Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia - 404

F

O

C

U

S

Cybercriminalité

Payer une rançon,
un risque de sanction américaine
Le Trésor américain a publié un avis rappelant que le fait de payer (ou de faciliter
le paiement) d'une rançon à certains cybercriminels, suite à une attaque de
ransomware pourrait entraîner une violation de la réglementation de l'Ofac
et exposer la victime et ceux qui l'ont aidée à des sanctions civiles, qu'ils soient
américains ou non.

A

lors que les attaques de
ransomware s'intensifient
dans le monde, y compris
dans des secteurs sensibles
comme la santé, il devient de plus en
plus critique de verser une rançon
aux ravisseurs. Non seulement, les
victimes risquent de ne pas récupérer leurs données prises en otage
et de compromettre le moyen de
paiement utilisé, mais aujourd'hui
elles s'exposent à subir des sanctions
de l'administration des Etats-Unis,
qu'elles
soient
américaines
ou
non. Le 1er octobre 2020, l'Office
of Foreign Assets Control (Ofac),
service du Trésor américain, a
publié un avis intitulé Advisory
on Potential Sanctions Risks for
Facilitating Ransomware Payments,
sur les risques de sanctions associés
à l'aide apportée aux paiements de
rançon, suite à une cyberattaque.
Cela concerne les victimes qui
acceptent de verser la rançon, mais
aussi les entreprises qui facilitent
les paiements aux cybercriminels
au nom des victimes, y compris les
institutions financières, les sociétés
de cyber-assurance et les entreprises
impliquées dans la criminalistique
numérique et la réponse aux incidents
comme les négociateurs. Comme
l'explique l'Ofac, «  les paiements de
ransomware profitent aux acteurs
illicites et peuvent saper les objectifs
de sécurité nationale et de politique
étrangère des États-Unis  ». Toutes
les entreprises américaines ou non
peuvent tomber ainsi sous le coup
d'une législation américaine, aux
effets extraterritoriaux, dès l'instant
qu'elles ont un rattachement avec ce
pays.

404

Un rançongiciel, ou ransomware en
anglais, est un programme malveillant dont le but est d'obtenir de la
victime le paiement d'une rançon.
Lors d'une attaque de rançongiciel,
l'attaquant met l'ordinateur ou le
système d'information de la victime
hors d'état de fonctionner de manière
réversible. Dans la plupart des cas, le
programme malveillant chiffre par
des mécanismes cryptographiques
les données de l'ordinateur ou du
système, rendant leur utilisation
impossible. La victime reçoit alors un
message non chiffré lui proposant,
contre le paiement d'une rançon, de
lui fournir le moyen de déchiffrer ses
données. Les conséquences d'une
attaque peuvent conduire au blocage
du système d'information de l'entreprise, voire de son activité, à des fuites
de données dont des données personnelles potentiellement sensibles, à la
mise en cause de la responsabilité de
l'entreprise du fait des manquements
contractuels le cas échéant engendrés,
à des préjudices financiers, réputationnels interne et externe, etc.
Selon l'Agence nationale de la
sécurité des systèmes d'information
(Anssi), parmi les actes de cybercriminalité recensés, les rançongiciels
représentent aujourd'hui la menace
la plus sérieuse. «  Ils augmentent en
nombre, en fréquence, en sophistication et peuvent être lourds de
conséquences sur la continuité de
l'activité voire de la survie de l'entité
victime ».
Les Etats-Unis sont bien évidemment
visés par ces menaces. En juillet
dernier, Garmin, le spécialiste de la
navigation par GPS, a déclaré avoir subi
une attaque informatique qui a paralysé

EXPERTISES Décembre 2020

son activité pendant une semaine. Il est
soupçonné d'avoir accepté le paiement
d'une rançon de 10 millions de dollars
en cryptomonnaie à des individus
liés au groupe Evil Corp, basé en
Russie, qui a développé le rançongiciel
WastedLockerer. En 2019, le département américain du Trésor, suspectant
la responsabilité d'Evil dans le développement et la diffusion du programme
malveillant Dridex, avait sanctionné ce
groupe. Après cette affaire, Evil avait
mis ses activités en sourdine mais il les
a reprises en mai 2020 avec un nouvel
outil, WastedLocker. Selon la presse
américaine, l'affaire Garmin aurait
déterminé l'Ofac à réagir et a rappelé
les risques que prennent les organisations qui versent des rançons à des
cybercriminels identifiés, dans un avis
publié le 1er octobre dernier.
DES SANCTIONS CONTRE LES
VICTIMES, LES ASSUREURS, LES
INSTITUTIONS FINANCIÈRES ET
LES NÉGOCIATEURS DE RANÇON
L'Ofac est le service de l'administration
américaine en charge de l'application des sanctions économiques et
commerciales des États-Unis contre
des
gouvernements,
individus,
groupes et entités étrangers dont
les actions seraient contraires aux
buts et objectifs du gouvernement
en matière de sécurité nationale et
de politique étrangère. Ce service du
Trésor agit en application de l'International Emergency Economic Powers
Act (IEEPA) de1977, qui autorise le
Président à réglementer le commerce
après avoir déclaré une situation
d'urgence nationale en réponse à une
menace étrangère, inhabituelle et
extraordinaire pour les États-Unis et
Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia
