Rançongiciels : comment s’en prémunir ?

Attaques par rançongiciels : rappels (utiles) de la CNIL

Les cyberattaques se multiplient depuis ces dernières semaines et peuvent adopter la forme de « rançongiciels », c’est-à-dire de programmes malveillants qui mettent l’ordinateur ou le système d’information de la victime hors d’usage et conditionnent son rétablissement au paiement d’une rançon.

• Se prémunir contre les attaques

Selon la CNIL, ce type d’attaque peut être favorisé par divers défauts de sécurité au niveau du système informatique de la victime, parmi lesquels :

• le cloisonnement insuffisant du réseau entre les différents serveurs et entre les postes des utilisateurs et les serveurs ;
• l’absence de dispositif de détection automatisée de chiffrement massif de fichiers ;
• l’absence de sauvegarde de leurs données par les organismes concernés.

Elle préconise donc que le responsable de traitement des données mette en place toutes les mesures techniques et organisationnelles appropriées pour renforcer le niveau de sécurité des données, ainsi que la confidentialité, l’intégralité et la disponibilité des systèmes informatiques.

Ces mesures se matérialisent notamment par :

• la réalisation de sauvegardes « hors ligne » des données, afin de permettre la restauration du système informatique sur des bases considérées comme « saines » en cas d’attaques ;
• la sensibilisation du personnel aux risques de sécurité et aux bonnes pratiques à suivre dans l’hypothèse d’une cyberattaque, notamment aux fins d’éviter le téléchargement de fichiers malveillants reçus par voie de « hameçonnage », qui est une technique de fraude qui leurre l’utilisateur en vue d’obtenir la communication de ses données personnelles ;
• la mise en œuvre d’un mécanisme de détection de l’altération massive des fichiers, en particulier par chiffrement.

• En cas d’attaque

En cas de cyberattaque par rançongiciels, la CNIL préconise l’adoption de diverses mesures de protection :

• l’extinction de l’ensemble des machines susceptibles d’être touchées par l’attaque et l’alerte immédiate du service informatique de la structure ;
• le refus de payer la rançon, puisque ce paiement ne garantit pas la restitution des données devenues illisibles et peut être susceptible de favoriser d’autres attaques de ce type ;
• la constitution d’un dossier de preuves relatives à l’attaque, qui peuvent notamment prendre la forme de copies des postes et serveurs touchés et des fichiers chiffrés ;
• le dépôt d’une plainte auprès des services de police et de la gendarmerie, et le recours, si le besoin s’en fait sentir, à un avocat spécialisé en la matière.

Notez que la mise en relation avec un professionnel spécialisé peut s’effectuer via le site cybermalveillance.gouv.fr.

• L’alerte à la CNIL

Dès lors qu’il existe un risque pour la vie privée des personnes, il est impératif de notifier à la CNIL la violation des données informatiques d’un système, que celle-ci soit d’origine accidentelle ou illicite.

Cette notification doit être faite dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance.

Elle a pour but de permettre à la CNIL de déterminer si les personnes concernées par cette violation de données doivent être averties de l’attaque afin d’être en mesure de prendre les mesures appropriées pour en limiter les effets.

L’organisme victime de l’attaque doit donc s’astreindre au respect des étapes suivantes :

• consigner l’incident dans le registre des violations des données ;
• notifier l’incident auprès de la CNIL en cas de risque pour les droits des personnes concernées ou s’il s’agit d’une violation de données sensibles (données de santé, etc.) ;
• informer les personnes concernées de l’attaque en cas de risque élevé, notamment au vu de la nature de la violation et de ses conséquences possibles et leur communiquer l’ensemble des mesures prises pour y remédier et en limiter les conséquences.