Interdiction des paiements de rançons : Mauvaise idée au mauvais moment

Opinion Une interdiction générale des paiements de rançongiciels, comme cela a été avancé cette semaine par certains, semble être une bonne idée. Éliminer l’extorsion en tant que source de revenus criminels et les attaques vont sans aucun doute diminuer. Mais malheureusement, cela ne fonctionnera pas, du moins pas maintenant et probablement pas dans un avenir prévisible, pour plusieurs raisons. De plus, cela entraînerait inévitablement davantage d’attaques contre des cibles d’infrastructures critiques telles que les hôpitaux, les réseaux électriques, les systèmes d’eau, et autres, ce qui n’est pas vraiment idéal. C’est parce qu’une interdiction de paiement devrait inévitablement inclure une exception pour les incidents où ne pas payer la rançon pose un risque grave de décès, de préjudice corporel ou d’attaque terroriste. En d’autres termes, il doit y avoir une exception pour les infrastructures critiques. Nous l’avons constaté avec les nouvelles règles de divulgation d’incidents de cybersécurité de la Securities and Exchange Commission des États-Unis : la SEC autorise un signalement différé si la divulgation de l’attaque présente « un risque substantiel pour la sécurité nationale ou la sécurité publique ». Les gouvernements américain et britannique exhortent les organisations à ne pas payer les rançons, et nous comprenons pourquoi. Cela encourage simplement davantage d’attaques. Parallèlement, de nombreux acteurs n’ont pas critiqué la décision du PDG de Colonial Pipeline de payer des criminels en 2021 afin d’éviter de nouvelles pénuries d’approvisionnement en carburant.