Rançongiciel Concevis 2023 — faits et enseignements

En bref : L’éditeur de logiciels suisse Concevis AG a été victime d’une attaque par rançongiciel les 4 et 5 novembre 2023. Selon le Centre national pour la cybersécurité (aujourd’hui l’Office fédéral de la cybersécurité, OFCS), les attaquants ont volé des données puis chiffré l’ensemble des serveurs de l’entreprise ; les données dérobées comprenaient probablement d’anciennes données opérationnelles de l’administration fédérale. Concevis n’a pas payé de rançon, après quoi les attaquants ont menacé de publier les données sur le darknet.

L’essentiel en bref

Date : attaque les 4 et 5 novembre 2023 (Concevis, cité par la SRF) ; information publique de la Confédération le 14 novembre 2023 (NCSC/OFCS).
Entreprise : Concevis AG, fournisseur de solutions logicielles pour les administrations publiques (Confédération, cantons, villes), le secteur financier ainsi que l’industrie et la logistique (NCSC/OFCS).
Type d’attaque : rançongiciel avec vol de données, suivi du chiffrement de tous les serveurs (NCSC/OFCS).
Impact confirmé : probablement d’anciennes données opérationnelles de l’administration fédérale ; une compromission des systèmes fédéraux est jugée improbable (NCSC/OFCS).
Autres organisations touchées : à la Ville de Lucerne, d’anciennes données de demandes d’utilisation du domaine public peuvent être concernées (Ville de Lucerne). Chez Sympany, les données d’un outil d’offres hébergé chez Concevis ont été chiffrées ; les propres systèmes informatiques de Sympany n’ont pas été touchés (Sympany).
Réaction : plainte pénale auprès du Ministère public de Bâle-Ville, recours à un prestataire de sécurité externe, information des clients (NCSC/OFCS).

Quels faits sont confirmés ?

Le 14 novembre 2023, le NCSC a indiqué que les attaquants avaient d’abord volé des données, puis chiffré l’ensemble des serveurs de Concevis. L’entreprise n’ayant pas donné suite à la demande de rançon, les attaquants ont menacé de publier les données sur le darknet.

Selon le NCSC, les clients de Concevis comprenaient l’Office fédéral de la protection de la population, l’Office fédéral du développement territorial, l’Office fédéral de la statistique, l’Office fédéral de l’aviation civile, l’Administration fédérale des contributions et le Commandement de l’Instruction. Les unités et les données effectivement concernées étaient alors encore en cours de clarification. Les applications de Concevis sont exploitées par des fournisseurs de prestations de l’administration fédérale ; les analyses menées jusque-là n’ont révélé aucun indice de compromission des systèmes fédéraux.

Le 16 novembre 2023, la Ville de Lucerne a annoncé utiliser l’application eLICET de Concevis pour les demandes d’utilisation du domaine public. D’anciennes données de demandes, telles que nom, adresse, date de naissance, numéro de téléphone, adresse e-mail et informations sur la manifestation, peuvent être concernées. La ville a exclu toute autre compromission de ses systèmes. L’assureur-maladie Sympany a signalé l’incident à la FINMA, au PFPDT et à l’OFSP.

Qu’est-ce qui n’est pas connu ?

Les sources officielles citées ne nomment ni le groupe responsable ni le point d’entrée des attaquants. Elles ne chiffrent ni le montant de la rançon exigée, ni le volume des données volées, ni un dommage financier, ni la durée d’une éventuelle interruption d’exploitation. Elles ne confirment pas si des données ont effectivement été publiées, ni lesquelles. Aucune information n’est disponible sur une police d’assurance ou un règlement de sinistre chez Concevis.

Mise en perspective pour la cyberassurance

Aucun engagement de couverture ne peut être déduit de l’incident à lui seul. Selon le contrat, les modules pertinents peuvent notamment inclure la réponse aux incidents et la forensique informatique, la restauration des données, l’interruption d’exploitation, le conseil juridique et en protection des données, la notification des personnes concernées, la communication de crise ainsi qu’une couverture de responsabilité civile pour les prétentions de clients. L’existence et l’étendue d’une prestation dépendent notamment du libellé du contrat, des sous-limites et exclusions, des obligations de sécurité convenues et du processus de sinistre concret.

Le cas est particulièrement pertinent pour les éditeurs de logiciels, car les données de leurs clients peuvent être touchées. Pour les clients de tels prestataires, la question est de savoir si les incidents chez les fournisseurs sont pris en compte dans leur propre police.

Enseignements pour les PME suisses

Recenser les données détenues par des prestataires : tenez une liste indiquant quels éditeurs de logiciels stockent quelles données, y compris les copies et les anciens fonds.
Régler la minimisation des données par contrat : définissez quelles données un prestataire nécessite, combien de temps il les conserve et quand il les supprime. Le cas montre que d’anciennes copies de données peuvent justement être touchées.
Préparer les canaux de signalement : clarifiez à l’avance qui informe qui en cas d’incident chez un fournisseur, comment les personnes concernées sont averties et quelles autorités de surveillance sont compétentes.
Vérifier la séparation des systèmes : vérifiez si un prestataire compromis pourrait accéder à vos propres systèmes et limitez les accès au strict nécessaire.
Tester les sauvegardes hors ligne : si tous les serveurs sont chiffrés, des sauvegardes séparées et testées régulièrement sont décisives pour la restauration.
Vérifier la police face aux risques de la chaîne d’approvisionnement : clarifiez avec votre assureur ou votre courtier comment sont traités les incidents chez les prestataires et les prétentions en responsabilité civile de tiers.

Attaque par rançongiciel contre Concevis

L’essentiel en bref

Quels faits sont confirmés ?

Qu’est-ce qui n’est pas connu ?

Mise en perspective pour la cyberassurance

Enseignements pour les PME suisses

Sources

Vous avez des questions sur les cyberassurances?