Thread by @epelboin

#MakingOf #OPAL

Les attaques au ransomware, pour les entreprises et les institutions, sont la plaie du cyberespace contemporain.

Concrètement, ça se passe à peu près comme ça...

1/ La cybersécurité d'une boite présente quelques failles (c'est toujours le cas, seul les gens du marketing sont persuadés du contraire).

Du coup, la boite se fait "pénéter" par des pirates et les données présentes sur ses systèmes sont chiffrées et rendues inutilisables.

2/ Bien souvent, les cybercriminels exfiltrent les données pour en garder une copie de leur coté...

3/ Vient ensuite la phase de négociation entre les pirates et la victime. Il s'agit de payer pour récupérer une clé qui servira à déchiffrer ses données et faire repartir l'entreprise ainsi paralysée...

4/ A ce stade, si les négociations échouent, les pirates rendent publiques les données de l'entreprise.

But wait, there's more...

5/ Même si les négociations aboutissent et que la victime récupère la clé et fait redémarrer son informatique, il arrive que les pirates reviennent à la charge...

6/ Les pirates demandent alors une seconde rançon contre la promesse de ne pas publier les données. Sachant qu'une promesse faite par des cybercriminels... ben... ça vaut ce que ça vaut...

7/ ...et c'est reparti pour un autre round de négociation, qui en cas d'échec mène... à la divulgation des données...

Voilà les phases à travers lesquelles le groupe Altice a dû passer cet été, et à l'évidence, ça s'est mal passé à un moment car les données d'Altice ont été publiés voilà un peu plus d'une semaine sur le fameux Darknet.

Pour des journalistes, habitués aux leaks et travaillant main dans la main avec des whitehats (qui sont eux même journalistes)... C'est une aubaine incroyable, du même ordre que les leaks issus de lanceurs d'alerte, une méthode d'enquête éprouvée plus de depuis dix ans.

Mais l'amplitude du phénomène est tout autre. Les leaks des lanceurs d'alertes sont rares et occasionnels, le dernier en date a donné l'affaire Uber, alors que les publications de données corporate suite à l'échec d'une négociation avec des pirates, c'est presque quotidien...

Le darknet est aujourd'hui rempli de données issues d'une multitude de victimes et d'une myriade de groupes de ransomware. Ca va du cabinet d'avocats parisien à la multinationale du type Altice, des milliers de leaks...

Ce type de leaks comme base d'une investigation, c'est assez nouveau, mais il y a fort à parier qu'il se banalisera, tant la quantité de données disponibles donne le tournis et permet d'éclairer le monde d'aujourd'hui et son fonctionnement, la base du métier de journaliste.