Covid-19 et cybersécurité

Covid-19 et cybersécurité : quels sont les conseils pour ne pas tomber dans les pièges des cybercriminels qui multiplient les attaques ?

La crise sanitaire représente une véritable aubaine pour les cybercriminels. De nombreux collaborateurs sont confinés avec leur famille à domicile. Ils doivent continuer d’assurer la continuité de service via le travail à distance avec un usage numérique intensifié.

Or ils sont souvent peu formés à ce nouveau mode de travail à distance imposé en urgence du jour au lendemain dans ces circonstances tout à fait particulières (1).

Covid-19 et cybersécurité : les scénarios d’attaques 

20 février 2020, la Région Grand Est subit une paralysie informatique.

14 mars 2020 : les villes de Marseille et de Martigues et la Métropole Aix-Marseille-Provence ont été les cibles d’une attaque informatique se présentant sous l’apparence de rançongiciels (ransomware en anglais). Ce n’est que la face visible de l’iceberg.

22 mars 2020 : deux adresses internet de l’AP-HP de Paris ont été ciblées, mais sans heureusement toucher ses infrastructures.

Comme le relaie l’Anssi, les pirates informatiques sont encore plus actifs et profitent de cette crise sanitaire pour lancer des attaques ciblées via des campagnes de phishing sur « La vérité sur le Coronavirus » ou « faites un don pour les victimes » ; mais encore des chaines de méls de solidarité du type : « pour vaincre le coronavirus ou pour donner du courage, passez ce message à 10 personnes et vous serez protégés ».

Un autre mode d’attaque consiste à adresser des vidéos piégées, des méls imitant des organismes officiels comme l’OMS, ou bien encore des méls sur des livraisons « vous avez reçu un colis très important » .

De même, les mèls de réclamation d’impayés, des faux ordres de virement et même des faux supports informatiques, etc.

Surtout, de nombreux sites internet sont eux-mêmes infectés de virus qui se téléchargent automatiquement sur les postes. Ils peuvent par conséquent infecter les serveurs de l’entreprise. Les pirates ne manquent pas d’imagination et l’actualité leur facilite la tâche.

Quels sont les risques juridiques ?

Les risques juridiques ne sont pas nouveaux mais extrêmement amplifiés comme par exemples:

• Fuites, extractions et reproductions illicites de données professionnelles et personnelles ;
• entraînant atteintes à la confidentialité, violation du secret professionnel et du secret des affaires et des accords de confidentialité commerciaux (NDA) ;
• atteintes à l’intégrité des données et des documents ;
• atteintes à la disponibilité des données et du systèmes d’information ;
• transfert de données personnelles non autorisé, détournement de finalité ;
• contrefaçon de logiciels par extension du nombre de licences autorisés.

Or l‘entreprise ou l’organisme public reste soumis aux obligations en matière de sécurité de son système d’information :

• sécuriser son système, ses réseaux et les données personnelles qu’il conserve ;
• notifier des failles de sécurité à la Cnil, voire Anssi ou autres autorités de contrôle, et parfois communiquer auprès des personnes victimes ;
• conserver les preuves ;
• restaurer et assurer la continuité de service ; etc.

De même, il convient de rappeler qu’en cette période de télétravail forcé, la vie privée résiduelle des collaborateurs doit être préservée. Par conséquent, les enregistrements de téléconférences et visioconférences sont totalement interdits sans l’accord des interlocuteurs, sous peine d’être pénalement sanctionnés.

Covid-19 et cybersécurité : quelques conseils 

• Adressez une circulaire de sensibilisation et d’information à l’ensemble des collaborateurs
• Respectez en toutes circonstances la charte informatique de votre employeur
• Adoptez les bons gestes d’hygiène informatique en toutes circonstances
• Soyez très vigilants et suspicieux, ne faites pas confiance facilement en ligne et demandez conseils à votre DSI en cas de moindre doute
• Utilisez uniquement le matériel et les applications et logiciels autorisés par votre entreprise, surtout dans le Cloud
• Faites un point de sécurité avec vos prestataires et prestataires informatiques.

Polyanna Bigle
Lexing Sécurité des systèmes d’information et dématérialisation

(1) Cf. notre intervention du 26 mars 2020, Télétravail et cybersécurité : préparez les agents à bien pratiquer le « distanciel, Réseau IdealCo. Des experts nous parlent.

Enfin, retrouvez les conseils de cette webformation sur IdealCo, plateforme collaborative de la sphère publique https://www.idealco.fr/.

Références à consulter :

• Cybermalveillance : https://www.cybermalveillance.gouv.fr/bonnes-pratiques
  Anssi : https://www.ssi.gouv.fr/actualite/lanssi-sensibilise-et-transmet-des-recommandations-de-securite-a-destination-des-collectivites-territoriales/
• Recommandations sur le nomadisme numérique : https://www.ssi.gouv.fr/administration/guide/recommandations-sur-le-nomadisme-numerique/
• Guide à l’usage des professionnels en déplacement : https://www.ssi.gouv.fr/administration/guide/partir-en-mission-avec-son-telephone-sa-tablette-ou-son-ordinateur-portable/
• Guide Anssi pour les collectivités territoriales : https://www.ssi.gouv.fr/guide/securite-numerique-des-collectivites-territoriales-lessentiel-de-la-reglementation/
• Guide d’hygiène informatique : https://www.ssi.gouv.fr/administration/guide/guide-dhygiene-informatique/
• Mooc SecNum Academie de l’Anssi : https://secnumacademie.gouv.fr/
• Guide de sécurité de l’ENISA et l’outil en ligne pour les PME passant au cloud : https://www.enisa.europa.eu/news/enisa-news/prs-in-french/le-guide-de-securite-de-l2019enisa-et-l2019outil-en-ligne-pour-les-pme-passant-au-cloud/view
• Guide sur la gestion des incidents liés à la sécurité informatique pour soutenir la lutte contre les attaques informatiques : https://www.enisa.europa.eu/news/enisa-news/prs-in-french/nouveau-guide-sur-la-gestion-des-incidents-lies-a-la-securite-informatique-pour-soutenir-la-lutte-contre-les-attaques-informatiques/view
• Liste des alertes : https://www.cert.ssi.gouv.fr/