Après les attaques sur les deux plus importants opérateurs de télécommunications australiens Telstra et Optus, ce sont les données de millions de clients du plus large fonds d’assurance australien, Medibank, qui ont été mises en ligne.

Doit-on en conclure une augmentation du niveau de menace pesant sur l’Australie ?

Cette attaque remet aussi sur le devant de la scène à la fois le sujet du paiement des rançons mais aussi la question du niveau de protection global des sociétés critiques en matière de sécurité de l’Information, en particulier des données de santé.

L’analyse des incidents a pour objectif de sensibiliser la communauté sur les conséquences directes et indirectes de ce type d’attaque. Dans le cas de Medibank, les répercussions financières sont déjà très importantes et il est aujourd’hui difficile d’estimer le montant de la facture totale.

L’équipe CTI et le SOC/CERT, en collaboration avec les experts April et Vering proposent au travers de ce rapport de répondre à toutes ces questions avec :

• Une synthèse de la chronologie de l’attaque ;
• Une première analyse de l’impact financier à date ;
• Un éclairage sur le groupe d’attaque présumé responsable ;
• Une focus sur l’état de la menace en Australie et les conséquences sur les décisions institutionnelles.

Medibank, zoom sur l’Australie

Une cible de l’Asie-Pacifique

La réaction australienne : vers une adaptation de la législation

La réaction australienne s’observe à plusieurs niveaux : de nombreux acteurs prennent à présent conscience de l’importance de la sensibilisation aux enjeux cyber. Ces violations de données, qui sont fortement médiatisées, ont notamment incité le gouvernement australien à modifier ses lois en matière de protection des données.

Elles prévoient désormais des sanctions pécuniaires contre les entreprises pour violation de données pouvant aller jusqu’à 50 millions de dollars australiens (32,5 millions d’euros), le plafond actuel étant de 2,2 millions de dollars australiens (1,4 millions d’euros).

Les dernières grandes attaques contre Medibank ou encore Optus ont relancé le débat en Australie et certaines voix s’élèvent pour la pénalisation du paiement de la rançon, cela dans un but dissuasif et avec l’espoir de retirer l’Australie de la liste des cibles privilégiées par les attaquants. Cette mesure risque néanmoins d’avoir pour effet de voir des entreprises soucieuses de récupérer leurs données payer la rançon sans déclarer l’attaque. Un autre point de vue plus nuancé propose d’interdire non pas le paiement de la rançon mais plutôt le remboursement du paiement par les cyberassurances, cette mesure aurait un effet dissuasif en limitant les répercussions négatives.

Aujourd’hui, les entreprises ne sont pas légalement tenues de choisir une position spécifique. Néanmoins, la recommandation systématique des professionnels de la cybersécurité est de ne pas payer. Cependant, les orientations de la majorité des gouvernements ne vont pas vers la pénalisation du paiement. En France par exemple, le projet de loi d’orientation et de programmation du ministère de l’intérieur (LOPMI) sur la lutte contre la cybercriminalité a été adopté définitivement le 14 décembre 2022. Un des articles de la loi permet l’indemnisation des pertes et dommages des assurés, s’ils portent plainte maximum 72 heures après la découverte de la compromission.

Et en Europe

Christophe DIBON, expert risque cyber au sein de la société VRS Vering nous propose un point d’attention sur l’évolution de la directive NIS :

« Le 28/11/2022, la version 2 de la directive européenne Network and Information Security (NIS) a été adoptée.

L’évolution principale est l’extension du périmètre d’application aux secteurs suivants : la poste, le spatial, les administrations publiques et l’industrie pharmaceutique. L’objectif est d’améliorer la résilience des entreprises.

En effet, la majorité des vecteurs d’intrusion nous montrent une faiblesse des niveaux de protection alloués par les entreprises sur leur système d’information. Dans ce cadre elle impose de mettre en place des formations à la cyber-hygiène ainsi qu’à l’utilisation de la cryptographie et au contrôle des accès, sous peine de voir leur responsabilité engagée et de subir des amendes comprises entre 1,4% à 2% de leur chiffre d’affaires en cas de non-respect.

Les États membres auront 21 mois pour la transposer en droit national, la NIS 2 entrera donc en vigueur en 2024.