Le vendredi 28 octobre 2022, Franck Polster, directeur des services informatiques (DSI) de Satys à Blagnac (Haute-Garonne), se rend comme chaque matin au bureau vers 8 heures. Rapidement, le cadre de ce groupe aéronautique français reçoit des appels de ses collègues qui constatent que leurs fichiers ont désormais une extension ".dagon" qui les rendent inaccessibles. «Les première alertes sont arrivées pendant la nuit de nos bureaux de Portland dans l’Oregon. Nous nous sommes rapidement rendu compte que nous étions en train de subir une cyberattaque. La majorité des quelque 1300 ordinateurs et 130 serveurs de nos équipes étaient encryptés. Tout a été bloqué, d’un coup, avec une profondeur maximale» détaille le DSI. Dans la foulée, trois personnes du groupe, dont le directeur général de Satys Interiors,sont appelées par des pirates informatiques qui les incitent à aller consulter sur Internet la demande de rançon.
«lls nous ont également menacé de diffuser des données confidentielles en leur possession. La personne nous a appelés avec un numéro de portable français, lui-même usurpé, nous a appris plus tard la gendarmerie. On a vite compris que c’était une organisation très structurée» révèle le DSI. Une demande de rançon dont les équipes de Satys ne prendront volontairement jamais connaissance.
Une cyberattaque massive et coordonnée
Spécialisé dans le domaine de la peinture et de l’étanchéité des avions, le toulousain Satys compte quelque 2500 collaborateurs dans sa branche Aerospace. Les 700 autres employés des deux autres filiales travaillent dans la conception d’intérieur (Satys Interiors) pour les trains et cabines d’avion Satys cabins). Tous partagent un même système informatique.
Si la production n’a pas été directement impactée, sans système informatique, plus possible d’éditer un dossier de fabrication, ou d'émettre un bon de livraison. Dans un premier temps, l’équipe informatique propose de réinitialiser les ordinateurs à l’état de sortie d’usine, pour permettre une communication par email entre salariés, clients et fournisseurs. «Les bons de livraison ont été rédigés sur des feuilles papiers. Pour les ordres de fabrication, les services administratifs ont fait des photocopies des précédents ordres pour la même pièce que nous avions à disposition dans nos dossiers. Et le suivi de production s’est fait de manière artisanale sur Excel» détaille Muriel Helye, directrice performance et innovation de l’entreprise. Du côté de la paie, des virements équivalents au mois précédent sont envoyés sous forme d’avance sans bulletin de salaire.
Comprendre l’attaque pour éviter sa propagation
Réunis en cellule de crise le lendemain de l'attaque, les services informatiques et le comité de direction décident d’éteindre l’ensemble des serveurs afin de faire un état des lieux et d’éviter la propagation. Le jour même, ils déposent plainte auprès de la gendarmerie nationale et contactent la CNIL ainsi que l’Anssi. Mais c’est surtout le service de réponse à incident qui va s’avérer d’une grande utilité.
«Le prestataire mandaté pour la réponse à incident a compris le mode opératoire des pirates à travers leur historique de connexion. Cela nous a permis de réagir de manière appropriée et de fermer préventivement d’autres portes d’entrées possibles» détaille Franck Polster. Un vrai «travail d’expert» selon le DSI, qui lui a fait gagner un temps précieux et qu’il est difficile d’internaliser, le prestataire possédant des outils pour analyser les connexions sur l’ensemble des systèmes.
L’entreprise française de cybersécurité a pu déterminer que l’attaque venait probablement d’un groupe de cybercriminels étrangers, en raison d’une manière d’opérer «très organisée et segmentée» et du choix des outils de chiffrement. «On sait notamment qu’ils ont utilisé un outil qui permet de récupérer les mots de passe de chaque système, même si ces derniers n’ont pas de relation entre eux, et qui est difficilement détectable par un antivirus».
Le prestataire identifie également la défaillance de sécurité qui a rendu l’attaque possible : un serveur avec une vulnérabilité du fait d’un défaut de mise à jour et qui était accessible depuis Internet. Selon le spécialiste de la cybersécurité offensive, les premières connexions au système informatique pourraient avoir eu lieu dès le 7 septembre sous forme de repérage grâce à un accès cassé. L’inventaire systématique aurait ensuite débuté à partir du 10 octobre. «Le prestataire de réponse à incident estime qu’une première équipe de pirates a cassé les accès et créé des listes qui ont été revendues à d’autres groupes criminels spécialisés dans le repérage et l’inventaire. C’est ensuite qu’est intervenue une troisième équipe qui a procédé à un chiffrement massif et systématique» détaille le DSI de Satys.
La mise en place d’une cellule de crise
Pendant deux mois, une cellule de crise composée des membres du comité de direction et des responsables de site va se réunir deux fois par jour, puis quotidiennement le deuxième mois. Le service informatique lui se «met dans une bulle» pour se concentrer sur la restauration du réseau. Il fait aussi appel à un deuxième prestataire dans un rôle de chef de projet pour gérer les décisions et les besoins prioritaires déterminés par la cellule de crise. Le salut vient d’une copie de sauvegarde sur réseau qui, grâce à la déconnexion rapide de tous les systèmes, n’a pas été encryptée.
Pour éviter d’allumer les serveurs avec le risque que les données contenues sur ces derniers ne s’encryptent, le DSI trouve une société spécialisée dans la récupération de données, Ricovéo, qui travaille régulièrement avec la police française. Neuf jours après l’attaque, cette dernière récupère les données contenues dans quelques 26 disques durs, sans allumer aucune machine. «Dès le lendemain, j’ai remonté le système de gestion de l’entreprise, auquel j’étais le seul à avoir accès. J’ai redonné des accès au compte-goutte, en fonction des priorités fixées par chaque responsable de site. Au bout d'un mois, près de 200 utilisateurs avaient récupéré un accès partiel», précise le chef du service informatique, dont les équipes ont travaillé 7 jours sur 7 pendant plus d’un mois.
Dans le même temps, il faut prévenir les donneurs d’ordre, au premier rang desquels Airbus, dans les 48 heures qui suivent l’attaque. «Certains clients se sont mis en autoprotection en allant jusqu’à interdire les échanges par email jusqu’à ce qu’on soit en mesure de montrer qu’on avait éloigné le danger... Mais nous n’avons perdu aucun client», assure-t-il. Pendant que les services informatiques travaillent à rétablir les systèmes, les différents métiers s’organisent pour assurer un service minimum.
Le temps des enseignements
La reprise d’activité sera finalisée fin janvier avec la remise en route de l’ensemble des réseaux, des serveurs et des postes de travail. «Nous avons totalement ségrégué les réseaux, séparant ordinateurs bureautiques et industriels, serveurs, équipement réseaux et imprimantes», précise Franck Poster.
Avant la cyberattaque, Satys avait commencé à se mettre en conformité avec BoostAerospace, un programme d’audit et de certification en cybersécurité crée par Airbus, Dassault Aviation, Safran et Thales qui vise la conformité avec la norme ISO 27001. «Nous étions en train de construire notre feuille de route pour atteindre le niveau bronze du programme Air Cyber de Boost Aerospace. L’attaque a évidemment accéléré la mise à niveau, d’autant que nous sommes repartis de zéro, ce qui fait qu’il n’y avait pas à gérer d’interruption de service ou de dépendance entre les outils». Le DSI estime qu’en trois mois, la mise à niveau a été équivalente à celle qui aurait été atteinte en trois ans en pleine activité. Parmi les principales mesures, la généralisation de l’authentification multifacteurs à la totalité des utilisateurs, la sauvegarde obligatoire sur le cloud ou encore la chasse aux comptes multi-utilisateurs, encore d’usage dans les ateliers. Mais aussi la souscription d’un contrat avec un SOC (centre des opérations de sécurité), qui permet de détecter les vulnérabilités et d'appliquer les patchs correctifs.
Des solutions qui ont fait passer le budget cybersécurité entre 15 et 20% du budget informatique, contre moins de 5% avant. «La cyberattaque nous a coûté plusieurs millions d’euros. Et elle a épuisé les équipes. Il était donc clair pour nous que c’était la seule solution». Une mise en conformité qui lui aurait permis d’éviter la cyberattaque d’il y a deux ans ? Sans doute. Mais, nuance Muriel Helye, «il faut rester très humble car les cybers attaquants ont toujours une longueur d’avance». Pour continuer d’avancer Satys vise la certification argent en 2025.
