Rançon DDoS (RDDoS)

Qu'est-ce qu'une attaque ransom DDoS ?

Une attaque ransom DDoS (RDDoS) est un chantage dont la menace est une attaque DDoS. Les criminels envoient un message qui exige un paiement et prévient que votre site ou votre réseau sera saturé de trafic en cas de refus. Certains commencent par une courte attaque de démonstration pour être pris au sérieux ; beaucoup n'attaquent jamais et espèrent seulement que vous payiez. Dans les deux cas, la bonne réponse est de vous préparer et de signaler, pas de payer.

Comment cela se déroule

• Le message. Il arrive par e-mail, formulaire de contact ou ticket de support, souvent adressé à un rôle générique. Il indique une somme, un moyen de paiement (généralement une cryptomonnaie) et un délai.
• Démonstration éventuelle. Une brève inondation rend la menace crédible. Son absence ne veut pas dire que la menace est vide.
• L'attaque, si elle vient. Le trafic vise les couches réseau 3 ou 4, ou la couche applicative, avec un botnet ou un service de DDoS loué. Comparez une attaque DDoS, une attaque sur la couche applicative et un flood HTTP.
• Relance. Les attaquants peuvent réclamer plus d'argent plus tard : payer n'achète donc pas une paix durable.

Que faire en cas de message de rançon

1. Ne payez pas. Le paiement ne garantit ni que l'attaque n'aura pas lieu ni qu'elle s'arrêtera, et il vous désigne comme une cible à qui réclamer davantage.
2. Conservez les preuves. Enregistrez le message avec ses en-têtes, les informations sur l'expéditeur et l'adresse de paiement, et notez l'heure.
3. Signalez-le. Prévenez votre service national de lutte contre la cybercriminalité ou votre CERT, ainsi que votre hébergeur, votre CDN ou votre fournisseur de protection DDoS.
4. Vérifiez votre protection maintenant. Assurez-vous que tous les actifs exposés à Internet, y compris l'origine, les serveurs DNS et les plages d'IP secondaires, sont derrière la mitigation. Les attaquants visent l'adresse non protégée.
5. Informez l'équipe. Les personnes qui gèrent les boîtes de support et de contact doivent transmettre ces messages à la sécurité au lieu de répondre.

Comment vous préparer

La préparation est la même que pour toute attaque DDoS : placer un service de mitigation ou un CDN devant l'origine, garder privées les adresses d'origine, limiter le débit des endpoints coûteux, ajuster les seuils d'alerte à votre trafic normal et rédiger un plan de réponse avec des responsables nommés. Le NCSC britannique le résume en quatre habitudes : comprendre votre service, comprendre vos défenses, créer un plan de réponse et tester votre réponse. Voir comment arrêter les attaques DDoS, la protection contre le déni de service et les menaces de cybersécurité.

Où se placent les tests de charge et la surveillance

LoadFocus ne simule pas d'attaques DDoS ni ransom DDoS et ne peut pas vous en protéger. Il montre votre limite de capacité avec un trafic normal, donc votre marge : lancez un test de charge dans le cloud et lisez spike testing (en anglais) pour planifier des scénarios. La surveillance d'API vous alerte quand un endpoint ralentit ou échoue (toutes les 5 minutes dans le plan gratuit), souvent le premier signe extérieur d'un problème. Ne testez que des systèmes qui vous appartiennent ou pour lesquels vous avez une autorisation écrite, jamais le service d'un tiers.

Questions fréquentes sur le ransom DDoS

Faut-il payer la rançon ?

Non. Le paiement ne garantit pas que l'attaque n'aura pas lieu, et les attaquants peuvent revenir avec une demande plus élevée. Signalez le message et vérifiez plutôt votre protection.

La menace est-elle toujours réelle ?

Pas toujours, mais le message ne permet pas de le savoir. Traitez-la comme possible : vérifiez que votre mitigation DDoS couvre toutes les adresses exposées et que votre plan de réponse fonctionne.

En quoi est-ce différent d'un rançongiciel ?

Un rançongiciel chiffre vos données et réclame de l'argent pour les déchiffrer. Un ransom DDoS ne touche pas à vos données et menace de mettre votre service hors ligne.

Un test de charge peut-il arrêter ou simuler un ransom DDoS ?

Non. Un test de charge ne défend pas contre les attaques et ne remplace pas une simulation d'attaque autorisée, que seul votre fournisseur de protection peut mener selon des règles convenues. Il montre combien de trafic normal votre système supporte avant de ralentir.