Après une cyberattaque ou un rançongiciel, laissez les ordinateurs touchés exactement comme ils sont, ne payez pas la rançon, ne répondez pas à l’attaquant et faites les appels : la police locale (le 911 si quelqu’un est en danger), votre cyberassureur et le service de signalement en ligne du Centre canadien pour la cybersécurité. Remplissez ensuite le formulaire de notre page d’urgence, et une personne prend le volet technique en main.
Les premières heures décident si l’on pourra montrer, plus tard, comment l’attaquant est entré. Effacer un ordinateur, le réinstaller ou restaurer une sauvegarde par-dessus détruit les journaux et les fichiers qui gardent la trace de l’intrusion, et la même porte reste alors ouverte pour la prochaine tentative. Le guide sur les rançongiciels du Centre canadien pour la cybersécurité compte la conservation des preuves et la documentation de chaque étape parmi les gestes d’intervention, et il demande de présumer que l’auteur de la menace est toujours sur le réseau dès qu’une intrusion est connue.
Isoler les systèmes touchés d’Internet et du réseau du bureau est la première mesure de confinement de ce guide. La façon de le faire sans perdre de preuves dépend du câblage de votre bureau, alors une personne vous guide pendant le rappel. Notez l’heure où le problème a commencé et ce qui s’est affiché à l’écran; chaque signalement qui suit demande ces deux renseignements.
Le Centre pour la cybersécurité laisse à chaque organisation la décision de payer et prévient que le paiement ne donne aucune assurance de récupérer les données ou les systèmes chiffrés. Son guide demande aux victimes de communiquer avec le service de police local avant même d’envisager de payer, rappelle que des attaquants payés peuvent quand même exiger plus d’argent ou copier, divulguer et vendre les données, et souligne que payer une rançon peut être illégal au regard des lois contre le terrorisme et le blanchiment d’argent.
Laissez aussi les messages de l’attaquant sans réponse. Une réponse lui apprend que quelqu’un lit et subit de la pression, et tout contact est une décision à prendre avec la police et votre assureur. Le même guide recommande un moyen de communication que l’attaquant ne peut pas atteindre, ce qui compte quand la boîte de courriel de l’entreprise est peut-être entre ses mains.
Si quelqu’un est en danger ou si un crime est en cours, composez le 911. Pour le cybercrime lui-même, appelez votre service de police local : le Centre pour la cybersécurité et le Centre antifraude du Canada dirigent tous deux les victimes d’abord vers la police locale, et le Centre antifraude reçoit aussi les signalements en ligne ou à son numéro sans frais.
Votre cyberassureur vient ensuite, par la ligne de réclamation indiquée dans la police. Certaines polices exigent un avis rapide et nomment les firmes d’intervention qu’elles acceptent de payer; un court appel protège donc la réclamation. Le Centre canadien pour la cybersécurité reçoit les signalements des entreprises et des organisations au Canada par son service en ligne Signaler un cyberincident.
Une attaque qui a touché des renseignements personnels peut ajouter une obligation de déclaration. Selon la LPRPDE, une atteinte aux mesures de sécurité est déclarée au Commissariat à la protection de la vie privée du Canada lorsqu’il est raisonnable de croire qu’elle présente un risque réel de préjudice grave pour un individu, et les personnes touchées en sont avisées dès que possible. Au Québec, l’entreprise doit aviser avec diligence la Commission d’accès à l’information et les personnes concernées quand un incident de confidentialité présente un risque qu’un préjudice sérieux soit causé. En Ontario, les dépositaires de renseignements sur la santé avisent le commissaire à l’information et à la protection de la vie privée dans les circonstances que prévoient la LPRPS et son règlement.
Savoir si une obligation s’applique relève de vous et de votre avocat. Notre part, ce sont les faits dont chaque avis a besoin : ce qui s’est passé, quand l’incident a été confirmé, et quels systèmes et types de renseignements l’attaquant a atteints.
Quand une entreprise remplit le formulaire d’urgence en pleine attaque, voici l’ordre dans lequel nous travaillons.
La portée et un prix fixe sont inscrits dans une lettre de mandat dès que les premiers faits sont connus, et nous vous prévenons avant tout changement à cette portée.
Laissez votre nom et votre numéro. Une personne vous rappelle le jour même, habituellement en moins d’une heure, et vous indique ce qu’il faut laisser intact pendant que les signalements se font.