Une fuite de données chez Free, Cegedim ou à la direction générale des finances publiques : le sujet fait la une des médias, et, le lendemain matin, les téléphones de beaucoup de RSSI sonnent. Un collaborateur a reçu un e-mail suspect. Un autre signale que son adresse professionnelle figure dans une liste circulant sur un forum. Toutes les directions demandent si « on est concernés ». Les utilisateurs se demandent que faire en cas de vol de données massif.
Éléments de réponses pour les RSSI.
C’est le propre des grandes fuites de données : ne jamais rester cantonnées à l’organisation qui en est victime. Ces informations voyagent, et croisées avec d’autres bases, alimentent des campagnes de phishing, des tentatives de fraude au virement, etc. Parmi les acteurs concernés par le vol de leurs données, figurent aussi bien des particuliers que des entreprises et des organisations. Dès lors, les bons réflexes pour faire face s’appliquent presque de la même façon, que l’on gère ses accès personnels ou un SI de 5 000 postes.
Poser le contexte
Les grandes fuites de données sont devenues un phénomène mondial et médiatisé. Les cybercriminels, dont de nouveaux profils, jeunes et francophones, cherchent à réaliser le « plus gros coup » possible et à le faire savoir. Au-delà de la quête de notoriété, ces groupes peuvent être motivés par l’appât du gain ou, dans une moindre mesure, agir pour des raisons géopolitiques.
« Les fuites de données sont devenues un sujet grand public. L’opinion publique est de plus en plus attentive à ce type de risque. »
Comprendre ce qui a vraiment fuité
Tout le monde, ou presque, présente aujourd’hui des données personnelles qui ont été exposées lors d’une fuite. Le vrai enjeu consiste donc à identifier quelles informations ont été compromises et quelles actions entreprendre en fonction de la nature de ces données :
- Login et mot de passe : c’est le scénario le plus fréquent et le plus directement exploitable via des attaques en credential stuffing, par exemple. Les attaquants savent que la réutilisation des mêmes identifiants entre sphère privée et professionnelle est une pratique très répandue. Une fuite sur un site de e-commerce peut donc devenir une porte d’entrée vers le système d’information d’une entreprise.
- Adresse e-mail : une adresse exposée génère mécaniquement des campagnes de phishing ciblées. Une fuite chez un prestataire type loueur de matériel ou une centrale d’achat, par exemple, peut suffire à alimenter des vagues de faux e-mails parfaitement crédibles, car contextualisés autour d’une relation commerciale réelle.
- RIB ou coordonnées bancaires : la connaissance d’un IBAN et d’un BIC permet la création de mandats de prélèvement frauduleux qu’il faut donc surveiller. Cet élément peut aussi contribuer à l’usurpation d’une identité en constituant un dossier crédible associé à d’autres données personnelles.
Vol de données : que faire ?
Les automatismes à acquérir sont les mêmes pour une entreprise que pour un particulier, même si les enjeux sont par nature décuplés dans une structure collective. Ainsi, les réseaux sociaux méritent également une attention particulière dans la sphère professionnelle car les informations publiées sur LinkedIn ou d’autres plateformes peuvent être croisées avec des données volées pour nourrir des attaques d’ingénierie socialesophistiquées, qu’il s’agisse d’usurpation d’identité, de phishing ultra-ciblé ou de phoning frauduleux.
Dans tous les cas, une fuite chez un fournisseur ou une centrale d’achat doit déclencher une alerte immédiate sur le risque de campagne de phishing auprès des équipes concernées. La banque doit également être informée des risques associés à la manipulation de coordonnées bancaires (tentatives de fraude au virement ou au mandat).
Voici une checklist des actions prioritaires à réaliser par les organisations et leurs membres pour savoir que faire en cas de vol de données :
- Changer immédiatement les mots de passe du service compromis, et partout où ils ont été réutilisés
- Séparer strictement les usages Pro et Perso (identifiants, adresses mail, appareils)
- Adopter un gestionnaire de mots de passe ou coffre-fort numérique pour remédier à la difficile mémorisation d’un couple identifiant/mot de passe par service
- Surveiller les comptes bancaires et informer la banque en cas d’exposition de données financières
- Sensibiliser les équipes concernées (notamment les services achats et finance) au risque accru de phishing suite au vol de données massif
Communiquer par conformité et pour la confiance
Depuis 2018, le RGPD impose aux organisations victimes d’une violation de données d’en informer la CNIL, et, dans certains cas les personnes concernées.
« Cette obligation a profondément transformé les pratiques : les entreprises ont globalement amélioré leur communication sur le sujet et, depuis deux ou trois ans, on peut vraiment parler d’accélération de la transparence sur ces questions. »
Les formats de communication varient, certaines restent très succinctes, d’autres sont plus détaillées et pédagogiques, mais la tendance est clairement à plus de transparence. C’est une évolution positive : une communication rapide et claire permet aux victimes d’adopter eux-mêmes les bons réflexes sans attendre. Les organisations qui communiquent bien après une fuite, en expliquant ce qui a été exposé, ce qui ne l’a pas été, et ce que les victimes doivent faire, limitent non seulement le préjudice réel, mais préservent aussi leur réputation à long terme.
L’initiative de la Banque de France
L’une des conséquences directes du renfort de la médiatisation des fuites de données tient immanquablement à la multiplication des sollicitations lorsqu’un cas se produit. Nicolas Pley, Directeur adjoint de la prévention des risques à la Banque de France, décrit une situation chronophage où le RSSI et le CERT-BDF se retrouvent assaillis de questions et de sources de qualités diverses via différentes conversations au sein de l’organisation.
Pour sortir de cette posture réactive, Nicolas Pley a mis en place un canal de communication interne, baptisé « Cyberurgences », dans lequel les équipes cyber délivrent en quelques lignes les réponses aux interrogations suivantes :
- Que s’est-il passé dans l’organisation tierce ?
- Sommes-nous concernés ?
- Sommes-nous une cible potentielle ?
- Quelles vérifications ont été faites et avec quel résultat pour notre protection ?
L’idée est ainsi de diffuser de façon proactive une information « propre » à une sélection de lecteurs internes qui pourront, s’ils l’estiment nécessaire, la cascader à leurs équipes. Outre un gain de temps évident, cette méthode fait office de piqure de rappel en matière de sensibilisation. Ce bel exemple de communication interne, ici principalement entre les équipes cyber et la Direction de la Banque de France, pourrait tout à fait être étendu à des contributeurs plus larges. En effet, le partage de telles informations avec un réseau de partenaires pourrait contribuer à animer un écosystème vertueux, dans lequel chacun sait s’il doit agir et comment.
« Cette initiative nous a permis de reprendre la main face à des chaines de mails nombreuses, redondantes et trop peu précises. Grâce à ce nouveau canal, nous avons réduit la charge que représentait la communication autour de ces fuites et diffusons désormais un message unique, ce qui est aussi plus clair et rassurant pour les équipes. »
En conclusion, que faire en cas de fuite massive de données chez un tiers ? Il faut l’appréhender comme un évènement interne par les RSSI. Chaque grand incident public constitue une opportunité de tester la réactivité des équipes, de vérifier l’application des règles d’hygiène numérique, de rappeler les consignes sur la séparation des usages pro et perso. Et d’illustrer le risque cyber de façon très concrète.
