Les attaques de ransomware contre des organisations gouvernementales américaines ont coûté 18,9 milliards de dollars en 2020

En 2020, 79 attaques individuelles de ransomware ont été menées contre des organisations gouvernementales américaines, affectant potentiellement 71 millions de personnes et coûtant environ 18,88 milliards de dollars en temps d'arrêt et en coûts de récupération.

Au cours des dernières années, les ransomwares sont devenus une grande source de préoccupation pour toutes sortes d’organisations. Pour les entités gouvernementales, cela peut signifier des temps d'arrêt prolongés, des fichiers perdus et l'impossibilité d'accéder aux infrastructures et services clés. Cela comprend les services et utilitaires 911.

En fait, nos chercheurs ont découvert qu’un total de 246 attaques distinctes de ransomware ont été menées contre des agences gouvernementales au cours des trois dernières années (de 2018 à 2020). Ces mesures ont potentiellement touché plus de 173 millions de personnes et auraient coûté 52,88 milliards de dollars.

Notre équipe de chercheurs a rassemblé des informations sur toutes les attaques de ransomware affectant les organisations gouvernementales depuis 2018. La majorité de ces attaques visent à arrêter les processus, à interrompre les services et à provoquer des perturbations, et non à voler des données. Par conséquent, pour évaluer l’impact, nous avons examiné la population de la ville ou de l’État touché pour voir combien de personnes auraient pu être touchées par ces perturbations.

Notre équipe a passé au crible plusieurs ressources différentes (actualités informatiques spécialisées, rapports sur les violations de données et sites Web gouvernementaux) pour rassembler autant de données que possible sur les attaques de ransomware contre les fournisseurs du gouvernement américain. Nous avons ensuite appliqué les données d'études sur le coût des temps d'arrêt pour estimer une fourchette de coûts probables des attaques de ransomware pour les organisations gouvernementales. En raison des difficultés liées à la découverte de ces types de violations, nous pensons que les chiffres ne font qu’effleurer le problème.

Principales conclusions

• 79 attaques individuelles de ransomware contre des organisations gouvernementales – une diminution de 35 % par rapport à 2019
• 70 758 371 personnes pourraient avoir été touchées par les attaques, soit une diminution de 7 % par rapport à 2019.
• Plus de 1,75 million de dollars ont été payés en rançon aux pirates informatiques
• Le montant des rançons variait entre 2 500 et 5 millions de dollars.
• Près de 10,85 millions de dollars auraient été réclamés par des pirates informatiques (19 montants de rançons ont été révélés)
• Sur la base d'une demande de rançon moyenne en 2020 de 570 857 $, les pirates informatiques ont exigé environ 45,1 millions de dollars de rançon.
• Les temps d'arrêt variaient de plusieurs heures à plusieurs mois
• On sait que 773 jours ont été perdus à cause de ces piratages (39 sur les 79 ont divulgué les chiffres des temps d'arrêt)
• Sur la base d'un temps d'arrêt moyen de 19 jours pour ces 39 organisations, nous pouvons estimer que le temps d'arrêt total causé était supérieur à 1 510 jours.
• Chaque minute d'arrêt due aux attaques de ransomware coûtant environ 8 662 dollars, le coût global de ces attaques pourrait être d'environ 18,88 milliards de dollars.

Quel domaine a subi le plus grand nombre d'attaques de ransomware contre des organisations gouvernementales ?

Si l’on regarde les chiffres globaux par État, il n’y a pas vraiment de surprise. L'un des États les plus peuplés des États-Unis, le Texas, a enregistré le plus grand nombre d'attaques (9) et le plus grand nombre de personnes touchées (58,3 millions). La raison pour laquelle un si grand nombre de personnes ont été touchées est que deux départements de l'État ont été attaqués : la Cour d'administration du Texas et le Département des transports du Texas. Cela a potentiellement eu un impact double sur chaque Texan.

Cependant, le Nouveau-Mexique est le deuxième État le plus touché en termes de pourcentage de la population touchée. La population entière du Nouveau-Mexique pourrait avoir été touchée en 2020 grâce à une attaque contre la Commission de régulation publique du Nouveau-Mexique en janvier. Avec de nouvelles attaques contre les comtés de San Miguel et de Rio Arriba en février et mai 2020 respectivement, certains Néo-Mexicains pourraient avoir été touchés à deux reprises.

L'Alaska, l'Arizona, le Delaware, le District de Columbia, Hawaï, l'Iowa, le Kansas, le Maine, le Minnesota, le Mississippi, le Montana, le Dakota du Nord, l'Ohio, le Rhode Island, le Dakota du Sud, l'Utah, le Vermont, la Virginie occidentale et le Wyoming n'ont enregistré aucune attaque en 2020. .

Combien ces attaques de ransomware ont-elles coûté aux organisations gouvernementales ?

Comme nous l’avons déjà vu, les demandes de rançon variaient considérablement, allant de 2 500 à 5 millions de dollars. De plus, seul un quart des organisations concernées ont révélé le montant précis de la rançon demandée. Naturellement, les organisations ne souhaitent pas discuter du montant des rançons ni savoir si elles les ont payées, car cela pourrait inciter à de nouvelles attaques.

Cependant, certains des principaux montants de rançon payés en 2020 sont :

• En janvier 2020, le comté de Tillamook, dans l'Oregon, a accepté de payer 300 000 $ en rançon lors d'une attaque REvil. On a estimé que les coûts de recouvrement pourraient s’élever à 1 ou 2 millions de dollars s’ils n’étaient pas payés.
• En février 2020, le comté de San Miguel au Nouveau-Mexique a payé 250 000 $ en Bitcoin pour récupérer les données volées lors de l’attaque.
• En avril 2020, l'arrondissement de Duncannon, en Pennsylvanie, a réussi à réduire la rançon versée à 35 000 $ (à partir de 50 000$). Cependant, ils ont ensuite été condamnés à payer 10 000 $ supplémentaires pour faire décrypter d'autres fichiers (l'arrondissement a réussi à faire réduire le montant à 5 780 $ ).
• En mai 2020, le district de contrôle des moustiques des Keys de Floride a payé 291 000 $ en rançon lors d'une attaque Dopplemayer. Malgré l’embauche d’une entreprise de sécurité, la ville s’est rendu compte qu’elle n’avait d’autre choix que de payer la rançon afin de protéger les informations personnelles des résidents.
• En novembre 2020, le comté de Delaware en Pennsylvanie a accepté de payer 500 000 $ en rançon pour que des gigaoctets de données lui soient restitués. Il a fallu deux mois pour réaliser qu'un e-mail contenant un ransomware avait infiltré son système.

Ajouter le coût des temps d'arrêt aux attaques de ransomwares

Malheureusement, même lorsque les organisations parviennent à éviter de payer des rançons, elles se retrouvent souvent confrontées à des coûts exorbitants lorsqu'elles tentent de restaurer leurs systèmes et d'ajouter des couches de sécurité supplémentaires pour empêcher de nouvelles attaques.

Les systèmes peuvent être arrêtés pendant des heures, des jours, des semaines, voire des mois. Et comme nous l’avons déjà noté, le temps d’arrêt moyen en 2020 dans les agences gouvernementales concernées était de 19 jours. Le coût de ce temps d’arrêt peut varier considérablement.

Une estimation de 2017 estime le coût moyen par minute d'indisponibilité dans 20 secteurs différents à 8 662 $. Cela signifierait que le coût des temps d'arrêt pour les organisations gouvernementales en 2020 était d'environ 18,88 milliards de dollars .

Bien que ces chiffres semblent astronomiques, ils correspondent à certains des coûts révélés par les organisations au cours des années précédentes (le coût réel des attaques prend souvent plus d'un an à calculer, car les processus de récupération sont en cours).

• Le ministère des Transports du Colorado aurait dépensé 1,7 million de dollars se remet de son attaque de ransomware SamSam en février 2018.
• La ville d'Atlanta a dépensé environ 17 millions de dollars se remet de son attaque de ransomware SamSam en mars 2018.
• L'arrondissement de Matanuska-Susitna (Mat-Su) en Alaska a passé 2,1 millions de dollars se remet de son attaque de ransomware BitPaymer en juillet 2018.
• Le port de San Diego en Californie a dépensé 2 millions de dollars se remet de son attaque de ransomware SamSam en septembre 2018.
• La ville de Sammamish, dans l'État de Washington, a dépensé environ 1,34 million de dollars après son attaque de ransomware en janvier 2019. 200 000 $ ont été dépensés pour essayer d'améliorer ses systèmes, 40 000 $ ont été budgétisés pour l'enquête sur l'attaque et 1,1 million de dollars auraient été perdus en main d'œuvre pendant les 8 semaines d'arrêt.
• Le comté impérial de Californie a dépensé 4 millions de dollars se remet de son attaque de ransomware en avril 2019.
• La ville de Baltimore a été attaquée par le ransomware RobbinHood en mai 2019. 18,2 millions de dollars se remettre de cette attaque.
• La Ville de Riviera Beach n’a pas seulement payé 594 000 $ en rançon, mais a également dépensé environ 900 000 $ pour mettre en place un nouveau matériel pour prévenir de futures attaques.
• Le gouvernement de l'État de Louisiane a dépensé 1,7 million de dollars se remet de son attaque de ransomware Ryuk de novembre 2019.
• La ville de la Nouvelle-Orléans a dépensé plus 7 millions de dollars en réponse à son attaque de ransomware Ryuk de décembre 2019.

Principales conclusions de 2018 à 2020

Notre équipe a enregistré toutes les attaques de ransomware de janvier 2018 à décembre 2020. Pendant cette période :

• 246 attaques individuelles de ransomware contre des organisations gouvernementales
• 173 148 071 personnes pourraient avoir été touchées par les attaques
• Le montant des rançons variait entre 1 000 $ et 5,3 millions de dollars.
• Près de 26,2 millions de dollars auraient été réclamés par des pirates informatiques.
• Sur la base des demandes de rançon moyennes (détaillées ci-dessous), les pirates ont exigé environ 108,5 millions de dollars de rançons.
• Les temps d'arrêt variaient de plusieurs heures à plusieurs mois
• On sait que 2 323 jours ont été perdus à cause de ces piratages
• Sur la base du temps d'arrêt moyen par an (détaillé ci-dessous), nous pouvons estimer que le temps d'arrêt total causé était d'environ 4 240 jours.
• Chaque minute d'arrêt due aux attaques de ransomware coûtant environ 8 662 dollars, le coût global de ces attaques pourrait être d'environ 52,88 milliards de dollars.

Comment 2020 se compare-t-elle aux années précédentes ?

Selon nos conclusions, 2019 a été la pire année en termes d’attaques de ransomware contre des organisations gouvernementales. Cela représente un peu plus de 50 pour cent des cas des trois dernières années.

• Nombre de cas:
  • 2020 – 79
  • 2019 – 124
  • 2018 – 43
• Nombre de personnes potentiellement concernées :
  • 2020 – 70 758 371
  • 2019 – 76 391 819
  • 2018 – 25 997 881
• % de personnes potentiellement touchées (par rapport aux totaux de l'État) :
  • 2020 – 21,35%
  • 2019 – 23,05 %
  • 2018 – 7,84 %
• Montant moyen de la rançon :
  • 2020 – 570 857 $
  • 2019 – 620 261 $
  • 2018 – 59 489 $
• Montants des rançons demandés (cas connus) :
  • 2020 – 10,85 millions de dollars (19 cas)
  • 2019 – 14,37 millions de dollars (24 cas)
  • 2018 – 951 824 $ (16 cas)
• Montant estimé de la rançon demandé (basé sur les cas connus et la moyenne demandée en cas inconnu) :
  • 2020 – 45,1 millions de dollars
  • 2019 – 60,89 millions de dollars
  • 2018 – 2,55 millions de dollars
• Temps d'arrêt moyen :
  • 2020 – 19 jours
  • 2019 – 17,4 jours
  • 2018 – 22,6 jours
• Temps d'arrêt provoqué (cas connus) :
  • 2020 – 773 jours (40 cas)
  • 2019 – 1099 jours (63 cas)
  • 2018 – 451 jours (20 cas)
• Estimation du temps d'arrêt causé (basé sur les cas connus et la moyenne dans les cas inconnus) :
  • 2020 – 1 514 jours
  • 2019 – 1 777 jours
  • 2018 – 949 jours
• Coût estimé des temps d'arrêt :
  • 2020 - 18,88 milliards de dollars
  • 2019 – 22,17 milliards de dollars
  • 2018 - 11,83 milliards de dollars

Ces vagues d’attaques peuvent être liées à différents types de ransomwares en cours de développement. Cependant, comme de nombreuses organisations ne divulguent pas le type de ransomware utilisé dans l’attaque, il est difficile de savoir si tel est le cas.

Parmi ceux qui ont révélé le type de ransomware utilisé, nous savons que SamSam a causé de nombreux dégâts en 2018. Ryuk était populaire en 2019 et REvil/Sodinokibi a commencé à faire davantage son apparition en 2020.

Méthodologie

Nos recherches ont révélé 246 attaques de ransomware au total. Grâce à cela, nous avons pu déterminer combien de rançon avait été demandée et combien avait été payée.

Dans le cas de Texarkana Water Utility, qui a touché des résidents du Texas et de l'Arkansas, l'attaque a été comptabilisée dans les deux États (en tant qu'attaque et chiffres de résidents relatifs à chaque État). Mais dans les chiffres annuels, il est inclus comme 1. Il est omis des totaux des États pour le coût des temps d'arrêt en raison de l'impossibilité de diviser le montant total perdu par chaque État.

Trois attaques ne peuvent pas être localisées sur un mois spécifique et ont donc été omises de ces comparaisons. Il s’agit de l’attaque de 2018 contre le village de Palm Springs (elle n’a été mentionnée qu’un an plus tard) et des deux attaques survenues contre la ville de Cornelia en 2019 (avant celle d’octobre 2019).

Si aucun chiffre spécifique n'était donné pour le temps d'arrêt, c'est-à-dire « plusieurs jours », « un mois » ou « retour à 80 % après 6 semaines » étaient cités, nous avons créé des estimations à partir de ces chiffres sur la base du chiffre le plus bas possible. Par exemple, plusieurs jours ont été calculés comme étant 3, un mois a été calculé comme le nombre de jours du mois au cours duquel l'attaque s'est produite et le nombre de semaines indiqué dans les déclarations de pourcentage de récupération a été utilisé (par exemple, 6 semaines selon l'exemple précédent).

Sources

Pour une liste complète des sources, veuillez cliquer ici .

Des chercheurs:Charlotte Bond, Rebecca Moody