Attaque de ransomware à Dallas : le groupe Royal est responsable, les villes du Texas examinent leurs défenses cybernétiques

Une attaque de ransomware d’un groupe prolifique appelé Royal a causé des pannes pour de nombreux systèmes de Dallas au cours des trois derniers jours.

Les sites Web sont restés indisponibles et les premiers intervenants ont continué de s’appuyer sur des plans de secours d’urgence avant le week-end. La ville a déclaré que les appels au 911 et au 311 recevaient toujours une réponse et elle ne pense pas que les informations des résidents et des vendeurs aient été divulguées.

“Beaucoup de progrès ont été réalisés, mais le processus de récupération est en cours”, ont déclaré les responsables de Dallas dans un communiqué de presse vendredi.

La violation survient quelques mois seulement après que Royal a ciblé le district central d’évaluation de Dallas, les forçant à payer 170 000 $.

Alors que les experts en cybersécurité de la ville se battent pour rétablir les services, l’épisode a amené d’autres villes du Texas à examiner leurs propres efforts de sécurité.

« La cybersécurité est un effort 24 heures sur 24, 7 jours sur 7, 365 jours par an, qui consiste à s’adapter à ce que nous apprenons des situations des autres pour renforcer notre propre protection », a déclaré Sam Bradford, directeur des technologies de l’information à Mesquite.

Les experts ont décrit Royal comme un «gang» sophistiqué qui accède aux réseaux de victimes par hameçonnage environ les deux tiers du temps. Ils disent que c’est l’un des nombreux groupes «opportunistes» qui cryptent les données et menacent de les rendre publiques à moins qu’une rançon ne soit payée.

Dallas a révélé pour la première fois mercredi qu’il avait été touché par une éventuelle attaque de ransomware affectant le 311 et les tribunaux municipaux et ayant un impact significatif sur les opérations de police et d’incendie. Le lendemain, la ville a déclaré que le département des services d’information et de technologie de Dallas avait “isolé le problème” et rétablissait progressivement le service, donnant la priorité aux “services de sécurité publique et aux résidents”.

La ville a répété dans le communiqué de presse du vendredi soir que les fournisseurs de STI et de cybersécurité continuaient de travailler “sans arrêt pour isoler rapidement un virus et rétablir progressivement le service”. Un calendrier pour quand les systèmes seront restaurés n’était pas clair.

Un porte-parole de la ville de Dallas n’a pas répondu aux questions vendredi sur la façon dont l’attaque s’est produite et si Royal avait fait des demandes, affirmant que le personnel était “dédié aux opérations” et n’était pas disponible pour des entretiens.

Il n’est pas clair si la ville paiera Royal, mais les experts ont déclaré qu’il n’était pas sage de le faire car les attaquants peuvent revenir et ne pas déchiffrer toutes les données.

“Si vous payez une rançon à un groupe ou à un gang, d’autres pourraient revenir dans quelques mois”, a déclaré Jess Parnell, vice-président des opérations de sécurité de Centripetal Networks, une société de cybersécurité basée en Virginie.

Le Agence de la cybersécurité et des infrastructures dit que le phishing, généralement via un faux lien hypertexte ou un logiciel malveillant déguisé en pièce jointe, est le moyen le plus courant pour les personnes utilisant Royal d’accéder aux réseaux. D’autres méthodes incluent l’utilisation d’un protocole de bureau à distance, les informations d’identification de compte volées et l’accès aux comptes de messagerie des utilisateurs, a déclaré Parnell.

Bill Zielinski, directeur de l’information de Dallas, devrait informer le comité de sécurité publique du conseil municipal de la question lundi. Les responsables ont inscrit le briefing à l’ordre du jour d’un débat public et d’une session à huis clos, selon une note envoyée vendredi aux membres du comité.

“Risque sans précédent”

Alors que le public attend des détails, les villes du nord du Texas utilisent Dallas comme une leçon.

Bryce Carter, responsable de la sécurité de l’information à Arlington, a déclaré qu’il était important que les villes sachent «ce qui affecte nos proches» pour savoir où concentrer leurs propres défenses.

Il a déclaré qu’Arlington avait consacré davantage de ressources à la cybersécurité ces dernières années pour aider à limiter la portée et le rayon d’action des attaques en ligne, qui, selon lui, sont devenues plus sophistiquées avec l’émergence de nouvelles technologies.

“La seule façon dont nous pouvons tous être résilients est de pouvoir travailler et collaborer ensemble en tant que force collective”, a déclaré Carter. “Si nous ne pouvons pas faire cela, alors nous fonctionnons tous en quelque sorte en silos, ce qui signifie que nous expulsons fondamentalement beaucoup trop d’énergie.”

Carter a déclaré que les gouvernements locaux à l’échelle nationale commencent à réaliser que des investissements dans la cybersécurité sont nécessaires pour fournir des services aux citoyens.

“C’est vraiment un risque sans précédent en ce qui concerne les gouvernements locaux, et il peut être difficile d’avoir une certaine résilience car les budgets sont généralement limités”, a déclaré Carter. “Ce n’est pas quelque chose à laquelle nous avons dû faire face il y a 20 ans.”

Le porte-parole de Denton, Stuart Birdseye, a réitéré ce sentiment, ajoutant que les responsables sur place surveillaient de près l’environnement à la lumière de l’attaque de Dallas.

Il a déclaré que Denton avait mis en place des processus pour les cyberattaques, mais comptait également sur la diligence des employés dans la manière dont ils utilisent le courrier électronique et la technologie pour empêcher les exploits.

“Une fois que nous aurons entendu quelle est la cause officielle [in Dallas]nous pourrons concentrer notre attention sur ces zones si elles se trouvent également dans notre environnement », a déclaré Birdseye.

La porte-parole d’Irving, April Reiling, a déclaré que la ville s’associait à un fournisseur pour surveiller et répondre en permanence aux menaces de cybersécurité. À la lumière de l’attaque de Dallas, le fournisseur a relevé son niveau de sensibilisation et de vigilance “pour assurer une protection maximale des actifs numériques”, a déclaré Reiling.

Bradford, le directeur informatique de Mesquite, a déclaré que les responsables rappelaient au personnel de rester vigilant après que les systèmes de Dallas aient été compromis.

“Nous espérons que Dallas sera en mesure de découvrir la cause profonde de l’attaque, de la supprimer à 100 % de ses systèmes et de reprendre ses activités normales pour le bien de ses citoyens et de son personnel”, a déclaré Bradford.