CYBERSECURITE : UN NOUVEL OBJECTIF POUR LES ENTREPRISES FNTP

Face à une ampleur sans précédent des rançongiciels depuis janvier 2020, l’ANSSI (Agence nationale de la sécurité des systèmes d’information), avec la Direction des Affaires criminelles et des grâces (DACG) du ministère de la Justice viennent de publier un guide de sensibilisation à destination des entreprises et collectivités. Ce guide décrit les mesures de prévention des risques en matière de rançongiciels mais également les réflexes à adopter en cas d’attaque.

Qu’est-ce qu’un rançongiciel ?

Un rançongiciel (ransomware en anglais) est un programme malveillant dont le but est d’obtenir de la victime le paiement d’une rançon. Il se déroule en général en 3 étapes :

l’attaquant met l’ordinateur ou le système d’information de la victime hors d’état de fonctionner de manière réversible,
en pratique, les rançongiciels chiffrent par des mécanismes cryptographiques les données du système, rendant leur consultation ou leur utilisation impossibles,
l’attaquant adresse alors un message non chiffré à la victime où il lui propose, contre le paiement d’une rançon, de lui fournir le moyen de déchiffrer ses données.

Conséquences pour la victime : au-delà de la perte des données ou du paiement d’une rançon, l’arrêt de la production, la chute du chiffre d’affaires, les risques juridiques (les données personnelles liées au RGPD ne sont plus accessibles), l’atteinte à la réputation de l’entreprise, la perte de confiance des clients…

Comment réduire les risques ?

Sauvegarder les données (pour cela elles devront être déconnectées du système d’information) et mettre à jour les systèmes (ex. les services de messagerie électronique exposées sur Internet sont régulièrement exploitées par les attaquants)
Mettre à jour fréquemment les logiciels antivirus et cloisonner les zones «critiques» du système d’information (ex. zone des serveurs internes, celle des postes de travail utilisateurs, la zone d’administration…)
Limiter les droits des utilisateurs (ils ne doivent pas être administrateurs, mise en place de postes de travail dédiés à l’administration sans accès à Internet.).
Maîtriser les accès Internet. « Mettre en œuvre une supervision des journaux » (recenser les incidents de sécurité informatique qui, répertoriés, devraient permettre de gagner du temps sur l’origine potentielle de l’attaque).
Sensibiliser les collaborateurs : l’attaque peut survenir lors de l’ouverture d’une PJ piégée ou via la consultation d’une page web malveillante. Ils devront signaler au service informatique tout élément suspect. L’entreprise sensibilisera ses collaborateurs (réunions d’information, quizz, campagnes d’affichage, guides de bonnes pratiques….). Les administrateurs (équipes informatiques) seront particulièrement sensibilisés car ils possèdent des droits plus élevés sur le système d’information. Ils peuvent devenir des cibles privilégiées des attaquants.
Opportunité de souscrire à une assurance cyber (permettant d’accompagner les victimes en fournissant une assistance juridique, une couverture financière du préjudice [matériel, immatériel, etc.] ainsi que des experts SSI).
Mettre en place un plan de réponse aux cyberattaques, un plan de continuité informatique afin de restaurer les systèmes et les données.
Mais surtout penser sa stratégie de communication en cas de crise cyber : les différents « métiers » au sein de l’entreprise devront collaborer entre eux et avec la sécurité numérique. Cette stratégie se déclinera différemment en fonction des interlocuteurs concernés internes et externes (clients/partenaires/grand public/médias..) et du plan d’actions à mener.

Comment réagir en cas d’attaque ?

Adopter les bons réflexes : déposer une main courante. Au niveau technique : déconnecter les supports de sauvegarde, couper les accès au réseau Internet, interdire les supports de stockages amovibles (clé USB…)…
Piloter la gestion de la crise cyber : mettre en place une cellule de crise au plus haut niveau, qui devra gérer la communication, la judiciarisation de l’attaque, la notification éventuelle à la CNIL (atteinte aux données personnelles).
Trouver l’assistance technique. Lorsque l’entité ne dispose pas des moyens pour traiter l’incident comme les particuliers et les petites entreprises, le Gouvernement a mis en place a mis une plateforme de cyber malveillance.
Accompagner les collaborateurs en interne. Pourquoi ? «La présence du rançongiciel se manifeste souvent par l’affichage sur les écrans d’une demande de rançon, voire d’un décompte. Ce mode opératoire génère très souvent émoi et anxiété chez l’entité victime ». Faire appliquer la clause de confidentialité de leur contrat de travail concernant les sollicitations et les publications médiatiques.
Restaurer les systèmes depuis des sources saines : restaurer les données depuis les sauvegardes effectuées antérieurement à la date de compromission du système, corriger la vulnérabilité du système antérieur, changer les mots de passe….

Ne pas payer la rançon !

« Il est recommandé de ne jamais payer la rançon ». Son paiement ne garantit pas l’obtention d’un moyen de déchiffrement, il incite les cybercriminels à poursuivre leurs activités et entretient ce système frauduleux. De plus, le paiement de la rançon n’empêchera pas l’entité attaquée d’être à nouveau la cible de cybercriminels.

Déposer plainte auprès des services de police ou de gendarmerie

La plainte constitue le point de départ de l’enquête mais surtout elle « conditionne » surtout la réparation du sinistre.
Le dépôt de plainte doit être réalisé au nom de l’entité attaquée. Si l’opération est confiée à un collaborateur, il devra obtenir une délégation de pouvoir afin de pouvoir déposer une plainte (Le ministère de l’Intérieur devrait ouvrir une plateforme de plainte en ligne en matière d’escroqueries sur Internet appelée « THESEE »).

Pour en savoir plus :