West Pharmaceutical Services victime d’un vol de données et d’un blocage de systèmes

Ce qui s’est passé

West Pharmaceutical Services a annoncé une cyberattaque combinant vol de données et blocage des systèmes, qui a temporairement perturbé la production, la logistique et la chaîne d’approvisionnement de l’entreprise. La reprise des activités s’est effectuée site par site, et non simultanément dans l’ensemble de l’organisation.

Cette combinaison d’exfiltration d’informations et de chiffrement ou de blocage des systèmes est caractéristique des attaques par ransomware les plus agressives, dans lesquelles l’attaquant cherche à la fois à faire pression en menaçant de publier les données et à forcer le paiement en interrompant les activités.

Les enseignements pour une entreprise disposant de sa propre production

Lorsqu’une attaque touche à la fois les données et la disponibilité des systèmes, la sécurité et la continuité d’activité ne peuvent plus être traitées séparément: les sauvegardes sont de peu d’utilité si leur restauration prend plusieurs jours ou si elles ont également été chiffrées.

La reprise progressive site par site, plutôt qu’un redémarrage global, suggère une priorisation fondée sur la criticité, une approche raisonnable lorsqu’il est impossible de tout rétablir simultanément avec des garanties de sécurité.

Les points à vérifier

Les éléments qui font la différence entre une reprise rapide et une reprise prolongée:

• Si les sauvegardes sont immuables et isolées du réseau principal.
• Si le réseau de production est segmenté par rapport au réseau de l’entreprise et des bureaux.
• Quels sites ou lignes de production seraient rétablis en priorité selon leur criticité.
• S’il existe un plan de communication avec les clients de la chaîne d’approvisionnement en cas d’arrêt.

Questions fréquentes

¿Quel type d’attaque combine vol de données et blocage des systèmes?

C’est le schéma habituel des ransomwares modernes, qui exfiltrent des informations avant de chiffrer les systèmes pour exercer une pression par une double menace.

¿Pourquoi la reprise s’est-elle faite site par site plutôt que globalement?

Une restauration par étapes permet de donner la priorité aux usines les plus critiques et de vérifier que chaque environnement est sain avant de le reconnecter.

¿Qu’est-ce qui compte le plus pour une entreprise industrielle?

Disposer de sauvegardes immuables et d’un réseau de production segmenté, pour ne pas être contraint de tout rétablir en même temps.