Le Sénat de Porto Rico a annoncé mercredi 26janvier2022 qu’il a été la cible d’une infection par un ou plusieurs codes malveillants. Cette cyberattaque a pour conséquence de désactiver l’accès à l’Internet, son système téléphonique et son site web. La page officielle affiche que « Le site est peut-être temporairement indisponible ou surchargé ». C’est le dernier d’une série d’incidents similaires au cours des ultimes années. Le plus spectaculaire demeure l’extinction des lumières pour près de 500 000 habitants en juin 2021.
Alors que les Portoricains restent sur une amertume de la soirée du 10 juin 2021. Un feu dans l’une des stations électriques de l’île américaine de Porto Rico a plongé des milliers de résidents dans le noir. Ce peu après que le fournisseur d’électricité annonçait avoir subi une cyberattaque. « Huit minutes après le début de mon service, un incendie a eu lieu dans la centrale électronique, laissant la moitié de l’île de Porto Rico sans électricité. Ça a été un jour fou au boulot et j’attends toujours de rentrer chez moi », raconte un témoin sur Twitter. Ces deux incidents survenaient peu après les attaques par ransomware de ColonialPipeline, et du géant mondial de la viande JBS.
Les opérateurs derrière l’infection ne sont pas encore connus. L’enquête en cours indiquera l’étendue des dégâts potentiellement occasionnés. (Crédits : luisacabello/Pixabay)
Très tôt hier, le Sénat de Porto Rico a subi mercredi une cyberattaque qui a affecté ses outils informatiques, selon le président de l’organe législatif, José Luis Dalmau. « Nous avons identifié un incident de cybersécurité et activé le protocole de sécurité interne du Sénat et informé les autorités compétentes de la situation, ainsi que le personnel spécialisé pour commencer une évaluation des systèmes d’information », a-t-il affirmé dans un communiqué de presse. Ce dernier se veut rassurant en déclarant que « l’incident de cybersécurité n’a pas entraîné la perte de fonds publics ».
En 2020, une tentative d’escroquerie plus de 4 millions de dollars aux agences gouvernementales portoricaines, avait obligé les autorités à geler 2,9 millions de dollars. La même année, opérateurs malveillants s’introduisaient dans la base de données du service d’incendie de Porto Rico, et exigeaient 600000 dollars de rançon. (Crédits DR)
Les activités du Sénat reprendront avec les mesures adéquates de protection des informations externes, dès que les analystes auront établi que l’incident a été atténué. « Pour l’instant, rien ne prouve que des informations sensibles d’employés, d’entrepreneurs ou de consultants du Sénat ont été exposées, et le personnel spécialisé procède à une analyse pour déterminer la portée de cet incident », déclarait José Luis Dalmau.
C’est à nouveau le ransomware Ryuk qui serait à l’origine de la panne du ministère du Travail et de l’Économie sociale, le 9 juin 2021. Le 10 mars 2021, l’agence pour l’emploi espagnole (SEPE) avait été knock-out durant plusieurs semaines. Des dommages sont relatés au niveau de l’intégration, mais les bureaux de la Sécurité sociale et de l’immigration continuent de fonctionner. Les systèmes d’information sont la proie des cybercriminels, à but lucratif pour eux-mêmes, comme parfois pour des entités étatiques.
Trois mois seulement après avoir subi une des plus grandes cyberattaques de ces dernières années, qui avait mis à terre le Service public de l’emploi (SEPE), le ministère du Travail a reçu une seconde infection par procédé identique.
L’incident est décrit comme « critique »
Des employés du ministère ont confirmé à El Confidencial qu’il s’agit du rançongiciel « Ryuk », qui chiffre les données et demande une rançon en contrepartie du déchiffrement. Le même type d’opération a été utilisé pour laisser hors jeu le SEPE pendant plus de deux semaines, mais également Everis et Cadena SER, en 2019.
La société de Conseil et de services informatiques — filiale du géant japonais NTT DATA — Everis avait reconnu dans ses comptes annuels que la cyberattaque lui a valu une perte totale de 15 millions d’euros, en termes d’« heures non productives et de coûts directs de récupération ».
Les techniciens responsables du gouvernement et du Centre national de cryptologie (CCN-CERT) dépendant du CNI (Centre national d’intelligence) « travaillent ensemble pour déterminer l’origine et rétablir la normalité le plus rapidement possible », a twitté le ministère concerné. L’offensive n’a pas touché le SEPE, mais les dispositifs internes de l’agence, quoi qu’il en soit, la portée est assez importante en termes de contamination des systèmes d’information. Il a été classé comme un incident critique, pour autant l’impact éventuel sur les services offerts aux citoyens est encore inconnu. (S. Hermann & F. Richter/Pixabay)
« Ce qui s’est passé avec le SEPE n’a pas été catalogué en tant que tel en interne, et il a été hors fonctionnement pendant deux semaines, alors imaginez ce qui pourrait se passer cette fois-ci », soulignent les spécialistes. En fonction de la gravité des attaques, celles-ci sont étiquetées à un niveau ou un autre de réponse, ce qui détermine également les ressources et l’urgence avec lesquelles agir.
Le communiqué du ministère du Travail et de l’Économie sociale veut rassurer les bénéficiaires de la Sécurité sociale et de l’immigration.
« La réponse à l’incident, qui s’est produit le 9 mars, a été immédiate dans le but de l’isoler et de minimiser ainsi son impact et sa portée. Il a été confirmé qu’il n’y a pas eu de soustraction de données et la confidentialité des paiements des avantages qu’elles font a été affectée, et que les systèmes d’exploitation et de gestion de la SEPE, ainsi que leurs serveurs, n’ont pas été endommagés par la cyberattaque », communique le ministère.
(Crédits : capture d’écran Twitter)
Pendant deux semaines, les employés du SEPE ne pouvaient pas toucher aux ordinateurs, aux imprimantes, ni même aux téléphones fixes. Ryuk a également été utilisé pour détourner les systèmes d’autres organisations en Espagne, au même titre que les mairies de Jerez et de Bilbao, ou d’entreprises dans le monde entier, de médias aux États-Unis, comme le « Los Angeles Times », d’écoles, d’hôpitaux et de multinationales comme la société française Sopra Steria.
Comment Ryuk travaille-t-il ?
Le principal vecteur d’entrée est généralement le courriel. Une personne, au sein d’une institution ou d’une firme, reçoit un e-mail contenant un code malveillant dissimulé régulièrement dans une pièce jointe. Une fois que le programme s’est immiscé, il peut rester endormi, pour s’activer à la fermeture des bureaux, ou œuvrer de suite.
L’effet domino est la suite. Il se propage vers d’autres systèmes d’information connectés au réseau pour les crypter. « Ryuk » est une évolution d’un virus né en 2017 appelé « Hermes ». Des sources du ministère du Travail espagnol assurent que, pour l’instant, il n’y a pas eu de demande de rançon.
Récemment, JBS, la compagnie brésilienne, a également subi une cyberattaque par ransomware. Elle est la plus grande institution de viande au monde en termes de ventes.
La plus grosse entreprise de viande mondiale en matière de commercialisation s’est résignée à payer le prix en bitcoin, pour un montant de 11 millions de dollars. (Crédits : Chet Strange/Getty Images)
Ainsi, le 9 juin 2021, elle a dû débourser 11 millions de dollars, rapporte le Wall Street Journal, suite à une infection par code malveillant survenue dix jours auparavant. Elle a été incapable de faire fonctionner ses usines américaines, australiennes et canadiennes pendant presque une semaine. La même chose s’est produite avec le piratage du Colonial Pipeline, plus grand oléoduc des États-Unis, le 7 mai 2021.
