Séance de questions et réponses avec Kathy Macdonald – Partie I : Ce que les PME canadiennes doivent savoir au sujet des rançongiciels

L’une des spécialistes les plus réputées au Canada en matière de cybersécurité s’entretient avec Rogers de la menace croissante pour les PME et des mesures qui peuvent atténuer les risques.

Il y a quelques années, Kathy Macdonald, une ancienne policière de Calgary devenue experte en cybercriminalité, a publié un manuel sur les conséquences de la cybercriminalité pour les corps policiers, les particuliers, les entreprises, les gouvernements, les institutions ainsi que les organisations. L’auteure et conférencière de renom s’était entretenue avec Rogers pour Affaires au sujet des répercussions de la cybercriminalité sur les entreprises canadiennes et de ses conséquences, non seulement pour les entreprises, mais aussi pour les travailleurs qui sont victimes d’attaques.

Depuis lors, les difficultés liées à la cybersécurité auxquelles sont confrontées les petites et moyennes entreprises (PME) n’ont cessé de s’aggraver. En 2020, plus de la moitié des fraudes par courriel connues ciblaient les PME, selon une étude approfondie menée par TUCU. Ce même rapport laisse entendre que les entreprises canadiennes sont devenues des cibles de choix pour les pirates informatiques, car elles sont plus susceptibles de payer la rançon. L’an dernier, le Canada s’est effectivement classé au deuxième rang, derrière les États-Unis, dans la liste des pays où le plus grand volume de données piratées a été publié sur le web.

Nous avons décidé de nous entretenir de nouveau avec M^me Macdonald afin d’avoir une idée de la façon dont elle perçoit le contexte actuel de la cybercriminalité au Canada. Nous avons divisé notre entrevue en deux parties, en mettant d’abord l’accent sur les rançongiciels, l’une des attaques numériques les plus courantes et les plus paralysantes auxquelles les PME sont confrontées à l’heure actuelle.

Parlons de rançongiciels. Qu’est-ce qui vous préoccupe le plus?

Il est probable que de nombreuses entreprises ne font que payer la rançon afin de ne pas ébruiter l’atteinte à la sécurité de leurs données, de ne pas subir d’interruptions de service, de ne pas ébranler la confiance des actionnaires ou peut-être même de ne pas perdre leurs clients.

Le problème, c’est que le paiement des rançons encourage les attaques par rançongiciel futures. Entre-temps, les criminels peuvent avoir corrompu des fichiers et supprimé des données sauvegardées. Et même si la rançon est payée, la clé de déchiffrement qu’ils fournissent pourrait ne pas fonctionner.

Je suis également très préoccupée par le piratage psychologique dans le cadre d’attaques par hameçonnage ciblé. Les tactiques et les techniques utilisées sont pour le moins perturbantes. Ces gens profitent du chaos et des perturbations, en utilisant comme point de départ les événements qui surviennent au sein d’une entreprise ou font la manchette. Ils usurpent ensuite l’identité de personnes en ciblant des employés précis.

La complexité de ces attaques est alarmante. Ces pirates sont très patients et très persévérants.

Quelles tendances en matière de rançongiciels observez-vous dans les PME? 

De nombreuses PME éprouvent des difficultés à se protéger contre les rançongiciels, car le travail de certains employés exige inévitablement de cliquer sur des liens, d’ouvrir des pièces jointes et de répondre à des courriels. Les équipes de sécurité ou bien les propriétaires et les gestionnaires d’entreprise doivent déterminer comment permettre aux employés d’effectuer leur travail de façon sûre et efficace.

La sensibilisation fait partie de la solution. Il est essentiel de former les travailleurs qui constituent une cible à risque élevé pour les attaques de piratage psychologique en raison de leur emploi.

La sensibilisation fait partie de la solution. Il est essentiel de former les travailleurs qui constituent une cible à risque élevé pour les attaques de piratage psychologique en raison de leur emploi. Les utilisateurs doivent comprendre les tactiques, les techniques et les procédures qu’utilisent les pirates. Il est nécessaire de bien les informer relativement à l’hameçonnage ciblé, à la compromission des comptes de courriel d’entreprise et aux rançongiciels.

Par ailleurs, un plan d’intervention en cas d’incident majeur est complémentaire à une solide politique pour les employés. Lorsqu’un événement se produit, ce qui arrivera probablement, la moitié de la bataille est gagnée si vous disposez d’un plan afin de gérer efficacement la situation.

Dans le même ordre d’idée, que doivent savoir les PME à propos des cyberintrusions et des cyberattaques? 

Il est impératif que vous sachiez quoi faire dès que vous constatez qu’un pirate informatique a établi un contact dans le cadre d’un stratagème de piratage psychologique ou qu’une attaque est en cours. Quelles mesures devez-vous prendre selon votre plan d’intervention en cas d’incident? Disposez-vous d’un système de redondance en temps réel fonctionnel et pouvez-vous y accéder hors ligne?

Plus une entreprise prend du temps à décider quoi faire, plus son délai est long avant de réagir et plus le coût de l’attaque sera élevé. Certaines entreprises n’ont jamais effectué d’essai pour vérifier si leurs systèmes de sauvegarde et de restauration fonctionnent vraiment, et ce n’est pas le moment de le faire lorsque la crise éclate. Pressées par le temps, beaucoup d’entreprises choisissent de payer la rançon et de ne pas appeler la police.

Voici ce que je conseille : Élaborez des règles pour les activités en ligne, y compris des politiques et des procédures communes concernant la protection de la vie privée, la sécurité de l’information et l’utilisation acceptable des médias sociaux sur le réseau. 

Ensuite, faites l’inventaire des données que votre entreprise recueille et de l’endroit où elles sont stockées. Ces données comprennent notamment les dossiers du personnel des ressources humaines qui contiennent des renseignements personnels comme le nom des candidats, leur adresse, leur numéro de téléphone, leur adresse courriel, leur date de naissance, leurs revenus autodéclarés, leur numéro d’assurance sociale, leurs données médicales ainsi que des renseignements liés à la rémunération des travailleurs et à la médiation. Vous devez également noter où vous conservez les renseignements sur les fournisseurs, les sous-traitants et les clients. Et, bien sûr, vous devez savoir où se trouvent les actifs numériques essentiels de votre entreprise, y compris les photographies, les identifiants de médias sociaux, la propriété intellectuelle, les logos et les fichiers de site web, ainsi que les données juridiques et d’entreprise, les prévisions des prix et des coûts, les droits de propriété, les descriptions foncières, les données du conseil d’administration, les documents judiciaires, les demandes de propositions et les relevés des données relatives aux réserves.

Cette tâche peut paraître ardue, mais tous les actifs que vous ne tentez pas de protéger seront parmi les premiers à être volés et détenus contre rançon par les pirates qui ciblent votre entreprise.

Sachez que les criminels qui utilisent des rançongiciels sont intelligents. Il est fort probable qu’ils ont accès à votre réseau depuis quelques jours, quelques semaines ou peut-être même depuis plus longtemps.

Que doivent savoir les entreprises qui sont confrontées à un rançongiciel actif? 

Sachez que les criminels qui utilisent des rançongiciels sont intelligents. Il est fort probable qu’ils ont accès à votre réseau depuis quelques jours, quelques semaines ou peut-être même depuis plus longtemps. Ils savent probablement si vous avez une assurance, en quoi consiste votre plan d’intervention en cas d’incident et combien l’entreprise est en mesure de payer. Ils ne tenteront pas d’anéantir votre entreprise. Ils exigeront plutôt un montant qu’ils savent que vous pouvez payer.

Et le montant peut grimper encore plus. Les demandes sont généralement faites en bitcoins, et la plupart des entreprises ne savent pas du tout comment acheter ou vendre des bitcoins. Par conséquent, ils finissent par embaucher un négociateur ou un tiers pour payer la demande en leur nom.

Il est également fort avisé de faire des recherches et de rester au courant des tendances en matière d’attaques par rançongiciel, et même de les connaître par leur nom, si possible. Par exemple, un rançongiciel, désigné sous le nom de Mirror Blast, cible actuellement des entreprises de services financiers. Il est envoyé dans un courriel d’hameçonnage et il sert essentiellement à transformer un document Excel en arme. Si vous connaissez déjà ce rançongiciel, en particulier lorsque votre entreprise est attaquée, vous avez une chance de limiter les dommages causés par ce dernier et de reprendre vos activités normales beaucoup plus rapidement, ce qui pourrait vous permettre d’économiser beaucoup d’argent et de réduire de façon notable votre temps d’inactivité.

La deuxième partie de notre conversation avec Kathy Macdonald porte sur l’effet de la pandémie sur la cybercriminalité. Il est également mention de conseils pratiques et de l’approche que les propriétaires et gestionnaires de PME canadiennes peuvent adopter à l’heure actuelle pour protéger leur entreprise, notamment sous forme de plan d’intervention en cas d’attaque en 12 étapes.

Lectures supplémentaires sur la cybersécurité

Vous vous demandez comment assurer la sécurité numérique alors que les gens travaillent à distance? Découvrez comment le télétravail sécurisé commence à la maison.

Vous vous préoccupez de la sécurité de vos documents Microsoft 365? Apprenez comment sauvegarder toutes vos données Microsoft 365 en toute sécurité et à moindre coût.

Vous voulez apprendre les notions de base de la cybersécurité pour mieux protéger votre entreprise? Apprenez à protéger votre PME grâce à Simply Secure.