Le ransomware Vice society revendique l’attaque perpétrée en juillet contre le département de la Touraine

Sur leur site de fuite, les opérateurs derrière le ransomware Vice Society ont revendiqué l’attaque contre le département d’Indre-et-Loire. La cyberattaque serait survenue dans la nuit du 10 au 11 juillet 2022. Le département affichait son désarroi par un communiqué de presse le 12 juillet 2022. « L’ANSSI accompagnée de la cellule de cybercriminalité du ministère de l’Intérieur poursuivent les investigations approfondies sur les causes de l’attaque qui a corrompu les trois quarts de ses installations informatiques (environ 250 serveurs informatiques bloqués). »

Une plainte avait été déposée auprès du Commissariat central de Police de Tours et de la Commission nationale de l’informatique et des libertés (CNIL), indiquait le Conseil général dans son communiqué du 12 juillet 2022. Dans le même document, la « Touraine » se targuait d’avoir fin d’année 2021 demandée un audit, semble-t-il, à l’Agence Nationale de la sécurité des systèmes d’information pour un coût de 50 000 €. « L’audit a démontré que la sécurité informatique n’était pas sans faille, mais que le niveau de protection de l’Indre-et-Loire était au-dessus de la moyenne des départements et a fait des préconisations d’amélioration qui ont commencé à être suivies. »

Le communiqué indique avoir un audit au-dessus de la moyenne des départements. Le point important n’est pas la note obtenue, mais si le niveau de sécurité des systèmes d’information. Est-il de nature à retarder, voire décourager les opérateurs malveillants ? Si vous avez une note supérieure à la moyenne de la classe et que celle-ci est à 18/20, le niveau de sécurité et la culture informatique sont excellents. Dans l’hypothèse où la moyenne est à 4/20, être au-dessus c’est bien, mais quand vous obtenez, par exemple 8/20 ? « Le Département prendra toutes les mesures nécessaires afin de protéger les données personnelles placées sous sa responsabilité », ajustait l’entité.

La Nouvelle République du Centre-Ouest expliquait début août, selon les informations en leurs possessions que « si aucun vol de données n’a été détecté, la cyberattaque survenue dans de la nuit du 10 au 11 juillet 2022, a paralysé de nombreux services au conseil départemental d’Indre-et-Loire. » Or, ce jeudi 18 août à 3 h 19, des données du Conseil général d’Indre-et-Loire sont divulguées. Le ransomware Vice Society les diffuse sous la forme de cinq dossiers principaux. Intitulé General, Direction, DGAT Direction générale, DGAT Pole Coordination et Form. Puis une arborescence propre à chaque dossier. Ainsi des bulletins de paye, des inventaires de masque durant la période, des changes de courriels notamment sur la sécurité informatique et le télétravail sont exposés. Comme le sont les huit communes italiennes, avec plus de 2 TB d’informations jetées en pâture.