Le président de Marks & Spencer, Archie Norman, a décrit la récente attaque de ransomwares contre les systèmes du détaillant comme quelque chose qui ressemble à une «expérience hors du corps» alors qu’il a appelé les victimes de cyberattaques à être courageuses, à mordre la balle et à être ouvertes et transparentes sur leurs expériences.
S’exprimant avant le sous-comité des affaires et du commerce sur la sécurité économique, les contrôles des armes et des exportations – dans une session au cours de laquelle des représentants du groupe de coopératives de victime d’attaque et divers cyber-experts, notamment l’ancien centre de la Cyber Security Center (NCSC), Ciaran Martin, a également déclaré que Norman a déclaré que les apprentissages ne pensaient pas que le gouvernement puisse régler son chemin vers la sécurité, il y avait un rôle pour s’assurer que l’apprentissage des incidents de sécurité est discuté et dispersé, en particulier dans la salle de comptoir pour s’assurer que l’apprentissage des incidents de sécurité était discuté et dispersé, en particulier dans les salles de présence dans la conduite de l’apprentissage à partir d’inccidents de sécurité qui sont discutés et dispersés.
Il a dit que M&S voulait utiliser son expérience au profit du gouvernement et d’autres entreprises. “J’ai déjà un ou deux conseils qui m’ont invité à venir les voir et à partager nos histoires de guerre, ce que je ferai certainement”, a-t-il déclaré.
“Nous pensons que les rapports obligatoires sont une idée très intéressante”, a ajouté Norman. «Il est évident pour nous qu’un assez grand nombre de cyberattaques ne sont jamais signalés au NCSC. En fait, nous avons des raisons de croire qu’il y a eu deux cyberattaques majeures contre les grandes entreprises britanniques au cours des quatre derniers mois qui ne sont pas signalées.
“Nous pensons que c’est un gros déficit dans nos connaissances quant à ce qui se passe”, a-t-il déclaré. «Je ne pense pas que ce serait une exagération réglementaire de dire que si vous avez une attaque matérielle… pour les entreprises d’une certaine taille, vous êtes nécessaire dans un délai pour les signaler au NCSC, et cela améliorerait le corps de renseignement central autour de cela.
Norman a déclaré que tôt – avant que les rapports d’une cyberattaque ne frappent les premières pages – M&S avait partagé toutes les informations qu’il avait sur l’incident en cours avec le NCSC afin qu’elle puisse alerter d’autres entreprises de vente au détail, y compris probablement Co-Op Group.
Il a également révélé que M&S avait reçu un niveau de soutien non divulgué du FBI américain, affirmant qu’il était «plus musclé» à cet égard.
Incident traumatisant
Discutant de l’impact de la cyberattaque, Norman a déclaré: «Il est juste de dire que tout le monde chez M&S l’a vécu. Nos collègues de la boutique ordinaire [were] Travailler d’une manière qu’ils n’avaient pas travaillé pendant 30 ans, travaillant des heures supplémentaires juste pour essayer de garder le spectacle sur la route. Laissez-vous à l’écart de nos collègues technologiques, pendant une semaine, probablement, la cyber équipe n’a pas dormi… ce n’est pas une surestimation de le décrire comme traumatisante.
M&S reconstruit toujours ses activités et s’attend à le faire pendant un certain temps, et reconnaissant que son domaine informatique global est un méli-mélo de systèmes hérités, Norman a déclaré que l’organisation monte désormais diverses phases d’un rafraîchissement de la technologie en cours dans le sillage de l’attaque.
Commentant les remarques faites à la Chambre des communes par le député David Davis qu’une entreprise britannique anonyme avait payé une rançon importante récemment, Norman a refusé de dire si M&S était ou non l’organisation à laquelle Davis faisait référence et ne révélerait pas directement si le détaillant avait reçu une demande de rançon.
Il a dit que tôt, M&S avait pris la décision de ne pas communiquer directement avec ses agresseurs, laissant cela aux cyber-professionnels.
Norman a ajouté que pendant un certain temps, M&S ne savait pas qui l’avait attaqué. “Ils ne vous envoient jamais de lettre signée Spider dispersée – cela ne se produit pas”, a-t-il déclaré. «Nous n’avons même pas entendu de l’acteur de menace pendant environ une semaine après avoir pénétré nos systèmes. Vous comptez complètement sur vos conseillers en sécurité pour dire ce qu’ils pensent se produire, et ils ont reconnu l’acteur de menace par le vecteur d’attaque.
«De plus, ils communiquent par les médias, et dans ce cas, leur avenue de communication choisie était principalement la BBC. C’était parfois une expérience inhabituelle de se brosser les dents le matin lorsque quelqu’un arrive sur la BBC avec une communication des personnes qui attaquent votre entreprise.»
Génie social
Prenant d’autres questions du panel, Norman a fait tout son possible pour refuser explicitement les rapports des médias qui suggéraient que M&S avait «laissé la porte arrière ouverte», affirmant que l’attaque s’était produite via l’ingénierie sociale via un tiers non divulgué, comme cela a été largement spéculé au cours des dernières semaines.
“L’attaque contre M&S a été écrite comme une usurpation d’identité sophistiquée, dans ce cas, faisant probablement référence à l’utilisation de tactiques de génie social avancées, incluant potentiellement l’audio ou la vidéo DeepFake, pour se présenter de manière convaincante en tant que dirigeants ou initialistes de confiance”, a déclaré Richard Latulip, directeur de la sécurité de l’information sur le terrain, à l’avenir du spécialiste de l’information sur le terrain.
“La protection contre les attaques d’identité sophistiquées nécessite une approche en couches”, a-t-il ajouté. «Bien que les défenses techniques, telles que les outils d’authentification multi-facteurs et de vérification de l’identité, soient essentielles, la couche humaine reste la plus vulnérable. C’est pourquoi la formation continue et la conscience de niveau exécutif sont essentielles. Les employés, en particulier ceux qui ont des rôles à haut risque, doivent être informés de la rénovation des tactiques d’ingénierie sociale, y compris des fesses profondes à haut risque ou des messages urgents d’imposition des dirigeants.»
À lire aussi
