance qui va devoir toutefois être challengée pour la moitié d’entre eux: 48% des répondants estiment être dans le périmètre de la directive européenne NIS2, qui doit entrer en vigueur au cours de l’année 2024 en France.