Les agences d’architecture sont les cibles privilégiées de maîtres chanteurs dématérialisés qui n’ont cure de la qualité architecturale. Le ransomware – rançongiciel ou crypto-maliciels en français – est pour les agences comme une vilaine grippe : on est à plat pendant quelques jours et on s’en remet. Mais la poussée de fièvre peut faire des dégâts et le virus est contagieux. Radioscopie.
Plusieurs attaques récentes à Paris dans des agences d’architecture, qui ne s’en vantent pas, viennent rappeler que les ‘ransomware’ sont en pleine prolifération. Le modus operandi est toujours le même : soudain plus un ordi de l’agence ne fonctionne, plus d’accès aux fichiers, aux mails. «On clique sur tous les documents, il n’y a rien qui s’ouvre, toutes les extensions sont changées et cryptées. Ils ont même niqué le disque externe !», commente un architecte parisien !
Pour une agence paralysée un lundi matin, le désarroi est total, souvent l’occasion de s’apercevoir que «le mec qui gère l’informatique» est complètement dépassé. Panique à bord ! Une seule fenêtre de commande reste ouverte : «Please sign».
Pour recouvrer un fonctionnement normal, il faut casquer, oh pas trop cher, entre 0,5 et 3 bitcoins, soit entre 4 000 et 7000€ selon le cours du bitcoin, pour que l’opération ne fasse pas trop mal et cicatrise rapidement.
L’émotion du premier jour passée, et l’impuissance laissant place à la détermination, demeure une équation économique difficile à résoudre. La tentation est grande de payer, ne serait-ce que pour gagner du temps (il faut en moyenne 23 jours pour se relever totalement d’une attaque par ‘ransomware’**).
Chacun sait bien que ce n’est pas la bonne méthode, que les escrocs vont revenir, mais bon, comme l’explique un architecte philosophe dont l’agence a connu, sans gravité, une telle infection, «c’est comme un dos-d’âne sur la route».
Il faut dire que porter plainte – c’est généralement le cas quand la rançon est trop élevée, explique la police, blasée – est une autre galère : «On te donne un numéro à Maisons-Alfort et un fonctionnaire qui en a vu d’autres t’explique ‘que vous êtes plein dans votre cas’» avant de conseiller d’attendre une dizaine de jours «et tout ira bien». De fait, la patience tend à payer, si l’on peut dire, les fichiers étant le plus souvent restaurés au bout d’un (long) moment sans trace de paiement. Bon, pour ne pas se cogner les relances agressives, il vaut mieux éteindre l’ordinateur.
En tout état de cause, indiquent les pandores, même après avoir payé, passé l’humiliation, il demeure pertinent de porter plainte, ne serait-ce qu’à fins d’études. Vous ne serez pas poursuivis et vous aiderez peut-être à arrêter les moins bons des détrousseurs.
Certes les mesures de protections sont connues, le principal vaccin étant de multiplier les copies sur différents vecteurs non reliés entre eux. Mais, comme le relève un architecte, dont l’agence fut frappée la même semaine que Renault, «si même Renault ne parvient pas à se protéger, il y a une limite à ce que nous pouvons faire au niveau de l’agence : avant nous avions Avast gratuit, depuis nous avons pris la version pro à 11,50€ par mois», se marre-t-il.
De fait, une entreprise peut mettre en place toutes les mesures de sécurité connues et inconnues, il demeure que l’humain est, comme d’habitude, le maillon faible. Ainsi que le rapporte le site L’informaticien en octobre 2017, le ministère des Finances avait lancé une vraie-fausse campagne de ‘phishing’, afin de sensibiliser à la cybersécurité les 145 000 agents de Bercy et les agences indépendantes rattachées au ministère. Les expéditeurs des mails s’appelaient Jean-Baptiste Poquelin, Thérèse Desqueyroux ou Emma Bovary et proposaient de faire gagner des places de cinéma. En deux heures, 30 000 personnes avaient cliqué, soit presque 21% du total ! Hello Armageddon si les fonctionnaires du ministère de la Défense veulent se faire une toile !
Se pose d’ailleurs la question de l’assurance. Elles sont déjà plusieurs compagnies à proposer des prestations de ce type. Mais peut-on s’assurer contre le kidnapping et le viol des données ? De plus, pour les entreprises concernées, quel coût annuel pour cette assurance rapporté à une hypothétique demande de rançon de faible montant ? Et une assurance qui couvre quoi ? Le montant de la rançon ? Toutes les heures perdues par les salariés et collaborateurs ? Les dommages collatéraux tel un concours non rendu à temps ? Combien pour le préjudice moral et le stress ? Et si c’est un collaborateur distrait à l’origine de la contamination ?
En tout cas, dès 2016, le commissaire François-Xavier Masson, chef de l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication, indiquait dans une interview au Monde (juillet 2016) que les agences d’architecture, au même titre que les cabinets de notaires et d’avocats étaient des cibles privilégiées. Au moins les cybercriminels s’intéressent à l’architecture et croient encore que les architectes sont des notables.
D’ailleurs comment les hackers choisissent-ils les agences ? Comment évaluent-ils les tarifs à appliquer (entre 0,5 et 3 bitcoins, il y a de la marge) ? Ils lisent le book de l’agence ? Ou c’est juste aléatoire ? Peut-être que les algorithmes fonctionnent par ordre alphabétique. Tous les A, puis les B, etc. Du coup Peter Zumthor n’en saura peut-être jamais rien ! Et puis, les rançonneurs se repassent-ils les adresses des bons payeurs, comme le numéro d’une fille (ou d’un homme) facile ? En tout cas ils aiment le rouge.
Au moins les architectes et les notaires peuvent se dire qu’ils font partie intégrante d’un nouveau marché florissant puisque selon Cybersecurity Ventures, cité par le magazine spécialisé MagIT, la facture mondiale des rançongiciels devrait dépasser 5 Md$ en 2017, contre seulement 325 M$ en 2015. Dans moins de deux ans, le chiffre d’affaires pourrait atteindre plus de 11,5 Md$ par an, soit l’équivalent du montant des contrats signés par Emmanuel Macron lors de sa visite au Qatar en décembre 2017. Ou celui du bénéfice de Samsung la même année.
Voilà donc une ‘booming’ industrie ! A tel point que la 3ème édition du baromètre annuel du CESIN*** (Club des experts de la sécurité de l’information et du numérique) précisait en janvier 2018 que «73 % des [142] entreprises [ayant répondu à l’enquête] ont fait face à une ou plusieurs demandes de rançons, que 38 % ont subi une fraude externe et 30 % un vol d’information. Enfin, 25% ont été touchées par des attaques en déni de service et 16 % par une défiguration de site web».
Comme tous les marchés, celui-ci d’évidence se diversifie et se démocratise. Après les entreprises, les particuliers sont également touchés par ces nouveaux bandits de grands chemins qui ne risquent même plus de se prendre un coup de rapière en travers de la figure.
D’autant que ces logiciels malveillants se revendent désormais de moins en moins chers sur des marchés parallèles, à des escrocs de moins en moins habiles et faisant de plus en plus de dégâts, que la rançon soit payée ou pas.
Bientôt, il y aura les ‘ransomware’ du pauvre, avec paiement sans contact. Pour rentrer chez soi, 1€ pour débloquer le code de l’entrée, 1€ pour faire repartir le frigidaire plein d’électronique, 3€ pour l’eau chaude (un ‘ransomware’ reçu au bureau deux heures avant de rentrer chez soi un soir d’hiver) sinon 1€ par jour pour avoir de l’eau potable en été.
Chacun sait que les voitures bardées d’électronique peuvent être ‘hackées’ : «Vo voulé allé travaillé, nous conprenont bein, 10€ pour démaré la voitur. Please Sign !» Idem partout où il y a des codes-barres : pour prendre le train, faire un passeport, la caisse de la boulangère… «Please sign».
L’avenir électronique s’annonce aussi infesté de virus et de saloperies que l’étaient les culs de basses-fosses et cloaques du Moyen Age. Le progrès, c’est bien, le maillon faible, c’est l’humain.
Ce n’est pas d’ailleurs pas comme si le système était innovant. Il fut un temps quand, à l’hôpital, pour regarder la télé, il fallait mettre des pièces. Cela s’appelle aujourd’hui le forfait jour. Sur la route, cela s’appelle un péage. Il y a donc de l’espoir, encore vingt ans de tout numérique et ce racket sera passé dans les mœurs, comme l’abonnement au téléphone.
En attendant, si Jean-Baptiste Poquelin vous propose des places de théâtre…
Christophe Leray
* Selon une étude d’Accenture, citée par MagIT (Novembre 2017)
**MagIT cite une étude aux Etats-Unis de l’institut Ponemon pour Barkley indiquant que près de 65 % des entreprises ont payé une rançon dont le montant moyen s’élevait à environ 3 000€ (3 675 $). Une étude de Trend Micro publiée à l’automne 2016 indiquait pour sa part que 50% des entreprises françaises payaient la rançon.
***Baromètre annuel de la cybersécurité des entreprises. Enquête OpinionWay pour le CESIN réalisée en ligne du 21 novembre au 27 décembre 2017 auprès de 142 membres du CESIN.