Connect with us

Technologie

Hackney Council pourrait être forcé de répondre à des questions sur la formation à la sécurité informatique après le ransomware Psya

Published

on


Un conseil touché par une cyberattaque pourrait être forcé de répondre à des questions sur la formation en TI et en sécurité qu’il a donnée au personnel lorsqu’il a été forcé de travailler à domicile en raison de la pandémie.

Les cybercriminels ont frappé le Conseil de Hackney en octobre 2020, pysa, ou Mespinoza, ransomware paralysant certains de ses services en ligne.

Quatre mois plus tard, les données des employés et des résidents auraient été publiées sur le dark web par des pirates informatiques qui ont prétendu qu’elles provenaient de l’attaque contre les systèmes informatiques du conseil de Londres.

Le conseil a déclaré que l’attaque avait affecté « un ensemble limité de données, elles n’ont pas été publiées sur un forum public largement disponible et ne sont pas disponibles via les moteurs de recherche sur Internet ».

La National Crime Agency enquête toujours sur l’attaque, tout comme le National Cyber Security Centre.

Données manquantes

L’attaque a coûté des millions de livres au conseil et il manque encore des données dans de nombreux services.

Les services les plus critiques étaient Mosaic pour les services sociaux, Academy pour ses avantages et ses revenus, et M3 pour la planification et les redevances foncières et la fourniture d’outils numériques modernes dans le logement.

D’autres autorités locales ont été la cible de pirates informatiques. Le conseil municipal de Gloucester est devenu la dernière victime lorsqu’il a été attaqué pour la deuxième fois en décembre, lorsque des pirates informatiques ont frappé des services, notamment des revenus, des avantages sociaux et de la planification.

Les conseils de Salisbury, Copeland et Islington ont également été touchés par des cyberattaques lors du jour férié d’août 2017, lorsque des pirates informatiques ont demandé sans succès une rançon bitcoin en échange de données.

L’attaque contre Hackney a affecté les données sur les avantages sociaux. Certaines personnes n’ont pas été en mesure d’effectuer des recherches immobilières, ce qui a affecté certaines ventes de maisons dans l’arrondissement de l’est de Londres.

Le commissaire à l’information doit prendre des mesures

Le conseil fait maintenant face à une action de la part du commissaire à l’information après avoir refusé de dire s’il a donné au personnel du conseil une formation en matière de sécurité lorsqu’il était tenu de travailler à domicile pendant la pandémie.

Le militant libéral-démocrate Darren Martin a soumis une demande d’accès à l’information pour demander au conseil quelle formation en sécurité informatique a été donnée au personnel au cours des deux années précédant la cyberattaque.

« S’il s’avère que l’attaque qui a paralysé nos services vitaux dans l’arrondissement depuis 2020 provient d’une escroquerie par hameçonnage ou de quelqu’un qui travaille à domicile, et qu’elle aurait pu être évitée par une formation et une sécurité supplémentaires – alors le maire de Hackney et l’administration travailliste doivent en assumer l’entière responsabilité. », a déclaré Martin.

Sans les protections de sécurité fournies par les systèmes de bureau, telles que les pare-feu et les adresses IP sur liste noire, le personnel travaillant à domicile aurait pu être vulnérable aux e-mails de phishing et aux cyberattaques, a ajouté l’activiste.

Martin a dit qu’il voulait que le Conseil de Hackney explique s’il offrait une formation supplémentaire car plus de personnel travaillait à domicile en raison de la pandémie.

« J’ai posé une question simple sur la question de savoir si une formation importante a été donnée aux employés qui accèdent aux systèmes du conseil depuis chez eux, et si la divulgation de cette information affecte l’enquête policière, alors il est du devoir du Conseil Hackney d’expliquer adéquatement pourquoi », a-t-il déclaré.

« Bien qu’il soit tout à fait compréhensible que certaines informations ne puissent pas être divulguées en raison de la nature continue de la cyberattaque et de l’enquête policière, le Conseil hackney ne peut pas utiliser cela comme excuse pour bloquer toute demande de transparence. »

Le conseil a déclaré qu’il n’avait pas à répondre à la demande de Martin en raison des exemptions liées à la divulgation d’informations sur la prévention ou la détection du crime.

Services cloud

Le conseil de Hackney a déclaré qu’il avait « investi massivement dans la technologie moderne et les services basés sur le cloud – avant de nombreux autres conseils ». Il a déclaré qu’il n’était pas complaisant avant l’attaque et qu’il continuait d’investir dans la cybersécurité.

L’autorité a déclaré qu’elle s’était « éloignée des serveurs et des PC à l’ancienne au profit de systèmes basés sur le cloud ».

Les anciens systèmes du conseil ont été frappés par une « attaque criminelle complexe et sophistiquée contre les services publics », a-t-il ajouté. « L’attaque contre Hackney faisait partie d’une augmentation rapide des cybermenaces graves à l’échelle mondiale, affectant un grand nombre d’organisations de premier plan. »

Le conseil a déclaré qu’il « continuait à faire tout son possible pour protéger nos systèmes et nos données, et aussi pour soutenir la cyber-résilience dans l’ensemble du secteur des gouvernements locaux en partageant notre apprentissage ».

Risque d’outrage

Martin a fait appel de l’action du conseil et a ensuite porté sa plainte auprès du Bureau du commissaire à l’information (ICO), qui a envoyé au conseil une informationrmation lui demandant de fournir plus de détails sur les raisons pour lesquelles il avait rejeté la demande.

Les organismes publics doivent répondre à une ordonnance d’information dans les 30 jours, sous peine d’être accusés d’outrage au tribunal.

Les courriels de suivi de l’ICO ont été accueillis avec des messages d’absence du bureau et le conseil n’a pas répondu aux appels téléphoniques de l’organisme de surveillance des données. La question a maintenant été renvoyée au service juridique de l’ICO.

Le conseil de Hackney a déclaré qu’il discutait avec l’ICO pour s’acquitter de ses responsabilités concernant la demande de FoI de Martin.

La lettre annuelle de l’auditeur De Son auditeur, Mazars, discutée par le conseil cette année, indiquait: « Le travail effectué par nos spécialistes de l’audit informatique et de la cybersécurité a confirmé que le conseil avait mis en place des dispositions appropriées pour prévenir ou réduire la probabilité d’une violation de la cybersécurité. »

Le conseil a déclaré qu’il suivait les améliorations recommandées par Mazars dans un rapport sur la cyberattaque qui a été discuté à huis clos lors d’une réunion le mois dernier.

L’autorité s’est engagée à être aussi transparente que possible sur l’attaque.

« Malheureusement, nous devons être prudents quant aux informations que nous partageons », a déclaré un porte-parole. « L’enquête criminelle sur l’attaque est en cours et des groupes criminels sophistiqués continuent de cibler toutes les organisations. Même les informations qui peuvent sembler à faible risque peuvent aider les criminels à causer plus de tort au conseil et à nos résidents.

Click to comment

Leave a Reply

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Tendance