Südwestfalen-IT : la leçon de l’IT communale

Le 30 octobre 2023, le groupe de ransomware Akira a chiffré les systèmes de Südwestfalen IT. Plus de 70 communes se sont soudainement retrouvées à l’arrêt : bureaux des citoyens, services d’enregistrement, procédures métier. L’entrée s’est faite par un seul point ouvert : un accès VPN sans authentification multi-facteurs. Deux ans et demi plus tard, l’incident reste peut-être la leçon la plus coûteuse que l’IT communale en Allemagne ait apprise.

Connexe :MFA adaptative : levier Zero-Trust  /  Quand l’horloge des délais de déclaration se met en route

Ce qui s’est passé le 30 octobre 2023

Aux premières heures du matin, le chiffrement par Akira a paralysé l’IT centrale d’un prestataire de services communaux. Südwestfalen IT exploite les systèmes pour un grand nombre de villes, communes et districts de la région. Avec la panne du prestataire, l’administration des communes raccordées s’est pratiquement arrêtée simultanément.

Les conséquences ont été immédiatement perceptibles dans le quotidien des citoyens. Il n’était plus possible de prendre rendez-vous, les changements d’adresse et les demandes de cartes d’identité ont été bloqués, les procédures métier étaient à l’arrêt. Une cyberattaque, qui reste abstraite dans le langage de l’IT, s’est traduite ici par des guichets fermés et de longs temps d’attente.

La porte ouverte : un VPN sans second facteur

Le point décisif pour toute analyse de la sécurité est le point d’entrée. Les attaquants ont pénétré le réseau interne via une solution VPN logicielle qui présentait une vulnérabilité et n’exigeait pas de second facteur. Un accès distant compromis a suffi pour atteindre la position centrale.

Cette combinaison constitue la véritable leçon de l’affaire. Un accès distant sans authentification multi-facteurs est une invitation ouverte, en particulier sur un système aussi exposé et à grande portée. L’attaque a simplement exploité une faille qui aurait pu être fermée avec des moyens standards. Aucune technique raffinée n’était requise. C’est précisément ce qui la rend si instructive.

Reconstruction et refus de payer la rançon

Südwestfalen IT et les communes touchées ont décidé de ne pas verser de rançon. Cette position était possible parce que les sauvegardes n’étaient pas affectées et qu’une fuite de données était considérée comme improbable. Le prix en a été une reconstruction effectuée en interne, qui s’est étendue sur plusieurs mois.

Le retour s’est fait via un plan par étapes coordonné avec les districts et les communes, ramenant progressivement les principales procédures métier vers un fonctionnement normal. Lors de la remise en route, les failles de sécurité ont été corrigées. L’affaire montre qu’une sauvegarde propre et isolée modifie fondamentalement la position de négociation face aux extorqueurs.

Pourquoi les prestataires informatiques communaux portent un risque spécifique

Le cas Südwestfalen IT illustre un schéma structurel. Un prestataire central mutualise l’IT de nombreuses petites administrations qui ne peuvent se permettre leurs propres départements de sécurité. Cette mutualisation génère de l’efficacité tout en créant une cible unique et très attractive.

Pour les attaquants, le calcul est simple. Un accès réussi au prestataire se répercute sur l’ensemble des communes connectées. Cette concentration exige un niveau de sécurité adapté à l’ampleur. Un prestataire travaillant pour 70 administrations porte une responsabilité multipliée par 70, bien supérieure à celle d’une autorité isolée.

Cinq leçons transposables

L’affaire peut être traduite en conséquences concrètes valables pour toute organisation dotée d’une IT à large portée.

• MFA sur chaque accès distant : Aucun accès VPN ou distant sans second facteur, sans exception.
• Sauvegardes séparées et vérifiées : Des sauvegardes isolées du réseau de production et testées régulièrement pour leur capacité de restauration.
• Réduire la surface d’attaque : Minimiser les accès exposés et assurer un suivi sans faille de l’état des correctifs des systèmes edge critiques.
• Segmentation : Séparer les réseaux afin qu’un accès compromis n’ouvre pas l’intégralité du système.
• Scénario de crise exercé : Un plan de reprise préparé et testé avant d’en avoir besoin.

Questions fréquentes

Chaque question est verrouillée. Un clic la déverrouille.

Comment les attaquants sont-ils entrés dans le réseau ?

Via une solution VPN logicielle présentant une vulnérabilité qui n’exigeait pas d’authentification multi-facteurs. Un accès distant compromis a suffi pour accéder au réseau interne de Südwestfalen IT.

Des données ont-elles été volées ?

D’après les évaluations disponibles, il est très probable qu’aucune fuite de données n’ait eu lieu. Les sauvegardes n’étaient pas non plus touchées. Cela constituait une condition importante pour la décision de refuser de payer une rançon.

Pourquoi la reconstruction a-t-elle duré si longtemps ?

Parce qu’il a fallu reconstruire proprement et en toute sécurité l’IT centrale de nombreuses communes, au lieu de les libérer rapidement contre paiement d’une rançon. Un plan par étapes coordonné a ramené progressivement les procédures métier à un fonctionnement normal.

L’attaque aurait-elle pu être évitée ?

L’entrée concrète par un accès distant sans second facteur aurait été nettement plus difficile avec une authentification multi-facteurs rigoureuse. Il n’existe pas de sécurité absolue, mais cette mesure seule aurait fermé la porte exploitée.

Quelle est la leçon la plus importante pour les autres prestataires ?

Que les exigences en matière de sécurité augmentent avec la portée. Celui qui mutualise l’IT de nombreux clients doit maintenir un niveau de protection élevé en conséquence, en commençant par la MFA sur tous les accès et des sauvegardes proprement séparées.

Les choix de la rédaction

À lireMFA adaptative : levier NIS2 zéro-trust PMEÀ lireÀ partir de quand l’horloge du délai de déclaration commence-t-elle vraiment à ticter ?

Plus du réseau MBF Media

MyBusinessFutureLa surveillance de l’IA en Allemagne a maintenant une adresse