Quand le NCSC vous alerte, mieux vaut les écouter…
Le Centre national de cybersécurité (NCSC) doit régulièrement avertir directement certaines entreprises de la vulnérabilité de leur informatique. Mais ces avertissements tombent parfois dans l'oreille d'un sourd, comme le montre un cas récent avec ses conséquences.
Le Centre national de cybersécurité (NCSC) met régulièrement en garde le public contre les dangers actuels et aigus du cyberespace, notamment via Twitter. Moins visible, une grande partie des avertissements ne concerne cependant pas le public, mais des entreprises spécifiques, qui sont contactées directement par le NCSC par e-mail, téléphone ou lettre recommandée. Dans de nombreux cas, les lacunes sont ainsi comblées à temps et le pire est évité, explique le centre de compétence. Mais il arrive aussi que des entreprises ne réagissent pas à ces avertissements, déplore le NCSC. Et cela a parfois de graves conséquences pour les entreprises concernées.
Début mars, le NCSC a ainsi informé une entreprise par lettre recommandée de failles de sécurité dans son serveur Microsoft Exchange. Ce n'est pas un cas isolé - en février déjà, le centre de compétence indiquait avoir alerté directement plus de 130 organisations à ce sujet. Les cybercriminels pouvant exploiter ces failles pour voler des données ou infecter les entreprises avec un ransomware.
Deux avertissements - pas de réponse
L’entreprise informée en mars n’a toutefois pas réagi à l’avertissement. Le mois suivant, le NCSC a appris d'une organisation partenaire que des pirates avaient compromis cette société. Le NCSC a de nouveau averti l'entreprise. Cette fois-ci par e-mail - mais à nouveau sans réponse.
C’est alors que les «conséquences graves» sont survenues. Les systèmes IT de l'entreprise ont été cryptés par un ransomware et une rançon a été exigée pour leur décryptage, explique le NCSC sur la base d'informations accessibles au public sur le darkweb. Le centre de compétence suppose que les cybercriminels ont également volé des données pour augmenter la pression sur leur victime: si l’entreprise ne paie pas, ils publient les données.
Selon le NCSC, cet exemple actuel n’en serait qu’un parmi de nombreux autres. L’agence profite de ce cas pour rappeler que quiconque reçoit un courrier du NCSC doit prendre ce message au sérieux. En cas de doute sur l'authenticité de l'avertissement, il est possible de contacter directement le centre de compétence. Dans l'idéal, il ne faut pas utiliser les coordonnées figurant dans l'avertissement en question, mais le formulaire d'annonce sur le site web du NCSC.
