Le mardi 8 septembre à 8 h 30, la Commission de la construction du Québec a rouvert ses services en ligne et téléphoniques. Ils étaient fermés depuis le lundi 24 août. Quinze jours pendant lesquels les travailleurs, les employeurs et les assurés de MÉDIC Construction d'une industrie entière n'avaient plus d'accès à l'organisme qui gère leurs cartes de compétence, leurs heures, leur assurance et leur régime de retraite.
Ce n'est pas la plus grosse fuite de l'année. C'est, pour le Québec, l'exemple le plus complet d'une attaque qui vise les opérations d'un organisme dont des dizaines de milliers d'entreprises dépendent sans l'avoir choisi. Voici la chronologie, ce que la CCQ a fait de bien, et ce que cela change pour votre propre plan.
La chronologie, telle que la CCQ l'a publiée
Lundi 24 août. Incident de sécurité informatique. Les services en ligne et téléphoniques sont fermés. Le site ccq.org tombe.
Mercredi 2 septembre. Le site revient en ligne, avec la plupart des formulaires accessibles et un avertissement honnête : certaines informations pourraient ne pas être à jour. Les services en ligne et téléphoniques restent fermés « afin de permettre un rétablissement sécuritaire ». Une ligne d'urgence reste ouverte pour les assurés de MÉDIC Construction, et la CCQ maintient le versement des rentes de septembre et la prise en charge des urgences médicales à l'étranger.
Vendredi 4 septembre. Deux annonces le même jour. Le matin, la CCQ publie une mise à jour : les analyses confirment que « certains renseignements » de ses clients et de ses employés ont été volés. Les personnes touchées seront prévenues par écrit, et se voient offrir une surveillance de crédit Equifax avec veille du dark web, alertes d'activité inhabituelle, accompagnement en cas de fraude et assurance contre le vol d'identité jusqu'à un million de dollars. Consigne : « aucune démarche n'est requise de votre part pour le moment ». Le même jour, le groupe russophone Qilin revendique l'attaque sur son site de fuites et menace de publier l'ensemble si aucune négociation ne s'ouvre. Selon La Presse, les renseignements de 350 000 personnes sont concernés, dossiers administratifs et médicaux, dates de naissance et numéros d'assurance sociale.
Mardi 8 septembre. Reprise complète des services, avec un avertissement sur des délais d'attente plus longs qu'à l'habitude.
Deux précisions de contexte. Le chiffre de 350 000 vient de la presse, pas de la CCQ, qui n'a communiqué ni la nature exacte des données ni le nombre de personnes. Et Qilin n'est pas un inconnu de la semaine : c'est aussi l'un des trois groupes que Cisco Talos a vus exploiter la console Secure Firewall Management Center, ce que nous détaillions dans le récap de vendredi.
Cinq leçons pour votre propre organisation
1. La panne coûte plus que la fuite, et elle se prépare avant
Quinze jours sans services pour un organisme de cette taille, c'est des avis d'embauche qui ne passent pas, des cartes de compétence qui ne se renouvellent pas, des réclamations d'assurance qui attendent. Ce que la CCQ a réussi, et qui mérite d'être copié, c'est le tri : les rentes de septembre ont été versées, les urgences médicales à l'étranger ont été prises en charge, une ligne téléphonique est restée ouverte pour les assurés. Ce sont les services dont l'interruption blesse quelqu'un, pas seulement ceux qui gênent.
La question pour vous : si vos systèmes ferment ce soir pour deux semaines, quels sont les trois services que vous devez continuer d'assurer, par quel moyen, et qui en décide ? Si la réponse est « on verra », vous ne l'aurez pas. C'est le premier angle mort décrit dans notre plan de continuité qui survit à une attaque.
2. Rétablir avant de rouvrir
Le site est revenu le 2 septembre, les services six jours plus tard. Cet écart n'est pas de la lenteur, c'est la marque d'un rétablissement fait proprement : on ne rebranche pas des systèmes sur lesquels un attaquant a eu quinze jours d'avance sans les avoir reconstruits et sans avoir changé les identifiants. C'est exactement ce que SonicWall, MikroTik et les CERT européens ont demandé cette semaine aux clients dont les équipements de bordure ont été compromis. Un plan de reprise qui promet « retour à la normale en 48 heures » sans prévoir la reconstruction promet quelque chose qu'il ne peut pas tenir.
3. Dire ce que l'on sait, daté, et dire quoi faire
La communication de la CCQ coche les cases qui comptent. Des mises à jour datées, publiées au même endroit. Le vol confirmé dès qu'il est établi, sans attendre d'avoir la liste complète. Une consigne claire aux personnes touchées, y compris quand la consigne est « rien pour l'instant ». Et une mesure de protection concrète, financée par l'organisme. C'est le comportement que la Loi 25 attend d'ailleurs de toute organisation privée face à un incident présentant un risque de préjudice sérieux : notifier la Commission d'accès à l'information et les personnes concernées, et tenir un registre.
Ce que cela suppose chez vous : un porte-parole désigné, un modèle de communiqué déjà rédigé, et une décision prise à froid sur le seuil à partir duquel on confirme un vol de données.
4. Vous dépendez d'organismes que vous n'avez pas choisis
Vos sous-traitants, vos fournisseurs et l'organisme paritaire qui gère les cartes de vos ouvriers étaient tous dans la même panne. Le 7 septembre, un autre groupe a inscrit EllisDon, l'un des plus grands constructeurs du pays, sur son site de fuites ; l'entreprise n'a pas confirmé et la revendication reste une allégation. Deux acteurs majeurs de la construction en une semaine, au Québec et en Ontario.
Un registre des tiers qui ne contient que les fournisseurs à qui vous payez des factures rate cette dépendance. Ajoutez-y les organismes de régulation, les plateformes sectorielles, les registres obligatoires : ceux qui, s'ils s'arrêtent, vous arrêtent.
5. L'acteur est le même, la porte d'entrée aussi
Qilin exploite des équipements de bordure. Cette semaine, une console de gestion de pare-feux ; les semaines précédentes, des passerelles VPN. La chaîne d'événements qui mène à quinze jours d'arrêt commence, le plus souvent, par un équipement exposé sur Internet dont personne ne suivait les correctifs. Votre surface d'attaque externe est le premier endroit où regarder, avant le plan de reprise.
Cinq actions pour cette semaine
- Listez les trois services que vous devez maintenir si tout ferme, et le moyen dégradé pour chacun. Nommez qui décide de l'activer.
- Vérifiez que votre plan de reprise prévoit la reconstruction et la rotation des identifiants, avec une durée réaliste, pas un retour en 48 heures.
- Rédigez maintenant le communiqué que vous publieriez le jour 1, le jour 5 et le jour de la reprise. Trois gabarits, un porte-parole.
- Ajoutez à votre registre des tiers les organismes et plateformes sectorielles dont l'arrêt vous arrête, même sans contrat.
- Faites l'inventaire de vos équipements de bordure joignables depuis Internet et de la date de leur dernier correctif.
Si vous voulez savoir où vous en êtes sur ces cinq points avant le prochain comité, notre score de risque cyber gratuit vous situe en dix minutes sur les domaines résilience, tiers et vulnérabilités. Pour aller plus loin, le module Risque tiers suit en continu les dépendances que vous ne pouvez pas choisir.
Sources : CCQ, mise à jour du 4 septembre · CCQ, remise en ligne du site · La Presse, cyberattaque à la CCQ · La Presse, une cyberattaque paralyse des services de la CCQ · Cisco Talos, exploitation de Secure FMC · ransomware.live, victimes au Canada