Rançongiciel Approuvé : 5 Entreprises Publiques qui ont payé les cyber‑criminels

Un nombre croissant d’organisations subissent une attaque de ransomware. Selon Sophos, 59% des organisations en ont connu une en 2024 et la majorité d’entre elles (70 %) a entraîné un chiffrement des données.

Ce n’est pas seulement le nombre d’attaques de ransomware qui augmente, mais aussi le montant des paiements. Le paiement médian de ransomware était inférieur à 200 000 $ en 2023, avant d’exploser de 650 % pour atteindre 1,5 million de dollars en environ un an, selon les données d’IBM.

Ces attaques devraient coûter $275 billion de dommages mondiaux chaque année d’ici 2031. Alors, que sont les attaques de ransomware ?

Le ransomware est un type de logiciel malveillant conçu pour bloquer l’accès d’une organisation à son système ou chiffrer ses données. 

Pour ce faire, les attaquants infectent un système avec un virus, qu’ils utilisent pour envoyer des e‑mails de phishing contenant éventuellement un lien malveillant ou pour voler les identifiants de connexion d’un employé afin d’obtenir un accès non autorisé au réseau de l’entreprise. 

En échange de clés de déchiffrement ou de la restauration d’accès au système, les cybercriminels exigent une rançon des victimes. Les organisations se retrouvent dans une situation difficile où payer la rançon semble être la solution la plus simple et la plus rentable pour récupérer l’accès.

Certaines variantes de ransomware ont ajouté des fonctionnalités comme le vol de données, offrant ainsi une motivation supplémentaire pour payer la rançon. Mais dans certains cas très médiatisés, payer la rançon peut en réalité être l’option la moins dommageable, malgré les risques.

Entreprises qui ont payé la rançon pour protéger leurs clients

Bien que répondre aux exigences des attaquants et payer la rançon ne soit pas la façon idéale de gérer les cybercrimes, car cela ne garantit pas le retour sécurisé des données volées ni la remise en marche des activités de l’entité, et cela encourage davantage d’attaques, il n’y a parfois pas d’autre choix que de protéger l’entreprise et ses clients.

Avec cela, examinons quelques-uns des cas de cybercriminalité les plus médiatisés où les entreprises ont payé la rançon et ce qui s’est passé par la suite.

1. CNA Financial Corp

L’une des plus grandes compagnies d’assurance aux États‑Unis, CNA Financial Corp., a été victime d’une attaque de ransomware en mars 2021. Elle a payé une rançon de 40 millions de dollars en Bitcoin (BTC), le plus gros paiement de ransomware jamais divulgué, pour reprendre le contrôle après avoir été bloquée hors de ses systèmes pendant deux semaines.

L’attaque provenait d’un groupe de cybercriminels appelé Phoenix, qui a d’abord exigé une rançon de 999 BTC (environ 55 millions de dollars à l’époque) avant de l’augmenter à 1099 BTC, déclarant :

« Perdre du temps. Le coût a augmenté. »

Les attaquants ont affirmé que les données qu’ils détenaient étaient importantes et que « Cela frappera fort si elles sont divulguées. ». La rançon était exigée en échange du fait de ne pas divulguer publiquement le vol, de restituer les données, de supprimer les copies des données volées et de tout restaurer.

Mais comment la brèche s’est‑elle exactement produite ? Eh bien, c’est dû à une petite négligence en matière de sécurité qui a conduit à un incident majeur. Les attaquants ont convaincu un seul employé de CNA d’accepter une fausse mise à jour du navigateur. Ils ont ensuite rapidement désactivé le système, et l’attaque n’a pas pu être détectée immédiatement. 

Il a réellement fallu à CNA quelques semaines pour découvrir qu’elle avait été piratée. Pendant ce temps, les attaquants ont volé des données clients et ont bloqué CNA hors de son réseau.

L’entreprise n’a pas non plus publié de mise à jour avant une semaine après l’attaque. Elle a ensuite publié une mise à jour expliquant que l’attaque avait été contenue et qu’elle travaillait à la reprise des activités normales. Deux semaines plus tard, il a été révélé que des outils de détection et de surveillance des points de terminaison avaient été déployés dans le cadre du processus de restauration.

Deux mois après l’attaque, CNA a publié son rapport d’incident, dans lequel elle a indiqué qu’il ne s’agissait pas d’une attaque ciblée. Dès la détection du ransomware, l’entreprise a déconnecté ses systèmes du réseau pour empêcher la propagation de la menace.

Quelques mois plus tard, l’assureur a annoncé que son enquête était terminée, révélant que l’acteur de la menace avait copié des informations avant de déployer le ransomware, mais qu’il les avait récupérées rapidement et qu’il n’avait « aucune raison de soupçonner que les informations aient été ou seront mal utilisées. »

La société holding d’assurance basée à Chicago a également consulté le gouvernement, notamment le FBI et le Bureau du contrôle des avoirs étrangers (OFAC), à propos de l’attaque. Dans une déclaration, elle a indiqué : « CNA a respecté toutes les lois, réglementations et directives publiées, y compris les directives de l’OFAC de 2020 sur les ransomware, dans le traitement de cette affaire », mais n’a pas commenté la rançon.

Selon ces directives, l’agence pourrait imposer des sanctions civiles aux personnes américaines qui effectuent des paiements à des entités interdites.

L’enquête de l’entreprise a révélé qu’un groupe de menaces appelé Phoenix avait utilisé le ransomware Phoenix Cryptolocker pour attaquer son réseau. À l’époque, le groupe n’était pas soumis aux sanctions américaines.

CNA est une société dont la capitalisation boursière s’élève à 13 milliards de dollars, dont les actions, au moment de la rédaction, se négocient à 48,16 $, en baisse de 0,43 % depuis le début de l’année (YTD) mais en hausse de 32,27 % au cours des deux dernières années. Ainsi, son bénéfice par action (EPS) sur les douze derniers mois (TTM) est de 3,28, le ratio P/E (TTM) de 14,67 et le ROE (TTM) de 8,98 %. Les actionnaires de CNA bénéficient également d’un rendement de dividende de 3,82 %.

Ses résultats financiers du dernier trimestre montrent un revenu net de 274 millions de dollars et un revenu de base de 281 millions de dollars.

2. Caesars Entertainment

La société de casino‑divertissement a payé 15 millions de dollars en rançon à un groupe de cybercriminalité appelé Scattered Spider, le même acteur de menace qui a mis hors service le système informatique de MGM quelques jours après avoir reçu le paiement de rançon de Caesars Entertainment (CZR ). Les attaquants ont également exigé une rançon de MGM, mais celui‑ci n’a pas payé.

Dans le cas de Caesars, comme indiqué dans un dépôt auprès de la Securities and Exchange Commission (SEC) des États‑Unis, les attaquants ont exigé une rançon de 30 millions de dollars, mais la société a accepté d’en payer seulement la moitié, partiellement couverte par ses polices d’assurance cyber. L’entreprise n’avait pas anticipé que le paiement ou les répercussions auraient un effet matériel sur son résultat net.

L’attaque a eu lieu à la mi‑août 2023 et a été menée par Scattered Spider, également connu sous les noms UNC3944 ou Roasted 0ktapus. Le groupe, composé de jeunes hackers basés aux États‑Unis et au Royaume‑Uni, experts en ingénierie sociale, a été lié à des attaques contre d’autres entreprises, dont Cloudflare, Twilio et Okta.

Pour cibler Caesars, les hackers ont d’abord pénétré un fournisseur informatique externe. Pour ce faire, les attaquants se sont fait passer pour un employé de Caesars et ont convaincu le fournisseur de fournir des identifiants de connexion à Okta, le fournisseur de gestion d’accès de Caesars.

Cela a donné aux cybercriminels un accès non autorisé au réseau du géant hôtelier et casino. Ils ont ensuite volé les données des membres du programme de fidélité de Caesars, incluant les permis de conduire et les numéros de sécurité sociale, avant de déployer le ransomware BlackCat/ALPHV. La société a déclaré qu’il n’y avait aucune preuve que les attaquants aient accédé aux codes PIN, mots de passe, comptes bancaires ou données de cartes de paiement.

Reuters a toutefois rapporté que le groupe de hackers Scattered Spider déclarait avoir pris six téraoctets de données des systèmes de Caesars et de MGM.

« Nous avons pris des mesures pour nous assurer que les données volées sont supprimées par l’acteur non autorisé, bien que nous ne puissions pas garantir ce résultat. »

– Caesars l’a déclaré dans le dépôt

Bien que l’entreprise n’ait pas divulgué le nombre de clients affectés, le dépôt indiquait un peu moins de 42 000 personnes concernées. À l’époque, Bloomberg a rapporté que Caesars avait payé la rançon après que le groupe de menace l’ait piraté et menacé de publier les données de l’entreprise.

Fin septembre, l’entreprise avait rétabli les opérations normales. Cependant, dans la foulée, Caesars a subi des dommages financiers et de réputation ainsi que plusieurs recours collectifs l’accusant de négligence et d’enrichissement injuste pour ne pas avoir sécurisé les données personnelles de ses invités.

Avec une capitalisation boursière de juste un peu plus de 6 milliards de dollars, les actions CZR se négocient actuellement à 29,41 $, en baisse de 12 % cette année. Leur cours est également loin du pic de 2021 d’environ 119 $. Son EPS (TTM) est de -1,10 et le P/E (TTM) de -26,80.

En ce qui concerne les finances de l’entreprise, le chiffre d’affaires net GAAP du premier trimestre 2025 s’élevait à 2,8 milliards de dollars et l’EBITDA ajusté a augmenté de 4 % d’une année sur l’autre pour atteindre 43 millions de dollars, « soutenu par des gains significatifs » dans son segment Digital.

3. Blackbaud Inc.

En 2020, des cybercriminels ont infiltré les serveurs de Blackbaud, une société qui fournit des logiciels aux organisations à but non lucratif et aux établissements éducatifs, compromettant les données de plus de 13 000 organisations. L’entreprise basée en Caroline du Sud a payé une rançon de 235 000 $ en BTC aux hackers avec la promesse de supprimer les données personnelles des clients.

L’attaque cyber a eu lieu en février de cette année, mais elle n’a été découverte que quelques mois plus tard, en mai. À ce moment‑là, les organisations affectées faisaient déjà face aux perturbations causées par la pandémie de COVID‑19.

Les cybercriminels ont ciblé les serveurs de Blackbaud pour accéder au système de l’entreprise. Blackbaud n’étant pas au courant de la brèche, les attaquants ont pu opérer sans être détectés pendant des mois, période pendant laquelle ils ont chiffré des ensembles de données et en ont exfiltré une partie.

Lorsque le fournisseur de services de gestion de la relation client (CRM) a finalement découvert qu’il avait été piraté, ce qui s’est produit alors que Blackbaud effectuait des contrôles de sécurité de routine, il a mis en place des mesures pour prévenir d’autres dommages.

En juillet, l’entreprise a publié une divulgation publique concernant une attaque de ransomware. Blackbaud a annoncé que les organisations du secteur éducatif et du tiers secteur pouvaient avoir vu leurs données compromises, ce qui, bien sûr, a créé une onde de choc dans les communautés affectées et a suscité des inquiétudes quant à la sécurité des informations sensibles des donateurs.

L’entreprise a empêché les criminels de chiffrer complètement les fichiers et de bloquer l’accès au système, mais ils avaient déjà supprimé un fichier de sauvegarde contenant des informations personnelles.

Blackbaud a assuré que les coordonnées bancaires ou les détails de cartes de paiement n’étaient pas affectés, mais que de nombreuses informations, telles que noms, adresses, coordonnées, numéros de sécurité sociale et estimations de richesse, entre autres, étaient effectivement impliquées dans la violation de données.

L’entreprise a également admis avoir payé une rançon pour récupérer les données et protéger les intérêts de ses clients.

Après l’attaque, la Federal Trade Commission (FTC) a lancé une enquête et a estimé qu’elle était causée par « les pratiques de sécurité et de conservation des données médiocres de Blackbaud ».

Selon la plainte de la FTC, l’entreprise n’a pas mis en œuvre les pratiques de sécurité les plus basiques, n’a pas respecté les propres politiques de Blackbaud concernant la conservation des données, et a permis aux clients de stocker des données critiques comme les comptes bancaires dans des champs non chiffrés. L’agence a également affirmé que Blackbaud avait largement sous‑estimé l’étendue et la gravité de l’incident.

En 2024, la FTC et Blackbaud ont conclu un accord, qui n’impliquait pas de sanction financière mais obligeait l’entreprise à supprimer les données dont elle n’a plus besoin, à développer un programme complet de sécurité de l’information, et à informer la FTC en cas de future violation de données.

Le règlement de Blackbaud avec la SEC, cependant, impliquait une amende de 3 millions de dollars pour avoir fourni des informations trompeuses sur la violation. L’entreprise a également réglé pour 49,5 millions de dollars avec 50 procureurs généraux d’État concernant des violations HIPAA.

En ce qui concerne la performance boursière de Blackbaud, ses actions se négocient actuellement à 63,76 $, en baisse de 13,74 % YTD, ce qui place sa capitalisation boursière à 3 milliards de dollars. Ainsi, son EPS (TTM) est de -5,83 et le P/E (TTM) de -10,94.

Au premier trimestre 2025, l’entreprise a réalisé une croissance organique du chiffre d’affaires de 5,8 %, enregistrant 271 millions de dollars de revenus. Blackbaud investit également dans l’innovation, notamment en IA, pour augmenter sa productivité interne et ses opérations client.

4. UnitedHealth Group

Le géant de l’assurance santé, UnitedHealth Group Incorporated (UNH ), traverse une période difficile depuis un an et demi. Tout a commencé en février 2024 lorsque sa filiale, Change Healthcare, a subi une cyberattaque. 

UnitedHealth Group opère à travers deux segments : UnitedHealthcare, qui se concentre sur l’assurance santé, et Optum, qui fournit des services technologiques, des services de santé directs et des services de pharmacie via Optum Insight, Optum Health et Optum Rx.

En 2022, UnitedHealth Group a acquis la plateforme Change Healthcare et l’a intégrée à Optum Insight. L’entreprise traite jusqu’à 15 milliards de réclamations médicales par an, soit environ 40 % de l’ensemble des réclamations, ce qui permet d’imaginer la perturbation qu’une attaque contre Change Healthcare peut engendrer.

En février, un ransomware a infecté les systèmes de Change Healthcare, les rendant inaccessibles et semant le chaos dans le système de santé américain. Ce n’est que plusieurs mois plus tard, en novembre, que l’entreprise a pu reprendre ses opérations complètes.

Quant à ce qui s’est passé, le PDG de l’époque, Andrew Witty, a déclaré au Congrès que l’attaque avait débuté le 12 février. Les attaquants ont utilisé des identifiants compromis pour accéder au portail Citrix de Change Healthcare, utilisé pour les connexions de bureau à distance et dépourvu d’authentification à deux facteurs (2FA). Une petite erreur qui coûtera des milliards à UNH.

À partir de là, les attaquants ont commencé à collecter des données et, quelques jours plus tard, ont déployé le ransomware, initiant le chiffrement des systèmes de l’entreprise. En réponse, UnitedHealth a déconnecté les centres de données de Change Healthcare du réseau afin d’empêcher la propagation de l’attaque ransomware à ses autres systèmes et à des entités externes.

Quant aux attaquants, le gang cybercriminel BlackCat/ALPHV a assumé la responsabilité, affirmant avoir exfiltré 6 To de données confidentielles. Les données volées comprenaient des dossiers médicaux, des informations personnelles et des documents financiers. UnitedHealth Group a confirmé publiquement qu’environ 190 millions de personnes ont été affectées par cette brèche.

En mars 2024, l’entreprise a payé une rançon de 22 millions de dollars, mais le groupe ransomware BlackCat n’aurait pas payé l’affilié qui a mené l’attaque, qui a ensuite collaboré avec un autre groupe ransomware, RansomHub, qui a tenté d’extorquer davantage d’argent à UnitedHealth. On ne sait pas encore si UnitedHealth a également payé une seconde fois.

L’incident, tel que rapporté par UnitedHealth Group en janvier 2025, a entraîné une perte annuelle totale de 3,09 milliards de dollars. 

Alors que l’entreprise continue de gérer les conséquences de la plus grande cyberattaque de l’histoire du secteur de la santé, les actions de la société n’ont pas vraiment ressenti le choc, le titre UNH ayant atteint un sommet historique de 625 $ par action en novembre 2024 et une capitalisation boursière de 575 milliards de dollars.

Mais maintenant, six mois plus tard, tout s’effondre. Le cours de l’action UnitedHealth, dont la capitalisation boursière s’élève à 292 milliards de dollars, a chuté de 36,43 % YTD. Elle se négocie actuellement à 321,58 $, soit une baisse de 49 % par rapport à son plus haut historique.

En plus d’un impact plus important que prévu de la cyberattaque, l’entreprise a dû faire face à une perte de direction, le PDG d’UnitedHealthcare, Brian Thompson, étant décédé lors de la journée des investisseurs à New York, l’entreprise manquant ses résultats, et le Département de Justice menant une enquête criminelle sur les pratiques Medicare Advantage d’UHG.

Pour examiner maintenant la rentabilité et l’efficacité de l’entreprise, elle affiche un EPS (TTM) de 23,89, un P/E (TTM) de 13,46 et un ROE (TTM) de 24,33 %, tandis que le rendement du dividende est de 2,61 %. Au premier trimestre 2025, ses revenus ont atteint 109,6 milliards de dollars et les flux de trésorerie d’exploitation étaient de 5,5 milliards de dollars.

5. AT&T

Le principal fournisseur mondial de services de télécommunications et de technologie a subi deux importantes violations de données en 2024.

La première est survenue en mars, affectant entre 50 et 70 millions de ses clients actuels et anciens. Les rapports indiquant que les données de l’entreprise circulaient sur le dark web sont apparus à la mi‑mars, puis AT&T (T ) a mis quelques semaines à confirmer que l’information appartenait réellement à ses clients.

Parmi les informations compromises figuraient le nom complet des clients, leur date de naissance, e‑mail, numéro de téléphone, adresse postale, numéro de sécurité sociale, ainsi que le numéro de compte et le code d’accès AT&T. L’entreprise a déclaré aux personnes concernées :

« À notre connaissance, les informations financières personnelles et l’historique des appels n’étaient pas inclus. »

On pense que les données circulent en ligne depuis quelques années, mais leur origine est inconnue, et AT&T nie qu’elles proviennent de ses propres systèmes.

Ensuite, en avril, elle a été victime d’une violation qui a compromis presque tous ses clients de lignes fixes, cellulaires et sans fil. Quelques mois plus tard, en juillet, AT&T a divulgué publiquement la violation.

Cette violation a été liée à un hacker américain, membre du groupe ShinyHunters, qui a exigé une rançon de 1 million de dollars mais a accepté beaucoup moins. L’entreprise a payé une rançon de 370 000 $ en Bitcoin en mai pour empêcher la fuite des données. L’attaquant a fourni à l’entreprise une vidéo montrant la preuve de la suppression des données.

Dans cette attaque, les enregistrements des appels et des messages texte des clients du 2 janvier 2023 et entre le 1 mai 2022 et le 31 octobre 2022 ont été exfiltrés. Cette fois‑ci, les données provenaient de l’« espace de travail » de l’entreprise sur une plateforme cloud tierce. 

Bien que le contenu lui‑même n’ait pas été affecté, les enregistrements compromis peuvent identifier d’autres numéros de téléphone avec lesquels les clients affectés ont interagi, a expliqué l’entreprise. AT&T a informé environ 110 millions de clients de l’incident. 

À l’heure actuelle, les actions de la société dont la capitalisation boursière s’élève à 200 milliards de dollars se négocient à 27,78 $, en hausse de 22 % YTD. Son EPS (TTM) est de 1,63, le P/E (TTM) de 17,04 et le ROE (TTM) de 11,28 %. Le rendement du dividende proposé est attractif à 4 %.

Financièrement, son chiffre d’affaires au premier trimestre 2025 était de 30,6 milliards de dollars, le revenu net de 4,7 milliards de dollars et le flux de trésorerie disponible de 3,1 milliards de dollars.

Ainsi, comme nous l’avons vu, les attaques de ransomware touchent les entreprises de tous les secteurs. Et bien que payer la rançon puisse aider à protéger l’entreprise et ses clients, ce n’est pas toujours le cas. Cela risque en réalité d’encourager le comportement criminel. Sans parler des dommages financiers et de réputation que cela engendre pour l’entreprise.

Ce que les entreprises doivent faire, c’est prendre des mesures de sécurité proactives pour empêcher les violations dès le départ. Cela comprend la réalisation d’évaluations de sécurité régulières, la surveillance continue des menaces potentielles, la mise à jour de vos systèmes, la sauvegarde des données et la protection de ces fichiers, la mise en place d’un chiffrement robuste des données, la formation appropriée des employés et le maintien d’une capacité de réponse efficace aux incidents.

En fin de compte, la véritable défense contre le ransomware n’est pas la négociation mais la préparation, alors investissez dès aujourd’hui dans la résilience en cybersécurité !

Cliquez ici pour une liste des meilleures actions de cybersécurité.