La cybercriminalité n'épargne pas les entreprises de l'automobile

Au matin du 12 août 2021, c’est une journée classique qui débute dans les rangs de Solware, développeur de logiciels pour les secteurs de l’automobile et du médico‑social. Il est environ midi lorsque l’administrateur de l’entreprise est surpris par un défaut informatique. Un premier serveur ne répond plus. Il est très vite suivi d’un second affichant un fichier nommé Readme.txt. En ouvrant ce dernier, l’administrateur découvre ce message : "Vos données ont été cryptées, vous êtes victime d’un rançongiciel, veuillez contacter notre équipe via le lien suivant." En quelques minutes, il va s’étendre à la totalité des serveurs. Les données de sauvegarde ont été supprimées, celles internes, ainsi que celles des 1 500 garages clients ont été cryptées.

"À ce moment‑là, nos applications ne fonctionnent plus, au même titre que le site Internet, les messageries, ainsi que le téléphone, ce qui nous coupe de toute communication", raconte Gérald Ferraro, président de Solware. Plus tard, sur le darknet, les cybercriminels entament une conversation avec l’entreprise au sujet de la rançon en échange des données cryptées.

Les cyberattaques, risque numéro 1 mondial

Solware vient donc de subir un rançongiciel, un vecteur d’attaque qui a connu une hausse de 435 % sur l’année 2020 dans le monde. Le principe est simple, les cybercriminels s’infiltrent dans les serveurs et cryptent les données. Ils entrent alors en contact avec l’entreprise victime pour demander une rançon en échange de ces données. Entre le rançongiciel et le phishing (technique passant par l’envoi de mails ou de SMS usurpant l’identité d’un tiers et poussant le destinataire à réaliser une action) qui représente 73 % des attaques, les menaces se multiplient pour les entreprises. Les cyberattaques sont identifiées comme le risque numéro 1 mondial et comme le deuxième en France.

A lire aussi : Victime d’un ransomware, Solware rompt la loi du silence

Dans l’Hexagone, selon une étude OpinionWay pour le CESIN, 54 % des entreprises ont déjà subi entre une et trois attaques. "La question n’est pas de savoir si une attaque va se produire, mais plutôt quand", déclare Philippe Barrault, président de Clas Équipements. Ce dernier est bien placé pour aborder le sujet, il a déjà été victime à deux reprises. "Nous avons essuyé deux attaques de type rançongiciels. L’une il y a 6 ans et l’autre en octobre 2021", explique‑t‑il. Celui‑ci ajoute, "Un collaborateur a observé sur un serveur de nouveaux dossiers se créer en direct live. L’alerte a été lancée, nous nous sommes mis en mode blockhaus, tout est débranché pour éviter la propagation du potentiel virus. À ce moment‑là, nous avons mis la plupart des collaborateurs au chômage technique, car plus rien ne marchait, l’activité de l’entreprise s’est alors arrêtée."

Une attaque à 3 millions d’euros

Sur les deux attaques, Clas Équipements a évité la rançon. Aucune donnée n’a été perdue grâce aux sauvegardes stockées de manière invisible au sein du réseau. Un procédé efficace mais handicapant pour les salariés qui travaillent quotidiennement sur les serveurs. L’arrêt de l’activité causé par les attaques a impacté le chiffre d’affaires de l’entreprise à hauteur de 500 000 euros.

Même finalité pour l’attaque subie par Solware : "Nous sommes entrés en contact avec les cybercriminels via des chats sur le darknet. Il s’est alors passé un phénomène inexpliqué, les données qu’ils avaient, soit leur monnaie d’échange, ont été supprimées. Nous n’avions donc ni les sauvegardes, ni aucune donnée. À partir du 14 août, nous avons compris que nous n’avions plus rien et eux non plus. Il n’y avait alors aucune raison de payer la rançon."

La reconstruction de l’entreprise, les tentatives de récupération des données auprès de sociétés spécialisées, ainsi que le redéploiement des réseaux ont coûté environ 1 million d’euros à Solware. L’entreprise a repris une activité (presque) normale le 15 septembre, soit plus d’un mois après. Le manque à gagner est estimé à 2 millions d’euros.

Briser le silence pour mieux se défendre

Dans certains cas de cyberattaque, les entreprises préfèrent garder le silence pour éviter de nuire à leur image de marque et conserver la confiance de leurs clients et partenaires. Dans les deux exemples précédents, les dirigeants ont directement brisé le silence. Gérald Ferraro déclare : "Être mis au courant sur ce phénomène avant nous aurait beaucoup aidés. Dès le mois d’août, j’ai appelé mes concurrents directs pour les prévenir de ce qui nous était arrivé, de ce que nous aurions pu faire de simple pour mieux nous protéger. Ils m’ont remercié et certains se sont même renforcés depuis, présente‑t‑il. Se protéger à 100 % est impossible mais réduire les conséquences des attaques reste faisable. J’ai également réalisé une conférence devant une cinquantaine de pays pour prévenir de ces risques."

De son côté, Philippe Barrault est déjà intervenu dans plusieurs tables rondes à ce sujet : "Les premières fois que je suis monté sur scène pour raconter comment nous nous étions fait avoir, nous étions encore en pleine reconstruction. Je ne cache pas être attristé et ému par la situation de ces gens dont le travail fait vivre leur famille et qui se retrouvent à rester chez eux à cause du chômage technique découlant de ces attaques. Il faut en parler pour éviter les conséquences désastreuses que cela provoque. Nous avons le pouvoir de limiter les ondes de choc. Le message est toujours plus percutant quand il vient du voisin, nous nous sentons plus concernés. Il faut prendre conscience qu’une attaque peut ruiner une entreprise en peu de temps."

A lire aussi : Akerva et 2Spark sensibilisent les équipes aux enjeux de la cybersécurité

En effet, les 54 % des entreprises françaises ont déjà subi entre une et trois cyberattaques. conséquences peuvent être catastrophiques pour les sociétés. Olivier Piquet, directeur général de Lise Charmel, distributeur français de lingerie, déclarait après avoir été victime du phénomène : "Une cyberattaque peut faire couler une boîte en 24 h."

Les conséquences sur l’entreprise ciblée sont variables selon les différents cas, comme l’explique Michel Gérard, président de Conscio Technologies, société spécialisée dans la sensibilisation à la cybersécurité : "Les PME sont les plus exposées aux conséquences graves et aux rançongiciels. La gravité dépend de l’ampleur de l’attaque, mais certaines PME ne s’en remettent jamais. Au niveau des grosses entreprises, elles sont souvent mieux armées financièrement pour y faire face, mais cela coûte cher en termes de réparation et de récupération. En fonction du type de piratages, c’est toujours plus ou moins difficile de s’en sortir. Il n’y a pas de zones protégées pour les cyberattaques que ce soit au niveau géographique ou au niveau de la taille. Tout le monde est concerné."

La France, terre de start‑up spécialisées dans la cybersécurité

Ces enjeux majeurs, Jean‑Noël De Galzain les a bien intégrés. Ce dernier est fondateur de Wallix, leader européen des éditeurs de logiciels de cybersécurité, mais aussi président de Hexatrust, groupement d’entreprises innovantes pour la cybersécurité. Il est également pilote du projet Cyber & IOT du comité stratégique de filière sur la cybersécurité, ainsi que le créateur de Cyber Impact, fonds d’investissement dans les pépites de la sécurité. "En France, nous avons un écosystème absolument phénoménal de start‑up spécialisées dans la cybersécurité avec un potentiel mondial. Mon rêve est de faire de la France une terre leader de la protection informatique en Europe", déclare Jean‑Noël De Galzain.

L’entrepreneur met l’accent sur le secteur de l’automobile qui connaît un accroissement de la digitalisation des véhicules : "Aujourd’hui, il y a une urgence liée aux voitures vis‑à‑vise la cybersécurité. Les véhicules augmentés que nous connaissons nécessitent une fiabilité numérique totale. Les modèles de demain seront des objets connectés en proie aux attaques. Au même titre que les données personnelles ou non personnelles collectées par l’usage de ces automobiles qui seront un véritable Graal pour les entreprises capables de les protéger correctement. En tant qu’acteur de la cybersécurité, Wallix deviendra un équipementier automobile au même titre que d’autres plus classiques. Nous serons, par exemple, les fournisseurs d’airbags dans l’aspect numérique des choses. Nous pourrions imaginer la même organisation que pour les normes écologiques sur les véhicules, ces derniers pourraient être soumis à des normes de cybersécurité qui les rendraient hors d’usage s’ils ne les respectaient pas."

A lire aussi : Les 6 commandements de la cybersécurité selon l'Acea

Pour les entreprises, il existe aujourd’hui des réglementations sur la protection des données comme le Règlement général sur la protection des données (RGPD) qui encadre le traitement des données personnelles sur le territoire de l’Union européenne et la norme de sécurité de l’industrie des cartes de paiement PCI DSS concernant les données des cartes bancaires. Mais également des normes dans lesquelles l’intégration de la notion du risque informatique est en cours. "Au sujet des sociétés, nous travaillons actuellement sur une offre de test des risques de tous les prestataires d’une entreprise. Quand celle‑ci mettra en place un contrat avec ses fournisseurs, elle pourra leur demander de tester leur niveau de cybersécurité pour s’assurer qu’elle ne fait courir aucun risque à ses clients", annonce Jean‑Noël De Galzain.

Les enjeux de la protection informatique sont de la responsabilité de tous au sein d’une entreprise, lorsque l’on sait que dans 73 % des cas, les pirates s’infiltrent dans les réseaux à l’aide de liens (phishing) qui sont ouverts par mégarde par les salariés. "Nous sensibilisons nos clients à faire prendre conscience à leurs collaborateurs des enjeux, des risques et à leur inculquer les bonnes pratiques en matière de cybersécurité", glisse Michel Gérard.

Un investissement pour le futur

En plus de préserver des différents risques, la protection informatique présente aujourd’hui de nombreux enjeux et opportunités, comme l’explique Dorothée Decrop, déléguée générale de Hexatrust. D’abord, il y a le moyen de se servir de sa politique de cybersécurité pour redéfinir des leviers de compétitivité. Celle‑ci peut accompagner un choix stratégique pour renforcer la proposition de valeur d’une entreprise, comme l’indique le rachat de Tanker par Doctolib.

Elle est également un marqueur d’une bonne organisation interne de ses processus et un facteur pour développer un environnement sécurisé et rassurant pour les sous‑traitants et différents partenaires. De plus, la cybersécurité fait partie des critères ESG (environnement, société, gouvernance). C’est une dimension essentielle de la gouvernance de la société, ainsi que de la responsabilité sociétale des entreprises sous l’angle de la protection contre le vol des données. À noter qu’en France, le budget moyen alloué à la cybersécurité est de 3 à 5 % des dépenses informatiques. Largement inférieur à celui aux États‑Unis (15 %) et en Israël (22 %). L’investissement d’une société dans ce type de protections doit être perçu comme un investissement en faveur du développement durable des organisations.

Trois questions à Dorothée Decrop

Quel est le rôle de Hexatrust ?

Nous sommes un groupement de start‑up, PME et ETI qui propose des solutions et services en matière de cybersécurité. Hexatrust représente aujourd’hui 80 acteurs de différentes tailles qui génèrent 1 Md€ de CA et tournés vers un écosystème innovant. Nous avons un accélérateur de start‑up pour accompagner les projets après incubation et aider les jeunes chefs d’entreprise à accélérer leur développement grâce à l’expérience de ceux qui sont déjà passés par ces étapes. Nous accompagnons nos membres afin de répondre aux enjeux de stratégie d’accélération de la filière définis par les pouvoirs publics qui ambitionnent de faire de la France la quatrième terre cyber au monde.

Comment atteindre cet objectif ?

Il est important que les entreprises françaises et européennes placent les sujets de sécurité et de souveraineté au coeur de leur gouvernance et se posent la question suivante : avec qui voulons‑nous travailler ? Afin de peser au niveau européen, il faut déjà peser dans son propre écosystème. Chaque entreprise possède donc un pouvoir de décision et peut apporter sa contribution à cette souveraineté dans le choix de ses partenaires.

Les Français ont‑ils conscience de l’importance de la cybersécurité ?

Il y a un vrai problème d’investissement en France. Aujourd’hui, la cybersécurité est indispensable au même titre qu’un airbag, un rétroviseur ou une ceinture de sécurité dans une voiture. Qui monterait dans un véhicule sans éléments de sécurité aujourd’hui ? Eh bien, la cybersécurité, c’est pareil ! C’est devenu la condition d’homologation de tout projet IT. Chaque projet doit être pensé comme « security » et « privacy by design » et le bon budget doit lui être dédié. La cybersécurité n’est pas un « nice to have » mais un « must have ».