Attaque par rançongiciel contre le Conseil des consommateurs de Hong Kong

Le 20 septembre 2023, le Conseil des consommateurs de Hong Kong — l'organisme statutaire qui publie l'influent magazine CHOICE et défend les intérêts des consommateurs dans tout le territoire — a été frappé par une attaque par rançongiciel qui a endommagé environ 80 % de ses systèmes informatiques et déclenché une violation de données présumée.

Ce qui s'est passé

L'attaque s'est déroulée sur une fenêtre d'environ sept heures, durant laquelle les systèmes du Conseil ont été chiffrés et un transfert de données anormal d'environ 65 Go a été détecté quittant le réseau. Les services de permanence téléphonique et les outils de comparaison de prix du Conseil ont été perturbés. Les attaquants ont ensuite émis une demande de rançon de 500 000 dollars, menaçant de la porter à 700 000 dollars en cas de dépassement du délai.

Le Conseil a refusé de payer, déclarant qu'il « ne cédera pas à l'extorsion par rançongiciel ». Il a au contraire signalé l'incident à la police le 21 septembre, informé le Bureau du commissaire à la protection des données personnelles et fait appel à un expert en criminalistique pour enquêter.

Ce qui était en jeu

Le Conseil a averti que la violation présumée pourrait affecter plusieurs catégories de personnes :

• Le personnel actuel et ancien, leurs proches et les candidats à l'emploi — avec des données comprenant les numéros de carte d'identité de Hong Kong, adresses et dates de naissance.
• Les abonnés du magazine CHOICE, dont environ 8 000 abonnés ayant fourni leurs informations de carte bancaire au Conseil.
• Les données de dossiers de plaintes (en grande partie épargnées) et les coordonnées des partenaires de travail telles qu'adresses d'entreprises, numéros de téléphone et e-mails.

Par précaution, le Conseil a envoyé environ 25 000 notifications de violation de données au personnel, aux abonnés et aux contacts professionnels, et a conseillé aux personnes affectées de réinitialiser leurs mots de passe, d'activer l'authentification multifacteur et de surveiller leurs comptes de carte bancaire.

Impact et réponse

Bien que le Conseil ait souligné qu'il ne pouvait pas confirmer l'ampleur totale d'un éventuel vol de données personnelles, les 80 % de dommages aux systèmes en ont fait l'une des attaques les plus perturbatrices contre un organisme public de Hong Kong. Le rétablissement a nécessité la reconstruction d'une grande partie de l'infrastructure du Conseil, et l'organisme a profité de l'épisode pour réaffirmer publiquement une position de non-paiement appuyée par la coopération avec les forces de l'ordre.

Pourquoi c'est important

L'attaque contre le Conseil des consommateurs illustre le modèle de rançongiciel à double extorsion — chiffrer pour perturber, exfiltrer pour contraindre — désormais courant contre les cibles du secteur public et à but non lucratif qui détiennent des données personnelles précieuses mais font souvent tourner des opérations de sécurité plus modestes. Son refus de payer s'alignait sur les recommandations des forces de l'ordre du monde entier, qui avertissent que le paiement finance la criminalité et ne garantit rien. Pour Hong Kong, l'affaire a renforcé la nécessité de sauvegardes résilientes, de segmentation réseau et d'une réponse aux incidents répétée, même dans des institutions hors des secteurs de risque traditionnels que sont la finance et les télécommunications.