Le Centre de services scolaire des Appalaches ciblé par un rançongiciel

Le Centre de services scolaire des Appalaches (CSSA) est confronté à une attaque par rançongiciel après une cyberintrusion survenue la semaine dernière. Le groupe INC Ransom prétend via un portail du Web caché [dark web] avoir obtenu 180 Go de données de l’organisation.

Une alerte a été publiée sur X [anciennement Twitter], le mercredi 3 septembre vers midi, par le compte ThreatMon Ransomware Monitoring, une plateforme de renseignements sur les menaces en ligne. Elle désigne la Commission scolaire des Appalaches en tant que victime de ce groupe de pirates informatiques. Rappelons que c’est la deuxième fois en moins de dix ans que l’organisation est l’objet d’une cyberattaque.

Le directeur général du CSSA, Jean Roberge, a indiqué au Courrier Frontenac ne pas disposer pour l’instant du montant qui serait réclamé, tout en confirmant qu’il s’agissait bien d’une attaque par rançongiciel. Selon lui, l’organisation et ses partenaires sont en contrôle de la situation et ne sont pas surpris puisque cela fait partie de la stratégie des pirates. Ils savaient depuis la semaine dernière qu’un tel scénario était possible.

Il a précisé que le contrôle des serveurs avait rapidement été repris à la suite de la cyberintrusion. « Comme je l’avais dit la semaine dernière, on a travaillé pour que la rentrée scolaire se tienne comme celle des années passées. On a réussi de ce côté. […] Ce qu’on vit en ce moment, ce sont les contrecoups de cette attaque. »

Le centre de services scolaire est accompagné par des experts du ministère de la Cybersécurité et du Numérique (MCM), du Centre opérationnel de cyberdéfense (COCD) ainsi que par des firmes spécialisées. Des analyses sont en cours afin de vérifier les affirmations des pirates entourant les données qu’ils détiendraient et d’en évaluer les impacts. Aucune négociation n’est prévue en ce moment.

Concernant les questions et les inquiétudes que les employés, parents et élèves pourraient avoir, M. Roberge a souligné que l’organisation veillera à maintenir des communications efficaces afin de les tenir informés de l’évolution des analyses au cours des prochains jours ainsi que des prochaines semaines.

Le CSSA a par ailleurs assuré que toute exfiltration de données sensibles, le cas échéant, serait immédiatement communiquée avec les personnes concernées et des mesures de protection personnalisées seraient mises en place, en conformité avec les obligations de l’organisation.

Enfin, une évaluation globale de l’incident devra être réalisée afin de comprendre ce qui n’a pas fonctionné malgré les mesures de sécurité ayant été renforcées depuis l’attaque de 2016.

Des données sensibles pourraient avoir été exposées

Selon le consultant en cybersécurité Steve Waterhouse, comme ce fut le cas en 2016, les pirates sont parvenus à s’installer dans le système informatique de l’organisation. M. Waterhouse est aussi chargé de cours au microprogramme en maîtrise de l’Université de Sherbrooke en sécurité de l’information, ancien officier de sécurité informatique au ministère de la Défense nationale et ancien sous-ministre adjoint à la sécurité de l’information gouvernementale et à la cybersécurité du Québec.

D’après les informations divulguées par INC Ransom, environ 70 % de ce qu’ils auraient soutiré contiendraient des données personnelles d’importance concernant les élèves et les employés, des documents financiers, des documents légaux ainsi que des signatures. Des échantillons de ces données auraient été mis en circulation sur le Web caché et ceux-ci comporteraient notamment des photos de passeports, de permis de conduire et de spécimens de chèque. Une autre partie, environ 20 %, serait composée de documents scolaires et administratifs.

M. Waterhouse a expliqué que la mise en circulation sur le Web caché d’un échantillon des données vise à démontrer la véracité de ce que les rançonneurs ont réussi à soutirer et qu’ils sont sérieux. Il a de plus affirmé qu’il est essentiel d’informer les personnes susceptibles d’être touchées puisqu’elles pourraient être victimes d’une cyberattaque à leur tour.

Cela s’est déjà vu qu’une entité publique paie un montant afin de récupérer ses données, a-t-il soutenu en citant l’exemple de la MRC de Mékinac en 2018. « Dans le cas du centre de services scolaire, je ne sais pas s’il y aura un paiement de rançon, mais ça me surprendrait parce que ce n’est pas dans l’approche du gouvernement. »

La conséquence pourrait alors être une fuite des informations sur le Web pouvant mener à des vols d’identité. M. Waterhouse a mentionné que lorsque cela arrive à des compagnies privées, comme on l’a vu avec Desjardins, les victimes se voient offrir une surveillance de dossier de crédit pour un certain temps. « Est-ce que ce sera le cas avec le gouvernement ? Je ne le sais pas, mais ce serait peut-être de bon augure parce que lorsque des fraudes surviennent, le fardeau de la preuve revient aux victimes, autrement dit, aux citoyens dont les informations personnelles ont été compromises. »

Il a ajouté que si la fuite se confirmait, les personnes touchées devraient entreprendre des démarches afin de protéger leurs données financières.