Cyberattaques : L’exercice difficile de la communication
27 Juin 2017, une cyberattaque de grande ampleur se déploie dans le monde entier. Son nom : NotPetya. Apparu sous la forme d’un ransomware (demande de rançon pour récupérer les donnes dérobées), ce logiciel malveillant s’est diffusé à une vitesse éclair, détruisant les données de nombreuses entreprises internationales dont Auchan, Saint-Gobain et même la SNCF. Les entreprises doivent désormais vivre dans la crainte d’être, à tout moment, victimes de cyberattaques dévastatrices. Mais comment communiquer lorsque l’on en est victime? La question peut même se poser autrement : Doit-on communiquer ?
Au-delà de l’impact que peut avoir une cyberattaque sur le fonctionnement même de l’entreprise, c’est surtout révéler au monde entier une terrible négligence, voir une faute professionnelle quant à la sécurité de son système informatique. Car même si, aujourd’hui, l’abnégation et l’hyper-technicité d’un pirate peut primer sur un système d’information réputé ultra-sécurisé, il est tout de même extrêmement difficile pour une entreprise touchée d’assumer cette faille.
Cependant, la communication s’avère primordiale pour combattre les attaques informatiques. En effet, n’oublions pas que certaines entreprises françaises utilisent sensiblement les mêmes architectures informatiques. Par conséquent, communiquer lorsque l’on est victime d’une cyberattaque – ou d’une tentative-, c’est permettre aux autorités compétentes (l’ANSSI en France) de réagir rapidement et d’alerter les infrastructures d’un même secteur d’activité. De plus, communiquer sur la façon précise dont on a été attaqué, c’est également permettre de réparer éventuellement certaines failles ou certains défauts de systèmes. Essentiel donc…
Deux expériences opposées
Reste à savoir quelle stratégie adopter. Comparons deux expériences : celle de l’entreprise française de distribution de matériaux Saint-Gobain et le géant télévisuel américain HBO.
Victime de l’attaque NotPetya l’été dernier, le leader français de l’habitat Saint-Gobain a adopté une stratégie de communication assez étrange. En effet, les salariés du groupe français ont été interdits par la direction de divulguer quoi que ce soit sous peine de lourdes sanctions. Si on ne doute pas qu’en interne, les dirigeants de Saint-Gobain ont dû alerter les autorités compétentes, on peut tout de même s’étonner de cette stratégie de menace des salariés.
A l’international, le cas de la chaine de télévision américaine HBO est un parfait exemple de communication plutôt maitrisée. En effet, alors qu’une cyberattaque de grande ampleur touche le groupe télévisuel américain, des pirates affirment avoir divulgué des épisodes inédits de séries à succès, dont le célèbre Game of Thrones, ainsi que des scripts et des photos de tournages. Au total, c’est plus de 1,5 TB de données qui seront diffusées pendant quelques heures sur Internet. Cependant, HBO a très rapidement réagi, en communiquant officiellement sur la faille qu’ils venaient de subir et, en interne, en engageant une société privée de sécurité informatique afin de rapidement supprimer de tous les moteurs de recherches les données dérobées.
Les stratégies de communication des entreprises victimes de cyberattaques sont donc plurielles et certaines ont bien du mal assumer sereinement une faille dans leur sécurité informatique. Si certaines sont complètement transparentes, d’autres ont semblé manquer de sincérité pour masquer leur incapacité à protéger leurs données.
A lire : Pour aller plus loin sur la cybersécurité
Clément Delalande
