Des mots de passe de salariés volés circulent pour un tiers des collectivités locales britanniques

Pourquoi c'est important

Une collectivité locale est l'organisation avec laquelle un habitant ne peut pas choisir de ne pas traiter. Impôts locaux, logement, places en école, prestations sociales, stationnement et aide sociale : tout cela laisse des informations personnelles à une autorité que l'habitant n'a aucune possibilité réaliste de remplacer. Un message qui semble provenir d'une collectivité porte en outre le poids d'une institution dotée de pouvoirs légaux, si bien qu'il est vite suivi d'effet.

Pourtant, les collectivités locales échappent aux principales réglementations britanniques en matière de cybersécurité, sans régulateur dédié. Ce qui existe est un cadre d'auto-évaluation plutôt qu'une obligation.

La plupart des chiffres publiés sur ce sujet proviennent d'enquêtes, comme la Cyber Security Breaches Survey du gouvernement, ou de travaux d'audit menés au sein de l'administration, comme ceux du National Audit Office. Les deux reposent sur ce que les organisations déclarent sur elles-mêmes. Cette étude n'a rien demandé à personne. Chaque chiffre est une observation faite de l'extérieur, avec les mêmes vérifications pour chaque site web : ce qu'un secteur montre au monde, plutôt que ce qu'il pense de lui-même.

Ce qui demande de l'attention

Mots de passe de salariés dans des collections criminelles : 122 collectivités sur 379, 506 enregistrements. Environ quatre enregistrements pour une collectivité touchée type — une exposition large, pas profonde. Ce sont des clés des propres systèmes de la collectivité, et celle-ci peut les reprendre dès aujourd'hui.

Trois collectivités utilisent un logiciel présentant une faiblesse que des criminels sont connus pour exploiter actuellement, répertoriée dans le catalogue public des faiblesses exploitées en conditions réelles, et pas seulement consignée quelque part. Deux présentent la même faille côté navigateur dans une ancienne version d'une bibliothèque web très répandue, sur des adresses de fournisseurs en Angleterre et en Irlande du Nord ; la troisième se trouve sur une adresse enregistrée au nom de la collectivité elle-même, sur un logiciel de serveur web arrivé en fin de support. Les trois ont été identifiées à partir de numéros de version et sont peut-être déjà corrigées.

16 collectivités présentent un défaut sur leurs propres systèmes que tout visiteur ou système de messagerie rencontrerait. 14 d'entre elles annoncent une politique qui protège leurs e-mails entrants mais la publient d'une manière qu'aucun système de messagerie ne peut lire, le plus souvent à cause d'un problème de certificat : la protection qu'elles ont mise en place ne fonctionne donc pas. Chaque défaut relève d'une modification de configuration.

12 collectivités ont un service accessible depuis Internet qui ne devrait probablement pas l'être, comme un accès à distance, un transfert de fichiers ou un outil d'administration, sur des adresses non partagées avec des organisations sans lien. 10 d'entre elles concernent un port de base de données, et ces 10 font partie des 12. Seules 4 ont un service effectivement identifié, dont 3 bases de données ; pour les autres, la première question est de savoir si quelque chose est à l'écoute.

4 autres cas se trouvent sur des adresses partagées avec des organisations sans lien, sans service identifié. Ils sont présentés séparément, car aucune collectivité ne peut les fermer seule ; une faiblesse à cet endroit touche toutes les organisations de la plateforme.

27 collectivités n'imposent pas une connexion sécurisée à leurs visiteurs, si bien que tout ce qui est saisi sur ces pages peut être lu ou modifié en chemin. Le chiffre plus élevé de l'édition précédente comptait comme défaillants les sites web qui refusaient la requête non chiffrée de notre outil d'analyse ; ils sont désormais comptés comme inconnus, et les deux chiffres ne doivent donc pas être comparés.

Ces lignes se chevauchent et ne doivent pas être additionnées. 165 collectivités, soit 44 %, présentent au moins un point grave, la plupart en raison de mots de passe de salariés. Chaque point doit être vérifié en privé avant d'être tenu pour un fait.

Ce qui va bien

Pas une seule mention sur un site de rançongiciel, aucun enregistrement de fuite ni aucune alerte de sécurité du navigateur dans les 379 analyses.

227 collectivités, soit 60 %, demandent aux autres systèmes de messagerie de rejeter les e-mails falsifiés en leur nom, et seules 17 n'ont pas commencé. Les 379 publient toutes l'enregistrement qui identifie leurs propres serveurs de messagerie. Les collectivités l'ont largement fait sans qu'aucune loi ne l'exige.

Seuls trois scores exacts se situent dans la tranche la plus basse, et tous trois en Angleterre.

Scores

Les 379 sites web ont tous été analysés. 291 ont produit un score exact, avec une moyenne de 76,3. En comptant 62 scores planchers supplémentaires à leur valeur plancher, on obtient 74,1 sur 353 — le chiffre le plus prudent disponible. Retenez 76,3 pour la position mesurée du secteur et 74,1 pour la position prudente.

Certains sites web de collectivités répondent à un visiteur automatisé par une page de protection plutôt que par la vraie page d'accueil, généralement un contrôle de sécurité qui fonctionne. Lorsque c'était la seule lacune, le score est un plancher : le chiffre réel ne peut être qu'identique ou supérieur. 26 sites web n'ont pas de score : 15 en raison d'un défaut sur les propres systèmes de la collectivité, 5 dont le serveur de politique de messagerie n'a pas répondu à notre outil d'analyse, et 6 dont le site web n'a pas répondu du tout. Leurs constats sont néanmoins pris en compte dans chaque chiffre de cette page.

Ce que ce n'est pas

Ce n'est pas une affirmation selon laquelle une collectivité aurait été piratée : nous ne pouvions pas voir à l'intérieur et n'avons pas essayé. Ce n'est ni un audit, ni un test d'intrusion, ni un jugement de conformité. Ce n'est pas un classement, et cela ne classe pas les quatre nations. Aucune collectivité n'est nommée.

Confidentialité

243 des 308 pages d'accueil que nous avons pu lire ne présentaient aucun mécanisme de consentement aux cookies. C'est une raison d'ouvrir le site dans un navigateur et d'observer, pas un constat : il existe des explications innocentes, et le régulateur teste précisément le comportement qu'une analyse externe ne peut pas voir.

Par ailleurs, 46 948 enregistrements répartis sur 359 sites web correspondent aux propres comptes d'habitants sur des services de collectivités, issus des propres appareils infectés de ces habitants. Personne au sein de la collectivité ne peut les réinitialiser ; seul l'habitant le peut.

Par où commencer

1. Traitez cette semaine les trois faiblesses activement exploitées. Confirmez d'abord la version réellement utilisée, et adressez-vous d'abord en privé à la collectivité ; pour les deux situées sur des adresses de fournisseurs, il faut associer le fournisseur.
2. Corrigez les 16 défauts sur les propres systèmes des collectivités. Publiez la politique de messagerie déjà annoncée avec un certificat valide, ou retirez-la jusqu'à ce qu'elle puisse l'être, et envoyez la chaîne de certificats complète ou corrigez la redirection pour les deux autres.
3. Vérifiez les 12 services exposés, dont 10 sur un port de base de données. Confirmez à qui appartient chaque adresse. Lorsque rien n'a été identifié sur le port signalé, la première question est de savoir si quelque chose est à l'écoute.
4. Réinitialisez les mots de passe des salariés — réinitialisez, mettez fin aux sessions actives et confirmez la connexion multifacteur. Ne testez jamais un mot de passe récupéré.
5. Imposez une connexion sécurisée à chaque visiteur pour les 27 collectivités qui ne le font pas, et testez la compatibilité avant de l'activer.
6. Achevez le travail sur les e-mails falsifiés, avec prudence. Les 17 collectivités dont la politique de messagerie est absente ou en simple surveillance devraient recenser chaque expéditeur légitime et observer avant d'imposer quoi que ce soit, sans jamais passer directement au rejet.

Les 4 cas liés à un fournisseur partagé relèvent du fournisseur, et sont présentés séparément car aucune collectivité ne peut les fermer seule.