[Cyber] Cyberattaque : quelles leçons retenir ?

Ces derniers mois, plusieurs entreprises calédoniennes — grandes structures comme petites PME — ont été confrontées à des incidents de sécurité informatique : rançongiciel, compromission de messagerie, fuite de données clients. Chez OPSSI, nous sommes régulièrement sollicités après coup, quand l'urgence est passée et qu'il faut comprendre ce qui s'est passé, remettre le système d'information debout, et surtout éviter que cela ne se reproduise.

C'est de ces situations, vécues aux côtés de nos clients, que je veux partager ici quelques leçons. Pas de la théorie, mais des constats de terrain.

La première leçon : l'attaque n'est presque jamais le vrai point de départ

Quand on reconstitue la chronologie d'un incident, on se rend compte que le rançongiciel ou l'exfiltration de données n'est que la dernière étape d'une chaîne qui a commencé bien avant : un mot de passe réutilisé sur plusieurs services, un accès distant laissé ouvert « en attendant », une mise à jour repoussée faute de temps, un email de phishing ouvert un vendredi soir. L'attaquant n'a souvent forcé aucune porte : il est entré par une porte qu'on avait oublié de fermer.

La vraie question à se poser n'est donc pas seulement « comment nous sommes-nous fait attaquer ? » mais « depuis combien de temps cette faiblesse existait-elle, et pourquoi ne l'avons-nous pas vue ? ».

Deuxième leçon : la sauvegarde ne vaut que si elle a été testée

C'est probablement le constat le plus fréquent que nous faisons. Beaucoup d'entreprises ont des sauvegardes. Peu ont vérifié récemment qu'elles fonctionnaient réellement, qu'elles n'étaient pas elles-mêmes accessibles depuis le réseau compromis, et surtout qu'elles permettaient de redémarrer l'activité dans un délai acceptable. Une sauvegarde qu'on découvre corrompue au moment où on en a besoin n'est pas une sauvegarde, c'est une fausse sécurité.

La leçon est simple à énoncer, plus exigeante à appliquer : tester ses restaurations régulièrement, isoler au moins une copie des sauvegardes du réseau principal, et chronométrer combien de temps prendrait un redémarrage complet: c'est ce chiffre-là qui compte le jour où tout s'arrête.

Troisième leçon : le facteur humain reste la cible numéro un

La technique progresse, les attaquants aussi, mais dans l'immense majorité des cas que nous traitons, le point d'entrée reste humain : un clic sur un lien, une pièce jointe ouverte, une demande de virement qui semble légitime. Ce n'est pas un problème que l'on résout uniquement avec des outils. C'est un problème de culture d'entreprise.

Les organisations qui s'en sortent le mieux sont celles où chacun sait qu'il peut signaler un doute sans craindre d'avoir l'air paranoïaque, et où la sensibilisation n'est pas une formation annuelle qu'on subit, mais un réflexe entretenu dans la durée.

Quatrième leçon : le temps de détection fait toute la différence

Entre le moment où un attaquant pénètre un système et le moment où il déclenche l'attaque visible (chiffrement des fichiers, blocage des accès), il se passe souvent plusieurs jours, parfois plusieurs semaines. C'est du temps pendant lequel, avec une supervision adaptée, l'intrusion peut être repérée et stoppée avant qu'elle ne cause de dégâts.

Beaucoup d'entreprises découvrent l'incident au moment où il devient impossible à ignorer — c'est-à-dire au pire moment possible. Investir dans une supervision continue de son système d'information n'est pas un luxe réservé aux grands groupes : c'est ce qui fait la différence entre un incident maîtrisé en quelques heures et une crise qui paralyse l'activité pendant des semaines.

Cinquième leçon : la gestion de crise se prépare à froid

Le jour de l'incident n'est pas le bon moment pour découvrir qui doit décider quoi, qui prévenir en premier, ou comment communiquer avec ses clients et partenaires. Les entreprises qui traversent une cyberattaque avec le moins de dégâts sont celles qui, en amont, ont écrit noir sur blanc un plan de réponse : qui fait quoi, quels contacts d'urgence, quelles obligations légales (notamment de notification), quel message envoyer aux clients.

Ce plan n'a pas besoin d'être un document de cent pages. Il doit surtout être connu, accessible même si le système d'information est hors service, et testé au moins une fois par un exercice.

Ce qu'il faut retenir

Une cyberattaque n'est presque jamais une fatalité imprévisible. C'est le plus souvent la conséquence de plusieurs petites négligences accumulées, révélées d'un coup au pire moment. La bonne nouvelle, c'est que chacune des leçons ci-dessus se traduit en actions concrètes et accessibles, quelle que soit la taille de l'entreprise : vérifier ses sauvegardes, former ses équipes, superviser son système, préparer sa réponse de crise.

Chez OPSSI, c'est le sens de notre métier : ne pas attendre l'incident pour s'y préparer. Si cet article résonne avec une situation que vous vivez ou redoutez, parlons-en — un diagnostic de vos pratiques actuelles vaut toujours mieux qu'un post-mortem.

Serge Keller, PDG d'OPSSI