Dans un entretien avec APA, Mountaga Cissé, ingénieur sénégalais en informatique et consultant en nouveaux médias, explique que l’Autorité de Régulation des Télécommunications et des Postes (ARTP) du Sénégal ne peut plus nier le piratage de son système de données par le groupe de hackers Ransomwares Karakurt.

Plusieurs données personnelles attribuées à l’ARTP sont en accès libre depuis le 17 octobre dernier sur la toile. Cependant, l’ARTP n’a pas confirmé avoir été piratée. Pourquoi ?

Cela étonne plus d’un. Au début, on pouvait comprendre parce qu’il s’agissait de rumeurs, de faits qui n’étaient pas encore avérés. C’était juste une promesse de publication de données. En interne, les gens faisaient la confusion entre le piratage d’un site internet et celui de système de données informatiques. Donc la première réponse (de l’ARTP) a été que « oui, notre site est en ligne, donc nous ne sommes pas piratés ». Alors que le hacker en question (Ransomwares Karakurt) ne parlait pas du site internet mais plutôt de données d’archives informatiques.

La deuxième chose, c’est que le type de piratage rançongiciel bloque carrément le système. Vous ne pouvez plus travailler et on vous demande de payer (une rançon). Mais pour le cas du piratage de l’ARTP, les spécialistes de la cybersécurité disent que c’est un fait nouveau. Ces hackers ne bloquent pas votre système. Ils copient les données, les gardent quelque part, vous informent avant de vous demander de payer. Et si ce n’est pas le cas, elles seront publiées.

Ce sont des raisons qui me font dire que l’ARTP ne croyait pas à la véracité de cette information. C’est la raison pour laquelle elle n’a pas communiqué jusqu’à présent. Entre temps, il y a eu des changements. Parce qu’avant le 17 octobre, c’était une menace. Après ce deadline, celle-ci est devenue une réalité. Les faits sont avérés : il y a eu bel et bien piratage. Des données ont été partagées. Je pense que l’idéal aurait été que l’ARTP décide de communiquer là-dessus.

Quelle stratégie de communication doit adopter l’ARTP après ce piratage ?

La stratégie de communication c’est celle de crise. Puisqu’il est maintenant avéré qu’il y a piratage, la première chose à faire est d’être transparent. Ils doivent dire aux Sénégalais qu’ils font l’objet de piratage informatique et que leurs équipes sont en train de travailler pour rétablir le système et récupérer les données qui ont été dérobées etc. Et puis, il n’y a pas de honte à dire qu’on a été piraté. Parce que, souvent, de grandes agences dans le monde sont victimes de piratage. Même si c’était une première au Sénégal, l’ARTP devrait être transparente là-dessus, expliquer aux Sénégalais ce qu’ils doivent savoir, les risques qu’ils encourent en voyant certaines de leurs données divulguées sur la place publique.

Les hackers avaient demandé une rançon de plusieurs milliers de dollars pour ne pas publier les présumées données de l’ARTP. Quelles sont les possibilités qui s’offrent maintenant à elle ?

D’après les informations partagées sur internet, les hackers ont demandé de l’argent à l’ARTP. Je pense que ce n’est pas trop tard. Sur les 102 gigas octets de données annoncées, les hackers n’en ont partagées que deux pour le moment. D’après le site du supposé hacker, les données seront partagées jusqu’au 24 octobre prochain. Donc l’ARTP peut arrêter l’hémorragie. S’il faut payer, pourquoi pas le faire. S’il faut solliciter l’aide d’experts en cybersécurité, pourquoi pas aussi. Ce n’est plus une affaire à gérer en interne. Il faut s’ouvrir et faire appel à des mains plus expertes. J’ai confiance plutôt en l’expertise des agents de l’ARTP. Pour des cas pareils, il ne faudra plus s’enfermer pour trouver des solutions, mais s’ouvrir.

Comment les institutions publiques doivent-elles sécuriser leurs données informatiques pour éviter les attaques de hackers ?

Le Sénégal a déjà ce qu’on appelle la Stratégie nationale de cybersécurité. Sur le papier, c’est un bon document. J’ai eu à le lire. Maintenant, dans les faits, est-ce que cette stratégie est mise en œuvre ? Est-ce qu’il y a une coordination entre les agences de l’Etat ? Parce que si ce piratage arrive à l’ARTP, nous pouvons craindre qu’il arrive à d’autres organisations de l’Etat ou du gouvernement. L’Agence de l’informatique de l’Etat (ADIE), devenue maintenant Sénégal Numérique SA, a fait l’objet de piratage il y a quelques temps. Certains ministères ont également fait l’objet de piratage de même que l’Agence pour la sécurité de la navigation aérienne en Afrique et à Madagascar (ASECNA), il y a quelques semaines. Donc, nous ne sommes pas à l’abri. Je pense qu’il est temps que le Sénégal mette en œuvre une politique de sécurité informatique beaucoup plus efficace pour éviter ce type de problème à l’avenir.

(Source : APANews, 20 octobre 2022)