/finance/business
Navigation

Le nombre de cyberattaques pour des rançons explose dans les PME

Les PME sont des cibles de choix pour les pirates informatiques, car plus faciles

Dangerous Hooded Hacker Breaks into Government Data Servers and Infects Their System with a Virus. His Hideout Place has Dark Atmosphere, Multiple Displays, Cables Everywhere.
Photo Adobe Stock

Coup d'oeil sur cet article

Les menaces de cyberattaques sont en augmentation constante depuis le début de la pandémie dans les PME, plus faciles à attaquer. Une entreprise sur cinq était déjà touchée en 2019, d’après Statistique Canada, et depuis, les attaques de rançon explosent.

• À lire aussi: Près de la moitié des Canadiens craignent d’être victimes de cybercrimes

• À lire aussi: Cyberattaque: important vol de données chez Bell Canada

«Les attaques de rançon sont en augmentation de 91 % cette année par rapport à 2021. On voit énormément d’attaques au sein des PME», affirme Guillaume Caron, PDG de VARS, la filiale cybersécurité de RCGT. 

Voici le scénario qui se déroule dans la majorité des cas, d’après François Daigle, conseiller senior en sécurité de l’information chez OKIOK : une ou plusieurs personnes gèrent le système informatique de la PME X de Saint-Ginglin. L’équipe TI fait du très bon travail, mais ce ne sont pas des experts de la sécurité informatique. Un jour, un pirate trouve une faille et réussit à rentrer dans le système informatique. Il parcourt les ordinateurs et serveurs en catimini pendant plusieurs semaines, vole des informations, ouvre des portes vers d’autres organisations, et installe un logiciel qui va chiffrer progressivement les données. Lorsque la tâche est effectuée, il laisse une note : «Vous avez été victime d’une attaque, si vous voulez retrouver vos données, veuillez déposer ...$ dans ce compte.» 

L’entreprise se retrouve plongée en plein chaos avec ses systèmes bloqués ou sa base de données comptables rendue illisible, et ne peut plus poursuivre ses activités.

Une nouvelle réalité 

«Les cyberattaques font désormais partie de la réalité des entrepreneurs au point où trois PME sur cinq sont inquiètes», explique François Vincent, dirigeant de la Fédération canadienne de l’entreprise indépendante (FCEI). 

La FCEI a fait un sondage en mars 2022 qui révélait que 20 % des PME avaient fait l’objet d’un plus grand nombre de tentatives de cyberattaques dans la dernière année. Cela représenterait plus de 50 000 entreprises attaquées.

La croissance du risque de cyberattaques a été accélérée par la pandémie. Le télétravail et le développement de la vente en ligne ont ouvert des portes qui n’étaient pas là avant pour les PME, explique M. Vincent. 

Il y a une décennie, les clients de OKIOK étaient plutôt des grandes entreprises, affirme M. Daigle. 

Or elles sont aujourd’hui plutôt bien sécurisées. 

Les PME à l’inverse sont plus vulnérables et plus faciles d’accès.

«C’est l’appât du gain facile pour les pirates, soutient le conseiller en sécurité informatique. Ce qu’on voit depuis cette année, ce n’est plus seulement les PME, mais aussi les très petites entreprises. Des clubs de golf, des OBNL, des écoles, parce qu’ils sont les parents pauvres.»

Également des portes d’entrée

Non seulement les pirates accèdent plus facilement aux données des PME, mais ces dernières peuvent aussi être une porte d’entrée vers la grande entreprise ou pour attaquer à plus grande échelle, ajoute M. Caron. 

La sécurité informatique devient ainsi une exigence pour obtenir des contrats. Les institutions publiques et les grandes entreprises veulent s’assurer qu’une violation de la confidentialité ne passera pas par leurs fournisseurs. 

Des données inquiétantes

  • 64 % des PME québécoises n’ont jamais été aussi inquiètes qu’aujourd’hui du risque de cyberattaques (FCEI sondage 2022)
  • Près de deux tiers (61 %) des entreprises canadiennes ont fait face à au moins un incident de cybersécurité et les trois quarts (74 %) ne l’ont pas signalé (sondage Centre de sécurité des télécommunications)
  • Près de la moitié des PME canadiennes (44 %) n’ont pas de plan de cybersécurité complet (sondage KPMG 2021) 

Des risques légaux très importants 

Une cyberattaque peut faire mal à une PME sur le plan financier ou réputationnel, et depuis la semaine passée, il faut y ajouter un plus grand risque légal.

«Les conséquences d’une cyberattaque vont varier d’une PME à l’autre, ça dépend du niveau de sécurité qu’elle a mis en place, explique François Daigle. Cela peut passer d’une non-disponibilité de ses services pendant quelques heures à la faillite».

Le conseiller senior en sécurité informatique chez OKIOK se souvient d’une PME connue qui l’appelle un vendredi soir à 6 h, il y a trois ans. L’ensemble de la comptabilité avait été encodé (volé) par des pirates informatiques. L’entreprise n’est plus capable de payer ses employés ni recevoir l’argent de ses clients. « C’est majeur. Ça prend du temps à remonter une base de données et tout le monde n’a pas la capacité », commente M. Daigle.

L’intervention se doit d’être rapide pour pouvoir remettre les activités sur pied et permettre à l’entreprise de fonctionner. En attendant, la perte financière peut être importante. 

D’après une étude de la FCEI datant de mars 2022, la perte moyenne d’une cyberattaque s’élève à 26 000 $. La facture peut être bien plus élevée selon les cas. Pour se prémunir contre ce risque, des assurances existent.

Autre conséquence malheureuse d’une cyberattaque : la réputation. Un sondage KPMG de 2021 révèle que 93 % des consommateurs canadiens hésitent à partager leurs renseignements personnels ou financiers avec une organisation qui a déjà fait l’objet d’une cyberattaque ou d’une fuite de données. 

Nouvelles obligations

Depuis la semaine passée, les obligations en matière de protection des données des entreprises sont aussi renforcées. La première étape de la loi 25 entrait en vigueur le 22 septembre. Elle vise à protéger les citoyens contre la fuite d’informations personnelles. 

Les entreprises devront gérer les données de manière responsable, notamment protéger l’information et être capables de la détruire sur demande. Elles devront par ailleurs divulguer les bris de confidentialité de renseignements confidentiels.

«Ce n’est plus seulement un risque d’affaires, mais aussi un risque juridique», conclut M. Daigle.

Vous avez un scoop à nous transmettre?

Vous avez des informations à nous partager à propos de cette histoire?

Vous avez un scoop qui pourrait intéresser nos lecteurs?

Écrivez-nous à l'adresse ou appelez-nous directement au 1 800-63SCOOP.

Commentaires

Vous devez être connecté pour commenter. Se connecter

Bienvenue dans la section commentaires! Notre objectif est de créer un espace pour un discours réfléchi et productif. En publiant un commentaire, vous acceptez de vous conformer aux Conditions d'utilisation.