Le dirigeant d’un cabinet d’expertise comptable parisien se souviendra longtemps de l’année 2015, alors que sa société était en pleine période de clôture annuelle. Tout a basculé quand l’un des 80 employés ouvre un mail avec un fichier Word joint infecté par un code
malveillant. Le virus se propage rapidement à la plupart des disques durs de l’entreprise. Leurs contenus sont chiffrés et donc inexploitables. Après deux journées sans informatique, la société se résout à payer la rançon pour obtenir les codes de décryptage. La rançon s’élève à 3000 euros, versée sous forme de bitcoins. En sus, le cabinet a dépensé 7000 euros de frais d’honoraires en prestations informatiques.
Cette cyberattaque a été racontée par le dirigeant du cabinet d’expertise lui-même qui en a été victime, à l’occasion d’un colloque sur le thème de la cybersécurité organisé lundi 30 septembre par Bercy. Elle illustre la vulnérabilité des PME. Elles n’ont pas les moyens financiers et techniques des grands groupes pour se défendre face à des pirates expérimentés prêts à exploiter la première faille informatique. Face à la montée du risque cyber, le ministère de l’Economie et des finances tire la sonnette d’alarme. "Il y a vraiment urgence pour les entreprises de petite taille", explique Christian Dufour, haut fonctionnaire de défense à Bercy. Et plus globalement, 6 entreprises sur 10 n'ont pas alloué de budget spécifique pour lutter contre la fraude et la menace cyber (source Euler Hermes-DFCG 2019).
Quatre vulnérabilités à scruter
Pour les aider, Bercy a décidé de mettre à disposition depuis le 1er octobre une boite à outils d’auto-diagnostic de cybersécurité, simple d’accès, pratique et gratuite. Pour cela, l’entreprise doit se rendre sur le site internet https:\\ssi.economie.gouv.fr pour connaître son niveau de sécurité dans quatre domaines clés de la sécurité informatique : les mots de passe, les sauvegardes de données, la messagerie et le navigateur.
Pour chacun de ses items, le résultat est donné de manière très efficace sous la présentation d’un logo coloré accompagné d’une lettre, de A (très sécurisé) à D (très mal sécurisé) sur le même principe que le logo nutri-score pour connaitre la qualité nutritionnelle d’un produit. La plateforme va vous donner les réponses aux quatre questions essentielles de cybersécurité suivantes :
1/ Votre navigateur est-il à jour ?
La question est plus importante qu’il n’y parait. La plateforme explique en effet que "par construction, un navigateur est exposé à Internet, et exécute des instructions fournies par un site externe : code HTML, code CSS, code Javascript. Pour un cyber-attaquant, il est facile d’y glisser des données malicieuses". Or selon les techniciens de Bercy, sur le segment des entreprises, jusqu’à 20% des navigateurs ne sont pas à jour voire carrément obsolètes d’un point de vue de la sécurité.
La plateforme reconnait immédiatement avec quelle version de navigateur vous êtes connecté. Si vous obtenez la note C, la situation est critique et mérite d’alerter l’équipe informatique.
2/ Vos courriels sont-ils configurés avec toutes les protections ?
La messagerie est la porte d’entrée royale des pirates. S’il faut sécuriser un domaine, c’est bien celui-là ! Là encore, le télé-service analyse automatiquement les informations techniques du serveur de messagerie (chiffrement, localisation, identification des adresses IP…). "En cas de mauvaise protection, une personne extérieure à l’organisation peut utiliser une adresse mail de l’entreprise et se faire passer pour l’un de ses salariés", commentent les équipes de Bercy.
Si vous obtenez le score E, la sécurité de vos emails est du registre de celui de la carte postale visible aux yeux de tous; si vous décrochez le A, cela correspond à la sécurité d’une lettre recommandée avec accusé de réception. A partir de D et en dessous, le site indique que les utilisateurs peuvent alerter leur management et les équipes techniques sur le manque de considération pour la messagerie électronique.
3/ Vos données sont-elles correctement sauvegardées ?
C’est une question critique : seules les sauvegardes correctement et régulièrement réalisées peuvent vous permettre de retrouver vos données après l’attaque d’un virus qui aura chiffré le contenu vos disques durs. Et sans payer de rançon ! Pour cet item, votre score technique dépendra non pas d’une analyse automatique de vos ressources informatiques, mais des réponses fournies à un questionnaire. L’utilisateur se verra demander la taille des sauvegardes, les endroits où elles sont récupérables (sur site de production, sur site distant…), si les sauvegardes sont chiffrées et s’il existe un plan de repli avec serveur de secours…
La plateforme d’auto-diagnostic rappelle que chaque sauvegarde a son intérêt. Un jeu de sauvegarde disponible directement sur le site de production permet de reconstruire rapidement un système car les transferts de données sont courts avec les meilleurs débits. Un jeu de sauvegarde sur site distant est la parade à tout scénario catastrophe où un site complet est indisponible.
4/ Vos mots de passe sont-ils solides ?
Grace au site de télé-diagnostic, l’utilisateur peut tester la robustesse de son (ou ses) mot(s) de passe. Pour cela, il doit juste entrer le mot de passe, de préférence celui qu’il utilise pour se connecter à son PC de travail ou son Webmail. La procédure peut surprendre alors qu’il est toujours préconisé de ne jamais confier ses sésames informatiques. Les experts de Bercy se veulent rassurants : il n’y a aucun risque à le faire puisque le site de télé-service ne demande en aucune façon l’identifiant associé au mot de passe et par ailleurs celui-ci n’est pas envoyé au serveur de Bercy mais analysé par le navigateur de l’utilisateur.
Il faut surtout savoir qu’un mot de passe faible est facilement craquable. "Dans des conditions favorables et avec un ordinateur portable classique, on arrive à générer 10 à 30 milliards de combinaisons de mots de passe par seconde", affirme un expert à Bercy. Pour info, un mot de passe de 10 caractères incluant majuscules, minuscules, un ou plusieurs chiffres ainsi qu’un caractère spécial n’a obtenu que le score C avec le commentaire "probablement suffisant pour détourner des crackeurs de mots de passe amateurs".
