Cyberattaque à Brunoy dans l'Essonne: quel intérêt pour les pirates ?

Chaque année, de plus en plus de communes et d'intercommunalités sont victimes de cyberattaques, à l'image de Brunoy dans l'Essonne. Un phénomène qui enfle et contre lequel les autorités tentent de se prémunir.

"Les pirates informatiques fonctionnent comme un grand bateau de pêche, ils lancent leur filet et se fichent de ce qu'ils trouvent, tant qu'ils trouvent." Une métaphore du journaliste Damien Bancal qui illustre parfaitement la situation dans laquelle se trouve la mairie de Brunoy, depuis le 29 octobre dernier. Date à laquelle la commune a fait l'objet d'une cyberattaque de son réseau informatique.

Depuis, une grande partie des services municipaux se trouvent paralysés. La mairie indique via son site internet que: "l'ensemble du réseau a été mis en sécurité en attendant d'évaluer l'impact de cette attaque et de mieux mesurer les conditions de reprises progressive de nos activités".

Le rançongiciel, une technique de plus en plus utilisée 

Depuis une plainte a été déposée tandis que l'Agence nationale de la sécurité des systèmes d'informations (Anssi) s'attèle à constater les dégâts. Selon nos confrères du Parisien, à la suite de cette cyberattaque, une rançon de cinq millions de dollars aurait été demandée, susceptible de monter à dix.

Une technique d'attaque dite de "rançongiciel" courante en cybercriminalité et qui consiste "en l’envoi à la victime d’un logiciel malveillant qui chiffre l’ensemble de ses données et lui demande une rançon en échange du mot de passe de déchiffrement", selon l'Anssi. Une somme astronomique qui semble impossible à payer pour cette commune de 26 000 habitants du nord-est de l'Essonne.

Des communes inégalement préparées en cas de cyberattaque

Mais la commune de Brunoy est loin de faire figure d'exception dans le domaine. Ces attaques, contre des communes et des intercommunalités sont de plus en plus fréquentes, et pour la plupart non-ciblées, comme le révèle le guide "Cybersécurité: toutes les communes et les intercommunalités sont concernées" réalisé par l'Anssi et l'Association des maires de France (AMF). En 2019, elles s'élevaient au nombre de 92 selon l'Anssi, "soit près de 25% des incidents totaux traités par l’agence sur cette période" révèle le document.

Des communes qui se retrouvent plus ou moins bien armées pour parer à ces situations, comme l'explique Damien Bancal, un journaliste spécialiste des questions de cyberdéfense. "En fonction du budget voté et de leurs moyens, les communes sont plus ou moins bien protégées en matière de sécurité informatique. Pour certaines il s'agit d'un agent municipal qui a des compétences en informatique, alors que d'autres vont faire appel à des entreprises externes".

Pour le fondateur du média Zataz, ce n'est pas la fréquence des cyberattaques contre les communes qui a changé, mais leur nature. "Il y a quelques années, les pirates rentraient dans le système informatique et volaient des données sans faire de bruit. Autrement dit, les villes étaient piratées sans le savoir. Désormais ils rentrent, ils bloquent le système et empêchent les agents de travailler et enfin bien souvent, ils demandent une rançon en retour."

Entre pirates, les données se vendent et se diffusent

Dans le cas de rançongiciel, l'important pour les hackers n'est pas d'être payé, mais bien plutôt de créer la peur chez de potentielles victimes. "Ils se moquent bien qu'une commune paie ou non, l'important pour eux est d'avoir montré aux autres communes ou entreprises qu'ils mettent leur menace à exécution et qu'ils diffuseront bel et bien les données piratées. Ils envoient un message clair à leurs futures cibles: payer ou vos données aussi seront dévoilées au grand jour."

Selon Damien Bancal, qui s'intéresse à la cyberdéfense depuis plus de trente ans, ces données privées sont volées puis triées par les pirates avant d'être revendues à d'autres hackers. Une sorte de marché entre collègues-pirates à la recherche, pour certains, d'informations personnelles précises. "Si vous recevez des faux courriers, des faux mails ou des fausses factures de plus en plus régulièrement il ne faut pas s'étonner, c'est qu'à un moment ou un autre vos informations personnelles ont fuitées."

Pour Damien Bancal, ex-responsable de la communication dans une commune du Nord, ces situations sont dramatiques: "On n'imagine pas le nombre d'informations que l'on donne à des services comme la police municipale, la crèche ou le CCAS. Le pire étant que toutes ces données se retrouvent diffuser gratuitement." Dans le cas de Brunoy, les données de la police municipale n'ont pas été piratées.

Un imprévu qui coûte cher

Dans l'ensemble les mairies sont trop peu préparées à ce type de situations et le retour à la normale est souvent difficile. Un état des lieux est d'abord nécessaire afin de déterminer la durée pendant laquelle les pirates sont restés dans le système, et s'assurer qu'ils en sont bien partis.

Le coût de réparation varie quant à lui selon l'ampleur des dégâts, comme l'explique Damien Bancal. "Parfois tous les serveurs sont à changer, ou alors il faut acheter un système de défense plus renforcé. Ensuite il faut trouver le budget pour financer cela. C'est difficilement chiffrable, mais ce qui est certain c'est que cela prend énormément de temps…"

Comment s'en prémunir ?

Des solutions existent toutefois pour mieux se protéger. Ainsi, le guide de l'Anssi recommande aux communes de mutualiser leurs moyens en matière de sécurité numérique afin que "les plus petites communes puissent s’appuyer sur l’expertise et les moyens financiers des structures plus importantes".

Selon le journal Les Echos, des nouvelles mesures pour se prémunir de ces cyberattaques devraient bientôt voir le jour. La création de "cybercasernes" régionales seraient à l'étude avec la mise en place de numéro d'urgence à destination des collectivités.   

Du côté des citoyens, la vigilance reste de mise contre les tentatives de pishing, ou "hammeçonnage", où l'utilisateur est "inciter à communiquer des données personnelles en se faisant passer pour un tiers de confiance", selon les mots du ministère de l'Economie des Finances et de la souveraineté industrielle et numérique. La métaphore du bateau de pêche prend ainsi tout son sens, même si il serait plus tentant de parler dans ce cas, de bateau pirate.