Les attaques de ransomware contre des entreprises américaines ont coûté 20,9 milliards de dollars en 2020

En 2020, 186 attaques de ransomware contre des entreprises américaines ont entraîné le vol et/ou l’utilisation abusive de plus de 7 millions de dossiers individuels. Nous estimons que ces attaques coûtent aux entreprises près de 21 milliards de dollars rien qu’en temps d’arrêt. La plupart des entreprises auront également été soumises à d’énormes coûts de redressement, à une perte de revenus et à un manque de confiance des clients après l’attaque.

Grâce à notre enquête, nous avons constaté qu'une entreprise moyenne a perdu 9 jours à cause d'un temps d'arrêt et environ deux mois et demi à cause des enquêtes en 2020. Et c'est peut-être la raison pour laquelle 2021 a déjà vu d'énormes paiements de rançons (62,4 millions de dollars versés aux pirates informatiques en seulement 2021). 5 attaques).

De nombreux cybercriminels lancent désormais des attaques de double extorsion qui volent les données d'un système avant de les chiffrer. Face aux temps d’arrêt et à la perte de données, le paiement d’une rançon d’un million de dollars peut être considéré comme l’option la plus judicieuse. Payer la rançon peut être une proposition intéressante pour les entreprises à la recherche d’une solution rapide. Ils peuvent payer pour la clé de déchiffrement de leurs systèmesetempêcher la publication des données des clients.

Au cours des dernières années, les attaques de ransomware contre les entreprises ont augmenté à un rythme exponentiel (nous avons noté une augmentation de 245 % entre 2019 et 2020). Ils démontent des systèmes clés, perturbent les opérations et obligent même les entreprises à fermer définitivement leurs portes. De plus, comme indiqué ci-dessus, les attaques à double accès, au cours desquelles les données des clients sont également volées, mettent les entreprises sous encore plus de pression.

Au cours des six premiers mois de 2021, plus de 22 millions d’enregistrements individuels ont été touchés par 91 attaques distinctes de ransomware. Cela représente plus de trois fois le nombre d’enregistrements touchés au cours de l’année 2020, ce qui suggère que 2021 sera une année sans précédent en ce qui concerne les violations de données provoquées par des ransomwares en particulier. C'est particulièrement le cas lorsque les chiffres des violations de données sont souvent signalés des mois après une attaque.

Alors, quel est le véritable coût de ces attaques de ransomware pour les entreprises américaines, comment la menace des ransomwares a-t-elle évolué au cours des dernières années et que suggèrent les chiffres de 2021 pour l’année à venir ?

Pour le savoir, notre équipe de chercheurs a rassemblé des informations sur toutes les attaques de ransomware touchant les entreprises depuis 2018. Cependant, de nombreuses entités hésitent à divulguer les attaques de ransomware, surtout lorsque des montants de rançon ont été payés. Ce n’est souvent que lorsque l’entreprise doit reconnaître la violation due à une perturbation des systèmes ou à une perte de données que les informations sur l’attaque sont rendues publiques. Si tel est le cas, ces rapports auront été inclus dans notre étude.

Notre équipe a passé au crible plusieurs ressources différentes (actualités informatiques spécialisées, rapports sur les violations de données et outils de reporting étatique) pour rassembler autant de données que possible sur les attaques de ransomware contre les entreprises américaines. Nous avons ensuite appliqué les données d'études sur le coût des temps d'arrêt pour estimer une fourchette du coût probable des attaques de ransomware pour les entreprises. En raison des difficultés liées à la découverte de ces types de violations, nous pensons que les chiffres ne font qu’effleurer le problème.

Principales conclusions

En 2020 :

• 186 attaques individuelles de ransomware contre des entreprises, soit une augmentation de 244 % par rapport à 2019 (54)
• 7 001 937 dossiers individuels touchés, soit une augmentation de 763 % par rapport à 2019 (811 011)
• Les rançons variaient entre 500 000 $ et 21 millions de dollars
• Les temps d'arrêt variaient d'une interruption minime (grâce à des sauvegardes fréquentes des données) à des mois et des mois de temps de récupération.
• En moyenne, les entreprises ont perdu neuf jours à cause d'une interruption et ont passé 76 jours à se remettre de l'attaque.
• Les pirates ont reçu au moins 17,3 millions de dollars en rançon
• Le coût global de ces attaques est estimé à environ 20,86 milliards de dollars.
• Les entreprises de services ont été les plus ciblées, représentant 24 % de toutes les attaques. Viennent ensuite les entreprises informatiques/technologiques (16 %) et manufacturières (14 %).
• Maze était le type de ransomware le plus fréquemment cité, représentant 28 % de toutes les attaques (pour lesquelles le type de ransomware a été divulgué).

Quel État a connu le plus d’attaques de ransomware contre les entreprises en 2020 ?

Il n’est peut-être pas surprenant que la ville la plus peuplée des États-Unis, la Californie, ait également enregistré le plus grand nombre d’entreprises touchées par des attaques de ransomwares en 2020. Avec 25 au total, les entreprises californiennes ont subi beaucoup plus d’attaques que New York, deuxième (16).

New York était suivi de près par l'Illinois (13), la Floride (12) et le Massachusetts (11).

Sur la base du nombre d'enregistrements affectés par les attaques de ransomware contre ces entreprises, l'état le plus touché change. Cependant, nous devons noter que le nombre de dossiers concernés au sein d’une entreprise peut s’étendre au-delà de l’État dans lequel l’entreprise est basée. Mais comme les chiffres individuels pour chaque État sont rarement disponibles, le nombre de dossiers est attribué en fonction de l’État du siège.

L'Illinois, l'État avec le troisième plus grand nombre d'attaques de ransomwares, a eu le plus grand nombre de dossiers touchés, plus de 2,8 millions au total. La grande majorité de ces enregistrements (2,79 millions) faisaient partie de l'attaque contre Arthur J. Gallagher & Co. Le courtier d'assurance international a été visé en septembre mais n'a pas informé les clients dont les données ont été volées pendant huit mois. En conséquence, l’entreprise a fait l’objet d’un recours collectif contre elle.

Le nombre de dossiers touchés dans l’Illinois était le double de celui du Minnesota (1 454 413). L’Illinois et le Minnesota sont les seuls États à avoir touché plus d’un million de dossiers. L'Utah arrive en troisième position avec un peu plus de 760 000 habitants.

En raison du nombre élevé d'enregistrements impliqués dans les attaques dans ces trois États, le Minnesota, l'Illinois et l'Utah ont également enregistré le pourcentage le plus élevé de leurs populations touchées par des attaques de ransomware. Chacun de ces pays comptait respectivement 26, 22 et 24 % de sa population touchée par des attaques de ransomware contre des entreprises américaines en 2020. Ces chiffres sont nettement supérieurs au pourcentage moyen de la population de chaque État touché – 1,9 pour cent.

Combien ces attaques de ransomware ont-elles coûté aux entreprises américaines en 2020 ?

Comme mentionné précédemment, les demandes de rançon variaient considérablement entre 500 000 $ et 21 millions de dollars. De plus, seule une poignée de fournisseurs publient les chiffres concernés (nous n’avons trouvé des demandes de rançon que pour 11 des 186 attaques). Naturellement, les organisations ne souhaitent pas discuter du montant des rançons ou de leur paiement, car cela pourrait inciter à de nouvelles attaques.

Ce que nous savons cependant est le suivant :

• Garmin aurait payé une rançon de 10 millions de dollars pour libérer ses systèmes après que sa filiale américaine a révélé une attaque de ransomware le 23 juillet 2020.
• L'agence de voyages CWT a payé une rançon de 4,5 millions de dollars après la mise hors ligne de 30 000 ordinateurs en juillet 2020. Bien qu'astronomique, la rançon payée était inférieure à la moitié des 10 millions de dollars initiaux exigés par les pirates.
• Les technologies NetGain ont payé une rançon de 2,3 millions de dollars pour les clés de déchiffrement après son attaque en novembre 2020. Mais ce n'est que près de 1,5 million (et ce n'est pas fini) que les enregistrements ont été affectés par plusieurs entités qui utilisent la technologie.
• Communications & Power Industries a payé la rançon la plus basse connue l'année dernière (500 000 $) après qu'une attaque ait infiltré tous les ordinateurs, y compris les sauvegardes sur site. Malgré le paiement de la rançon, l’entreprise ne fonctionnait toujours pas à pleine capacité près de deux mois plus tard.

Ajout de temps d'arrêt

Même si peu d'entreprises révèlent si elles ont payé ou non les rançons et quel est le montant impliqué, les temps d'arrêt et les périodes d'enquête qui surviennent en raison de ces attaques sont plus fréquemment signalés. Cela est dû au fait que les entreprises doivent souvent fermer leurs portes pendant plusieurs jours et/ou que les systèmes sont indisponibles pendant de longues périodes.

Comme nous l'avons déjà vu, les serveurs peuvent être mis hors ligne pendant des heures, des semaines ou des mois. Et dans certains cas, les données, les ordinateurs et même les entreprises sont irrécupérables.

Selon les chiffres que nous avons pu retrouver (pour 38 attaques sur 186), les entreprises ont subi en moyenne 9 jours d’indisponibilité en 2020. Mais le processus d’enquête a duré 58 jours. Les temps d'arrêt sont liés à la fermeture d'entreprises et/ou à des services largement indisponibles, tandis que la période d'enquête correspond au temps nécessaire à l'entreprise pour examiner l'attaque et découvrir quel impact elle a eu et quels données/systèmes ont été affectés.

Sur la base de ces chiffres, les attaques de ransomware pourraient avoir causé 340,5 jours d’arrêt et 4 414 jours d’enquêtes en 2020.

Alors, combien cela aurait-il pu coûter aux entreprises ?

UN estimation 2017 place le coût moyen par minute d’indisponibilité à 8 662 $ (dans 20 secteurs différents). Cela signifierait que le coût des temps d’arrêt pour les entreprises américaines en 2020 s’élèverait à environ 20,9 milliards de dollars. Cela représente plus de 13 milliards de dollars de plus que le chiffre de 2019 (8,2 milliards de dollars) et plus de 5 fois le chiffre de 4,05 milliards de dollars de 2018.

Même si ces chiffres peuvent paraître extrêmement élevés, ils sont conformes aux chiffres rendus publics par les entreprises. Par exemple, Cognizant a déclaré avoir perdu entre 50 et 70 millions de dollars de revenus et de marge après son attaque d'avril 2020, Forward Air Corporation a déclaré que son impact commercial était de 7,5 millions de dollars, et Steelcase a déclaré que ses expéditions d'une valeur de 60 millions de dollars avaient été retardées en raison de son attaque d'octobre 2020. entraînant une perte de 6 millions de dollars. Et plus récemment, CompuCom a révélé avoir subi un coût de récupération de 20 millions de dollars, en plus d'une perte de revenus de 5 à 8 millions de dollars à la suite de l'attaque contre ses systèmes en mars 2021.

Principales conclusions de janvier 2018 à juin 2021 :

Notre équipe a enregistré des attaques de ransomware de janvier 2018 à juin 2021. Pendant cette période :

• 356 attaques individuelles distinctes de ransomware ont été menées contre des entreprises
• Près de 30 millions de dossiers ont été volés, perdus ou affectés à cause de ces attaques
• Les entreprises ont subi environ 3 491 jours d’arrêt en raison d’attaques de ransomware, et environ 22 300 jours ont été consacrés aux enquêtes post-attaques.
• 14 entreprises ont révélé le montant impliqué dans leurs efforts de rétablissement, avec plus de 161,5 millions de dollars dépensés au total par ces entités. Cela représente une moyenne de plus de 11,5 millions de dollars
• Les demandes de rançon variaient entre 5 500 et 40 millions de dollars
• Les pirates ont reçu au moins 80 millions de dollars de rançon
• Les pirates ont demandé au moins 159 millions de dollars de rançon, la demande moyenne étant de 6,4 millions de dollars.
• Nous estimons que les temps d'arrêt ont coûté aux entreprises plus de 43,5 milliards de dollars, les coûts potentiels de récupération ajoutant des millions (voire des milliards) au total.

Comment 2020 se compare-t-elle aux années précédentes ?

Les ransomwares au sein des entreprises se sont vraiment accélérés en 2020, contrairement aux tendances que nous avons constatées dans notre éducation et gouvernement études sur les ransomwares. Mais cela suit une tendance similaire au nombre d’attaques de ransomwares que nous avons constatées sur Organisations de santé américaines (une augmentation de 60 pour cent d’une année sur l’autre de 2019 à 2020).

Alors pourquoi les entreprises et les établissements de santé ont-ils été la cible des attaques de ransomwares en 2020 ?

Si l’on regarde le tableau ci-dessus, on constate que les choses commencent réellement à décoller à partir du mois de mai 2020, soit peu de temps après le début de la pandémie. Avec la fermeture de nombreuses écoles et entités gouvernementales, l’infiltration des systèmes est peut-être devenue plus difficile pour les pirates informatiques. Mais alors que les organisations de soins de santé et les entreprises essayaient de continuer (mais sous une pression accrue), elles devenaient probablement une cible beaucoup plus facile pour les attaques. Ils ne pouvaient pas se permettre un arrêt du système et, avec davantage d'employés se connectant depuis leur domicile, les réseaux et les systèmes étaient devenus plus vulnérables aux attaques.

• Nombre d'attaques
  • 2021 (jusqu’en juin) – 91
  • 2020 – 186
  • 2019 – 54
  • 2018 – 25
• Nombre d'enregistrements concernés :
  • 2021 (jusqu’en juin) – 22 077 964
  • 2020 – 7 001 937
  • 2019 – 811 011
  • 2018 – 51 469
• Temps d'arrêt moyen :
  • 2021 (jusqu’en juin) – 9,7 jours
  • 2020 – 9 jours
  • 2019 – 11,3 jours
  • 2018 – 13 jours
• Durée moyenne d'enquête :
  • 2021 (jusqu’en juin) – 49 jours
  • 2020 – 76 jours
  • 2019 – 60 jours
  • 2018 – 18 jours
• Temps d'arrêt provoqué (cas connus) :
  • 2021 (jusqu’en juin) – 242,25 jours (25 cas)
  • 2020 – 340,5 jours (38 cas)
  • 2019 – 249 jours (22 cas)
  • 2018 – 65 jours (5 cas)
• Estimation du temps d'arrêt causé (basé sur les cas connus et la moyenne dans les cas inconnus) :
  • 2021 (jusqu’en juin) – 882 jours
  • 2020 – 1 673 jours
  • 2019 – 611 jours
  • 2018 – 325 jours
• Coût estimé des temps d'arrêt :
  • 2021 (jusqu’en juin) – 11 milliards de dollars
  • 2020 - 20,86 milliards de dollars
  • 2019 – 7,6 milliards de dollars
  • 2018 – 4 milliards de dollars

Comment se présente l’année 2021 en matière d’attaques de ransomware contre les entreprises ?

Si le second semestre 2021 connaît le même nombre d’attaques que le premier semestre (91), les chiffres de 2021 seront conformes à ceux des années 2020, avec plus de 180 attaques de ransomware individuelles. Cependant, comme de nombreuses attaques sont souvent révélées des semaines ou des mois après leur survenue, ces chiffres devraient encore augmenter au cours des prochains mois, ce qui suggère que 2021 sera une année record pour les attaques de ransomware contre les entreprises américaines.

De plus, d’importantes rançons ont déjà été versées cette année, les temps d’arrêt sont en augmentation (près d’un jour de plus qu’en 2020) et le nombre de dossiers touchés en seulement six mois de 2021 était trois fois supérieur au chiffre de l’année 2020.

Bon nombre de ces chiffres étant susceptibles d’augmenter à mesure que l’ampleur réelle des attaques sera révélée, le coût pour les entreprises semble également devoir être encore plus élevé.

Méthodologie

Nos recherches ont révélé 356 attaques de ransomware au total. À partir de là, nous avons pu déterminer combien de rançon avait été demandée, combien avait été payé et combien de temps d'arrêt avaient été provoqués à la suite des attaques. Nous avons ensuite utilisé les chiffres que nous avons pu trouver pour créer des estimations (une moyenne par an) du nombre de temps d'arrêt causés par une attaque de ransomware et les avons appliqués aux entreprises pour lesquelles aucun chiffre de temps d'arrêt n'était disponible. En utilisant un coût moyen par minute d'indisponibilité (8 662 $) tiré d'un rapport récent, nous avons ensuite pu estimer le coût que pourraient avoir les fermetures d'entreprises et les perturbations graves. Cela ne prend en compte que le nombre de temps d’arrêt subis par les entreprises en raison des attaques de ransomwares ; il ne couvre pas la période de récupération et les dépenses qui en découlent.

Dans la mesure du possible, nous avons attribué l'attaque au mois au cours duquel elle s'est produite. Cependant, dans certains cas, l’attaque peut avoir été attribuée au mois au cours duquel elle a été signalée en raison d’un manque de données.

Les délais d'enquête ne sont enregistrés que s'ils sont clairement indiqués dans la lettre de notification de violation de données ou dans une déclaration de l'entreprise. Les délais d’enquête ne sont pas calculés sur la base de la différence entre la date de l’attaque et les données de la notification de violation, car les lettres ne sont pas toujours publiées immédiatement après la conclusion de l’enquête.

Les attaques de ransomware peuvent se produire contre un fournisseur tiers avec des chiffres de violations provenant d'un ou plusieurs de leurs clients concernés, mais l'attaque de ransomware est classée comme « une ». NetGain en est un exemple.

Dans la mesure du possible, nous avons essayé de connaître le nombre total de personnes touchées par l'attaque. Cependant, dans certains cas, les seuls chiffres disponibles sont le nombre de personnes touchées dans un État donné. Néanmoins, le nombre de dossiers concernés est attribué à l'État dans lequel se situe l'entreprise (ou son siège social).

Chercheurs de données :George Moody, Rebecca Moody

Pour une liste complète des violations et de leurs sources pertinentes, veuillez demander l'accès ici .