Le dirigeant d’un cabinet d’expertise comptable parisien se souviendra longtemps de l’année 2015, alors que sa société était en pleine période de clôture annuelle. Tout bascule quand l’un des 80 salariés ouvre un e-mail avec un fichier Word joint infecté par un code malveillant. Le virus se propage rapidement à la plupart des disques durs de l’entreprise. Leurs contenus sont chiffrés, donc inexploitables. Après deux journées sans informatique, la société se résout à payer la rançon pour obtenir les codes de décryptage. Elle s’élève à 3 000 euros, versés sous forme de bitcoins. En sus, le cabinet a dépensé 7 000 euros d’honoraires en prestations informatiques.
Cette cyberattaque a été racontée par le dirigeant du cabinet d’expertise, à l’occasion du colloque sur le thème de la cybersécurité organisé le 30 septembre par Bercy. Elle illustre la vulnérabilité des PME. Elles n’ont pas les moyens financiers et techniques des grands groupes pour se défendre face à des pirates expérimentés prêts à exploiter la première faille informatique. Devant la montée du risque cyber, le ministère de l’Économie et des Finances tire la sonnette d’alarme. Et, plus globalement, selon le baromètre Euler Hermes-DFCG 2019, six entreprises sur dix n’ont pas alloué de budget spécifique pour lutter contre la fraude et la menace cyber. Pour les aider, Bercy met à disposition depuis le 1er octobre une boîte à outils d’autodiagnostic de cybersécurité, simple d’accès, pratique et gratuite. L’entreprise doit se rendre sur le site https://ssi.economie.gouv.fr pour connaître son niveau de sécurité dans quatre domaines clés de la sécurité informatique : les mots de passe, la sauvegarde de données, la messagerie et le navigateur. Pour chacun de ces items, le résultat est présenté de manière efficace sous la forme d’un logo coloré accompagné d’une lettre, de A (très sécurisé) à E (très mal sécurisé) sur le même principe que le logo Nutri-score pour connaître la qualité nutritionnelle d’un produit. La plate-forme répond à quatre questions essentielles de cybersécurité.
1 - Votre navigateur est-il à jour ?
La question est plus importante qu’il n’y paraît. La plate-forme explique que « par construction, un navigateur est exposé à internet et exécute des instructions fournies par un site externe : code HTML, code CSS, code Javascript. Pour un cyberattaquant, il est facile d’y glisser des données malicieuses ». Or, selon les techniciens de Bercy, sur le segment des entreprises, jusqu’à 20 % des navigateurs ne sont pas à jour, voire carrément obsolètes du point de vue de la sécurité. La plate-forme reconnaît immédiatement votre version de navigateur. Si vous obtenez la note C, la situation est critique et mérite d’alerter l’équipe informatique.
2 - Vos courriels sont-ils configurés avec toutes les protections ?
La messagerie est la porte d’entrée royale des pirates. S’il faut sécuriser un domaine, c’est bien celui-là ! Là encore, le téléservice analyse automatiquement les informations techniques du serveur de messagerie (chiffrement, localisation, adresses IP…). Si vous obtenez le score E, vos e-mails ne sont pas mieux protégés qu’une carte postale visible aux yeux de tous. Si vous décrochez le A, cela correspond à la sécurité d’une lettre recommandée avec accusé de réception. De B à D, le site indique que les utilisateurs peuvent alerter leur management et les équipes techniques sur le manque de considération pour la messagerie électronique.
3 - Vos données sont-elles correctement sauvegardées ?
C’est une question critique. Seules les sauvegardes correctement et régulièrement réalisées peuvent vous permettre de retrouver vos données après l’attaque d’un virus qui aura chiffré le contenu de vos disques durs. Et sans payer de rançon ! Pour cet item, votre score technique dépendra non pas d’une analyse automatique de vos ressources informatiques, mais des réponses fournies à un questionnaire. L’utilisateur se verra demander la taille des sauvegardes, les endroits où elles sont récupérables (sur site de production, sur site distant…), si elles sont chiffrées et s’il existe un plan de repli avec serveur de secours… La plate-forme d’autodiagnostic rappelle que chaque sauvegarde a son intérêt. Un jeu disponible directement sur le site de production permet de reconstruire rapidement un système car les transferts de données sont courts avec les meilleurs débits. Un jeu sur site distant est la parade à tout scénario catastrophe où un site complet est indisponible.
4 - Vos mots de passe sont-ils solides ?
Grâce au site de télédiagnostic, l’utilisateur peut tester la robustesse de son (ou ses) mot(s) de passe. Pour cela, il doit entrer un mot de passe, de préférence celui qu’il utilise pour se connecter à son PC de travail ou à son webmail. La procédure peut surprendre alors qu’il est toujours préconisé de ne jamais confier ses sésames informatiques. Les experts de Bercy se veulent rassurants : il n’y a aucun risque à le faire puisque le site de téléservice ne demande en aucune façon l’identifiant associé au mot de passe et que celui-ci n’est pas envoyé au serveur du ministère mais analysé par le navigateur de l’utilisateur. Il faut surtout savoir qu’un mot de passe faible est facilement craquable. « Dans des conditions favorables et avec un ordinateur portable classique, on arrive à générer 10 à 30 milliards de combinaisons de mots de passe par seconde », affirme un expert à Bercy. Pour information, un mot de passe de dix caractères incluant majuscules, minuscules, un ou plusieurs chiffres ainsi qu’un caractère spécial n’a obtenu que le score C, avec le commentaire suivant : « Probablement suffisant pour détourner des craqueurs de mots de passe amateurs ».
Un partenariat avec le réseau des dirigeants financiers
Pour construire son service de télédiagnostic de cybersécurité, le ministère de l’Économie s’est associé avec l’association nationale des directeurs financiers et de contrôle de gestion (DFCG), très impliquée dans les problématiques de fraude et de cybercriminalité. Début septembre, le test a été envoyé aux 3 000 entreprises adhérentes de l’association pour vérifier leur degré de cybersécurité. La DFCG l’a enrichi en insistant sur le caractère opérationnel du plan de reprise d’activité. De son côté, Bercy a fait plancher ses experts en sécurité informatique pour un équivalent d’une cinquantaine de jours-hommes.
