AQT Association Québécoise des technologies

La cybersécurité devient un enjeu incontournable, D-Box en sait quelque chose!

Mardi 31 Mai 2022 Sophie Bernard, Lien Multimédia Technologie et innovation

En juillet 2021, D-Box, le spécialiste du divertissement immersif, était victime d’une cyberattaque par rançongiciel. Une vraie tempête s’est abattue sur l’entreprise de Longueuil qui compte une centaine d’employés. Comme souvent dans les cas d’attaques, un employé a malencontreusement ouvert un courriel, ouvrant la porte à la brèche de sécurité. Lors de Vision PDG, Sébastien Mailhot, son dirigeant, a raconté très candidement comment les choses se sont déroulées. Le panel, animé par Nicole Martel, la PDG de l’Association québécoise des technologies, comprenait aussi deux spécialistes de la cybersécurité, René-Sylvain Bédard, président et chef du CA d’Indominus, et Guillaume Caron, président de VARS, qui venaient apporter un éclairage intéressant sur la cybersécurité. Et si Sébastien Mailhot est tout sourire sur notre photo, il en était autrement en juillet 2021.

C’est le 12 juin 2021 que la tempête s’est abattue sur D-Box, victime d’une cyberattaque russe. Rapidement, l’entreprise publique a publié un communiqué sur l’attaque. « Cela s’est fait de façon très simple. Il y a eu deux niveaux d’attaque, explique Sébastien Mailhot. Un courriel a été envoyé à un employé qui a cliqué et le virus est entré dans la forteresse. » Rapidement, l’équipe de D-Box a fait appel à KPMG et à ses assureurs. Toutes les parties prenantes ont été avisées. « Ce sont des cas que l’on voit toutes les semaines, souligne Guillaume Caron. Les utilisateurs se trouvent sur la première ligne de défense. » Et D-Box a eu de la chance, ajoute René-Sylvain Bédard, puisque le rançongiciel qui l’a attaqué demeure assez classique. Lorsqu’une attaque de ce type arrive, rapidement les pirates vont demander de l’argent, beaucoup d’argent, faisant chanter l’entreprise avec ses informations.

En fait, l’attaque a pris plusieurs mois avant d’être détectée. C’est en voyant la somme d’informations téléchargées que les dirigeants ont eu la puce à l’oreille. Mais il était trop tard, les pirates avaient pénétré dans tout le système de D-Box, faisant éclater des bombes ici et là. Toutes les informations ont été touchées : les états financiers, les contrats et toute la chaîne de distribution. L’attaque elle-même a duré 8 heures, se souvient Sébastien Mailhot. La moyenne de temps entre l’entrée dans le système d’une entreprise et la déclaration de guerre dure en moyenne 206 jours, précise le président de VARS. Au début, les pirates observent les boîtes de courriel et les échanges de messages avec les partenaires. L’attaque avec demande de rançon vient clore l’attaque. Il s’agit d’un réel fléau alors qu’on enregistre 10 000 attaques par jour en Amérique du Nord.

Pourquoi D-Box ? Difficile à dire. « C’est comme une attaque à la mitraillette, illustre le président et chef du conseil d’Indominus. Les pirates regardent combien vaut la compagnie et réalisent des attaques de masse, comme on l’a vu dans des centrales nucléaires. » On croit que les pare-feu empêchent les gens d’entrer, alors que, généralement, c’est par une erreur humaine que les pirates pénètrent les systèmes informatiques. Aujourd’hui, les groupes criminalisés mettent les rançongiciels à disposition, du genre « Ransomware as a Service », du style SaaS. « Mais cela peut aussi être un kid de 14 ans qui partage ensuite les informations dans le dark Web », ajoute Guillaume Caron. On voit souvent les attaques cibler les propriétés intellectuelles ou des industries particulières. Ainsi, pendant la COVID, les pharmaceutiques ont été davantage attaquées. Et l’arrivée de la cryptomonnaie facilite les choses : avant il fallait vendre les informations, aujourd’hui, on peut juste arrêter les activités de l’entreprise. »

Même des moyennes entreprises peuvent se faire attaquer. On a d’ailleurs vu une hausse des attaques dans les milieux de la construction et du manufacturier qui, jusqu’ici, ne se sentaient pas menacés. La taille de l’entreprise importe de moins en moins. Une entreprise en croissance comme D-Box n’est pas à l’abri, c’est le message que veut envoyer Sébastien Mailhot. Guillaume Caron a déjà même vu un pirate proposer un rabais de 25 % si l’entreprise payait la rançon avant la date limite ! « Entre le moment où on a subi l’attaque complète et celui où nous l’avons réglée, il s’est écoulé une semaine, raconte le PDG de D-Box. Nous étions chanceux d’avoir des assurances. Quatre personnes de KPMG sont venues à temps plein dans nos bureaux pendant cette période et quatre autres personnes ont continué le travail. Nous avons mis sur pied une cellule de gestion de crise à l’interne. Ensuite, le paiement passe par un négociateur et le paiement se fait en cryptomonnaie. » Car, oui, il existe un nouveau métier : les négociateurs d’attaques par rançongiciel !

Ce qu’on retient de ce que disent les spécialistes :

le virus peut circuler pendant 3 à 6 mois et effacer les sauvegardes avant de passer à l’attaque proprement dite ;
très souvent, il est impossible de restaurer les sauvegardes ;
il est important d’avoir une stratégie de sauvegarde ;
les assurances, c’est bien, mais cela n’aide pas la réputation de l’entreprise attaquée ;
d’ailleurs, les assureurs commencent à se réveiller : en Europe, le géant AXA a annoncé qu’il arrêtait de payer pour ces attaques et cela devrait s’étendre à l’Amérique du Nord ;
certaines entreprises reviennent trop vite, avant d’avoir trouvé la source de l’attaque et les assurances ne veulent pas attendre ;
le succès de D-Box réside dans le fait que l’entreprise a réagi rapidement et a impliqué toutes ses équipes de gestion ;
il faut savoir qui a le contrôle sur les données dans l’entreprise et sur quels systèmes ;
il est important qu’une personne ait une vue globale sur les données ;
il faut faire une analyse d’impact des actifs ;
il faut un plan, comme celui d’évacuation affiché sur les murs ;
la gestion de risque ne touche pas seulement les cas de feu ou de tremblements de terre. En fait, il existe davantage de risques de vivre une cyberattaque qu’un cataclysme naturel ;
après une attaque, il arrive souvent qu’employés et gestionnaires tombent au combat ;
30 % des entreprises qui ont subi une attaque ferment leurs portes dans les six mois suivants ;
il est important de faire des tests de rétroactions, c’est-à-dire de s’auto-attaquer ;
il faut amener le chef de la sécurité à la table décisionnelle ;
il faut améliorer les filtres entrants des courriels ;
la double identification bloque 98 à 99 % des attaques ;
il ne faut pas laisser les employés travailler à distance sur leur poste personnel ;
de nouvelles vulnérabilités sont découvertes chaque jour ;
il est important de trouver des partenaires de sécurité ;
la formation à l’interne s’avère essentielle.