Région Grand Est : un ransomware paralyse 80 serveurs

« De point de vue de l’Anssi, les collectivités territoriales sont au premier rang des entités ciblées », nous expliquait à l’occasion du FIC un agent de l’Anssi. Des inquiétudes fondées, comme en témoigne cette semaine la région Grand Est qui a vu ses systèmes informatiques paralysés par une attaque informatique. La nouvelle avait été confirmée sur son compte twitter par le président de la région Jean Rottner, qui indiquait hier que l’attaque était sous contrôle, mais qu’elle pouvait entraîner « des retards dans les réponses ».

« L’attaque a débuté le 14 février à minuit », nous explique Pierre Gundelwein, directeur du numérique de la région Grand Est. Le vendredi soir, les attaquants chiffrent au total 80 serveurs de l’administration de la région Grand Est, paralysant l’accès aux applications métiers ainsi qu’aux outils de bureautique mis à la disposition des employés. Les postes de travail des utilisateurs ne sont pas directement touchés, ce sont les serveurs qui ont été visés par les attaquants.

« Nous avons immédiatement mis en place une cellule de crise avec la direction générale, afin d’informer les différents directeurs et agents de l’évolution en faisant des points réguliers », poursuit Gundelwein, qui explique avoir pris contact avec l’Anssi ainsi qu’avec un prestataire privé de réponse à incident pour accompagner les équipes dans la résolution de la crise. L’administration du Grand Est a également pris contact avec la police judiciaire, dans l’optique d’un futur dépôt de plainte « et pour savoir quelles sont les traces importantes à garder dans le cadre de la procédure ».

Avancer avec prudence

Pour l’instant, aucune réelle demande de rançon n’a été communiquée aux victimes : seul un message automatisé s’est affiché sur les appareils infectés, indiquant plusieurs adresses e-mail à contacter pour récupérer les clefs de chiffrement. « On n’a de toute façon pas cherché à les contacter ou à payer la rançon, nous avions des sauvegardes à disposition pour rétablir le système », explique le directeur.

Les services sont progressivement remis en marche, mais « on avance avec précaution, car on fait face à une attaque complexe ». Le vecteur d’infection initial n’est pour l’instant pas connu et il est trop tôt pour s’avancer sur un potentiel vol de données, comme on a pu le voir dans le cas de Bouygues Construction. Il ne s’agirait en tout cas pas du même groupe que celui à la manœuvre chez Bouygues. L’administration préfère ne pas trop s’avancer sur la date exacte de remise en service des systèmes et explique « avancer avec prudence ».

Ce n’est pas la première fois qu’une collectivité locale est visée par ce type d’attaque. En France, on avait déjà vu l’exemple de l’agglomération Grand Cognac, touchée au mois d’octobre 2019. Outre-Atlantique, les attaques visant des municipalités importantes se sont multipliées au cours de l’année 2019. L’Anssi avait ainsi publié des documents à destination des maires et responsables informatiques des collectivités territoriales au début de l’année. Le sens du timing.