On parle souvent des données volées. On parle rarement du silence des caisses.

L’essentiel

  • Un rançongiciel a fermé la totalité des magasins de la chaîne pendant plus d’une semaine.
  • Le coût dominant n’était pas la rançon, mais l’arrêt de l’exploitation.
  • L’entreprise a refusé de payer, et ses données d’employés ont été publiées.
  • Une sauvegarde jamais restaurée n’est pas une sauvegarde : c’est une hypothèse.

Que s’est-il passé chez London Drugs ?

Le 28 avril 2024, le groupe de rançongiciel LockBit a frappé le siège social de London Drugs. La chaîne a fermé la totalité de ses quatre-vingts magasins de l’Ouest canadien pendant plus d’une semaine. L’entreprise a refusé de payer la rançon exigée.

Les pirates ont alors publié des dossiers d’employés (ressources humaines, données médicales et financières) sur le dark web. C’est la mécanique de la double extorsion : payer pour déchiffrer, puis payer de nouveau pour éviter la publication.

Le refus de payer est une décision défendable, et les autorités canadiennes la recommandent. Elle a un coût, ici la divulgation de données d’employés, et ce coût se prépare : les personnes concernées doivent être accompagnées, ce qui suppose d’y avoir pensé avant.

Pourquoi l’arrêt coûte-t-il plus cher que la rançon ?

Parce qu’un rançongiciel ne vole pas seulement des données, il éteint l’entreprise. Chaque jour sans caisse, sans logistique et sans facturation se paie comptant, et ce coût continue de courir pendant toute la reconstruction, bien après que l’attaque a cessé.

Ce n’est plus un problème « informatique » : c’est l’exploitation entière qui s’arrête. Un commerce qui ne peut plus encaisser ne reporte pas son chiffre d’affaires au lendemain, il le perd.

flowchart TD A[Intrusion LockBit au siege] --> B[Chiffrement des systemes] B --> C[80 magasins fermes plus d'une semaine] B --> D[Rancon exigee] D --> E[Refus de payer] E --> F[Publication des donnees employes]

London Drugs a pu encaisser le choc. Une PME, rarement. Sans réserves de trésorerie, un arrêt prolongé ne se rattrape pas, et c’est ce qui rend la question de la reprise plus importante que celle de la prévention pure.

Comment une PME se prépare-t-elle réellement ?

La seule parade tient en trois chiffres, la règle 3-2-1 : trois copies de vos données, sur deux supports, dont une hors site et isolée. S’y ajoute un plan de reprise écrit et répété, qui dit qui fait quoi, dans quel ordre, avec quels contacts, le jour venu.

  • Trois copies, deux supports, une hors site et isolée. L’isolement est le point qui manque le plus souvent : une sauvegarde accessible depuis le même réseau que ce qu’elle sauvegarde se fait chiffrer avec le reste.
  • Une restauration déjà testée. Le rapport vert reçu chaque matin indique que la tâche s’est exécutée, pas qu’un fichier peut en être extrait. Nous faisons ce test dans nos diagnostics, et il change parfois entièrement la conversation.
  • Un plan de reprise écrit. Dans les premières heures, quelqu’un doit trancher entre rétablir vite et préserver les traces. Ces arbitrages se préparent à froid, avec des noms.
  • Un ordre de redémarrage. Quel système d’abord, lequel peut attendre. Sans cette liste, on relance au hasard ce qui est le plus simple plutôt que ce qui débloque l’activité.

RISS aide les PME à bâtir des sauvegardes réellement isolées, à les tester, et à répéter le scénario de crise pour que la reprise ne s’improvise pas.

FAQ

Faut-il payer une rançon ?

La position des autorités canadiennes est constante : le paiement n’est pas recommandé. Il ne garantit ni la récupération des données, ni leur non-publication, il finance l’écosystème criminel, et il vous désigne comme payeur pour de futures attaques. La vraie réponse se construit avant l’incident : une organisation dont les sauvegardes sont saines et testées n’a pas à se poser la question dans l’urgence, ce qui est précisément le moment où l’on décide mal.

Notre infonuagique nous protège-t-elle ?

Partiellement, et pas de la façon dont on l’imagine. Un service infonuagique protège contre la panne matérielle, pas contre le chiffrement de vos propres fichiers par un compte compromis, ni contre une suppression synchronisée sur toutes les copies. Ce qui protège est la conservation de versions antérieures immuables et une copie hors du périmètre du compte. Cette fonction existe souvent dans les licences déjà payées, et elle est souvent désactivée.

Combien de temps faut-il pour se relever ?

Cela dépend entièrement de ce qui a été préparé, et non de la sophistication de l’attaque. Une organisation qui a testé sa restauration compte en heures ou en jours; une organisation qui découvre ses sauvegardes au moment de s’en servir compte en semaines. Nous ne donnons pas de délai type, parce qu’un chiffre annoncé sans avoir relevé l’existant n’aurait aucune valeur pour vous.

Sources