Données publiées après un ransomware : que faire ?

L’annonce est-elle vraie ?

Un nom sur le site d’un groupe de ransomware (ou rançongiciel) est une revendication, faite par le groupe. Elle peut être fausse, ancienne ou exagérée. Vérifiez-la dans cet ordre.

1. Vos propres journaux. Demandez à votre équipe informatique ou à votre prestataire ce qu’ils montrent autour de la date de l’annonce : accès inhabituels, transferts volumineux, nouveaux comptes.
2. Votre contact en réponse à incident. Appelez le cabinet ou le prestataire qui traite les incidents pour vous. En France, Cybermalveillance.gouv.fr est la plateforme nationale d’assistance aux victimes.
3. Les fichiers eux-mêmes. Cherchez-les comme l’explique la section suivante.

N’ouvrez pas le site du groupe depuis un poste de l’entreprise et n’écrivez pas au groupe pour « voir un échantillon » ou négocier. L’ENISA, l’agence européenne de cybersécurité, indique que négocier n’est pas recommandé et recommande de contacter l’autorité de cybersécurité compétente ou les forces de l’ordre (ENISA, 2022, en anglais).

Qu’est-ce qui a été publié, exactement ?

Cherchez le nom de votre entreprise, puis votre domaine, dans la recherche gratuite. Elle indique combien de documents correspondent et de quel type ils sont, avec les noms masqués, sans montrer les documents eux-mêmes. Comment elle fonctionne.

Access est un abonnement pour votre entreprise. Il montre tels quels des extraits des enregistrements sur votre propre domaine, garde masqués les noms des autres entreprises et relie votre assistant IA aux mêmes données. Ce que contient Access.

Une recherche sans résultat n’est pas la preuve que rien n’a été publié. L’index contient ce qui a été publié sur des sites et forums de ransomware, pas tout ce qui existe, et un groupe peut publier en plusieurs fois. Relancez la recherche dans une à deux semaines.

Qui devez-vous prévenir, et quand ?

Ce sont des informations générales, pas un avis juridique. Demandez à votre délégué à la protection des données ou à un avocat comment elles s’appliquent à vous. Des délais courent dès que vous avez connaissance de l’incident : notez ce moment.

• RGPD, l’autorité. Si des données personnelles sont concernées et que vous en êtes le responsable de traitement, le RGPD prévoit que vous notifiez la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu’elle ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (article 33). Vous documentez la violation même sans la notifier. En France, l’autorité est la CNIL, qui précise qu’en cas de doute il faut la notifier.
• RGPD, les personnes concernées. Quand la violation est susceptible d’engendrer un risque élevé pour elles, vous les en informez aussi, dans les meilleurs délais, en des termes clairs et simples (article 34).
• NIS2. Si vous êtes une entité essentielle ou importante dans le champ de la directive, celle-ci demande aux États membres de veiller à ce que vous notifiiez à votre CSIRT ou à l’autorité compétente tout incident important : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification dans les 72 heures, puis un rapport final au plus tard un mois après celle-ci (article 23). Le détail dépend du droit national. NIS2 sur OwlyScan.
• DORA. Si vous êtes une entité financière dans le champ du règlement, vous déclarez les incidents majeurs liés aux TIC à votre autorité compétente et, quand l’un d’eux touche les intérêts financiers de vos clients, vous les en informez sans retard injustifié (article 19). DORA sur OwlyScan.
• Votre assureur et vos contrats. Prévenez votre assureur. En France, le Code des assurances subordonne le versement d’une somme au titre d’une clause qui couvre les pertes causées par une atteinte à un système de traitement automatisé de données au dépôt d’une plainte, au plus tard 72 heures après la connaissance de l’atteinte par la victime. Cela vaut pour les personnes morales et les professionnels (article L12-10-1). Relisez vos contrats : clauses de notification.

Faut-il payer pour faire retirer les données ?

Les autorités le déconseillent. En France, l’ANSSI et la direction des affaires criminelles et des grâces du ministère de la Justice recommandent de ne jamais payer la rançon : le paiement ne garantit pas l’obtention d’un moyen de déchiffrement et incite les cybercriminels à poursuivre (guide de l’ANSSI). Pour les données elles-mêmes, Cybermalveillance.gouv.fr indique que vous n’êtes pas certain qu’elles ne seront pas rendues publiques ni utilisées à des fins frauduleuses.

Une promesse de suppression vient de ceux qui ont pris les fichiers, et vous ne pouvez pas la vérifier. Même s’ils suppriment leur copie, vous ne savez pas si d’autres ont déjà copié les fichiers.

Que dire aux clients et aux partenaires ?

Prévenez-les tôt et tenez-vous aux faits. Un message court suffit : ce qui s’est passé et quand vous l’avez appris, quels types de documents peuvent être concernés, ce que vous faites, et la date du prochain point. Ne devinez pas, et ne reprenez pas les affirmations du groupe sans les avoir vérifiées.

Leurs noms peuvent aussi figurer dans vos fichiers. Renvoyez-les vers le guide écrit pour eux : Fournisseur victime d’un ransomware : que faire ?.

Et ensuite ?

Un groupe peut publier en plusieurs fois et remettre des fichiers en ligne : continuez à chercher. Une fois le calme revenu, notez ce qui s’est passé et comment les attaquants sont entrés.

Le suivi en cas d’attaque est une option d’Access. Si votre entreprise subit une attaque par ransomware, nos analystes vous remettent un relevé daté de ce qui a été publié sur vous et surveillent sa réapparition. C’est un service, pas une assurance, et un délai d’attente s’applique après l’ajout. Comment fonctionne le suivi en cas d’attaque.

Déposez plainte. En France, Cybermalveillance.gouv.fr indique de la déposer au commissariat ou à la gendarmerie, ou en écrivant au procureur de la République, avant la réinstallation des appareils touchés, pour conserver les preuves techniques. La CNIL en conseille aussi une quand la violation notifiée fait suite à une cyberattaque.

Une liste de contrôle courte

1. Notez quand vous avez eu connaissance de l’annonce.
2. Appelez votre contact en réponse à incident. N’ouvrez pas le site du groupe, ne lui écrivez pas.
3. Cherchez votre entreprise et votre domaine, notez le jour, relancez dans une à deux semaines.
4. Avec votre délégué à la protection des données, voyez si des données personnelles sont concernées, si NIS2 ou DORA s’applique, et ce qu’il faut notifier.
5. Ne payez pas. Prévenez votre assureur et déposez plainte (en France, avant de réinstaller les appareils).
6. Dites les faits à vos clients et partenaires, avec une date pour le prochain point.

Questions fréquentes