Ransomware : aux prémices de l’attaque

La communication autour des cyberattaques avec rançongiciel prête à confusion. De nombreuses victimes mentionnent la date à laquelle le rançongiciel a été déclenché comme celle à laquelle l’attaque est survenue. C’est en fait la date à laquelle l’attaque a été finalement (et trop tard) découverte. En réalité, l’attaque était déjà en cours plus tôt. Dater précisément le début d’une cyberattaque est difficile. Faut-il considérer le moment où l’assaillant qui aura, en définitive, déclenché le ransomware comme « T0 » de l’attaque ? Ou faut-il remonter plus loin dans le temps, lorsqu’un tiers malveillant aura réussi à établir un accès initial ? Si tant est qu’il soit possible de déterminer ce moment… Cette réflexion amène à deux notions : accès initial et courtier en accès initiaux. Méconnues, ces deux notions sont pourtant essentielles pour comprendre comment sont conduites les cyberattaques avec rançongiciel, pourquoi elles peuvent faussement donner l’impression de soit aller très vite, soit s’étaler longuement dans le temps. De quoi aussi conduire à une réflexion sur ses moyens de prévention.