Un rançongiciel est un logiciel malveillant qui verrouille vos fichiers ou vos systèmes et exige un paiement pour les débloquer. Aujourd’hui, bien des attaques volent aussi les données au préalable et menacent de les publier. Pour une PME, un seul incident peut signifier des jours d’arrêt, des revenus perdus, des frais de rétablissement et des conversations difficiles avec vos clients.
La bonne nouvelle : la plupart des attaques exploitent les mêmes faiblesses, soit un mot de passe volé, un système non corrigé, un courriel d’hameçonnage convaincant ou des sauvegardes impossibles à restaurer. Combler ces lacunes ne demande pas un gros budget de sécurité. Cette liste présente les dix mesures les plus importantes pour les PME, et la marche à suivre si une attaque réussit.
Le déroulement habituel d’une attaque
Comprendre la séquence typique aide à voir pourquoi chaque mesure compte. Chaque étape est une occasion d’arrêter l’attaque.
- Accès initial. Le pirate entre par un courriel d’hameçonnage, un mot de passe réutilisé ou volé, ou un système d’accès à distance non corrigé.
- Propagation. Une fois à l’intérieur, il cherche des comptes administrateurs et se déplace vers d’autres ordinateurs et serveurs.
- Vol de données. Des fichiers sensibles sont copiés hors du réseau pour servir de moyen de pression.
- Chiffrement. Les fichiers et systèmes sont verrouillés, et les sauvegardes accessibles depuis le réseau sont souvent visées aussi.
- Extorsion. Une demande de rançon exige un paiement pour débloquer les données et éviter leur publication.
La liste de vérification en 10 points
1. Activer l’authentification multifacteur partout
L’authentification multifacteur (MFA) bloque la plupart des attaques fondées sur des mots de passe volés. Commencez par le courriel et Microsoft 365, l’accès à distance, les services bancaires et les comptes administrateurs, puis étendez-la à tous les systèmes qui la prennent en charge.
2. Garder des sauvegardes hors ligne et testées
Appliquez la règle 3-2-1 : trois copies de vos données, sur deux types de supports, dont une hors ligne ou hors site, hors de portée d’un rançongiciel. Testez une restauration au moins chaque trimestre. Une sauvegarde jamais restaurée est un espoir, pas un plan.
3. Appliquer rapidement les correctifs
Activez les mises à jour automatiques des systèmes d’exploitation, des navigateurs et des applications courantes. Portez une attention particulière aux pare-feu, aux RPV et à tout ce qui est exposé à Internet, des portes d’entrée fréquentes.
4. Protéger chaque appareil
Les outils modernes de détection et de réponse sur les terminaux (EDR) repèrent et arrêtent le comportement d’un rançongiciel, et pas seulement les virus connus. Assurez-vous que chaque portable, poste et serveur est couvert et transmet ses données.
5. Limiter les accès administrateurs
Le personnel devrait utiliser des comptes standards au quotidien. Gardez les comptes administrateurs distincts, peu nombreux et protégés par la MFA.
6. Filtrer le courriel et former votre équipe
Le filtrage du courriel bloque beaucoup de messages malveillants avant leur arrivée. Une courte formation régulière aide votre équipe à reconnaître ceux qui passent, et à les signaler facilement.
7. Sécuriser l’accès à distance
N’exposez jamais le bureau à distance directement à Internet. Utilisez un RPV bien configuré ou un service d’accès à distance sécurisé, protégé par la MFA.
8. Segmenter votre réseau
Séparez le Wi-Fi invité, les ordinateurs de bureau, les serveurs et les appareils comme les caméras et les imprimantes, pour qu’une infection ne se propage pas facilement partout.
9. Rédiger un plan de réponse aux incidents
Décidez à l’avance qui prend les décisions, qui appeler pour l’aide technique, comment communiquer avec votre personnel et vos clients, et où trouver vos contacts d’assurance et juridiques. Gardez-en une copie imprimée, car vos systèmes pourraient être inaccessibles pendant l’incident.
10. Revoir votre assurance cyberrisques
Vérifiez si vous avez une couverture cyberrisques, ce qu’elle exige de vous (bien des polices exigent maintenant la MFA et des sauvegardes testées) et comment joindre l’assureur pendant un incident.
Que faire si vous êtes attaqué
- Isoler les appareils touchés. Débranchez-les du réseau, mais ne les effacez pas et ne les éteignez pas sans conseils, car des preuves pourraient être nécessaires.
- Appeler votre fournisseur TI et votre assureur. Bien des assureurs ont des équipes d’intervention que vous devez utiliser.
- Signaler l’attaque. Le guide Rançongiciels : comment les prévenir et s’en remettre du Centre canadien pour la cybersécurité suggère de signaler l’incident au Centre, à votre service de police ou au Centre antifraude du Canada. Il rappelle aussi que payer la rançon ne garantit pas la récupération de vos données et que les pirates peuvent en exiger davantage.
- Restaurer à partir de sauvegardes saines une fois la cause trouvée et corrigée.
Vos obligations de déclaration
Au Québec : la Loi 25
Si votre entreprise est au Québec et que l’attaque touche des renseignements personnels, il s’agit d’un incident de confidentialité au sens de la Loi 25. Vous devez :
- prendre rapidement des mesures raisonnables pour réduire le risque de préjudice et éviter que l’incident se reproduise;
- aviser la Commission d’accès à l’information et les personnes concernées si l’incident présente un risque de préjudice sérieux;
- consigner chaque incident dans votre registre, qu’il soit déclarable ou non, et le fournir à la Commission sur demande.
Les sanctions prévues par la loi peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial. La personne responsable de la protection des renseignements personnels dans votre entreprise doit être associée à la gestion de l’incident. Pour en savoir plus, consultez notre guide pratique de la Loi 25.
Ailleurs au Canada : la LPRPDE
Dans les autres provinces, la loi fédérale sur la protection des renseignements personnels dans le secteur privé (LPRPDE) peut s’appliquer. Lorsqu’une atteinte crée un risque réel de préjudice grave, l’organisation doit la déclarer au Commissariat à la protection de la vie privée du Canada et aviser les personnes concernées. Elle doit aussi conserver un registre de toutes les atteintes aux mesures de sécurité pendant 24 mois. L’Alberta et la Colombie-Britannique ont leurs propres lois, et les renseignements de santé sont soumis à des règles supplémentaires.
Ce texte est un guide technique et non un avis juridique. En cas de doute, consultez un avocat spécialisé en protection des renseignements personnels.
Obtenez une évaluation de votre préparation
HuPrin Systems aide les entreprises de partout au Canada à mettre ces mesures en place : MFA, sauvegardes testées, protection des postes, gestion des pare-feu et planification des incidents. Nos pratiques de sécurité sont conçues par des ingénieurs certifiés en sécurité infonuagique. Découvrez nos services TI gérés et de sécurité, ou réservez une évaluation gratuite et nous vous montrerons vos lacunes.
