Le cyber-risque municipal dévoilé : comment les MSP peuvent se protéger efficacement

Ma ville natale, Middletown, dans l’Ohio, a récemment fait la une des journaux locaux après que des hackers ont perturbé le système de facturation de l’eau de la ville et d’autres services. L’épisode a soulevé une question d’actualité : comment les villes deviennent-elles des cibles principales, et que peuvent faire les fournisseurs de services gérés (MSP) et les responsables de la sécurité informatique (RSSI) pour protéger les municipalités ?

J’ai parlé avec Joshua Copeland, directeur de la cybersécurité chez Crescendo IA et professeur à l’université de Tulane, au sujet des MSP et des municipalités. Il est direct : « Les municipalités ne sont pas attaquées parce qu’elles sont intéressantes, mais parce qu’elles sont accessibles, prévisibles et mal préparées. » La solution principale, dit-il, est simple : supprimer ces trois avantages au pirate.

Cinq stratégies qui font avancer les choses rapidement

1. Envisagez un compromis et préparez-vous à la récupération. Le ransomware reste la menace dominante. Des backups hors site et immuables, des procédures de restauration testées et des objectifs de temps de restauration (RTO) et de point de restauration (RPO) définis avec les dirigeants de l’entreprise sont essentiels. Copeland note : « Si vous ne parvenez pas à restaurer un système critique dans un délai réaliste, c’est que vous n’êtes pas résiliente. Vous avez eu de la chance jusqu’à présent. »
2. Renforcez d’abord votre identité et votre e-mail. Les violations commencent par de l’hameçonnage et des contrôles d’identité faibles. La stratégie est claire : appliquez l’authentification multifacteur (MFA) partout, renforcez l’accès privilégié et améliorez les défenses e-mail avec l’inspection des URL et des pièces jointes. La protection contre l’usurpation d’identité des maires, des membres du conseil municipal et du personnel financier doit être une priorité absolue.
3. Segmentez comme si votre travail en dépendait. De nombreux réseaux municipaux sont plats, avec les mairies, les services publics, la police et les systèmes OT cohabitant sur un même plan. Une segmentation de base du réseau, des niveaux d’administration distincts et des règles strictes en matière de firewall limitent considérablement le rayon d’action de l’explosion après une première implantation.
4. Gestion des correctifs dans la réalité commerciale, pas dans la fantaisie. Les environnements municipaux regorgent de systèmes existants et d’applications spécialisées. Les MSP et les RSSI devraient prioriser les correctifs en fonction des indicateurs d’exploitabilité (par exemple, EPSS, vulnérabilités connues exploitées), en se concentrant sur les systèmes exposés à l’extérieur. Lorsqu’il n’est pas possible d’appliquer des correctifs, documentez les risques acceptés.
5. Formez vos collaborateurs comme s’ils faisaient partie du centre d’opérations de sécurité. Les employés de bureau, les services financiers, les opérateurs des urgences et les services des travaux publics ont besoin d’une formation concise, fréquente et adaptée à leur rôle. L’objectif est la détection et le signalement rapide, et non la stigmatisation.

Évolution du paysage des menaces

Selon M Copeland, qui est également commandant adjoint de la réserve cybernétique de la Garde d’État de Louisiane, la nature des attaques visant les municipalités s’est considérablement transformée ces dernières années :

• Du ciblage opportuniste au ciblage commercial. Les groupes de ransomware ciblent maintenant les municipalités de manière plus stratégique, reconnaissant l’impact politique et visible des temps d’arrêt. C’est pourquoi il est essentiel de disposer d’une réponse robuste aux incidents.
• Convergence des risques liés aux IT et OT. Les systèmes de ville intelligente (contrôles de la circulation, installations d’eau et de déchets, gestion des bâtiments et capteurs IdO) sont de plus en plus exposés. Des systèmes d’accès à distance mal configurés et des systèmes de contrôle vieillissants augmentent le risque de perturbations physiques ainsi que de perte de données.
• Vol et extorsion de données, et pas seulement le chiffrement. Les ransomwares modernes volent souvent les données avant de les chiffrer. Les municipalités détiennent des informations sensibles (données personnelles, données des forces de l’ordre, dossiers scolaires, cartes d’infrastructures), ce qui fait de l’exfiltration de données un risque sérieux, même avec des backups.

Les cinq plus grands dangers cybernétiques

Lorsqu’on lui demande d’identifier les principaux dangers auxquels les municipalités sont confrontées, Copeland les regroupe en cinq catégories critiques :

1. Ransomware et compromission de l’e-mail professionnel. Les ransomwares perturbent les opérations, tandis que les arnaques aux faux ordres de virement (BEC) détournent des fonds par le biais de la fraude à la facturation, du détournement de salaires et de virements frauduleux, souvent sous-déclarés.
2. Systèmes existants qui ne peuvent être ni corrigés ni remplacés. Les systèmes judiciaires de longue date, les applications fiscales, les autorisations et le service des urgences ne peuvent pas toujours être connectés à Internet ou facilement mis à jour. Ils nécessitent des contrôles compensatoires tels que la segmentation et des limites d’accès strictes.
3. Réseaux plats et identifiants partagés. Les réseaux plats et les comptes administrateur partagés facilitent les mouvements latéraux une fois que les pirates ont établi un point d’ancrage.
4. Risque lié aux tiers et aux MSP. Les municipalités dépendent des fournisseurs pour de nombreux services. Un partenaire compromis peut conduire à une violation indirecte de la législation municipale, c’est pourquoi l’accès des fournisseurs doit être traité avec la même rigueur que l’accès interne.
5. Dette de sécurité dans les secteurs IT/OT. Des infrastructures vieillissantes et des contrôles de sécurité obsolètes créent des risques persistants tant pour les technologies de l’information que pour les technologies opérationnelles.

Les villes sont des cibles de choix, car elles sont accessibles, prévisibles et souvent mal préparées, ce qui les rend attrayantes pour les pirates. Les MSP et les CISO peuvent protéger les municipalités en adoptant une posture de compromis, en consolidant les identités, en segmentant les réseaux, en priorisant les correctifs stratégiques et en formant les équipes à détecter et signaler rapidement les incidents.

Remarque : cet article a été initialement publié sur SmarterMSP.com