Plus de huit mois après qu’un des comtés les plus riches des États-Unis a subi une cyberattaque dévastatrice, les conséquences douloureuses et coûteuses ne sont toujours pas terminées.
L'assemblée législative du comté de Suffolk, dans l'est de Long Island, a voté la semaine dernière en faveur de la délivrance d'une citation à comparaître à l'encontre de quatre employés du comté ayant des informations sur l'attaque par ransomware « Fall 2022 » perpétrée par le groupe «», qui a paralysé les sites web, les serveurs et les bases de données du comté. Au début du mois, le département a annoncé la nomination de sa première responsable de la sécurité des systèmes d' (RSSI), Mme. Elle a également reconnu que l'absence, l'année dernière, d'un plan autonome d'intervention en cas d' avait probablement contribué à la durée prolongée de la remise en état.
À chaque nouveau titre, j'ai un petit nœud à l'estomac. Cela fait déjà plusieurs mois, et les autorités tentent toujours de reconstituer le déroulement des faits et d'en comprendre les raisons. Dans mon secteur d'activité, j'entends parler de cyberattaques presque chaque semaine, mais celle-ci m'a touché personnellement.
En septembre dernier, ma mère a fait une chute et s'est cassé le bras ; je me suis alors précipitée depuis mon appartement de New York vers la maison de mon enfance, dans le comté de Suffolk, pour m'occuper d'elle. La cyberattaque a eu lieu deux jours plus tard, contraignant le comté à fermer son site Internet et d'autres applications en ligne destinées aux 1,5 millions d'habitants de la région. La police d'État a dû intervenir pour aider les services d'urgence locaux en vérifiant les numéros d'immatriculation, les antécédents judiciaires et les mandats d'arrêt, ainsi que d'autres données essentielles lors des contrôles routiers, tandis que 911 opérateurs enregistraient les appels à la main. Les adresses e-mail de 10 000 fonctionnaires ont été désactivées. Le dépouillement des élections de mi-mandat a été retardé . Et le marché immobilier local — un secteur d’une importance capitale partout, mais surtout dans le quartier huppé de l’East End de Long Island — a été durement touché, le site étant incapable de traiter les recherches de titres de propriété et d’autres opérations.
Au cours des mois qui ont suivi, j'ai pris soin de ma mère, une femme pleine de caractère, alors qu'elle suivait une rééducation, et j'ai vu le département — moins combatif, davantage désemparé et en perte de vitesse — se traîner péniblement à travers sa propre forme de rééducation. Un rapport d'expertise de l' a révélé que des pirates informatiques avaient pénétré dans le système huit mois avant l'attaque effective du ransomware « », dans le comté de décembre 2021, en exploitant une vulnérabilité au sein du bureau du greffier du comté. Une fois qu'ils ont pu accéder au système, les intrus, qui sont passés inaperçus, ont installé un logiciel de minage de bitco , des outils d'exfiltration de données et des systèmes de surveillance ; ils ont également créé de faux comptes et ont récupéré quelque 26 000 numéros de sécurité sociale et près d'un demi-million de numéros de permis de conduire.
Ce rapport, malgré ses conclusions qui donnent à réfléchir, ne présente qu'une partie de la réalité. Une série de révélations a été mise au jour à la suite de cette attaque, démontrant que le comté de Suffolk constitue un triste exemple de manque de prise en compte de la cybersécurité.
Les coûts liés à l'activité commerciale
Plutôt que de verser une rançon de 2,5 millions de dollars aux pirates informatiques, le comté a choisi de rétablir lui-même ses services. Il a fallu plus de cinq mois pour remettre le site web en service, et aujourd'hui encore, certains services en ligne, notamment la consultation des titres de propriété et le paiement des factures d'assainissement, ne sont toujours pas disponibles.
«La triste réalité est que les cybercriminels avaient davantage accès au réseau du greffier que le service informatique du comté n’en a jamais eu. »Steve Bellone, président du comté de Suffolk
Le coût des mesures prises pour remédier à cette violation et rétablir les services s'élèvera à 5,7 millions de dollars, selon les dernières estimations du comté, même si les experts en sécurité indiquent que ce chiffre pourrait augmenter.
La question de savoir si le département aurait dû simplement serrer les dents et payer la rançon fait l'objet d'un débat (considérable) sur , bien que de nombreux experts affirment que le paiement d'une rançon expose une entreprise à des risques d'attaques supplémentaires. Dès que le pirate informatique d'origine (et d'autres) verront que vous êtes prêt à payer, ils risquent de revenir régulièrement à la mangeoire.
[À lire également : À la découverte de l'art de la négociation face aux rançongiciels]
Qu'est-ce qui ne fait l'objet d'aucun débat ? La préparation déplorable du département.
Ce qui est visible, ce qui ne l'est pas
Le manque de visibilité sur les terminaux du réseau a mis le département dans une situation difficile au cours des premières semaines qui ont suivi l'attaque. « La triste réalité, c’est que les cybercriminels avaient davantage accès au réseau du greffe que le service informatique du comté n’en a jamais eu », a déclaré Steve Bellone, directeur général du comté, lors d’une conférence de presse organisée par l’ en février. Une gestion efficace des terminaux , comprenant notamment une découverte et un inventaire complets des actifs , aurait aidé les équipes de sécurité dès la détection de la faille.
L'absence de RSSI — une personne habilitée à alerter les responsables des collectivités locales sur leur manque de préparation, à les accompagner dans la mise en œuvre d'améliorations rentables et à prendre les rênes après l'attaque des pirates — n'a pas arrangé les choses. Pour de nombreuses collectivités territoriales et administrations locales, qui manquent souvent de moyens financiers et ne maîtrisent pas vraiment les questions de cybersécurité, un RSSI semble être un luxe et une cyberattaque, une menace lointaine et peu probable. Cette dernière hypothèse est tout simplement erronée ; la première, quant à elle, est compréhensible, mais il existe des solutions de contournement.
Le comté de Suffolk a examiné 30 candidatures pour le poste de RSSI (responsable de la sécurité des systèmes d'information) qu'il pourvoyait pour la première fois, avant de retenir Kenneth Brancik, ancien responsable de la cybersécurité du Mount Sinai Health System, qui percevra un salaire annuel de 184 214 dollars, selon un article de Newsday signé par l' , disponible à l'adresse. Un tel coût peut s'avérer hors de portée pour certaines collectivités locales et autres petites entreprises, mais des solutions telles que le partage de RSSI ( ) gagnent en popularité, car elles permettent de réduire les coûts liés à l'expertise en cybersécurité.
Participer à une initiative à l'échelle de l'État
La participation aux programmes à l'échelle de l'État de l' permet également, de plus en plus, aux collectivités locales, aux communautés autochtones et aux comtés de bénéficier d'informations, de conseils — et de financements ! — auxquels ils n'auraient pas eu accès par leurs propres moyens. Quarante-huit États ont déposé une demande pour bénéficier d’une partie du programme de subventions en matière de cybersécurité « » , d’une durée de quatre ans et doté d’un budget d’un milliard de dollars, qui s’inscrit dans le cadre de la loi sur les dépenses d’infrastructure de 1,2 000 milliards de dollars de l’administration Biden, adoptée en 2021. Ces fonds ayant commencé à être versés aux États ces derniers mois, les responsables régionaux les utilisent pour mettre en place des services partagés avec des entités situées sur leur territoire.
«Le jour où vous serez victime d’une attaque, vous [devriez] disposer d’un plan prêt à l’emploi pour réagir immédiatement, plutôt que de vous démener pour essayer de déterminer ce qu’il faut faire. »Richard Donoghue, conseiller juridique auprès de la commission d'enquête sur les cyberattaques de l'Assemblée législative de l'État de New York
Le département des technologies de l'information de l'État du New Hampshire, par exemple, aide les collectivités locales, les réseaux scolaires et les syndicats intercommunaux de distribution d'eau à mettre en place une authentification multifactorielle et à former leur personnel informatique. L'Illinois met à disposition les services de son centre opérationnel de sécurité à l'échelle de l'État, offrant ainsi des capacités renforcées de détection au niveau des terminaux afin d'améliorer la visibilité du réseau pour les comtés, les communes, les services du shérif, les services d'urgence ( 911 ) et les districts de distribution d'eau.
« Notre objectif pour cette première année est d’assurer une couverture et une visibilité maximales à la défense partagée dans tout l’État », a récemment déclaré Adam Ford, responsable de la sécurité des systèmes d’information (CISO) de l’Illinois, à Statescoop .
L'importance d'un plan d'intervention en cas d'incident
Mais on peut sans doute considérer que la faute la plus grave commise par le comté de Suffolk a été l’absence de plan d’intervention en cas d’ . La question n'est plus de savoir « si » une cyberattaque aura lieu, mais « quand ». Cela arrivera, peu importe à quel point vous vous y préparez. Il est donc essentiel de disposer d'un guide de gestion des incidents prêt à l'emploi ; c'est sans doute l'outil le plus important dont dispose une entreprise. Le comté de Suffolk n'avait pas mis en place un tel plan, ce qui a considérablement contribué à allonger les délais et à alourdir les coûts nécessaires à son redressement.
Bien que le comté dispose d’un plan global d’intervention d’urgence, celui-ci n’était « pas spécifiquement axé sur les cyberattaques », a déclaré Richard Donoghue, conseiller juridique de la commission d’enquête sur les cyberattaques spécialement désignée par l’assemblée législative, au journal Newsday au début du mois. « Le jour où vous serez attaqué », a-t-il poursuivi, « vous [devriez] disposer d'un plan prêt à l'emploi pour réagir immédiatement, plutôt que de vous démener pour essayer de déterminer ce qu'il faut faire. »
[À lire également : 5 étapes pour élaborer un plan d'intervention en cas d'incident à toute épreuve]
L'ampleur des souffrances et des indemnités qui auraient pu être évitées apparaîtra plus clairement dans les semaines à venir, lorsque les quatre personnes assignées à comparaître et ayant connaissance des pratiques informatiques de Suffolk seront contraintes de témoigner devant la commission d'enquête.
Le bras de ma mère est guéri, mais son médecin dit qu'elle en ressentira les séquelles pendant encore plusieurs mois. La reprise pourrait bien prendre un an. Il en va de même, apparemment, pour le comté de Suffolk, qui doit encore s'expliquer et assumer ses erreurs passées. Le rapport final de la commission d'enquête devrait être rendu public aux alentours du premier anniversaire de l'attaque.
Il ne fait aucun doute que nous assisterons à d'autres conférences de presse avec le président du comté Bellone, qui arbore une chevelure épaisse et blanche. Peut-on faire plus blanc que ça ? Seul le temps — et peut-être d'autres citations à comparaître — le dira.
