Après la cyberattaque

Les PME et les petites organisations sont également la cible de cyberattaques. Deux personnes qui en ont été victimes en Suisse nous racontent leur réaction et les conséquences qui en ont découlé, et nous donnent des conseils pour que les autres puissent mieux se protéger.

Comme tous les matins, Felix Keller, directeur du bureau de l’Association des arts et métiers de Saint-Gall (GSGV), avait vérifié ses e-mails sur son smartphone ce jeudi. Mais le serveur n’était pas accessible. Il avait donc informé les collaborateurs et la société informatique externe du problème rencontré et s’était mis en route pour se rendre au bureau du centre-ville. Lorsque le message des maîtres-chanteurs est arrivé, il n’y avait aucun doute: l’ensemble de l’infrastructure informatique, y compris les sauvegardes des deux derniers mois, avait été crypté par un ransomware. Un e-mail de phishing constituait le point de départ de la cyberattaque. «Ma première pensée a été: mais pourquoi nous? Ce n’est pas possible», déclare M. Keller après-coup.

Remo Muggli, directeur général et copropriétaire de l’agence de recrutement stewards.ch, avait également constaté l’intérêt que représentaient les PME et les petites organisations pour les cybercriminels: «On nous a informés que nous avions rendu les données de nos clients accessibles sur le Darknet.» Les recherches ont alors commencé: les données sont-elles réelles? Et si oui, de quel système proviennent-elles?

La société a finalement constaté que les données provenaient d’une base de données test. «Nous n’avons jamais communiqué l’adresse publiquement», explique M. Muggli. «Mais apparemment, les cybercriminels ont tout de même trouvé l’accès lors d’un scan automatisé.» Et exploité la faille de sécurité dans la version installée du logiciel. «Je ne pense pas que nous ayons été victimes d’une attaque ciblée», ajoute M. Muggli. «Mais d’une recherche à grande échelle.»

Remettre de l’ordre après la cyberattaque

Vu sous cet angle, M. Muggli et son équipe ont eu de la chance dans leur malheur: le service cybercriminalité de la police a pu rapidement supprimer le lien vers les données, et la plupart des personnes concernées ont fait preuve de compréhension. Cela a également permis à stewards.ch d’éviter une atteinte à la réputation, ce qui est décisif dans une affaire de confiance telle que la gestion du personnel. «Jusqu’à ce que nous parvenions à identifier la source, c’était une période particulièrement stressante», raconte M. Muggli. «Car nous voulions informer les personnes concernées dans un délai raisonnable.»

«Après l’attaque par ransomware, nous avons fortement renforcé nos mesures de sécurité.»

Felix Keller, directeur du bureau des associations des arts et métiers de Saint-Gall

En revanche, il a régné une certaine agitation le week-end suivant la cyberattaque dans les bureaux de la GSGV: l’organisation avait décidé de revoir l’ensemble de l’infrastructure informatique et de restaurer les données à partir des sauvegardes encore existantes. «Heureusement, nous avions les factures débiteurs en cours en version papier», se souvient M. Keller. «Cela nous a au moins permis de comprendre les arriérés.» Il va sans dire que la remise en état a nécessité un énorme effort personnel et financier.

Recours à des mesures supplémentaires

Mais le bureau ne s’est pas contenté d’une nouvelle infrastructure. «Nous avons investi dans une deuxième sauvegarde, dans un environnement séparé, et dans un firewall amélioré», explique M. Keller. «Comme nous n’avons pas le savoir-faire informatique nécessaire, nous avons évalué et hiérarchisé les mesures avec notre partenaire informatique.»

La GSGV a également travaillé à la sensibilisation des collaborateurs. Après une formation de sensibilisation, les collaborateurs signalent aujourd’hui tout e-mail suspect au partenaire informatique, qui en vérifie le contenu. Et bien que les propositions d’amélioration émanent principalement du partenaire informatique, M. Keller considère que la responsabilité de l’exploitation et donc de la sécurité informatique incombe à la Direction: «Nous avons certes un partenaire informatique qui propose et met en œuvre des mesures, mais c’est à nous que revient la responsabilité.» Et stewards.ch a également ouvert sa réflexion, explique M. Muggli: «Nous avons compris que les ‹petits› sont également des cibles pour les cybercriminels, et que nous devions donc éviter de devenir une proie facile.»

«Il ne suffit pas d’être inintéressant pour être protégé.»

Remo Muggli, directeur général de stewards.ch

L’agence du personnel a donc pris des mesures de sécurité supplémentaires après l’incident. «Nous avons adapté divers processus», explique M. Muggli. «Et en nous nous sommes tournés vers les consignes de sécurité de grands prestataires de services informatiques afin de pouvoir définir des mesures pour nous-mêmes.» L’entreprise a par exemple bloqué ou du moins compliqué l’accès depuis l’étranger grâce au géorepérage. Par ailleurs, un test de pénétration révèlera s’il existe d’autres failles de sécurité.

Pour les deux directeurs généraux, il est clair que des mesures ponctuelles ne suffisent pas, notamment en ce qui concerne la sensibilisation des collaborateurs, comme l’explique M. Muggli en sa qualité d’adjoint: «S’en contenter revient à vite retomber dans la routine.»

La cybersécurité doit devenir une tâche permanente

Les deux parties sont conscientes de la nécessité d’examiner régulièrement les mesures de cybersécurité afin d’éviter de futures cyberattaques. «Je me suis mis un rappel dans mon agenda pour pouvoir discuter régulièrement avec nos fournisseurs et partenaires informatiques», explique M. Muggli. «Ce n’est pas grand-chose au regard de ce que cela peut représenter en termes de prévention.»

La GSGV poursuit une approche similaire, souligne M. Keller: «Je vérifie régulièrement avec le partenaire informatique si les mesures sont encore suffisantes ou si des ajustements sont nécessaires.» Cette façon de procéder semble avoir été utile. En effet, jusqu’à présent, les deux organisations n’ont enregistré aucune autre cyberattaque ayant abouti.

PME: voici quelques conseils pour vous protéger des cyberattaques

En se basant sur leurs propres expériences des cyberincidents, Felix Keller et Remo Muggli souhaitent donner aux autres PME quelques recommandations non exhaustives. En effet, de bonnes mesures de protection peuvent, avant tout incident majeur, contribuer à éviter une cyberattaque:

• Veiller à la mise à jour régulière et dans les meilleurs délais des systèmes d’exploitation, mais aussi des appareils périphériques comme les imprimantes
• Sensibiliser les collaborateurs au moyen de mesures appropriée et du soutien du service informatique
• Faire tester les systèmes par des professionnels, par exemple via un état des lieux ou un test de pénétration (simulation d’attaque sur demande)
• Examiner activement les options de sécurité de l’hébergement, telles que les mesures de protection actives ou les délais de conservation des fichiers journaux
• Informer la police en cas de cyberattaque aboutie
• Définir d’autres canaux de communication pour l’échange avec le Conseil d’administration et les collaborateurs; créer également une adresse e-mail neutre (sans lien avec l’entreprise et le nom) pour un éventuel échange avec les maîtres-chanteurs