La cyberattaque contre les écoles de LA montre qu’une action plus audacieuse est nécessaire pour arrêter les ransomwares

Une attaque de ransomware contre le district scolaire unifié de Los Angeles devrait servir de signal d’alarme sur la menace persistante des cyberattaques contre les secteurs critiques du pays et sur la nécessité d’une action concertée plus agressive pour les protéger.

La rupture de la nation deuxième plus grand système scolaire, avec plus de 650 000 étudiants et 75 000 employés, a forcé l’arrêt de certains systèmes informatiques du district. Le seul point positif est qu’aucune demande immédiate d’argent n’a été faite et que les écoles ont ouvert comme prévu le 6 septembre.

Les attaques de ransomwares se multiplient

Ma première pensée quand j’ai entendu parler de l’incident a été : c’est reparti. Les attaques de ransomwares contre des institutions publiques comme les écoles, les hôpitaux et les municipalités se sont multipliées ces dernières années. Et ce n’est pas seulement le nombre de ces attaques mais leur nature qui est si inquiétante. Ils se sentent particulièrement flagrants parce qu’ils franchissent la ligne du crime économique pour perturber la vie des Américains ordinaires, voire mettre des vies en jeu.

En avril, le département américain de la Santé et des Services sociaux a publié une Attention à propos d’un “groupe de rançongiciels exceptionnellement agressif et à motivation financière” connu sous le nom de Hive qui attaque les organisations de santé. Hive a poursuivi des dizaines d’hôpitaux et de cliniques, y compris un système de santé de l’Ohio qui a dû annuler des chirurgies, détourner des patients et passer à des dossiers médicaux papier.

Les attaques de ransomwares contre des municipalités à travers les États-Unis sévissent depuis des années. Une attaque contre Baltimore en 2019, par exemple, a verrouillé les employés de la ville sur leurs comptes de messagerie et a empêché les citoyens d’accéder à des sites Web pour payer leurs factures d’eau, leurs taxes foncières et leurs tickets de stationnement. En 2018, les rançongiciels fermer vers le bas la plupart des systèmes informatiques d’Atlanta pendant cinq jours, y compris certains utilisés pour payer les factures et accéder aux dossiers judiciaires. Au lieu de verser une rançon de 52 000 $, Atlanta a choisi de reconstruire son infrastructure informatique à partir de zéro au prix de dizaines de millions de dollars des contribuables.

Cible croissante de la cybercriminalité

Et maintenant, les écoles remontent la liste des cibles préférées des cybercriminels. Deux jours après que le district scolaire de Los Angeles a découvert qu’il avait été attaqué, le FBI, la Cybersecurity and Infrastructure Security Agency (CISA) et le Multi-State Information Sharing and Analysis Center (MS-ISAC) averti que le mystérieux gang de la Vice Society, qui a reconnu la responsabilité de l’infraction, et d’autres groupes malveillants sont susceptibles de poursuivre leurs assauts.

“Les impacts de ces attaques vont de l’accès restreint aux réseaux et aux données, aux examens retardés, aux jours d’école annulés, à l’accès non autorisé et au vol d’informations personnelles concernant les étudiants et le personnel”, indique l’alerte des agences. “Le FBI, la CISA et le MS-ISAC prévoient que les attaques pourraient augmenter à mesure que l’année scolaire 2022/2023 commence et que les groupes criminels de rançongiciels perçoivent des opportunités d’attaques réussies.”

Pire encore, chaque district scolaire est en danger, selon les agences. “Les districts scolaires avec des capacités de cybersécurité limitées et des ressources limitées sont souvent les plus vulnérables”, indique l’alerte, mais “le ciblage opportuniste souvent observé avec les cybercriminels peut toujours mettre en danger les districts scolaires dotés de programmes de cybersécurité robustes”.

Selon un étude par la société de recherche en cybersécurité Comparitech, les écoles qui ont été touchées par une attaque de ransomware perdent en moyenne plus de quatre jours d’indisponibilité et passent près de 30 jours à se rétablir. Le coût global de ces attaques est estimé à 3,56 milliards de dollars.

La vulnérabilité des écoles, des hôpitaux et des municipalités est un sujet de grande préoccupation nationale, et nous devrions tous nous sentir frustrés que des incidents comme l’attaque des écoles de Los Angeles continuent de se produire.

En ce qui concerne les ransomwares, nos institutions les plus cruciales semblent coincées dans un cycle de rinçage et de répétition. Il doit être cassé. Mais comment?

Le gouvernement américain prend des mesures en matière de cybersécurité

Le gouvernement fédéral a pesé avec le Loi sur la cybersécurité de la maternelle à la 12e année. Introduite par le sénateur Gary Peters (D-Mich.) Et signée le 8 octobre dernier par le président Biden, la mesure ordonne à la CISA d’étudier les risques de cybersécurité auxquels sont confrontées les écoles élémentaires et secondaires et de recommander des lignes directrices pour aider les écoles à renforcer leur protection en matière de cybersécurité.

Pendant ce temps, en novembre 2021, le Government Accountability Office (GAO) des États-Unis conseillé que le ministère de l’Éducation travaille avec CISA pour développer et maintenir un nouveau plan de gestion des risques de cybersécurité dans les écoles K-12.

Le dernier plan de ce type “a été élaboré et publié en 2010”, a déclaré le GAO, et “depuis lors, les risques de cybersécurité auxquels le sous-secteur est confronté ont considérablement changé”.

Bien que ce soient des débuts potentiellement utiles, j’aimerais voir plus de reconnaissance que de nombreux districts scolaires à travers le pays ont des ressources limitées à consacrer à la cyberdéfense et ont besoin de plus d’aide.

À cette fin, la CISA et les forces de l’ordre devraient s’efforcer de fournir de toute urgence aux districts scolaires et aux autres secteurs critiques une arme simple mais puissante : un plan standardisé de prévention et de réponse aux attaques. Plus le plan est précis, mieux c’est.

CISA serait avisé d’engager des experts en cybersécurité d’entités internes et externes pour créer un manuel normatif que les directeurs informatiques municipaux peuvent simplement retirer de l’étagère et mettre en œuvre, un peu comme une recette que n’importe qui peut utiliser pour préparer le dîner.

Le playbook doit détailler les paramètres de configuration spécifiques concernant des éléments tels que les mécanismes de contrôle d’accès, les périphériques réseau et les systèmes informatiques des utilisateurs finaux. Il doit spécifier les types d’outils de cybersécurité qu’il est préférable de déployer et comment les configurer, et indiquer explicitement les types de journaux d’audit à collecter, où les envoyer et la meilleure façon de déployer des outils pour les analyser afin de garder une longueur d’avance sur les acteurs de la menace.

Mutualiser les moyens pour protéger les établissements publics des cyberattaques

Aux États-Unis, il y a environ un million de travailleurs de la cybersécurité, mais il restait environ 715 000 emplois à pourvoir en novembre 2021, selon un rapport de Fumée Brûlant Verre (à présent Projection de lumière), une société d’études de marché. À la lumière de cela, les gouvernements ont la possibilité de mettre en commun leurs ressources pour fournir la cybersécurité en tant que service, au lieu que chaque fournisseur de services informatiques individuel doive rivaliser pour ce talent déjà rare.

Les gouvernements voudront mettre en place un service défensif de cybersécurité et de renseignement sur les menaces dont tous leurs fournisseurs de services informatiques locaux pourront profiter – en fait, la cybersécurité en tant que service. Cela aiderait à soulager les fournisseurs de services informatiques locaux d’avoir à utiliser leur main-d’œuvre et leurs budgets limités pour défendre les services informatiques, et permettrait plutôt aux gouvernements de mettre en commun leurs talents et leurs financements limités en matière de cybersécurité pour fournir un service complet pour tous. Cela permettrait également aux gouvernements de voir les cyberattaques à travers un large spectre et de concevoir des défenses qui pourraient être appliquées à toutes les localités de manière uniforme afin que des attaques répétées ne puissent pas se produire.

Actuellement, les systèmes scolaires et autres sont trop souvent laissés pour résoudre ces questions importantes par eux-mêmes, ce qui peut conduire à la confusion, aux erreurs et à la réinvention de la roue.

Avec un cadre de cybersécurité principal détaillé mais facile à suivre des meilleurs experts du gouvernement, cependant, aucune entité locale n’aurait à s’en sortir lorsqu’il s’agit de ransomware. Ils auraient quelque chose de plus proche d’un manuel de voiture, un ensemble complet de pratiques approuvées pour prévenir les problèmes.

Conclusion : Nos précieuses institutions publiques devraient être des cibles plus difficiles à pénétrer pour les cybercriminels. Le pays devrait réclamer cela et travailler plus fort pour qu’il en soit ainsi.

Michael Mestrovich est responsable de la sécurité de l’information chez Zero Trust Data Security Company Rubrique et ancien CISO par intérim à la Central Intelligence Agency.