Un lundi matin d’octobre. Les yeux encore embués de sommeil, une employée de cette entreprise de la région liégeoise tente de consulter son planning à distance. Mais le serveur semble injoignable. Et l’e-mail qu’elle adresse à un collègue refuse obstinément de quitter sa boîte d’envoi. Il vaudrait mieux utiliser le bon vieux téléphone. Sans espoir : la ligne sonne dans le vide.

L’explication va percoler parmi le personnel au fil de la journée. Durant la nuit, l’infrastructure informatique de l’entreprise a été complètement paralysée par un « ransomware », un logiciel malveillant qui crypte toutes les données et rend les services inutilisables. Les cybercriminels proposent à leurs victimes la clé de décryptage en échange d’une rançon proportionnée à la taille ou au chiffre d’affaires de l’entreprise.

Contacté par Le Soir, le porte-parole de l’entreprise affirme qu’aucune rançon n’a été versée, que peu de données ont été perdues car la société disposait de copies de sauvegarde qui ont été restaurées. Il affirme, de plus, qu’aucune donnée sensible concernant les clients ou le personnel n’a été dérobée. Mais un mois après ce braquage informatique, tout n’est pas encore rentré dans l’ordre. Pour preuve, un message sur la page d’accueil du site, prévenant les clients que l’entreprise a rencontré des problèmes d’e-mail et de téléphonie et qu’elle invite ses clients à privilégier le GSM de ses collaborateurs pour les contacter.

Selon des informations que Le Soir a pu consulter sur le darknet, une partie cachée de l’internet à laquelle on accède avec des navigateurs spécifiques, des informations concernant cette entreprise se retrouvent pourtant en ligne. On y propose à la vente des accès à tous les serveurs de l’entreprise, ainsi que la liste des documents qui auraient été exfiltrés. Des milliers de fichiers qui vont de factures et d’états de prestation jusqu’aux contrats signés avec des clients. C’est effectivement une tendance de plus en plus fréquente parmi les gangs de ransomware : non seulement les pirates menacent de mettre les données en ligne lorsqu’une victime refuse de débourser la rançon, mais certains vont jusqu’à pratiquer ce que l’on appelle la « double extorsion ». En l’occurrence, ils vendent aussi les données aux plus offrants sur le darknet, en cas de non-paiement.

Un véritable business

Le Soir a visité une quinzaine de ces sites de demandes de rançons, il ne s’agit pas de pages web bidouillées à la hâte mais de véritables vitrines commerciales : « La plupart des groupes de ransomwares sont organisés comme des entreprises, ils mènent plusieurs attaques de front », intervient Julien Pélabère, expert en négociations en fondateur de l’institut Nera, en France. Ces professionnels du piratage informatique et du rançonnement partagent néanmoins un modèle économique semblable : lorsque le crypto-virus a infecté les ordinateurs et serveurs de son hôte, le contenu de ceux-ci est crypté et donc mis hors de portée de ses utilisateurs légitimes. Ceux-ci font alors la connaissance de leur attaquant, le plus souvent par e-mail ou par le biais d’un message explicite – un fichier texte ou une page web non cryptée laissé à portée de vue. De quoi entamer un dialogue avec les ravisseurs, via une messagerie cryptée ou une fenêtre de discussion. Pour prouver qu’ils ne bluffent pas, les négociateurs du cartel offrent généralement à leur malheureux interlocuteur la possibilité de décrypter un échantillon des données dont il est désormais privé. Vient ensuite le temps des négociations. Ou pas : certaines victimes choisissent, par principe ou par incapacité financière, de ne pas céder au chantage et de restaurer elles-mêmes leur infrastructure informatique. Le Soir a contacté par courriel neuf cartels de ransomware, aucun n’a répondu à nos sollicitations.

Résultat : bien que, le plus souvent, elles le nient dans toutes les langues, nombreuses sont les entreprises et institutions qui préfèrent payer la rançon, malgré les recommandations pressantes de ne le faire sous aucun prétexte. Car d’Europol à la Computer Crime Unit de la police fédérale (CCU) en passant par le Centre belge pour la cybercriminalité, le message qui est martelé est très clair : pas d’argent pour la mafia.

La rançon liégeoise

Autrement dit, l’absence de traces sur le darknet de données d’une entreprise qui a été attaquée ne peut souvent signifier que deux choses : soit elle a payé la rançon, soit ses données ont déjà été vendues à un tiers. Une question que l’on peut légitimement se poser au sujet d’un autre cas liégeois, celui de la Ville de Liège.

Le lundi 21 juin au matin, lorsque les employés communaux ont pris le travail, les 1.800 PC de la quatrième ville la plus importante du pays ont multiplié les signes de faiblesse, entraînant très vite la paralysie de quasiment tous ses services. Le coupable fut rapidement identifié : Ryuk, un ransomware découvert en 2018, notamment impliqué dans l’attaque d’infrastructures critiques aux Etats-Unis. Capable de réveiller les postes inactifs sur le réseau – l’attaque liégeoise a eu lieu lors du week-end – et de se répliquer de manière autonome, il se signale à ses victimes par des messages explicatifs autant que péremptoires laissés « en clair » sur les disques durs qui ont été cryptés. La compagnie Ethias, qui assure la Ville contre les risques d’attaque informatique, l’a mise en contact avec la firme néerlandaise de cybersécurité Northwave. « Leur aide nous a été très précieuse, de même que celle des experts de Microsoft », explique le directeur général de la Ville, Philippe Rousselle.

Très vite et autant que faire se pouvait, la Ville s’est organisée, a paré au plus pressé, s’appuyant notamment sur ses mairies de quartier et un personnel plein de bonne volonté. « L’essentiel a été restauré en un ou deux mois », se félicite Philippe Rousselle. Qui évalue les dommages à « environ un million d’euros, dont la moitié a été prise en charge par notre assureur ».

Selon les informations du Soir, une rançon a été versée aux attaquants, ceux-ci ont livré les clefs de décryptage. Le groupe à l’origine de l’attaque ne laisse en effet planer aucun doute quant à sa résolution, rappelant que lorsque les sommes réclamées ne lui ont pas été versées, les données piratées sont vendues au plus offrant ou offertes en libre téléchargement. Geert Baudewijns, CEO de la société de cybersécurité Secutec, dit savoir d’expérience que ces menaces sont mises à exécution. « Je peux vous confirmer une chose, c’est que si on ne paie pas chez Conti/Ryuk (dans le milieu de la cybersécurité, l’organisation de ransomware Conti est reconnue comme la même que celle qui se cache sous le nom de Ryuk, NDLR), on est publié », assure-t-il.

Une diffusion à tout vent que ne pouvait se permettre la Ville. Selon des témoignages concordants recueillis par Le Soir, une facture d'un peu plus d'un million d'euros a été réglée par la ville et par l’assureur au consultant. Ce dernier a ensuite versé une partie de ce montant en bitcoins au rançonneur. La négociation a permis de diminuer très fortement le montant de la rançon, d'autant plus que le cours du bitcoin était très bas durant l'été (1). Interrogés, Ethias et Northwave n’ont pas donné suite. Le bourgmestre, Willy Demeyer, n’a pas souhaité s’exprimer sur l’éventuel paiement d’une somme d’argent. En tout état de cause, une plainte a été déposée auprès de la police fédérale, une information judiciaire a été ouverte. « Une dizaine de dossiers de ce type ont été ouverts dans l’arrondissement », précise le procureur liégeois, Philippe Dulieu.

Diffusion de données sensibles

En revanche, refuser de payer la rançon – celle-ci est toujours exigée en crypto-monnaie – peut avoir des conséquences dramatiques. Témoin, cette société immobilière bruxelloise attaquée durant l’été par AvosLocker, un ransomware apparu au début de cet été. Contacté par Le Soir, son gestionnaire informatique reconnaît s’être fait piéger. Il s’agirait même de la deuxième attaque subie par l’entreprise.

« Payer une rançon ? C’est hors de question » affirment cependant en chœur service informatique et direction de l’entreprise. Quant à l’exfiltration possible de données, ils disent tout en ignorer. « Il n’y avait rien sur nos serveurs qu’il serait dangereux de laisser traîner en ligne. » Avant d’ajouter, non sans une étonnante insouciance : « Nous n’avons d’ailleurs pas jugé utile d’effectuer des recherches pour nous en assurer. » Mais selon des documents découverts par Le Soir, des données de l’immobilière sont bien présentes en ligne. Parmi celles-ci, des listes de mots de passe, des factures, des listings destinés à la comptabilité (2). C’est le sort réservé aux « mauvais payeurs », histoire de mettre une pression maximale sur les autres victimes.

Les hôpitaux, des cibles de choix

Les attaques sont souvent aveugles et même le secteur des soins de santé n’est pas épargné. Si quelques organisations criminelles comme AtomSilo préviennent sur leur plateforme qu’elles ne s’attaquent pas aux hôpitaux ou aux infrastructures critiques – celle-ci prétend même assurer un décryptage gratuit aux victimes de ce type ayant été frappées à l’aide de son logiciel –, la plupart ne s’attardent pas sur de telles considérations. Au contraire, le contexte de la crise sanitaire a plutôt offert un climat plus que favorable pour viser ces cibles, dont l’organisation était déjà suffisamment mise à mal. Plusieurs hôpitaux belges en ont fait la sinistre expérience. Rien que cette année, la Heilige Hartziekenhuis de Mol, la Clinique Saint-Luc de Bouge ou encore la clinique André Renard de Herstal (laquelle avait déjà été visée en 2019) ont été mises à terre durant plusieurs jours par des attaques.

Mais le Centre hospitalier de Wallonie picarde (Chwapi) de Tournai est, avec ses 2.700 collaborateurs, la plus importante cible hospitalière connue à ce jour en Belgique. Une attaque y a été lancée le soir du 17 janvier 2021, à une heure où les effectifs étaient très limités. Preuve que les assaillants ne laissent rien au hasard. « Notre personnel de garde a reçu un appel, en l’occurrence pour un dysfonctionnement sur l’imagerie médicale. Un appel, deux appels, dix appels, 20 appels. Rapidement il y a eu un emballement, », se souvient Jacques Godart, directeur informatique du Chwapi.

Ce soir-là, il décide de faire débrancher manuellement les serveurs pour sauver ce qui peut l’être – un peu moins d’un tiers des systèmes finiront malgré tout compromis. Le réseau informatique du Chwapi plonge dans le noir et, avec lui, c’est toute la chaîne médicale qui flanche. « On a dû prendre la décision d’activer notre Plan d’urgence hospitalier, ce qui a eu un impact direct sur le service d’hospitalisation. Dès cet instant, le trafic des ambulances a été dévié vers d’autres hôpitaux, et on est passé en service minimum. »

Dès le lundi, des opérations « non urgentes » sont postposées. Dans la tornade, tout ne s’est heureusement pas envolé : les serveurs contenant les données des patients n’auraient pas été compromis, assure la direction.

Débrouille à l’heure du covid

Des informations importantes ont-elles néanmoins été exfiltrées depuis les serveurs de l’hôpital ? Jacques Godard affirme que des fichiers dans lesquels se trouvait la demande rançon n’ont été découverts que quelques jours plus tard sur les systèmes endommagés, une fois passé l’orage. Dans l’intervalle, « notre politique a très vite été de se dire que l’on avait la capacité de remettre en place nos systèmes sans entrer en conversation avec les personnes qui nous avaient fait du mal », poursuit-il.

Mais le prix à payer pour s’abstenir de renflouer le portefeuille des rançonneurs est lourd. Si les premières applications médicales mises à terre ont été restaurées après quelques jours, les services administratifs ont dû travailler « à l’ancienne » durant plusieurs mois. « On est resté sans connexion internet jusqu’avril », continue le directeur informatique. « C’est énorme, alors que l’hôpital est un système complètement dépendant des communications avec le reste du monde. On utilisait la 4G et des clés USB. On était en période covid et on devait envoyer de cette manière des éléments de tests à l’établissement d’analyse à Charleroi. » Près d’un an après les faits, la situation esquisse un retour à la normale – quelques programmes moins importants n’ayant pas encore été restaurés. Des investissements en matière de cybersécurité ont par contre été consentis entre-temps.

Des assurances sur-mesure

Ce n’est que depuis 2016 que les statistiques fédérales répertorient spécifiquement les plaintes déposées pour « attaque au ransomware ». De 239 faits rapportés à la police en 2017, ces chiffres n’ont fait que décroître linéairement pour atteindre les 124 occurrences en 2020 – une courbe qui sera sans doute brisée en 2021, alors qu’au premier trimestre de l’année, on comptabilise déjà 43 faits. Une tendance paradoxale, là où les cas « lourds » semblent n’avoir jamais autant fait les gros titres que cette année. « Les chiffres en question ne sont pas le reflet de la réalité », note à ce titre Olivier Bogaert, de la FCCU. « Parce qu’il y a énormément de structures qui ne déposent pas plainte ou ne le signalent pas », surtout lorsqu’elles décident de payer. Autrement dit, ce qu’on appelle le « chiffre noir » seraient nettement supérieur.

Plus généralement, les plaintes pour des actes de criminalité informatique ont, pour leur part, explosé en dix ans : les chiffres de la police fédérale font état d’un bond de 150 % entre 2011 et 2020.

De quoi pousser les assureurs à s’adapter. Axa, par exemple, a créé une offre sur-mesure pour les très petites entreprises, les indépendants et les professions libérales. « Mais notre politique est, le cas échéant, de ne pas intervenir dans le paiement d’une rançon », intervient Pierre-Alexandre David, expert produits. « Pour plusieurs raisons, notamment parce que ce paiement ne garantit pas que les données seront décryptées ou ne seront plus attaquées par la suite. Pour des raisons éthiques aussi : nous ne savons pas où va cet argent, nous ne voulons pas financer des activités criminelles. »

Bâloise Insurance, par contre, peut intervenir dans le paiement de cette rançon, mais le montant est plafonné à 25.000 euros. « Nous voulons aider notre client dans une telle situation mais nous avons imposé cette limite pour ne pas supporter des économies criminelles », précise Bert Vander Elst, au service commercial.

Chez Zürich Insurance, Lennard Wit, responsable des contrats cyber, explique que si cette compagnie suisse « ne paye pas de rançon au nom du client », elle peut par contre procéder à un remboursement de ce qui a dû être payé, « sur une base sélective et selon les conditions générales de la police, à condition bien sûr qu’un tel remboursement soit autorisé par la loi. »

Reste, conclut l’Union professionnelle des entreprises d’assurance, qu’il n’est pas possible de développer une radiographie belge de ce secteur « cyber » : « L’existence de la souscription de tels contrats est confidentielle », explique le porte-parole d’Assuralia, Nevert Degirmenci. « Une entreprise n’a pas intérêt à communiquer la souscription d’une telle assurance et encore moins le plafond assuré. »

(1) Ce passage du texte a été édité lundi en fin de journée afin de prendre en compte de nouveaux éléments précisant les modalités du paiement de la rançon.

(2)  Le Soir a alerté l’entreprise plusieurs jours avant la publication de ce dossier, en lui recommandant de changer tous ses mots de passe si ce n’était déjà fait.