Les attaques par ransomware dans le secteur public sont devenues de plus en plus courantes ces dernières années, les administrations publiques, les établissements de santé et les établissements d’enseignement étant des cibles fréquentes. Cependant, le secteur public a toujours été la cible de cybercriminels déterminés à voler des données et à causer des dommages criminels. C’est ce que confirme Verizon dans son rapport « Data Breach Investigations Report 2020 » (DBIR), qui indique que l’administration publique est l’un des secteurs les plus ciblés et que les ransomwares constituent le type d’attaque le plus répandu. Un rapport de Darktrace va dans le même sens, précisant qu’en 2020, « les collectivités locales ont été la principale cible des attaques par ransomware ».
Les ransomwares constituent un type de logiciel malveillant dangereux et insidieux qui se répand de plus en plus dans tous les secteurs d’activité. Les cybercriminels à l’origine de ces logiciels malveillants deviennent également de plus en plus habiles pour extorquer une rançon, non seulement en chiffrant les données, mais aussi en les volant. Nous examinons ici l’impact des ransomwares sur le secteur public et les mesures qui peuvent être prises pour atténuer cet impact.
Pourquoi le secteur public est exposé aux attaques par ransomware
Il peut être difficile d’obtenir des informations sur l’ampleur réelle des cyberattaques au sein des administrations publiques. Cependant, en 2019, le fournisseur de solutions de sécurité SolarWinds a déposé une demande d’accès à l’information. Les données obtenues ont révélé des éléments intéressants : alors qu’environ un tiers des répondants n’avaient subi aucune cyberattaque, un nombre croissant d’entre eux avaient subi plus de 1 000 attaques ciblées.
La plupart de ces attaques prenaient la forme d’hameçonnage et de logiciels malveillants. Et ce, malgré la mise en place de mesures traditionnelles de cybersécurité, telles que des pare-feu et des logiciels antivirus. L’étude montre clairement que le secteur public est dans le collimateur des cybercriminels et que les ransomwares, qui constituent actuellement l’un des logiciels malveillants les plus répandus, représentent une menace sérieuse pour ce secteur.
Des attaques récentes très médiatisées, telles que l’attaque par rançongiciel contre la société de services publics Colonial Pipeline aux États-Unis, montrent jusqu’où les groupes de cybercriminels sont prêts à aller. Lors de cette cyberattaque, les données ont non seulement été rendues inaccessibles par le chiffrement, perturbant ainsi les opérations, mais elles ont également été volées et utilisées comme moyen de pression pour contraindre la victime à payer la rançon.
Un rapport d’IBM X-Force a révélé que 59 % des incidents liés à des ransomwares s’accompagnaient d’une exfiltration de données avant même que le chiffrement n’ait lieu. Colonial Pipeline constituait une cible de choix pour les ransomwares, car cette entreprise joue un rôle essentiel au sein des infrastructures critiques. De même, les secteurs des services publics font partie des infrastructures critiques, puisqu’ils fournissent aux citoyens des services essentiels qui reposent sur des données : ce point n’échappe pas aux groupes de cybercriminels spécialisés dans les ransomwares.
Les services publics, tels que les districts scolaires, les établissements de santé et même les conseils municipaux, constituent tous des cibles pour les auteurs d’attaques par ransomware. Une attaque récente a touché le système de santé irlandais. Cette attaque, qui aurait été perpétrée par un groupe de pirates informatiques connu sous le nom de « Wizard Spider », a privé les hôpitaux d’ordinateurs pendant plus d’une semaine.
À l’instar de l’attaque contre Colonial Pipeline, les pirates ont chiffré des données et dérobé d’importantes quantités d’informations afin d’intensifier la pression pour obtenir le paiement d’une rançon de 20 millions de dollars (14 millions de livres sterling). En 2020, une attaque par rançongiciel visant le conseil municipal de Redcar et Cleveland a fini par coûter à ce dernier environ 10 millions de livres sterling : les coûts engagés comprenaient les temps d’arrêt et la baisse des recettes issues des amendes.
Les ransomwares en tant que service dans le secteur public
Le secteur public regroupe un large éventail d’organismes, allant des établissements de santé aux collectivités locales, en passant par les instances décisionnaires et les établissements scolaires. Il offre donc aux cybercriminels de nombreuses opportunités, non seulement pour perturber les activités et se livrer à des pratiques d’extorsion, mais aussi pour voler des données.
Lindy Cameron, PDG du Centre national de cybersécurité (NCSC) du Royaume-Uni, a récemment déclaré, lors d’un discours prononcé à l’occasion de la conférence annuelle sur la sécurité organisée par le Royal United Services Institute (RUSI), que la recrudescence des attaques par rançongiciel était due à un « effet cumulatif », les organisations n’ayant pas su faire face à la sophistication sans cesse croissante de ces attaques.
Les organismes du secteur public sont exposés au risque lié à l’utilisation de ces attaques plus sophistiquées, parmi lesquelles figurent les « ransomwares en tant que service » (RaaS). Ces « kits » de ransomware facilitent considérablement la mise en place de campagnes de ransomware. Quiconque souhaite se lancer dans ce type d’activité peut le faire moyennant un abonnement mensuel et une part des rançons perçues.
Dans son discours, Mme Cameron souligne que les solutions RaaS alimentent la recrudescence des attaques par ransomware. Parmi ces kits RaaS, certains sont spécialement conçus pour cibler les administrations et le secteur public. Citons par exemple Eking RaaS, identifié par Darktrace comme étant utilisé pour cibler des services publics dans la région APAC.
Comment protéger le secteur public contre les attaques par ransomware
Le rapport DBIR souligne que dans 85 % des cas de fuite de données, un être humain est impliqué. Le facteur humain est manifeste dans de nombreux types de cyberattaques, notamment les ransomwares ; un clic malencontreux sur un e-mail malveillant marque souvent le début du cauchemar lié aux ransomwares.
Les auteurs d’attaques par ransomware se concentrant aussi bien sur le vol de données que sur leur chiffrement, « l’élément humain » revêt une importance croissante en tant que point d’entrée au sein d’une organisation. Le phishing est l’un des vecteurs d’attaque préférés des pirates informatiques, car il est efficace. Dans son dernier rapport DBIR pour 2021, Verizon souligne que le phishing et les ransomwares ont de nouveau été très répandus ; en ce qui concerne les attaques visant l’administration publique, l’ingénierie sociale est la technique privilégiée dans 69 % des violations de données.
La diffusion et l’infection par les ransomwares s’effectuent par plusieurs voies, mais comme indiqué précédemment, le phishing est l’une des plus courantes. Une enquête réalisée à partir de données issues de services gérés a révélé que 54 % des attaques par ransomware ont débuté par un e-mail de hameçonnage : les mauvaises pratiques des utilisateurs (27 %) et le manque de formation à la sécurité (26 %) constituaient les autres causes les plus fréquentes d’infection par un ransomware.
Prévention des attaques par ransomware dans le secteur public
La prévention des attaques par ransomware dans le secteur public consiste à réduire les risques. Les risques de sécurité sont réduits grâce à une approche socio-technique, de la même manière que les pirates informatiques s’attaquent au secteur public et à d’autres secteurs en exploitant l’ingénierie sociale et les failles techniques.
La lutte contre les principaux vecteurs d’infection par les ransomwares commence par la mise en place d’une culture de sécurité exemplaire. Celle-ci repose sur la mise en œuvre de formations efficaces de sensibilisation à la sécurité destinées à l’ensemble du personnel. Elle est renforcée par l’utilisation d’outils de sécurité de pointe, conformes aux exigences des normes et réglementations en matière de sécurité, telles que la norme ISO 27001.
Les attaques par ransomware dans le secteur public ne cesseront pas tant que les organisations continueront d’être infectées et de payer la rançon. Dans les secteurs qui reposent sur les données, tels que le secteur public et administratif, ce dernier choix peut s’avérer difficile à faire. Cela signifie qu’il est nécessaire de mettre en place des structures permettant de réduire les risques d’une infection par ransomware.