7 questions clés pour les victimes de cyberattaque

1- Quand a été détecté (ou découvert) l’incident ?

Il s’agit d’établir une chronologie des faits. Plus la communication survient tôt par rapport au moment où l’incident a été détecté, ou découvert, plus l’organisation victime donnera le sentiment de faire preuve de sincérité et de transparence. 

Petite réserve toutefois : si l’incident a été détecté après l’intrusion initiale, voire même en phase de vol de données, le terme de détection peut se justifier. Mais une fois qu’un chiffrement est survenu, il est plus pertinent de parler de découverte du fait des indisponibilités de systèmes et de services engendrés.

2- Quelle est la nature des dégâts commis par l’attaquant (ou l’intrus) ?

Il s’agit simplement d’indiquer quels dégâts, de quelle nature, sont à déplorer. Lorsqu’une entreprise se déclare victime d’un incendie volontaire de ses locaux, elle n’a guère de mal à indiquer que des bâtiments et les équipements et stocks qu’ils abritaient ont été détruits au passage. Dire qu’il y a eu chiffrement à l’occasion d’une cyberattaque, ce n’est pas très différent. 

3- Quelle est l’étendue du périmètre affecté ?

C’est probablement difficile à indiquer avec précision lorsque la cyberattaque vient d’être détectée (ou découverte, donc). De fait, en cas de détection précoce, déterminer précisément quels systèmes ont été affectés et compromis nécessite des investigations approfondies qui demandent du temps. En cas de découverte après chiffrement, c’est vrai également, mais il est déjà possible d’indiquer, approximativement, combien de postes de travail et de serveurs (physiques et/ou virtuels) ont été touchés. 

En cas de segmentation robuste du système d’information, ou d’incident limité à un ou quelques hôtes très isolés, il est possible d’estimer le risque d’extension de la compromission à d’autres environnements du système d’information, de l’indiquer et de préciser les mesures prises pour éviter toute extension.

4- Quel est l’impact sur les activités ?

S’il n’y a pas eu chiffrement, l’impact peut-être relativement limité sur l’activité de l’organisation. Toutefois, une simple intrusion mérite bien souvent un effort d’investigation et de nettoyage approfondi susceptible d’entraîner des perturbations non négligeables. Ne serait-ce qu’en raison de la nécessité d’isoler tout ou partie du système d’information, afin d’empêcher l’intrus (voire même un second, qui serait passé inaperçu) de faire des dégâts – ou d’en faire plus. 

Il n’est, dès lors, probablement pas très raisonnable d’assurer qu’un retour à la normale est attendu sous quelques jours, voire même une semaine.

5- Si l’emploi d’un rançongiciel a été constaté, à quelle famille/franchise connue se rapporte-t-il ?

Le nom de la famille/franchise impliquée peut être établi dans les premières 48h à partir de l’analyse du ransomware et/ou de la note laissée éventuellement par les attaquants. 

Les pratiques habituelles des attaquants affidés à la franchise considérée peuvent amener à estimer si le risque de vol de données est élevé ou, au contraire, limité. L’Écossais Flagship Group s’était, à ce titre, montré très transparent début novembre 2020, indiquant d’emblée le nom du ransomware utilisé contre lui et précisant que les pratiques habituellement observées avec lui suggéraient un très fort risque de vol de données.

6- A-t-il été établi qu’un vol de données est à déplorer ? Si oui, a-t-il déjà été possible de l’évaluer au moins partiellement ?

Il peut être tentant de déclarer qu’aucune trace de vol de données n’a été détectée, ou que rien n’indique qu’il y ait eu vol de données, notamment lorsque l’incident vient tout juste d’être découvert. Voyageurs du Monde l’avait fait, au printemps 2023.

La grande majorité des victimes de cyberattaque ne dispose pas de la supervision permettant de suivre un éventuel assaillant et ses actions, voire même de les retracer. Établir s’il y a eu vol de données, lesquelles, et en quelle quantité, peut s’avérer difficile, voire nécessiter d’attendre le début des divulgations. 

Lorsque l’incident vient de survenir, une déclaration telle que « à ce stade, il n’a pas encore été possible de déterminer si des données ont été volées et, le cas échéant, lesquelles » est raisonnablement prudente. 

7- Une rançon a-t-elle été demandée ?

À cette dernière question, une réponse négative, telle que « nous n’avons pas reçu de demande de rançon », ne permet pas de conclure si la cyberattaque s’inscrit dans une démarche d’extorsion. Surtout, elle appelle une autre question : l’attaquant a-t-il laissé des instructions pour entrer en contact avec lui ? 

De fait, certains cybercriminels font chanter leurs victimes sans en chiffrer les données, et souvent, en cas de rançongiciel, une note est déposée qui ne contient pas de demande de rançon explicite, mais des instructions sur la manière d’engager la conversation avec les attaquants. C’est la très mal nommée note de rançon. 

Le plus important à retenir est peut-être que ce n’est pas tant la cyberattaque qui entame la confiance en la victime que son insincérité (avérée ou suggérée par ses propos), son silence, sa communication minimisant la gravité de la situation ou enjolivant cette dernière. L’incohérence entre communication interne, communication externe, déclarations publiques, et en prime, constatations extérieures contribue également à altérer la confiance dans les affirmations de la victime et, in fine, en cette dernière.