Dressez-nous d’abord un portrait de la situation. Quelles cyberattaques touchent les entreprises en ce moment ?
Pour les 18 derniers mois, on est intervenus pour à peu près 125 évènements majeurs au Québec et au Canada. Dans un fort pourcentage, ce sont des cyberextorsions, donc utilisant un rançongiciel où il y avait demande de rançon au bout du compte.
Récemment, la source initiale de compromission était la fameuse faille sur les serveurs Microsoft Exchange, qui est l’ancêtre d’Office 365, le fameux serveur de courriels qui était implanté dans 98 % des entreprises. À l’époque, tout le monde avait des serveurs Exchange et il y a encore des reliquats, il y a encore des entreprises qui ont des serveurs Exchange en production.
Dans les trois ou quatre derniers mois, les deux tiers des attaques de type rançongiciel ou cyberextorsion ont été menées par l’entremise de cette faille, qui existe dans le code depuis longtemps, mais qui a été découverte et démocratisée cette année. Juste un peu avant, il y avait des failles dans les pare-feu. C’est un mixte, souvent, c’est un contexte, ce n’est pas toujours une faille qui est exploitée, une seule faiblesse. C’est souvent un cumul de faiblesses qui va mener au succès d’une attaque.
Vous parlez d’une faille « démocratisée ». Donc, à partir du moment où elle a été rendue publique, ça a entraîné une deuxième vague de pirates qui l’ont découverte et se sont approprié les outils pour l’exploiter ?
Exactement. Chez les cybercriminels, il y a divers groupes d’acteurs. Il y en a qui vont se spécialiser pour compromettre des actifs et installer une porte dérobée. C’est comme un VPN inversé, un logiciel installé sur la machine qui, elle, contacte le serveur de l’attaquant, ou carrément s’affiche sur l’internet en disant : « Voici, c’est une porte ouverte. » Souvent, les attaquants vont installer une porte dérobée et vont ensuite revendre cet accès à d’autres groupes qui, eux, vont l’exploiter.
Il y a donc une spécialisation des tâches chez les cybercriminels ?
Oui, on peut dire ça. Il y a différents groupes d’acteurs. Il y en a qui vont même développer des outils, des services, le « rançongiciel comme un service », qui vont te louer ou te prendre une commission sur les outils que tu vas utiliser. C’est un outil, une plateforme web aussi. Quand tu demandes une rançon, tu laisses un lien, tu as quelqu’un qui se connecte, tu vas aller sur un beau portail avec une salle de clavardage. Si tu veux avoir du succès dans le monde de la cybercriminalité, il ne suffit pas d’avoir les compétences et certains outils. Quand on veut monnayer une attaque ou un vol de données, c’est un peu plus complexe. Quand tu pars à zéro au moment où tu as monnayé, ça peut être relativement complexe si tu es mal outillé. C’est pour ça qu’il y a maintenant des groupes qui vont se spécialiser pour monter des services, des coffres à outils. Tu vas avoir tout ce qu’il te faut pour commettre ton crime de façon extrêmement fluide.
Arrive-t-il dans vos interventions que vous tombiez sur des entreprises qui ont déjà été compromises, mais chez lesquelles l’attaque n’était pas allée loin ?
Oui, ça arrive souvent. Dans plus de 50 % des dossiers, voire 60 %, on découvre que l’entreprise a déjà été victime d’une intrusion, d’une cyberattaque. Certaines ont été dommageables, mais c’était restreint. Parfois l’entreprise ne l’a pas dit ou ç’a été oublié. Des fois, ça ne s’est pas manifesté non plus. Pourquoi ? On constate qu’il y a eu intrusion, l’intrus a pris le contrôle de certaines machines ou a installé des logiciels de cryptage, a peut-être volé de la donnée, mais on ne le sait pas. Qu’est-ce qui explique ça ? Ça peut être une attaque qui est relativement automatisée, et les premières étapes ont échoué et l’attaquant n’a pas continué manuellement. Peut-être que l’attaquant s’est cogné le nez, il n’était pas assez expérimenté, pas assez outillé, qu’il a tout simplement abandonné. Ça peut être tout simplement par manque de temps, par manque d’intérêt.
Comment peut-on se protéger, considérant évidemment que le risque zéro n’existe pas ?
Il y a des classiques. L’authentification multifacteur, sur tous les services d’accès à distance et infonuagiques.
Il faut aussi une bonne protection antivirale. On parle beaucoup de protection Endpoint Detection and Response (EDR). Ce sont des antivirus de nouvelle génération, une solution de haute qualité, de protection des appareils et des serveurs, c’est super important. On ne parle plus d’antivirus classiques.
La clé, c’est d’avoir une copie de sauvegarde qui n’est pas connectée au réseau. Il ne faut pas que l’attaquant puisse toucher à ces sauvegardes-là.
Êtes-vous optimiste pour l’avenir ?
Oui, honnêtement, depuis deux ou trois ans, il y a vraiment eu une amélioration fulgurante. Il reste beaucoup de choses à faire dans certaines entreprises. Mais je pense qu’il y a de moins en moins de proies faciles, fondamentalement. La plupart des attaques sont opportunistes, c’est rarement ciblé, de façon proactive. Les cybercriminels visent à faire de l’argent facile. Si tu es le moindrement pas dans la catégorie des proies faciles, ils vont sûrement aller ailleurs.
Ce qui nous fait mal, actuellement, ce sont des failles critiques soudaines, comme Exchange, et il va y en avoir d’autres. Mais les forces sont pas mal égales. Il faut faire attention, les attaquants vont s’ajuster. Il y a trop d’argent à faire pour qu’ils baissent les bras. Ils vont se retrousser les manches pour continuer leur festin.
Par souci de lisibilité et de concision, cette entrevue a été éditée.
En chiffres
PHOTO DAVID BOILY, ARCHIVES LA PRESSE
Les pirates informatiques procèdent souvent à des cyberextorsions. Ils utilisent un rançongiciel et demandent une rançon au bout du compte.
18 milliards US
Total minimal estimé des rançons versées dans le monde en 2020, le total maximal étant estimé à 74 milliards US, pour 506 185 demandes. (Source : rapport 2021, EMSISoft)
4000
Nombre estimé d’attaques par rançongiciel en 2020 au Canada. On évalue les demandes totales de rançons entre 202 et 703 millions. (Source : rapport 2021, EMSISoft)
De 5 à 10 %
Estimation des cybercrimes et fraudes qui sont signalés à la police au Canada. (Source : GRC)
35 %
Pourcentage d’attaques informatiques dans le monde en 2020 exploitant une vulnérabilité, comme celle de Microsoft Exchange. Pour la première fois cette année-là, cette catégorie a dépassé celle de l’hameçonnage. (Source : X-Force Threat Intelligence Index 2021, IBM)
123 millions US
Gains estimés en 2020 du rançongiciel le plus actif, Sodinokibi, qui représenterait à lui seul 22 % des évènements rapportés dans le monde. (Source : X-Force Threat Intelligence Index 2021, IBM)
Quatre constats
Crime organisé
Difficile de croire que le crime organisé classique, des mafias aux bandes de motards criminels en passant par les triades, ne soit pas appâté par une activité plusieurs fois milliardaire. « C’est clair que certains groupes investissent en cybercriminalité, estime Guillaume Clément, associé chez KPMG. Deux mondes se rencontrent : on a les cybercriminels de métier, qui ont vu le jour sous cette forme, et le criminel plus généraliste, classique, qui s’est intéressé ou a investi. Il faut aussi constater que quand on commet un cybercrime, c’est beaucoup moins risqué de se faire prendre que dans les cas d’autres crimes plus physiques. »
Rançons
Une entreprise dont les données ont été dérobées et cryptées devrait-elle payer la rançon demandée ? Le tiers, voire les deux tiers d’entre elles le feraient, selon diverses estimations. « Souvent, quand on conseille les organisations, on leur dit d’emblée qu’à la base, on ne paie pas de rançon, explique M. Clément. Après ça, par contre, une fois que tu as mis la morale de côté, tu prends une décision d’affaires en analysant le temps que ça va prendre pour revenir en vie, les efforts et les coûts pour ramener les données perdues... »
Crédibilité
Contre toute attente, les cyberpirates qui vous ont crypté et volé vos données vont généralement respecter leur parole une fois la rançon encaissée. C’est un constat qu’on fait sans fausse honte chez KPMG. « C’est très complexe comme prise de décision, mais oui, ils sont de parole, relativement. Le problème, à la base, c’est qu’on a créé un monstre. Les cybercriminels ont développé un modèle d’affaires parce qu’ils étaient capables d’avoir du volume. Si plus personne ne payait de rançon, que les assureurs ne couvraient plus, leur modèle d’affaires exploserait. Ils ont intérêt à être de parole. »
Hameçonnage
Et le bon vieil hameçonnage, dans tout ça ? Loin d’avoir disparu, puisqu’il représenterait grosso modo 31 % des attaques dans le monde, il serait cependant devenu plus difficile. « Les antivirus sont meilleurs, la protection des appareils est meilleure, estime l’expert en cybersécurité. Envoyer un fichier Word ou Excel corrompu, qui est malicieux, qui prend le contrôle de ton poste de travail sans que je me fasse bloquer, c’est de plus en plus difficile. C’était facile il y a quelques années, quelques mois encore. Alors, ils s’orientent vers autre chose. Mais ça va revenir, ce sont des cycles. »