Attaque par rançongiciel du Centre national de données indonésien (PDNS)

Le 20 juin 2024, le Centre national de données temporaire (Pusat Data Nasional Sementara, PDNS 2) indonésien, à Surabaya, a été paralysé par un rançongiciel déployé par un groupe se faisant appeler Brain Cipher. L'attaque a paralysé des services publics essentiels dans tout le pays et a révélé une absence catastrophique de sauvegardes de données, devenant l'incident cyber du secteur public le plus dommageable de l'histoire indonésienne.

Ce qui s'est passé

Brain Cipher — une souche de rançongiciel identifiée par les enquêteurs comme un dérivé de LockBit 3.0 — a chiffré les systèmes hébergés au PDNS 2, l'une des installations intérimaires desservant les ministères indonésiens pendant la construction des centres nationaux de données permanents. Les responsables ont révélé par la suite que l'intrusion avait été facilitée par des défaillances de sécurité élémentaires, notamment des configurations par défaut et des protections désactivées au niveau de Windows Defender.

Le chiffrement a mis hors service environ 282 services publics répartis sur plus de 200 administrations, dont la direction de l'immigration, dont la panne a immobilisé des voyageurs dans les grands aéroports lorsque les contrôles de passeport et de visa sont revenus à un traitement manuel.

Impact

• 282 services répartis sur plus de 210 administrations centrales et régionales ont été perturbés, l'immigration, la plateforme nationale de bourses d'études et les systèmes des collectivités locales figurant parmi les plus touchés.
• Fait crucial, les autorités ont admis que seulement environ 2 % des données stockées au PDNS 2 avaient été sauvegardées ailleurs, ce qui signifie que la plupart des administrations touchées n'ont pas pu rétablir leurs opérations même après le déchiffrement.
• Les attaquants ont exigé une rançon de 8 millions de dollars américains, que le gouvernement a publiquement refusé de payer.

Résolution

Le 3 juillet 2024, Brain Cipher a publié un message présentant ses excuses « aux citoyens de l'Indonésie » et a remis une clé de déchiffrement gratuite, que l'Agence nationale de cybersécurité et de cryptographie (BSSN) a vérifiée comme fonctionnelle. Ce revirement a épargné au gouvernement le paiement d'une rançon mais n'a pas réparé la perte de données pour les administrations qui n'avaient jamais effectué de sauvegarde.

Pourquoi c'est important

L'attaque du PDNS est devenue un scandale national sur la négligence en matière de gouvernance numérique. Les auditions parlementaires ont révélé que le centre avait reçu environ 700 milliards de roupies de fonds publics tout en manquant d'une discipline de sauvegarde élémentaire. Le chef de la BSSN a proposé sa démission, et l'épisode a conduit à un ordre présidentiel d'auditer les centres de données gouvernementaux et d'accélérer les obligations de sauvegarde — un cas d'école montrant comment une seule installation partagée insuffisamment protégée peut devenir un point de défaillance unique pour l'ensemble des services numériques d'un État.