CYBERATTAQUE : COMMUNIQUER POUR MIEUX GÉRER

Le groupe Econocom victime d'une cyberattaque en octobre dernier a choisi le silence. Quatre mois plus tard le groupe européen de services informatiques communique pour expliquer...pourquoi il n'a pas communiqué ! Encore une fois, cet exemple illustre qu'une communication de crise non maîtrisée peut vite se transformer en crise de communication...

Carte d'identité, Relevé d'Identité Bancaire, attestation de carte vitale, diplômes, photos... Ces données sensibles appartiennent aux salariés d'Econocom. Le premier réflexe du groupe est de ne pas communiquer. Jusqu'au 7 janvier 2021.

Ce jour là, le groupe diffuse un communiqué de presse sur son site internet. La société précise d'emblée qu'elle réagit à « un article de presse ayant mentionné hier une cyber-attaque ». Puis elle confirme « avoir effectivement fait l'objet à l'automne d'une attaque de sécurité sur une partie de ses infrastructures propres ». Rien sur l'ampleur de l'attaque, ni sur sa nature et encore moins sur ses conséquences.

Un camouflage qui finit en camouflet

Face au silence d'Econocom, les cyber criminels s'expriment! Ils communiquent leur attaque et le vol de données sensibles sur internet. Pour le groupe, le camouflage se transforme en camouflet. L'info se diffuse sur le net vitesse "Grand V".

La revendication des rançonneurs va vite arriver aux oreilles des journalistes de la presse spécialisée sur internet (2). En 3 jours, la quasi totalité des sites dédiés au monde numérique s'empare de l'affaire. Les publications sont multi-relayées via les réseaux sociaux. Ces journalistes 2.0 savent parfaitement vulgariser et simplifier des infos qui nécessitent presque des qualités de « traducteur ». L'attaque cyber qui a visé Econocom est désormais accessible et compréhensible par le plus grand nombre...

Aujourd'hui, le groupe n'est pas à l'abri qu'un journaliste de la presse écrite grand public ou de la télévision diffuse le témoignage d'un salarié de l'entreprise victime du vol de ses données personnelles à l'issue de cette attaque cyber.

Contrainte et forcée par les rançonneurs (1) la société se retrouve à communiquer « en réaction ». Ce n'est plus le groupe qui décide du timing de ses communications, mais les rançonneurs! Econocom a perdu le contrôle. Et c'est ce qui peut arriver de pire dans la gestion d'une crise.

Ce choix du silence de la part d'une entreprise victime est plus que contre-productive : elle déclenche un effet boomerang. La séquence de communication qui s'annonce pour Econocom est bien plus délicate à mettre en place qu'une communication au plus près de l'événement. Rétro-pédaler n'a jamais fait avancer...

Usurpation d'identité

Même si le groupe assure dans son communiqué de presse que ses experts en sécurité informatique ont « très rapidement acquis la certitude que les infrastructures des clients d'Econocom n'avaient pas été impactées par cette attaque », il n'y a pas un mot à propos du vol de données personnelles de ses salariés. Pourtant, le risque de se faire usurper son identité à la suite d'un vol de données est bien réel. Les données personnelles se vendent sur le « dark web », la face cachée d'internet. Selon les chercheurs du site PrivacyAffairs (3) les données personnelles représentent un marché lucratif. Ils évaluent, par exemple, à 1230€ en moyenne le prix d'une carte d'identité européenne. Certains salariés d'Econocom ont de quoi se faire du souci. Avoir son RIB, son numéro de sécurité sociale ou encore sa carte d'identité « dans la nature » laisse toutes les latitudes aux "acheteurs" pour commettre une escroquerie au nom du salarié. Et les conséquences peuvent aller jusqu'à une interdiction bancaire, ou pire, une mise en accusation d'un crime que l'on a pas commis.

Les français de plus en plus sensibles à la menace cyber ?

Ce risque de vol de données personnelles s'accompagne d'un risque judiciaire pour l'entreprise. Face à la loi, la victime devient responsable des conséquences de l'attaque. Comme une double peine. Non seulement, la victime doit rétablir ses systèmes d'informations, mais en plus elle subit les conséquences des responsabilités civile, pénale, déontologique et administrative. D'après l'étude de Prolifics Testing publiée en début d'année, le premier réflexe de 66% des français serait de porter plainte en cas de cyberattaque. Ce chiffre est révélateur de la prise de conscience des français qu'ils peuvent être victime d'une cyberattaque et qu'elle revêt un caractère criminel. Le type d'attaque qui semble les inquiéter le plus est le vol de données personnelles. Les français seraient 77% à porter plainte dans ce cas.

Certes, ces chiffres ne sont pas le fruit d'un sondage. Cette étude se base sur des données fournies par l'Union Européenne, puis croisées et analysées par ProlificsTesting.

C'est en revanche un indicateur intéressant qui confirme que les français sont sensibles et informés quand il s'agit de l'utilisation de leurs données personnelles, qui plus est quand la finalité est frauduleuse. Sans compter le retentissement d'un procès, le tribunal des réseaux sociaux pourrait à sa manière se charger de l'image de l'entreprise...

« Confiance, Bonne foi, Résilience, Authenticité, Audace, Transparence... »

La réaction première d'Econocom de ne pas communiquer est encore celle qui prévaut chez la majeure partie des victimes d'une cyberattaque. L'exemple d'Econocom montre à quel point ce réflexe guidé par la peur du scandale médiatique et la protection coûte que coûte de sa réputation est périmé, hasardeux et surtout dangereux. Aujourd'hui, l'entreprise qui communique dès le début d'une crise cyber prouve que les valeurs qu'elle affiche sur son site internet existent aussi dans la « vraie vie ».

Sources

1. « Ransomware : le groupe Pysa revendique le vol de données chez Econocom » - Le MagIT 6 janvier 2021
2. « Econocom aurait préféré plus de discrétion sur la cyber-attaque dont il a été victime » - La Revue du Digital 7 janvier 2021
3. « Combien valent vos données sur le dark web ? » - Futura Tech 22/12/2020
4. « Les français plus enclins à recourir à la police en cas de cyber malveillance » - L'1FO-CR Le journal des risques cyber – 8 janvier 2021