Consultation

Étude de cas · Industrie

Norsk Hydro : produire à la main plutôt que payer

Norvège, 2019. Un rançongiciel touche tout le groupe ; l'entreprise refuse de payer, passe en mode manuel et communique ouvertement.

En une phraseHydro n'a pas payé : elle a produit à la main et dit la vérité. Le mode manuel doit exister avant l'attaque.

Secteur
Aluminium et énergie
Pays
Norvège, 40 pays touchés
Date
Mars 2019
Coût estimé
650 à 750 M NOK (environ 70 M$)
Rançon
Non payée

Analyse fondée uniquement sur des informations publiques. FZ Consultation n'a pas participé à cet incident et n'a aucun lien avec les organisations mentionnées.

Ce qui s'est passé

  1. Avant l'attaque

    Selon une analyse publique, les attaquants entrent par un courriel d'hameçonnage envoyé depuis un compte client usurpé.

  2. 19 mars 2019

    Le rançongiciel LockerGoga chiffre des milliers de serveurs et de postes. Des lignes de production s'arrêtent, d'autres passent en mode manuel.

  3. Premiers jours

    Les employés travaillent avec papier et crayon ; des retraités reviennent aider sur les procédures papier.

  4. Semaines suivantes

    L'entreprise reconstruit à partir de sauvegardes et publie des mises à jour quotidiennes. La division Extruded Solutions est la plus touchée.

  5. 2020

    Le rapport annuel estime le coût total entre 650 et 750 M NOK.

Ce qui a mal tourné

D'après les sources publiques citées plus bas.

Une propagation par l'annuaire

Des analyses publiques indiquent que les attaquants ont obtenu des droits d'administration du domaine et se sont servis de l'annuaire Active Directory pour se propager.

Des activités dépendantes de l'informatique

Sans accès aux carnets de commandes et aux plannings, les usines d'extrusion ne pouvaient plus livrer.

Les leçons pour votre organisation

  1. 1

    Un mode manuel prêt à l'emploi

    Documenter et exercer les procédures dégradées qui permettent de continuer à produire.

    Savoir : mesurer ce qu'un arrêt coûterait
  2. 2

    Protéger et savoir reconstruire l'annuaire

    Les comptes à privilèges et la reprise de l'Active Directory méritent un plan dédié.

    Préparer : une reprise qui tient
  3. 3

    La transparence comme stratégie

    Des communications préparées et régulières préservent la confiance des clients et des marchés.

    Prouver : répéter avant le vrai jour

À vérifier lundi matin

Trois questions à poser à votre propre organisation cette semaine. Si vous ne pouvez pas répondre à l'une d'elles en cinq minutes, c'est votre première tâche.

  1. Pour votre service le plus important, où est la procédure papier, et à quand remonte sa dernière répétition ?
  2. Savez-vous reconstruire votre annuaire (Active Directory ou équivalent) à partir de zéro, et combien de temps cela prendrait ?
  3. Qui parlerait aux clients et aux marchés dans la première heure, avec quel texte prêt ?
La liste de vérification rançongiciel

Sources

Autres études de cas