Ransomware

Écosystème criminalisé

Les groupes opèrent comme des entreprises : IAB fournissent les accès, développeurs créent le malware, négociateurs gèrent les communications, blanchisseurs convertissent les cryptomonnaies. La double extorsion (chiffrement + exfiltration) est désormais la norme.

Prévention

Sauvegardes 3-2-1-1-0 (isolées et immuables), MFA, patch management rigoureux, segmentation réseau, EDR/XDR sur tous les endpoints, sensibilisation au phishing, et surveillance des indicateurs précoces (Mimikatz, PsExec, scanners réseau).

Réponse et PRA

Les plans de réponse doivent inclure un playbook spécifique couvrant l'isolation, la communication, la négociation éventuelle, la restauration et la notification réglementaire. Le PRA/PCA cyber doit être régulièrement testé pour valider la capacité de restauration.