Version à imprimer bilingue Version à imprimer unilingue

Question écrite n° 5-9021

de Nele Lijnen (Open Vld) du 13 mai 2013

au ministre des Finances, chargé de la Fonction publique

Cybercriminalité - Cyberattaques ciblées - Sites web de l'autorité fédérale - Technique du watering hole - Sécurisation - Restrictions

criminalité informatique
site internet
administration électronique
protection des données

Chronologie

13/5/2013Envoi question
11/9/2013Réponse

Question n° 5-9021 du 13 mai 2013 : (Question posée en néerlandais)

Dans un rapport récent, l'entreprise américaine Symantec a indiqué que le nombre de cyberattaques ciblées avait augmenté de 42 % en 2012. Ces attaques visent principalement à s'emparer de droits intellectuels et ce sont surtout les petites et moyennes entreprises (PME), les industries et le secteur public qui sont attaqués. Si l'objectif des criminels n'est pas de dérober à tout prix les informations de ces entreprises, ces dernières sont utilisées pour permettre aux criminels de s'attaquer à de plus grosses entreprises et ce, par le biais de la technique du « watering hole ». Un cybercriminel implante un agent malicieux dans un site web fréquemment visité par les utilisateurs qu'il veut atteindre. À leur insu, les visiteurs du site infecté se retrouvent, par exemple, avec un cheval de Troie ou un malware. Ensuite, le cybercriminel peut s'introduire dans l'ordinateur ou le site web de l'organisation qu'il visait. L'entreprise dont le site web est attaqué n'est donc qu'un intermédiaire innocent. Il est tout à fait possible que les criminels subtilisent en une fois les données bancaires ou les droits intellectuels des entreprises. L'objectif n'est donc pas de faire un maximum de victimes mais d'atteindre quelques cibles très spécifiques.

Les entreprises ignorent le rôle qu'elles jouent dans ce processus. Elles pensent que les cybercriminels ne s'intéressent pas à elles et qu'ils s'attaquent plutôt à l'administration ou à des multinationales. Ce n'est pas le cas. Aux États-Unis (EU) la première victime n'est plus l'administration mais le secteur industriel. Lorsque des criminels ont besoin de données (données bancaires, contrats, données personnelles,...), ils ne s'attaquent pas aux grosses entreprises mieux sécurisées mais aux plus petites qui, collaborant étroitement avec ces dernières, disposent de nombreuses données à leur sujet. C'est la raison pour laquelle ce ne sont pas les dirigeants de ces entreprises qui sont attaqués mais l'administration qui a accès aux documents.

Je souhaiterais poser au ministre les questions suivantes :

1) Par le passé, des sites web de l'administration fédérale ou d'entreprises publiques ont-ils déjà été victimes de la technique dite du « watering hole » dont l'autorité était la cible ? Des sites web de l'administration (d'entreprises publiques) ont-ils déjà été utilisés comme « intermédiaires » ou le ministre a-t-il connaissance d'instances dont les PC ont été contaminés après visite d'un site web contaminé ?

2) Dans l'affirmative, le ministre peut-il étayer sa réponse à l'aide de chiffres portant sur les cinq dernières années ?

3) Dans la négative, les services chargés de la sécurité de ces sites web sont-ils en mesure de constater des infractions telles que la technique dite du watering hole ?

4) Quelles leçons le ministre a-t-il tirées de l'attaque massive de virus en février 2012 subie par son service public fédéral (SPF) ? Des mesures ont-elles été prises par la suite afin d'essayer d'éviter à l'avenir ce type de problème ?

5) Est-il très courant, pour l'administration, de limiter le nombre de sites web à visiter ou le personnel peut-il en général visiter à peu près tous les sites ? Le ministre peut-il détailler sa réponse ? Si des restrictions sont imposées, est-ce pour des raisons de cybersécurité ou dans l'intérêt de la productivité ?

6) Est-il très courant, pour l'administration, de réinitialiser régulièrement le mot de passe des ordinateurs, amenant l'utilisateur à devoir en choisir un nouveau ? Le ministre est-il partisan de cette pratique ?

7) Lorsque l'on découvre sur un ordinateur de l'administration un « cheval de Troie », un « malware », ... susceptible de révéler des (risques d') infractions, est-il courant de créer un nouveau mot de passe pour cet ordinateur ?

Réponse reçue le 11 septembre 2013 :

1)     Les sites web du Service public fédéral (SPF) Finances n’ont pas été contaminés suivant le principe du "watering hole", ou par un autre principe destiné à voler des informations des visiteurs du site et n’ont pas été utilisés comme « personne intermédiaire ». 

L'accès aux serveurs sensibles du SPF Finances est protégé par un firewall, et le parc de PC's est protégé par un anti-virus.  

2)     Néant. 

3)     Les systèmes de détection et de prévention automatiques ne sont en mesure de prévenir que les contaminations d'un type connu. Ils restent potentiellement vulnérables aux techniques récentes de contamination. 

4)     Des mesures spécifiques et rigoureuses ont été appliquées pour réduire le risque d'une nouvelle contamination (restriction des dérogations, restriction des partages de disque, etc.). En outre, l'infrastructure de mises à jour des anti-virus a été adaptée en vue d'accélérer l'exécution des mises à jour, compte tenu du nombre de postes de travaux.  

5)     Le World Wide Web est une source d'information précieuse pour un grand ensemble d'activités au SPF Finances. En conséquence, il a été décidé de donner accès à cette ressource pour l'ensemble des fonctionnaires et collaborateurs du SPF Finances. L'accès au web comprend néanmoins un certain nombre de restrictions motivées par différentes raisons incluant, et autres :

L'accès est restreint par des filtres intégrés dans l'infrastructure de sécurité du réseau, et fonctionnant sur la base de listes, réparties en catégories, établies par les éditeurs de logiciels de filtrage, et mises à jour régulièrement au sein du SPF Finances. 

Un nombre restreint d'utilisateurs bénéficient de droits d'accès plus étendus en fonction de besoins professionnels spécifiques. 

6)     Le système central d'authentification des utilisateurs du SPF Finances impose un changement du mot de passe à intervalle régulier (tous les six mois). Pendant plusieurs jours, le système central invite l'utilisateur à changer son mot de passe. À l'échéance, l'utilisateur ne sait plus travailler tant qu'il ne l'a pas changé. Des changements supplémentaires sont recommandés dès qu'on soupçonne un risque d'usurpation d'identité. 

7)     Il n'est pas prévu de changer systématiquement le mot de passe des utilisateurs dès qu'il y a découverte d'une contamination par un malware. Le changement de mot de passe est recommandé dès qu'on soupçonne un risque d'usurpation d'identité, de quelque manière que ce soit.