Contrairement à la commune de Rolle qui a aussi été la cible d’un piratage il y a quelques mois, Montreux a joué la carte de la transparence immédiate. Ce dimanche, l’Association Sécurité Riviera (ASR) annonçait que les services de l’administration de la Commune de la Riviera vaudoise avaient été victimes d’une cyberattaque survenue tôt dans la matinée.
Depuis, peu d’informations filtrent. Des analyses sont en cours avec le support d’experts du Canton de Vaud et de la Confédération pour déterminer l’ampleur du piratage. Plusieurs questions sont désormais sur toutes les lèvres. S’agit-il — comme à Rolle — d’une cyberattaque de type «ransomware», avec des malfrats qui volent des données et demandent une rançon? Quelles données ont été volées? Ces dernières ont-elles été publiées sur le darknet?
«Il y a bel et bien eu un chiffrement de données mais, à ce stade, nous ne pouvons pas encore nous exprimer plus en détail sur ce point», rétorque à Blick Dounya Schürmann-Kabouya, porte-parole de l’ASR.
Les autorités devraient communiquer sur le sujet ce lundi, en début d’après-midi. Ironie de l’histoire, elles se retrouvent dans cette situation quelques jours à peine après avoir répondu aux inquiétudes de deux élus. Il y a un mois, le socialiste Léonard Dolivo et l’UDC Tal Luder déposaient chacun une interpellation. Les textes — sensiblement similaires — demandaient notamment à la Municipalité de détailler les moyens alloués pour protéger les données des citoyens et si Montreux arriverait à faire face à une attaque telle que subie par Rolle. L’Exécutif répondait aux interrogations mercredi dernier et se voulait rassurant, «même si le risque 0 n’existe pas».
Un test de d’intrusion était prévu
Ainsi, environ 72 heures avant le piratage, la Municipalité montrait patte blanche et listait ses efforts: «Notre environnement est doté de plusieurs niveaux de protections avec deux sites (datacenters) physique redondants, un site supplémentaire pour les sauvegardes et une constante évolution et mise à jour de l’infrastructure et des logiciels».
Une fois passées sur ces éléments techniques, les autorités locales dévoilaient que la réalisation du dernier plan de rétablissement des services informatiques en cas de catastrophe majeure remonte au 10 avril 2021. «Un résumé des points critiques a été communiqué à la Municipalité lors de sa séance du 4 juin, rapportent-elles. Sur ladite note, il est mentionné aussi qu’un test d’intrusion (phishing) sera effectué afin d’apporter une image complète de la situation.»
Avec l’attaque survenue ce dimanche, pas sûr que Montreux en ait toujours besoin. Mais la question de la cybersécurité, elle, reviendra assurément lors des futurs débats du Conseil communal. «Je ne souhaite pas accabler la Municipalité car bien malin celui qui pourra affirmer que pareille cyberattaque ne lui arrivera jamais, explique à Blick Tal Luder. Toutefois, je m’interroge: les ressources allouées à la cybersécurité sont-elles suffisantes?»
Celui qui est par ailleurs informaticien va plus loin. Il confie ne plus avoir accès aux échanges effectués ces huit dernières années sur sa boîte mail de conseiller communal, celle-ci étant hébergée par la commune de Montreux. «Ces échanges relatifs à nos travaux font-ils partie des données chiffrées? Je n’en sais rien. Les menaces évoluent rapidement et il faut pouvoir y répondre. J’estime que l’informatique doit être l’épine dorsale de l’administration communale.»
L’élu reprend, déterminé: «La Municipalité doit doter son service informatique des ressources nécessaires au maintien de l’infrastructure qui correspond le mieux aux besoins de notre commune. Je pense que ce n’est ni une solution à 100% interne, ni à 100% dans le cloud, mais c’est sûr que ce n’est pas la première fois que nous alertons à propos de l’insuffisance des moyens humains mis à contribution pour l’exploitation et la surveillance de notre réseau aux ramifications intercommunales».