Le 9 janvier 2021, la commune d’Østre Toten s’est réveillée pour découvrir que l’ensemble de son infrastructure numérique avait été détruite pendant la nuit. Un groupe international de pirates informatiques connu sous le nom de PYSA avait contourné le pare-feu de la commune, chiffré toutes les données de chaque serveur et supprimé tous les fichiers de sauvegarde. En une nuit, 1 300 employés municipaux ont perdu l'accès à tous les systèmes dont ils dépendaient.
La commune n’avait aucun moyen de récupérer ces données. Les e-mails avaient disparu. Les dossiers médicaux des services de soins avaient disparu. Les demandes de permis de construire, les dossiers fiscaux, les communications internes : tout était verrouillé derrière des clés de chiffrement que seuls les pirates détenaient. Le personnel des services de santé, des écoles et de l’administration a dû se rabattre sur le papier et le stylo. Les infirmières rédigeaient les notes sur les patients à la main. Les enseignants se sont débrouillés sans outils numériques. Le personnel administratif a exhumé des archives physiques qui n’avaient pas été consultées depuis des années.
La situation a empiré. Le 31 mars, les pirates ont publié les données volées sur le dark web. Environ 30 000 documents contenant des informations personnelles sur les habitants de la commune sont apparus en ligne, notamment des dossiers médicaux sensibles et des dossiers des services sociaux. La commune ne pouvait rien faire pour empêcher leur diffusion.
Les conséquences ont été brutales. Environ 1 000 ordinateurs ont dû être effacés et réinstallés à partir de zéro. Le coût total s’est élevé à environ 35 millions de couronnes. Datatilsynet, l’autorité norvégienne de protection des données, a mené une enquête et constaté que la commune avait failli à plusieurs égards : absence d’authentification à deux facteurs, journalisation insuffisante, procédures de sauvegarde défaillantes et culture de sécurité insuffisante. L’amende s’est élevée à 4 millions de couronnes, l’autorité ayant noté que ces manquements constituaient une négligence grave.
L’attaque contre Østre Toten reste la pire cyberattaque jamais perpétrée contre une commune norvégienne. Elle est devenue un exemple édifiant à l’échelle nationale, montrant à quel point les systèmes informatiques d’une petite commune rurale peuvent être tout aussi vulnérables que ceux d’une grande entreprise, et à quel point les conséquences peuvent être dévastatrices lorsque les principes fondamentaux de la cybersécurité sont négligés.
La commune n’avait aucun moyen de récupérer ces données. Les e-mails avaient disparu. Les dossiers médicaux des services de soins avaient disparu. Les demandes de permis de construire, les dossiers fiscaux, les communications internes : tout était verrouillé derrière des clés de chiffrement que seuls les pirates détenaient. Le personnel des services de santé, des écoles et de l’administration a dû se rabattre sur le papier et le stylo. Les infirmières rédigeaient les notes sur les patients à la main. Les enseignants se sont débrouillés sans outils numériques. Le personnel administratif a exhumé des archives physiques qui n’avaient pas été consultées depuis des années.
La situation a empiré. Le 31 mars, les pirates ont publié les données volées sur le dark web. Environ 30 000 documents contenant des informations personnelles sur les habitants de la commune sont apparus en ligne, notamment des dossiers médicaux sensibles et des dossiers des services sociaux. La commune ne pouvait rien faire pour empêcher leur diffusion.
Les conséquences ont été brutales. Environ 1 000 ordinateurs ont dû être effacés et réinstallés à partir de zéro. Le coût total s’est élevé à environ 35 millions de couronnes. Datatilsynet, l’autorité norvégienne de protection des données, a mené une enquête et constaté que la commune avait failli à plusieurs égards : absence d’authentification à deux facteurs, journalisation insuffisante, procédures de sauvegarde défaillantes et culture de sécurité insuffisante. L’amende s’est élevée à 4 millions de couronnes, l’autorité ayant noté que ces manquements constituaient une négligence grave.
L’attaque contre Østre Toten reste la pire cyberattaque jamais perpétrée contre une commune norvégienne. Elle est devenue un exemple édifiant à l’échelle nationale, montrant à quel point les systèmes informatiques d’une petite commune rurale peuvent être tout aussi vulnérables que ceux d’une grande entreprise, et à quel point les conséquences peuvent être dévastatrices lorsque les principes fondamentaux de la cybersécurité sont négligés.
