Votre boîte courriel d’affaires est compromise : comment faut-il réagir?

Pourquoi le courriel est-il si vulnérable?

Le courriel combine trois faiblesses : 1) un volume élevé de données, 2) des échanges rapides et 3) une forte confiance envers l’identité apparente de l’expéditeur. Un mot de passe réutilisé, une fausse page de connexion, une pièce jointe malveillante ou une demande d’authentification approuvée par distraction peuvent suffire. L’attaquant peut ensuite créer une règle de transfert invisible, surveiller les conversations et intervenir au moment opportun.

Imaginez par exemple (un cas vécu par certains clients) qu’un compte soit compromis peu avant la signature d’une transaction de vente immobilière. Après avoir suivi les échanges entre le vendeur, l’acheteur, les courtiers et le notaire, l’attaquant peut alors intervenir au moment où les instructions de paiement sont transmises, substituer de fausses coordonnées bancaires à celles du véritable notaire et détourner ainsi des sommes importantes avant que la fraude ne soit découverte…

Des préjudices qui peuvent dépasser largement le titulaire du compte

La compromission peut provoquer une fraude financière, un vol d’identité, une atteinte à la vie privée, la divulgation de secrets commerciaux, la perte d’un avantage concurrentiel ou même l’interruption des opérations. Mais ce n’est pas tout! Elle peut aussi exposer les clients, employés, partenaires et autres personnes dont les renseignements se trouvent dans les messages ou les pièces jointes. Ainsi, la compromission d’une seule boîte courriel peut ainsi révéler des numéros de compte, des dossiers de candidature, des renseignements médicaux, des stratégies de négociation ou des avis juridiques. Facteur aggravant : l’utilisation du compte peut également servir à envoyer de faux messages et ainsi propager l’attaque à tout le carnet d’adresses et/ou aux personnes identifiées dans la boîte, ce qui peut causer de grands ravages et miner durablement la confiance envers l’entreprise.

Une responsabilité qui incombe à l’entreprise

Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) rend l’entreprise responsable des renseignements personnels qu’elle détient. La personne ayant la plus haute autorité veille au respect de la loi, à moins d’avoir délégué par écrit la fonction de responsable de la protection des renseignements personnels.² Sous cette supervision, l’entreprise doit prendre des mesures de sécurité raisonnables, compte tenu notamment de la sensibilité, de la quantité, de la finalité et du support des renseignements.³

Les obligations légales en cas d’incident de confidentialité

Lorsqu’une compromission implique des renseignements personnels, l’entreprise doit agir rapidement pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature se reproduisent auprès d’autres personnes. Elle doit notamment évaluer la sensibilité des renseignements concernés, les conséquences appréhendées de leur utilisation et la probabilité qu’ils soient utilisés à des fins préjudiciables. Si l’incident présente un risque qu’un préjudice sérieux soit causé, elle doit aviser avec diligence la Commission d’accès à l’information et les personnes concernées. Tout incident de confidentialité doit également être consigné dans un registre prévu à cette fin⁴, même lorsqu’il n’atteint pas ce seuil. Selon les circonstances, une mauvaise gestion d’un tel incident peut entraîner des enquêtes, des ordonnances, des sanctions administratives ou pénales, voire des recours civils⁵.

La responsabilité civile et les enseignements des tribunaux

Au-delà des obligations particulières prévues par la LPRPSP, la compromission d’une boîte courriel peut également engager la responsabilité civile de l’entreprise lorsqu’elle cause ou aggrave un préjudice. Une boîte compromise peut en effet devenir un relais pour commettre d’autres méfaits : l’attaquant peut exploiter la confiance qu’inspire un nom ou une adresse courriel connue pour transmettre de faux liens, demander des documents, modifier des instructions de paiement ou recueillir d’autres identifiants. Chaque destinataire trompé risque alors de donner accès à son propre compte et de relancer l’attaque auprès de ses contacts, ce qui peut entraîner une propagation rapide et étendue. Des individus, des professionnels et des entreprises peuvent ainsi subir des pertes financières, une interruption de service, une atteinte à la confidentialité de leurs affaires ou des coûts importants de remise en état. Si le titulaire ou l’entreprise tarde à bloquer le compte concerné, à préserver la preuve, à circonscrire l’incident ou à avertir les personnes exposées, cette omission peut aggraver les dommages. Selon les faits, elle peut soulever des enjeux contractuels ou déontologiques et, lorsque les conditions applicables sont réunies, engager la responsabilité civile de son auteur indépendamment du régime de la LPRPSP⁶

Certaines décisions montrent que la compromission d’un courriel peut rapidement déplacer le litige vers les victimes elles-mêmes et amener les tribunaux à attribuer la perte selon la conduite de chacune. Dans Concessions Caravane 1986 inc. c. Banque Toronto-Dominion⁷, une fraude par hameçonnage ayant mené à des opérations bancaires non autorisées a donné lieu à un partage de responsabilité : dans cette affaire, la Cour supérieure a retenu une faute de la Banque TD et lui a attribué 50 % de la perte découlant du transfert frauduleux. Dans St. Lawrence Testing & Inspection Co. Ltd. v. Lanark Leeds Distribution Ltd.⁸, le compte courriel d’une technicienne juridique avait été compromis et de fausses instructions de paiement avaient détourné les fonds d’un règlement. Le tribunal a examiné laquelle des parties devait supporter la perte et l’incidence que pourrait avoir la négligence de la partie dont le compte avait été compromis. Aucune négligence du cabinet n’ayant été établie en l’espèce, la partie qui avait transféré les fonds au mauvais compte a dû supporter la perte et payer (à nouveau!) le règlement au véritable bénéficiaire. Ces décisions n’aboutissent donc pas au même partage de responsabilité mais elles illustrent toutes deux l’importance que les tribunaux accordent aux fautes des parties (respectivement), aux mécanismes de vérification et aux mesures de sécurité.

Au-delà des obligations de signalement prévues par la loi ou attendues de la part d’une personne raisonnable en pareilles circonstances, la qualité de l’avis transmis aux personnes exposées constitue elle-même une mesure de réduction du préjudice. Pour être utile, cette communication doit être rapide, précise et pertinent. Un avis utile ne devrait donc pas se limiter, pour une entreprise, à annoncer l’incident. Il devrait également préciser la période visée, les types de messages ou de renseignements potentiellement exposés, les gestes déjà posés pour corriger la situation, les signaux à surveiller, et les mesures préventives à envisager. Selon le risque, les personnes concernées pourront être invitées à ne pas répondre aux messages récents provenant du compte compromis et à vérifier, par téléphone ou par un autre moyen de communication connu, toute demande de paiement, de changement bancaire, de document ou de mot de passe. Elles devraient également supprimer les courriels suspects sans ouvrir leurs liens ou leurs pièces jointes, modifier tout mot de passe identique ou semblable utilisé ailleurs, activer l’authentification multifacteur et vérifier les activités ainsi que les appareils connectés à leurs comptes. En présence d’une opération ou situation inhabituelle, elles devraient aviser rapidement leur service TI, leur institution financière, les agences de crédit, leur assureur ou les autorités compétentes. L’avis devrait enfin leur fournir les coordonnées d’un point de contact au sein de l’entreprise pour répondre aux questions et être suivi de toute mise à jour susceptible de modifier leur appréciation du risque.⁹

Une réaction rapide et coordonnée peut faire une différence

Dès la découverte de la compromission, l’entreprise devrait suivre une démarche structurée en quatre étapes afin de contenir l’incident, d’en déterminer la portée, de mobiliser les intervenants appropriés et de documenter les décisions prises, soit les suivantes :

1. Contenir sans détruire la preuve. Informer immédiatement l’équipe TI ou le fournisseur, bloquer les accès suspects, réinitialiser les mots de passe, révoquer les sessions actives et vérifier les règles de transfert, les applications autorisées et les méthodes de récupération.¹⁰ Conserver les journaux et éviter de supprimer précipitamment les messages utiles à l’enquête.
2. Déterminer la portée. Établir quand l’accès a commencé, quels messages et fichiers ont pu être consultés, copiés ou exportés, quelles actions ont été réalisées et quels autres comptes ou systèmes sont touchés (le cas échéant).
3. Mobiliser les bonnes personnes. Prévenir la direction, le responsable de la protection des renseignements personnels, les spécialistes en cybersécurité, l’assureur et, selon le cas, les institutions financières, les autorités policières ou d’autres organismes aptes à réduire le risque.
4. Évaluer et documenter. Consigner les faits établis, les renseignements concernés, les préjudices possibles, les mesures prises, les décisions rendues et les avis transmis. Cette documentation doit permettre de retracer l’analyse, de justifier les choix effectués et d’assurer la cohérence des communications destinées aux personnes touchées.

Prévenir pour réduire à la fois la probabilité et l’impact

Les mesures recommandées sont les suivantes: authentification multifacteur, mots de passe uniques et complexes, accès limités selon les fonctions, mises à jour rapides, filtrage des messages, sauvegardes, surveillance des connexions et configuration du domaine contre l’usurpation. Le chiffrement des courriels et de leurs pièces jointes constitue également une stratégie particulièrement efficace — et devrait devenir une pratique systématique — pour toute organisation qui traite des renseignements sensibles. À cela s’ajoutent des règles simples :

1) vérifier par un autre canal toute demande inhabituelle de paiement ou de changement bancaire,

2) éviter d’utiliser la boîte courriel comme dépôt permanent,

3) recourir à un canal chiffré ou à un portail sécurisé pour transmettre les renseignements sensibles et

4) former régulièrement le personnel au signalement des messages suspects.

Un plan d’intervention testé, des responsabilités claires et un inventaire des renseignements détenus réduisent les hésitations lorsque chaque minute compte.

Quand consulter un avocat?

Une consultation rapide est particulièrement utile lorsque des renseignements sensibles, des sommes importantes, plusieurs personnes, des obligations contractuelles et/ou un risque de litige sont en cause. L’avocat peut aider à préserver la confidentialité des échanges liés à l’intervention¹¹, à coordonner les experts, à encadrer l’analyse du risque de préjudice sérieux, à déterminer les avis requis et à réviser les communications afin qu’elles soient transparentes mais circonscrites à ce qui est nécessaire. Il peut aussi soutenir les démarches auprès de l’assureur, des partenaires et des autorités, et favoriser la conservation de la preuve en vue d’un recours.

À notre époque, le courriel demeure un outil de communication indispensable, mais sa rapidité amplifie autant l’erreur humaine que l’attaque…

Une organisation doit donc voir à se protéger avec : 1) des mesures préventives adaptées à la sensibilité des renseignements, 2) une intervention structurée dès les premières heures, et 3) des communications précises pour permettre aux personnes exposées de réduire leur propre risque. En définitive, la prudence avant l’incident et la discipline après sa découverte demeurent les meilleures protections contre l’aggravation des conséquences technologiques, opérationnelles, juridiques et réputationnelles d’un risque de compromission qui demeure permanent.