Le Royaume-Uni va interdire au secteur public d'effectuer des paiements de rançongiciels

Le Royaume-Uni avance avec une interdiction pour son secteur public et les opérateurs d'infrastructures nationales critiques de payer les demandes de rançongiciels. Les propositions publiées mardi à la suite d'une consultation publique appellent à une interdiction des paiements de rançongiciels couvrant tous les organismes du secteur public et les infrastructures nationales critiques telles que l'énergie, les services de santé et les conseils locaux, élargissant ainsi une interdiction existante pour les ministères. D'autres parties de la proposition comprennent un régime de prévention pour exiger des victimes et des entreprises non couvertes par l'interdiction qu'elles signalent leur intention de payer une rançon. Un système de signalement obligatoire basé sur un seuil qui exige des victimes qu'elles rédigent un rapport contenant les principaux détails pour le gouvernement dans les 72 heures suivant l'attaque, et une analyse plus approfondie dans les 28 jours, est également sur la table. Le ministre britannique de la sécurité, Dan Jarvis, a déclaré que le ministère de l'Intérieur était « déterminé à briser le modèle économique des cybercriminels et à protéger les services sur lesquels nous comptons tous », et à travailler « en partenariat avec l'industrie pour faire progresser ces mesures ». Un rançongiciel est un logiciel malveillant qui chiffre un ordinateur ou un réseau pour bloquer l'accès à celui-ci jusqu'à ce qu'une somme soit versée, généralement demandée en cryptomonnaie. Les rançongiciels ont diminué l'année dernière, Chainalysis rapportant en février que les attaques de rançongiciels ont diminué de 35 % l'année dernière par rapport à 2023. En juin, CertiK a déclaré que la majeure partie des pertes en crypto cette année provenait de compromissions de portefeuilles et d'attaques de phishing. Le ministère de l'Intérieur britannique a consulté sur les propositions du 14 janvier au 8 avril et a reçu 273 réponses, dont 57 % se sont identifiées comme des organisations, 39 % comme des particuliers et 4 % sont classées comme autres. Près des trois quarts ont convenu qu'une interdiction ciblée des paiements de rançongiciels était justifiée, tandis qu'un peu plus d'une personne sur cinq était en désaccord. Il y avait également des opinions partagées sur le régime de prévention, près de la moitié étant favorable à une interdiction des paiements de rançongiciels à l'échelle de l'économie. La troisième proposition concernant un système de signalement basé sur un seuil a recueilli l'approbation de 63 % des personnes interrogées, et moins de la moitié (41 %) étaient d'accord pour maintenir le système de signalement volontaire actuel. Un point de discorde était les sanctions possibles pour les victimes qui violaient les mesures. Les personnes interrogées étaient d'accord avec l'utilisation de sanctions dans toutes les propositions ; cependant, des préoccupations ont été soulevées quant à la criminalisation des victimes et à la question de savoir si des sanctions pénales ou civiles seraient appropriées. Le ministère de l'Intérieur a déclaré que, comme les commentaires sur les sanctions étaient mitigés, il « continuera d'explorer les sanctions les plus appropriées et proportionnées ». L'examen annuel 2024 du National Cyber Security Centre du Royaume-Uni, publié en décembre, a révélé que les attaques de rançongiciels « continuent de constituer la menace la plus immédiate et la plus perturbatrice » pour le pays. Selon l'examen, en juin 2024, une attaque de rançongiciel contre le laboratoire de pathologie Synnovis a retardé les interventions chirurgicales non urgentes et les rendez-vous en consultation externe. Une autre attaque le 28 octobre 2023 a compromis les systèmes en ligne de la British Library. Connexe : Coinbase fait face à une facture de 400 millions de dollars après une attaque de phishing interne. La directrice générale de la British Library, Rebecca Lawrence, a déclaré mardi dans un communiqué que la bibliothèque « détient l'une des collections de connaissances humaines les plus importantes au monde » et que l'attaque « a détruit notre infrastructure technologique et continue d'avoir un impact sur nos utilisateurs ». Lundi, les républicains de la Chambre des représentants américaine ont cherché à réduire le budget 2026 de la Securities and Exchange Commission de 7 % et ont inclus une disposition qui bloquait le financement de l'application d'une règle qui oblige les sociétés publiques à divulguer les incidents cyber dans les quatre jours. En novembre, l'Australie a promulgué des lois entrées en vigueur en mai qui obligent les entreprises dont le chiffre d'affaires annuel est supérieur à 3 millions de dollars australiens (1,90 million de dollars) et les entités responsables des infrastructures critiques à signaler les demandes de rançongiciels. Le pays avait précédemment envisagé de rendre illégaux les paiements de rançongiciels après qu'une cyberattaque ait frappé le prêteur à la consommation Latitude Financial, mais cela avait été rejeté à l'époque. Magazine : Devrions-nous interdire les paiements de rançongiciels ? C'est une idée séduisante mais dangereuse [Magazine]