Le gouvernement du Québec ferme des sites Web à titre de mesure « préventive »

Contenu de l’article

Le gouvernement du Québec ferme environ 3 992 sites Web gouvernementaux à titre préventif, a annoncé dimanche le ministre de la Transformation numérique, Eric Caire.

Contenu de l’article

Lors d’une conférence de presse, il a déclaré que la province réagissait à la découverte d’une vulnérabilité dans le package open source Apache Log4j utilisé par de nombreux sites Web et services.

L’exploit, qui a été identifié vendredi, permettrait aux attaquants d’entrer dans les serveurs sans autorisation et d’en prendre le contrôle.

Après avoir commandé une analyse de la menace que cela représentait, Caire a déclaré qu’il avait été déterminé que le risque posé par une attaque l’emportait sur les inconvénients de la fermeture de sites gouvernementaux, y compris ceux des départements de l’éducation et de la santé.

Des équipes de cyberdéfense, qui travaillent depuis vendredi, parcourent chaque site pour déterminer s’il est en cause et soit l’effacer pour se remettre en ligne, soit installer un correctif.

« Nous cherchons en quelque sorte une aiguille dans une botte de foin », a déclaré Caire. « Ne sachant pas quels sites Web utilisent le logiciel, nous avons décidé de tous les fermer. »

Caire a déclaré que le gouvernement ne tient pas d’inventaire des sites Web utilisant le logiciel Apache.

« C’est comme dire combien de bureaux du gouvernement utilisent des ampoules de 60 watts, nous devons faire le tour et regarder chacune d’entre elles », a déclaré Caire, et cela prendrait des jours pour toutes les parcourir.

Quebec.ca et le portail Clic Santé utilisé pour la prise de rendez-vous pour le vaccin COVID-19 étaient déjà de retour en ligne dimanche après-midi, tandis que le site de Revenu Québec entre autres était toujours en panne.

Les sites Web internes du gouvernement inaccessibles au public « sont toujours utilisés, mais seront également inspectés », a déclaré Caire.

Caire a déclaré que le système provincial de passeport vaccinal n’a jamais été menacé, affirmant qu’il ne nécessite pas le logiciel Apache.

Contenu de l’article

« À l’heure actuelle, nous n’avons aucune indication que nous avons été ciblés par une attaque réussie », a déclaré Caire. « La décision est préventive, pas réactive.

Plus tard dimanche, la ville de Montréal a emboîté le pas, suspendant temporairement ses sites Web et ses services en ligne.

Marc-Etienne Léveillé, expert en cybersécurité pour la société internationale de sécurité Internet ESET, a déclaré que le trafic Internet mondial avait considérablement augmenté depuis vendredi, ajoutant qu’il avait remarqué que de nombreux utilisateurs tentaient de trouver des services vulnérables à pirater.

L’Agence du revenu du Canada, qui a pris des précautions similaires en mettant ses services Web hors ligne après avoir appris la vulnérabilité potentielle vendredi, a publié une déclaration disant que rien pour l’instant ne suggère que ses systèmes ont été compromis.

Léveillé a salué les mesures de précaution du gouvernement, affirmant qu’elles auraient pu empêcher des violations majeures de données.

« L’un des gros problèmes était que tout le monde était sensibilisé à la faille en même temps, dit Léveillé. « Les développeurs et leurs utilisateurs n’ont pas eu le temps de corriger le problème avant que les gens ne commencent à sauter sur la vulnérabilité. Et comme de nombreux systèmes utilisent le logiciel à travers le monde, il faudra plusieurs mois pour trouver ceux qui sont vulnérables à cette faille.“

La ministre fédérale de la Défense Anita Anand a publié une déclaration dimanche disant que le gouvernement est conscient du risque pour la sécurité et appelant les organisations canadiennes à « prêter attention à cette vulnérabilité Internet critique ».

Contenu de l’article

« Par prudence, certains départements ont mis leurs services hors ligne pendant que toutes les vulnérabilités potentielles sont évaluées et atténuées », a déclaré Anand. « À ce stade, nous n’avons aucune indication que ces vulnérabilités ont été exploitées sur des serveurs gouvernementaux. »

Apache a publié vendredi un bulletin de sécurité répertoriant la vulnérabilité comme « critique », son niveau le plus élevé. Le problème se situe dans Log4j, une bibliothèque de logiciels utilisée par le logiciel de serveur Web populaire. Les gouvernements ont rapidement émis des alertes, notamment les États-Unis, l’Australie et la Nouvelle-Zélande.

Cette histoire a été produite avec l’aide financière de Facebook et de la Canadian Press News Fellowship.