Selon le conseil communal d’Anvers, les données volées par les pirates informatiques n’ont pas causé de préjudice grave aux citoyens. Il s’agirait, pour l’essentiel, de données purement administratives. Cette explication laisse néanmoins les experts perplexes.

« D’après les premiers constats des experts, rien n’indique pour l’instant que les données personnelles dérobées puissent porter gravement atteinte à des particuliers ». Tels sont les propos du bourgmestre d’Anvers, Bart De Wever (N-VA), qui s’est exprimé lundi matin sur l’attaque revendiquée par le collectif de hackers « Play » lors d’une conférence de presse.

Il se trouve que lundi était justement le jour J. La date limite à laquelle la ville était censée verser une rançon en échange des données piratées voici quinze jours. Mais Bart De Wever l’a dit et redit : la ville n’a ni payé de rançon, ni négocié avec le groupe de hackers. Pourquoi, dans ce cas, n’apparaît-elle plus comme cible sur le site web de Play ? Les autorités communales ne peuvent l’expliquer.

Cyberattaque à Anvers : notre société numérique est en péril

Pieterjan Van Leemputten, journaliste informatique chez Data News, émet de profondes réserves. « Ce serait franchement étrange. Si tout ce que dit la ville est vrai, nous assistons à un véritable miracle de Noël. Que s’est-il donc passé, à mon avis ? On ne peut que spéculer. La somme a-t-elle été payée par un tiers ou une société que la ville remboursera par la suite ? Impossible à dire. »

Ramasser les miettes laissées en chemin

Les autorités ont tout de même fourni quelques détails sur l’incident. L’assaut de Play contre les services communaux a été lancé le 6 décembre. « L’enquête judiciaire a dévoilé que les pirates ont infiltré les systèmes dès le 24 novembre », précise Youri Segers, Chief Digital Officer et PDG de Digipolis. Mais à la question de savoir comment Play a eu accès à ces systèmes, notre interlocuteur n’a pas pu (ou voulu) en dire davantage.

Lorsque l’attaque a éclaté au grand jour, la ville s’est barricadée numériquement en un tour de clic. Ce qui explique pourquoi de nombreux services communaux ont été – et sont encore, pour certains – inaccessibles au public. Si le retour à la normale est lent, c’est parce que la ville veut s’assurer que le risque d’une nouvelle attaque a diminué avant de procéder à la réouverture. Certains dispositifs ne seront à nouveau opérationnels qu’à la fin du mois de janvier. En attendant, la ville s’attèle au renforcement de la sécurité de ses infrastructures numériques.

Le VDAB peut-il surveiller les données internet des chômeurs ?

Dans la foulée de l’attaque, la ville d’Anvers a immédiatement cherché à savoir quelles informations étaient tombées dans l’escarcelle des pirates. Pour ce faire, elle a suivi les traces laissées par Play et a vérifié elle-même les données les plus sensibles. « En ramassant toutes les miettes, nous arrivons à un paquet de données qui correspond à peu près ce que les criminels eux-mêmes prétendent avoir dérobé sur le dark web », explique Bart Bruelemans, Chief Resilience Officer.

« Mais comment savoir ce qui a été volé exactement ? Voilà une question qui reste sans réponse. »

Selon les informations dont disposent les autorités communales, ce sont principalement des données administratives qui ont été subtilisées. Il peut s’agir d’informations relatives au personnel, d’e-mails, de plans de bâtiments, de dossiers d’assurance ou de documents comptables. Il ne n’empêche que la ville portuaire reste sur ses gardes. « Ces groupes ont l’art de rester en dehors des radars », avertit Youri Segers.

« Mais comment savoir ce qui a été volé exactement ? Voilà une question qui reste sans réponse », regrette Bart Preneel, professeur de cybersécurité à la KU Leuven. « Si les hackers ont effacé leurs traces, la ville ne pourra pas en déceler l’origine. C’est pourquoi les autorités se montrent si prudentes dans leur communication. Elles ne sont pas en mesure de dire avec exactitude ce qui a fuité. Il serait mensonger de prétendre que nous pouvons dormir sur nos deux oreilles. »

Selon Bart Preneel, les pirates ne se focalisent pas nécessairement sur les informations sensibles ; ils ratissent le plus large possible. « En tout cas, les auteurs de l’attaque ne sont pas flamands », pense-t-il. « En cherchant à l’aveuglette, ils ont peut-être pu atteindre des données moins sensibles. Même s’il est clair que les données relatives au personnel ou au bâtiment peuvent également contenir des informations compromettantes ».

Erreur d’appréciation

L’attitude de la ville d’Anvers a le don d’agacer l’informaticien Jeroen Baert. « Il semble que les autorités n’aient pas pris la mesure des problèmes que des données dites secondaires, comme une adresse e-mail, un nom ou une heure de rendez-vous, peuvent causer en cas phishing. Imaginez un instant qu’un hacker prenne connaissance de notre rendez-vous. Si ce pirate vous envoie par après un e-mail en mon nom en vous demandant de « vérifier le compte-rendu de notre réunion« , vous supposerez que seul le vrai Jeroen Baert peut savoir que ce rendez-vous a eu lieu, et vous ouvrirez donc le document en question. Il est bien possible que la posture de la ville relève d’une stratégie de communication visant à en dire le moins possible, mais le fait de ne même pas évoquer une potentielle fuite de données sensibles ne m’inspire pas du tout confiance. »

La ville d’Anvers joue ainsi la carte de la discrétion, et tous les experts savent pertinemment pourquoi. « Je comprends tout à fait », glisse M. Van Leemputten. « En tant que journaliste, il est clair je préfère voir toutes les informations sur la table. Mais face à un logiciel malveillant, je conçois qu’une entreprise ou une autorité ne puisse pas tout divulguer. Vous ne voulez pas donner aux criminels le signal que vous êtes disposé à payer une rançon, par exemple. »

En agissant de la sorte, Anvers laisserait la porte ouverte à de nouvelles attaques sur d’autres cibles potentielles. Le risque existe, et il convient de ne pas le sous-estimer. L’enquête a montré que d’autres villes telles que Louvain, Hasselt et Genk étaient également exposées à la menace. L’Association des villes et communes flamandes (VVSG) a confirmé à l’agence de presse Belga que des mesures ont été prises.