Parce que… c’est l’épisode 0x00F!

Shameless plug

Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Le contexte de l’incident

Dans cet épisode, Marie-Ève Fortin et son coanimateur reviennent sur la cyberattaque que Molson Coors a annoncée le 11 mars dernier, alors que l’entreprise se remettait encore de l’incident. L’attaque a engendré une panne de système majeure qui a affecté la capacité de production ainsi que la capacité de livraison des produits. En pleine pandémie et en plein confinement, la production d’alcool demeure l’affaire de beaucoup de gens. Cet exemple mérite d’être étudié, car on parle habituellement de vol de données, alors qu’ici l’attaque a eu un impact physique tangible sur la production et la distribution.

Une information publique limitée

Comme plusieurs entreprises touchées par ce genre d’événement, Molson Coors est demeurée très avare de commentaires publics sur ce qui s’est réellement passé dans ses infrastructures. Les seules informations confirmées indiquent que l’entreprise a été la cible d’une cyberattaque, sans autre précision. Les animateurs spéculent donc prudemment sur la nature de l’attaque.

L’hypothèse d’un rançongiciel non ciblé

Selon ce qu’on peut en déduire, l’attaque ressemble fortement à un rançongiciel, une attaque qui vise à retenir l’information ou à bloquer les systèmes en échange d’une rançon. Ce type de programme aurait brisé des systèmes liés à la production, ce qui expliquerait l’arrêt des opérations. Une distinction importante demeure toutefois entre une attaque ciblée et une infection accidentelle causée par l’ouverture d’un courriel contenant un fichier infecté. Au vu du peu d’informations disponibles, l’attaque ne serait probablement pas ciblée. Elle serait plutôt le fruit d’un accident de parcours ayant propagé l’infection à l’intérieur du réseau.

Un cloisonnement des réseaux possiblement déficient

Cette hypothèse soulève une observation préoccupante. Si un courriel ouvert du côté administratif a pu affecter les systèmes de production, la séparation entre les deux réseaux serait insuffisante. Dans une entreprise de manufacture, ces deux réseaux sont normalement bien séparés, justement pour éviter qu’un courriel malicieux ouvert du côté administratif ne vienne toucher la production. Le peu d’informations disponibles suggère donc un cloisonnement défaillant entre ces deux sphères.

La question du paiement de la rançon

Selon les délais observés avant le retour en service, Molson Coors n’aurait pas payé la rançon, ce qui constitue une bonne chose selon l’expert. Payer une rançon justifie en effet le modèle d’affaires des groupes malveillants et encourage la perpétuation de cette nuisance. L’entreprise aurait probablement récupéré ses données à partir de copies de sauvegarde, puis nettoyé ses systèmes pour revenir dans un état propre et éviter toute réinfection.

L’évolution des rançongiciels modernes

Depuis environ un an, les rançongiciels les plus récents ne se contentent plus de chiffrer les données et d’exiger une rançon. Ils volent d’abord l’information de l’entreprise, de sorte que lorsque la demande de rançon arrive, tout le contenu pertinent a déjà été exfiltré. Les groupes malveillants réclament alors une rançon supplémentaire auprès des entreprises qui ne disposent pas de copies de sauvegarde. Puisque l’incident semble isolé à une seule usine, il est probable que les attaquants n’aient rien trouvé et aient chiffré rapidement, ce qui signifierait peu ou pas de données volées.

L’importance des copies de sauvegarde

La discussion met en lumière un élément essentiel, soit l’importance des copies de sauvegarde. Lorsqu’une entreprise dispose de bonnes copies de sauvegarde, elle n’a pas besoin de payer la rançon puisqu’elle peut restaurer ses données et ramener ses systèmes dans un état non vulnérable. L’expert rappelle que cette précaution vaut aussi à titre personnel, puisque conserver une copie de ses données évite bien des ennuis en cas d’incident. Cette mesure n’est pas sans faille, mais elle constitue un pas de plus vers une bonne protection.

Des groupes organisés plutôt que des loups solitaires

Plus personne ne mène ce type d’attaque seul depuis son sous-sol. L’époque du loup solitaire, souvent dépeinte dans les films, est quasi inexistante. Ces attaques sont maintenant le fait de groupes organisés, parfois collaboratifs, chacun fournissant une partie des modules nécessaires jusqu’au chiffrement des données.

Des répercussions physiques tangibles

Cet incident a été retenu parce que l’immobilisation de certains systèmes a handicapé l’entreprise et touché sa production ainsi que sa distribution, avec des répercussions physiques bien réelles. Molson Coors a d’ailleurs dû déclarer les effets monétaires de l’incident. Dans un contexte de pandémie où les chaînes de production se révèlent plus fragiles, cet arrêt a des conséquences importantes et montre à quel point les malveillants peuvent causer des problèmes réels dans le monde réel.

Des implications sociétales plus larges

L’expert termine avec une mise en garde face à cette menace sérieuse. Si des acteurs malveillants peuvent arrêter la production d’alcool, ils peuvent aussi toucher des secteurs plus essentiels, comme la nourriture ou d’autres produits de première nécessité. Les impacts sur la société seraient alors bien plus importants. Cet incident offre un aperçu de ce qui pourrait se passer dans l’avenir et rappelle la précaution que les individus comme la société doivent prendre face à cette menace.

Les sujets des prochains épisodes

Les articles suggérant différentes solutions ont amené les animateurs à planifier des épisodes sur le Zero Trust et sur le cloud, afin de poser les bases et de parler un langage commun. Le Zero Trust est un sujet complexe qui demandera une bonne vulgarisation, mais cette mesure de protection permet une saine séparation entre les informations pour éviter que ce genre d’incident ne se reproduise. Quant à l’infonuagique, plusieurs plaident qu’elle est généralement plus sécuritaire que les installations sur site, puisque des compagnies comme Microsoft, Amazon et Google dépensent des milliards de dollars annuellement en sécurité, un investissement difficile à justifier pour la plupart des entreprises.

Contributeurs

Nicolas-Loïc Fortin Vincent Groleau
Nicolas-Loïc Fortin LinkedIn Vincent Groleau LinkedIn Twitter

Crédits

Télécharger .m4a (19.6M) Télécharger .mp3 (16.7M)

Tags: crise, incident, rancongiciel