Le 11 août, Wesco, distributeur mondial de produits électriques et industriels, a confirmé un incident de cybersécurité après que le groupe d'extorsion ExfilSquad a publié les données qu'il affirme lui avoir dérobées. Le groupe revendique 2,6 millions d'enregistrements provenant de l'environnement de gestion de la relation client infonuagique de l'entreprise : renseignements personnels de clients et d'employés, données de comptes, profils d'utilisateurs du CRM, identifiants d'entreprise, métadonnées d'authentification. La publication est intervenue à l'expiration du délai de rançon, après l'échec des négociations.
L'entreprise, par la voix de sa vice-présidente Jennifer Sniderman, indique avoir travaillé avec son fournisseur de CRM et ne pas croire que des données sensibles soient à risque, ni que des informations de carte de paiement ou de compte financier soient concernées. Ces deux versions coexistent, et il faut les tenir ensemble : la revendication d'un groupe criminel n'est pas une constatation, et une déclaration d'entreprise en cours d'enquête n'est pas une conclusion.
Mais ce qui rend cet incident instructif pour un propriétaire de risque n'est pas le décompte des dossiers. C'est ce qui n'a pas eu lieu.
Aucun chiffrement, aucune interruption, aucun plan déclenché
L'enquête de Wesco n'a trouvé ni rançongiciel ni maliciel sur son infrastructure. Les activités n'ont jamais été interrompues. L'entreprise a continué de livrer, de facturer et d'expédier pendant toute la durée de l'affaire.
Arrêtons-nous sur ce point, parce qu'il défait une hypothèse largement partagée. Presque tout l'appareil de résilience que les organisations ont construit ces cinq dernières années répond à un scénario précis : les systèmes s'arrêtent, il faut les redémarrer. Sauvegardes immuables, objectifs de reprise, mode dégradé, cellule de crise, plan de communication d'indisponibilité. Dans le scénario Wesco, rien de tout cela ne se déclenche, parce que rien ne s'arrête. Le plan de continuité reste dans son classeur, et il a raison d'y rester : il n'y a pas de continuité à assurer.
L'extorsion par vol de données seul est pourtant devenue un modèle à part entière, précisément parce qu'elle est plus simple. Pas de chiffreur à écrire, pas de détection par les EDR au moment du chiffrement, pas de restauration possible qui viendrait ruiner le levier de l'attaquant. Une exfiltration réussie est irréversible par nature : aucune sauvegarde ne dépublie une donnée.
Et aucune divulgation réglementaire non plus
Depuis 2023, la Securities and Exchange Commission impose aux sociétés cotées aux États-Unis de déclarer, sous quatre jours ouvrables et au point 1.05 d'un formulaire 8-K, tout incident de cybersécurité qu'elles jugent important. Au 13 août, le registre EDGAR de Wesco ne comporte aucun dépôt de ce type : le dernier formulaire 8-K date du 30 juillet et porte sur les résultats trimestriels.
Ce silence n'est pas un manquement, c'est une conclusion. Il traduit une décision d'importance relative : l'entreprise estime que l'incident n'affecte pas matériellement ses activités, ce qui est cohérent avec sa déclaration publique. Et c'est précisément là que le raisonnement devient instructif pour un dirigeant. Un même événement peut ne déclencher ni plan de continuité, ni obligation de déclaration boursière, tout en produisant un préjudice réel et durable chez des tiers qui, eux, n'ont rien décidé du tout.
Le préjudice ne vous frappe pas, il frappe vos clients
Le deuxième déplacement est plus inconfortable. Dans une attaque par rançongiciel, la victime encaisse le préjudice. Ici, l'organisation touchée s'en sort avec une gêne réputationnelle, et le préjudice réel se déporte en aval.
Un fichier CRM de distributeur, ce sont des noms, des fonctions, des courriels professionnels, des historiques de commandes et des identifiants de comptes clients. Autrement dit, la matière première idéale d'une campagne d'hameçonnage ciblé et de fraude au président. Un courriel qui cite votre numéro de compte, votre dernière commande et le nom exact de votre représentant ne ressemble pas à une fraude. Il ressemble à un suivi commercial. Les clients de Wesco comprennent des services publics, des entrepreneurs et des industriels, dont plusieurs relèvent d'infrastructures essentielles au Canada.
Pour ces organisations-là, ce n'est pas une nouvelle du secteur. C'est un incident de tiers qui les concerne directement, et dont elles n'ont probablement pas été informées par leur fournisseur.
L'autre lecture : Wesco est un tiers pour des milliers d'organisations
C'est ici que l'incident cesse d'être une étude de cas et devient un test de votre propre programme.
Posez-vous la question dans l'ordre inverse. Si votre organisation achète chez Wesco, ou chez n'importe quel distributeur comparable, vos données de contact et de compte se trouvaient dans ce CRM. Trois questions en découlent, et elles se répondent en heures dans un programme de gestion du risque tiers mature, ou jamais dans les autres.
- Savez-vous que vous êtes concerné ? L'avez-vous appris par votre fournisseur, par votre veille, ou par cet article ? Le délai entre la publication des données et votre prise de connaissance est une mesure directe de la maturité de votre dispositif.
- Savez-vous ce que ce fournisseur détient sur vous ? Un inventaire de tiers qui liste les prestataires sans qualifier les données confiées ne permet pas de répondre. Il faut être capable de dire, par fournisseur, quelles catégories de données et quels accès sont en jeu.
- Votre contrat vous donne-t-il un droit d'être prévenu, et sous quel délai ? La plupart des contrats d'approvisionnement industriel n'en disent rien, parce qu'ils ont été négociés comme des contrats d'achat, pas comme des contrats de traitement de données.
Ces questions ne se posent pas au moment de l'incident. Elles se préparent, exactement comme nous l'avons décrit dans notre guide pour construire un programme de gestion du risque tiers. Et elles rejoignent le constat de l'incident Accenture : votre surface d'attaque comprend les systèmes de vos fournisseurs, que vous les ayez évalués ou non.
Ce que votre programme devrait retenir
- Ajoutez le scénario « fuite sans arrêt » à vos exercices. Si votre dernier exercice de crise portait sur un chiffrement massif, vous n'avez pas testé le cas le plus probable. Le scénario à jouer est : les données sont déjà publiques, tout fonctionne, et il faut décider quoi dire, à qui, et dans quel délai.
- Cartographiez les données confiées, pas seulement les fournisseurs. La question utile n'est pas « combien de tiers avons-nous », mais « lesquels détiennent des données dont la publication nous nuirait, et lesquels détiennent des accès ».
- Traitez le CRM comme un actif critique. Il ne fait tourner aucune ligne de production, donc il échappe souvent aux classifications de criticité. Il concentre pourtant l'intégralité de votre relation commerciale.
- Préparez la notification avant d'en avoir besoin. Selon les personnes concernées, la Loi 25, le RGPD ou les régimes sectoriels imposent des délais courts. Un incident sans interruption ne laisse pas plus de temps qu'un autre.
- Prévenez vos clients de la vague d'hameçonnage. Quand des données de relation client fuient, l'attaque suivante vise vos clients en votre nom. Les avertir tôt est une mesure de protection, et un acte commercial.
La question pour le conseil
Elle tient en une phrase, et elle mérite d'être posée telle quelle au prochain comité : « si notre CRM était publié demain matin, notre plan de continuité ne se déclencherait même pas, alors quel est notre plan ? ». Si la réponse mobilise uniquement la direction des systèmes d'information, elle est incomplète. Un incident de ce type est d'abord juridique, réglementaire et commercial, et il se gère avec les clients, pas avec les sauvegardes.
Où FortaRisks intervient
Le module Gestion du risque tiers de FortaRisks maintient un inventaire vivant de vos fournisseurs, des données que vous leur confiez et des accès qu'ils détiennent, avec une surveillance continue plutôt qu'un questionnaire annuel, pour que vous appreniez un incident fournisseur autrement que par la presse. Le module Conformité rattache ensuite vos obligations de notification aux référentiels applicables, avec les délais et les preuves. Pour situer votre dispositif en quelques minutes, notre diagnostic de maturité du risque tiers gratuit constitue un bon point de départ.