Qu’est-ce que la Mairie de Mitry-Mory (Seine-et-Marne), le géant industriel Bouygues Construction basé à Guyancourt (Yvelines), le Cabinet d’avocats parisien Puzzle, le créateur de Verre Essilor installé à Charenton (Val-de-Marne)? Toutes ces entités ont été victimes d’un piratage et d’une demande de rançon ces derniers mois: ransomware ou «ransomware» en anglais.

Et le phénomène frappe même les plus hautes autorités de la justice française. Le procureur de Paris, Rémy Heitz, mais aussi des magistrats parisiens ou des avocats en charge d’affaires sensibles ont été victimes d’une cyberattaque, comme révélé par Journal du dimanche.

Personne ne peut échapper au risque d’une cyberattaque bien conçue: intrusion dans le système informatique, vol et cryptage des données et enfin tentative d’extorsion avec une rançon payable en Bitcoin ou dans une autre monnaie virtuelle.

La nouvelle «mode» de cette année oblige les entreprises à payer, non seulement pour récupérer leurs fichiers, mais aussi pour éviter que les données ne soient rendues publiques ou vendues sur les forums de pirates.

La moitié des entreprises françaises déclarent avoir été touchées ces derniers mois

«Cette vague est mondiale et en constante augmentation», explique Jean Bayon de La Tour, responsable cyber Europe, chez Marsh (leader des courtiers en assurance de sécurité informatique), basé à Puteaux (Hauts-de-Seine).

Depuis le début de l’année seulement, Anssi (Agence nationale de sécurité des systèmes d’information) a dû intervenir 104 fois pour aider des entreprises importantes ou des communautés touchées. Contre à peine 54 attaques enregistrées en 2019.

En France, 52% des entreprises déclarent avoir été témoins d’une attaque majeure de ransomware au cours des douze derniers mois, selon une enquête menée par le spécialiste britannique de la cybersécurité Sophos.

«En 2019, nous avions déjà constaté une augmentation de 83% des sinistres déclarés sur nos polices de cyberassurance. Et tous nos clients ont été touchés à un moment donné, quel que soit leur secteur d’activité », explique Jean Bayon de La Tour.

« De nouvelles opportunités d’attaques, contre de nombreuses entreprises et particuliers »

le généralisation du télétravail au deuxième trimestre 2020, pendant la détention, a encore accentué la menace. À tel point que cet été, Interpol (organisation internationale de police criminelle) a lancé une alerte: « Les cybercriminels développent et multiplient leurs attaques à un rythme alarmant, exploitant la peur et l’incertitude causées par la situation. Situation économique et sociale instable due à Covid- 19, a souligné son secrétaire général, Jürgen Stock. La dépendance croissante du monde vis-à-vis du Web crée également de nouvelles opportunités d’attaques, envers de nombreuses entreprises et particuliers dont la défense n’est pas à jour ».

Responsable de la sécurité des systèmes d’information (RSSI) d’un grand groupe qui héberge 200 000 sites Internet, il a noté une augmentation de «30 à 40% des attaques lors de l’endiguement. « 

Et les conséquences économiques peuvent être désastreuses. Le coût d’une attaque de type «ransomware» s’élève en moyenne à plus de 420 000 euros en France, selon l’étude de Sophos, société de cybersécurité. Ce montant tient compte des temps d’arrêt, de la perte de chiffre d’affaires ainsi que des coûts d’intervention technique. Si la rançon est payée pour récupérer les données, cette moyenne double.

Des conséquences dramatiques pour les entreprises …

«Nous avons plusieurs clients par an en France dont la perte dépasse les 10 millions d’euros», précise Jean Bayon de La Tour. Le groupe de lingerie haut de gamme Lise Charmel a été mis sous séquestre après une cyberattaque début novembre 2019 dont la société n’est sortie qu’en janvier 2020, choisissant de tout reconstruire plutôt que de payer la rançon réclamée par les pirates. Les dirigeants ont estimé le manque à gagner « à plusieurs millions d’euros ».

Victime collatéral d’un attentat en 2017, Saint-Gobain avait perdu 220 millions d’euros de chiffre d’affaires, tout simplement parce que l’entreprise française avait eu le malheur d’utiliser le même logiciel que l’administration fiscale ukrainienne qui était initialement visée, vraisemblablement par des hackers russes.

Et les PME ne sont pas moins exposées. «La prise de conscience du risque de cyber-attaque est inversement proportionnelle à la taille du groupe, la plupart des chefs d’entreprises familiales disent que leurs données n’intéressent personne, ils se trompent et cela peut tuer leur entreprise», poursuit Jean Bayon de La Tour, du courtier Marsh.

«Une PME ne fera jamais de cybersécurité mais elle peut dépenser 5% de plus pour utiliser des outils sécurisés achetés auprès de prestataires agréés afin de se défendre», assure Guillaume Poupard, le patron du gendarme informatique Anssi, qui vient de publier un guide anti-cyberattaque.

Selon un négociateur spécialisé dans le domaine, «en France, moins d’une entreprise sur six paie la rançon exigée par les hackers. «Des chiffres corroborés par l’étude menée par Sophos où 19% des entreprises répondantes disent avoir payé la rançon. Parfois, la police demandera également à la victime de payer une caution pour retrouver l’argent et retrouver les auteurs.

«Aux Etats-Unis, nous sommes pragmatiques, les entreprises voient les pertes possibles et ont tendance à envisager davantage le paiement», reconnaît Jean Bayon de La Tour.

«Nous devenons professionnels», déclare un hacker

Parce que les gains peuvent être colossaux avec un investissement minimal pour les pirates. «Nous devenons plus professionnels et nous assurons même un service après-vente, ose un hacker étranger. Nous avons même parfois résolu des problèmes qui n’étaient pas de notre fait, pour permettre à l’entreprise de redémarrer parfaitement. Le paiement d’une rançon ou la revente de données volées se fait presque toujours sur le dark web, en Bitcoin.

Les vagues d’attaques sont aussi souvent corrélées au cours de cette monnaie virtuelle avec une recrudescence du piratage lorsqu’elle s’enflamme.

L’action d’un intermédiaire permet souvent de négocier le prix. Mais aussi pour comprendre quelle organisation criminelle est opposée: «Entrer en contact avec des hackers nous permet d’essayer de déterminer leur niveau de compétence», poursuit le cyber-négociateur. Parce que parfois la victime n’aura aucun intérêt à payer, l’attaque étant politique ou idéologique. «Derrière une rançon, peut se cacher des sponsors qui ont un objectif de nuisance avant tout, par exemple des militants politiques, un groupe ou pays en compétition, décrypte le négociateur. Ils ne cherchent pas à gagner de l’argent directement. Cependant, on estime qu’entre 65 et 85% des attaques malveillantes ont un but économique direct. « 

Spécialistes de la cybersécurité, une denrée rare sur le marché du travail

Face à cette menace croissante, de nombreux groupes ont tenté de recruter des spécialistes de la cybersécurité. «Mais les ressources humaines se heurtent à une pénurie de profils dans 90% des cas», souligne un rapport de Cesin (le Club des Experts en Sécurité de l’Information et Numérique). «Dans les écoles spécialisées dont le cursus dure trois ans, si on ne se débat pas avec un bon candidat dès sa première année, alors c’est trop tard», a déclaré le RSSI d’une entreprise parisienne. «J’avais 15 propositions à la sortie de l’école», confirme un spécialiste de la cybersécurité.

Pour les entreprises, il est donc urgent de sensibiliser les salariés. Car le phishing reste le piratage le plus répandu (79% selon Cesin): « Les failles sont souvent humaines, avec un employé qui clique sur un mauvais email, car il est plus difficile de traquer les failles de sécurité informatique des logiciels », raconte un hacker parisien qui a déjà revendu des données personnelles collectées sur des sites de vente en ligne.

Les startups s’engouffrent dans la brèche

Les entreprises les mieux organisées choisissent une dernière méthode, celle de… lancer des attaques contre elles-mêmes pour vérifier leur propre sécurité. Plusieurs start-up ont une armée de hackers «white hat» ou «éthiques» qui tentent de trouver les failles de manière préventive.

Ces génies de l’informatique sont payés avec des bonus allant de 50 euros à 20000 euros en fonction de l’importance du défaut détecté. «Certains bugs peuvent être critiques», raconte Yassir Kazar, co-fondateur de Yogosha, une entreprise parisienne qui compte 400 des meilleurs hackers mondiaux dans ses rangs. Par exemple, nous avons travaillé gratuitement pour les hôpitaux au début de la pandémie. »

Ces hackers éthiques sont bien entendu également motivés par l’argent. « Ce sont des chasseurs de primes, mais ils aiment le challenge technique, la concurrence, et chaque faille découverte leur rapporte des points, modifie donc leur classement interne, et dans ce monde de hackers, la réputation est essentielle », sourit Yassir Kazar, dont le volume d’affaires – près de 900000 euros en 2019 – soit une hausse de 100% par rapport à 2018.

Cdiscount fait face à 100000 attaques par jour

Les entreprises du CAC40 sont la cible principale de la start-up Yogosha ou de son concurrent français YesWeHack. De nombreuses banques ont fait appel à leur armée de hackers éthiques. Mais pas seulement: « Nous avons organisé un bug bounty au moment du confinement, pour vérifier si notre serveur VPN n’était pas vulnérable », rapporte Steve Hervé, RSSI de la société Cdiscount. Nous utilisons ce type de service en bout de chaîne. Parce que nous avons déjà une équipe de hackers, d’employés, qui testent nos applications en temps réel ».

Voiture Cdiscount, leader français du e-commerce qui enregistre en moyenne 20 millions de visites par mois, fait face à près de 100 000 attaques par jour, contrecarrées directement par ses pare-feu. «Ce ne sont pas des attaques ciblées ou très organisées», précise le responsable de la sécurité. Heureusement, la plupart des personnes qui choisissent de se faire pirater ne sont pas les meilleures, c’est une solution facile. « 

Malgré tout, lors des précédentes ventes, Cdiscount avait été la cible d’une attaque particulièrement originale: «Les paniers de commandes étaient surchargés par des dizaines de milliers de comptes en provenance de Chine, nos stocks semblaient donc vides et cela gênait nos clients», rappelle Steve Hervé .

Une nouvelle vague d’attaques à prévoir?

L’entreprise organise également en interne des escape games autour de la cybersécurité. Cela n’empêche pas de nombreux employés de se plaindre lorsqu’ils doivent changer régulièrement de mot de passe de connexion. « Il faut une prise de conscience généralisée », assure Jean Bayon de La Tour qui estime que l’on n’a peut-être pas encore vu l’arrivée de la deuxième vague post Covid-19: « Souvent des pirates entrent sans être repérés, le temps d’analyser correctement la structure, de récupérer autant de données que possible avant de déclencher leur bombe. Il est possible que maintenant que la rentrée soit passée, nous assistions à une nouvelle vague d’attaques ».