Notes des comités parlementaires : Rançongiciels

Enjeu

Les rançongiciels représentent une menace importante pour notre sécurité nationale, notre prospérité économique et la sécurité personnelle des Canadiens.

Réponse proposée

Les rançongiciels sont devenus un risque de plus en plus courant et important pour les gouvernements, les entreprises et les particuliers.

Les répercussions des rançongiciels peuvent être importantes et comprennent souvent des perturbations des activités de base, des pertes de données et des coûts de rétablissement potentiellement importants. Les incidents liés aux rançongiciels constituent une menace importante pour la continuité des services essentiels pour les Canadiens, comme en témoignent les récentes perturbations dans le secteur des soins de santé.

Le gouvernement du Canada continuera à faire le nécessaire pour protéger les Canadiens contre les cybercriminels, et plus particulièrement contre les dommages matériels, les pertes économiques, les perturbations opérationnelles et les atteintes à la réputation causés par les rançongiciels.

Cela comprend la présentation par le gouvernement du Canada d'un projet de loi sur les systèmes informatiques essentiels, qui établira un cadre réglementaire afin de soutenir l'amélioration de la cybersécurité de base pour les services et les systèmes qui sont essentiels pour la sécurité nationale et la sécurité publique et donnera au gouvernement un nouvel outil pour répondre aux cybermenaces émergentes.

Ce projet de loi souligne notre engagement à protéger les Canadiens contre les cybermenaces comme les rançongiciels, et elle peut également servir de modèle aux provinces, aux territoires et aux municipalités pour améliorer la sécurité des infrastructures essentielles qui ne relèvent pas de la compétence fédérale.

Le gouvernement du Canada s'est également engagé à collaborer avec les administrations publiques de tous niveaux et ses partenaires au pays pour partager les leçons retenues et les pratiques exemplaires afin d'élaborer des politiques en matière de rançongiciels et de concevoir des stratégies de réponse efficace et coordonnée contre ces menaces.

Sur la scène internationale, le gouvernement du Canada et ses alliés travaillent de concert pour définir leurs enjeux communs, proposer diverses solutions et coordonner les efforts pour lutter contre la menace que représentent les rançongiciels.

La lutte contre les rançongiciels n'est pas seulement un effort du gouvernement. De nombreux incidents cybernétiques sont évitables. Nous devons tous collaborer pour nous protéger et protéger nos familles et nos entreprises contre les rançongiciels. Il existe des ressources et des partenaires de confiance pour vous aider à le faire.

Le gouvernement du Canada encourage toutes les victimes d'un incident lié à un rançongiciel à le signaler aux forces de l'ordre en communiquant avec leur service de police local ou avec la GRC par l'entremise du site Web du Centre antifraude du Canada.

Tout cyberincident doit également être signalé au Centre canadien pour la cybersécurité dès qu'il est détecté

Le gouvernement du Canada ne recommande pas de payer une rançon aux cybercriminels, car tout paiement de rançon alimente le modèle des rançongiciels, ce qui expose tous les Canadiens à un risque accru. Rien ne garantit que les cybercriminels vous retourneront vos renseignements, et votre organisation pourrait être désignée comme cible de futurs cybercrimes.

Contexte

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) définit le rançongiciel comme un type de maliciel (logiciel malveillant) qui bloque l'accès aux fichiers ou aux systèmes jusqu'à ce que l'utilisateur verse une somme d'argent. Il s'agit de la méthode la plus courante d'extorsion en ligne dirigée contre le Canada et sa population.

Selon l'Évaluation des cybermenaces nationales (ECMN) 2023­2024 du Centre pour la cybersécurité, les rançongiciels demeurent l'activité de cybermenace la plus susceptible de toucher les Canadiens et les organisations canadiennes et la forme la plus perturbatrice de cybercriminalité à laquelle ils sont confrontés. Les infrastructures essentielles sont de plus en plus menacées par les rançongiciels, les cybercriminels exploitant le fait que toute interruption de celles-ci peut être préjudiciable pour les processus industriels et les Canadiens qui dépendent de leurs services essentiels. Les rançongiciels visent les organisations canadiennes de tous les secteurs et de toutes les tailles, des grandes entreprises aux petites entreprises. La société étant de plus en plus connectée à Internet et dépendante de l'infrastructure numérique, les cybercriminels disposent d'un plus grand nombre de vecteurs qu'ils peuvent exploiter au détriment de la sécurité nationale, de la prospérité économique du Canada et de la sécurité personnelle des Canadiens.

Depuis avril 2021, le Centre national de coordination en cybercriminalité (CNC3) a reçu plus de 2 000 demandes d'aide opérationnelle de partenaires de l'application de la loi au pays et à l'étranger. D'avril 2021 à aujourd'hui, environ 55 % des demandes du CNC3 ayant un lien avec le Canada concernaient des rançongiciels. Parallèlement, la cybercriminalité continue d'être sous-déclarée à la police. En 2021, seulement 10 % des entreprises touchées par la cybercriminalité ont signalé les incidents aux forces de l'ordre. Cela signifie que le taux réel de cybercriminalité au Canada est probablement beaucoup plus élevé que ne le suggèrent les statistiques de signalement. Pour corriger cette tendance, il importe que diverses institutions privées et publiques prennent des mesures.

Contexte de la menace en évolution

Selon l'ECMN 2023­2024, on estime que les auteurs de menace développent des techniques et des tactiques plus sophistiquées pour cibler les Canadiens et les organisations canadiennes. Les nouvelles technologies, comme les systèmes financiers décentralisés, et le marché florissant des outils et des services de cybercriminalité, réduisent les obstacles à l'entrée pour les cybercriminels. Des groupes de cybercriminels développent des programmes de rançongiciels de type rançongiciel comme service (Ransomware­as­a­Service ou RaaS) et offrent des services de dépannage à d'autres cybercriminels, ce qui permet à des cybercriminels ayant peu de compétences en programmation de participer à des activités de rançongiciel et d'en tirer profit.

Étant donné la facilité avec laquelle les rançongiciels transcendent les frontières et les administrations, la menace internationale des rançongiciels pose des défis pour la tenue d'enquêtes sur les infractions liées aux rançongiciels et l'identification des responsables. Le signalement est donc essentiel, car il peut fournir aux organismes d'application de la loi des renseignements susceptibles d'aider la victime, d'établir des liens et de permettre au gouvernement du Canada et aux Canadiens de mieux lutter contre la cybercriminalité. Si une personne, une entreprise ou une organisation est victime d'un cybercrime, d'une escroquerie ou d'une fraude, elle doit communiquer immédiatement avec son service de police local et signaler l'incident au Centre antifraude du Canada (CAFC) en ligne ou au numéro sans frais 1­888­495­8501. Les services de police locaux sont les mieux placés pour documenter la cybercriminalité signalée, amorcer le processus d'enquête et mobiliser les ressources policières provinciales ou nationales, comme le CNC3, au besoin. La cybercriminalité peut toucher n'importe qui, n'importe quand. Les victimes doivent savoir qu'elles ne sont pas seules et qu'en signalant l'incident aux organismes d'application de la loi, elles peuvent recevoir du soutien et éviter que d'autres personnes ne soient victimes. En outre, le CNC3 et le CAFC travaillent actuellement avec des organismes d'application de la loi partenaires, l'industrie et des victimes de cybercrimes afin de mettre en place un nouveau système de signalement des incidents de cybercriminalité et de fraude, et de permettre aux Canadiens et aux entreprises de signaler plus facilement les incidents de cybercriminalité et de fraude aux organismes d'application de la loi. Lorsque le système sera pleinement mis en œuvre, une victime ou un témoin d'un cybercrime ou d'une fraude, y compris les incidents liés aux rançongiciels, pourra utiliser celui-ci pour signaler le crime en ligne aux organismes d'application de la loi.

Le gouvernement du Canada (GC) ne recommande pas le paiement de rançons aux cyberacteurs malveillants. Tout paiement de rançon alimente le modèle des rançongiciels, ce qui expose tous les Canadiens à un risque accru. Il est important de savoir que le paiement d'une rançon :

Réponse du gouvernement du Canada

Le gouvernement du Canada adopte une approche globale pour contrer les rançongiciels et s'engage à faire en sorte que les systèmes informatiques qui sous-tendent la vie quotidienne des Canadiens soient résilients et sécurisés. Les ministères et organismes du gouvernement du Canada s'efforcent de réduire la menace que représentent les rançongiciels en investissant dans la cybersécurité des systèmes du gouvernement du Canada, en menant des enquêtes et en fournissant des conseils au gouvernement du Canada sur la menace que représentent les rançongiciels pour la sécurité nationale, en ciblant les cybercriminels et en perturbant leurs activités, en coordonnant les stratégies avec les alliés internationaux, en publiant des conseils et des directives et en offrant des services à l'intention des personnes touchées par les rançongiciels.

En 2018, Sécurité publique Canada (SP) a publié la Stratégie nationale de cybersécurité. Cette dernière fournit un cadre afin de protéger les systèmes du gouvernement du Canada, d'élargir le réseau de partenariats du gouvernement du Canada à l'appui de la protection des infrastructures essentielles, et d'aider les Canadiens à se protéger en ligne. Le gouvernement du Canada élabore présentement une nouvelle Stratégie nationale de cybersécurité. Cette nouvelle Stratégie décrira les mesures que prend actuellement le gouvernement du Canada au pays et à l'étranger pour améliorer la cybersécurité ainsi que celles qu'il prendra à l'avenir. Grâce à la nouvelle Stratégie nationale de cybersécurité, le gouvernement du Canada continuera à prendre des mesures rigoureuses pour protéger et défendre l'ensemble de la population du Canada contre les cybermenaces.

SP a également élaboré la Stratégie nationale sur les infrastructures essentielles dans le but d'accroître la sûreté, la sécurité et la résilience du Canada. En vue d'atteindre cet objectif, la Stratégie nationale sur les infrastructures essentielles établit une orientation visant à renforcer la résilience des infrastructures essentielles contre les dangers actuels et émergents. SP a également administré une série d'exercices sur les rançongiciels et travaille actuellement à la conception d'une boîte à outils pour les intervenants, qui comprend des scénarios de rançongiciels visant à améliorer la réponse organisationnelle face aux rançongiciels. En outre, SP et le Centre pour la cybersécurité ont mis au point l'Outil canadien de cybersécurité pour aider les organisations d'infrastructures essentielles à évaluer rapidement et facilement leur propre cybersécurité. Cet outil comprend des conseils et des directives globaux visant à améliorer la cyberrésilience organisationnelle face à des menaces comme les rançongiciels. SP, en étroite collaboration avec les autres ministères, les provinces, les territoires, le secteur privé et les alliés internationaux, joue un rôle de premier plan dans l'avancement de la cybersécurité au Canada.

Le Centre pour la cybersécurité produit des notes d'information et des conseils techniques sur les rançongiciels à l'intention des organisations et supervise les campagnes nationales de sensibilisation du public pour informer les Canadiens sur la cybersécurité et les mesures simples qu'ils peuvent prendre pour renforcer leur résilience, y compris des ensembles de contrôles de base en matière de cybersécurité et des stratégies d'atténuation pour les petites et moyennes organisations. En outre, les organisations peuvent obtenir une certification dans le cadre du programme CyberSécuritaire Canada d'Innovation, Sciences et Développement économique Canada. Ce programme est conçu pour améliorer les mesures de cyberprotection des organisations, de leurs clients et de leurs partenaires. Parallèlement à ces efforts visant à informer et à accroître la résilience, le Centre pour la cybersécurité et les organismes d'application de la loi mènent des opérations soutenues pour limiter la capacité des exploitants de rançongiciels de nuire aux systèmes du gouvernement du Canada et aux infrastructures essentielles du Canada.

Le Centre pour la cybersécurité, avec le soutien d'autres ministères, a mené des campagnes de communication du gouvernement du Canada sur les rançongiciels afin de mieux informer les Canadiens et les organisations canadiennes au sujet des rançongiciels et des mesures à prendre pour atténuer la menace. Ces campagnes comprenaient la diffusion publique de nouveaux produits de communication, notamment :

Depuis son entrée en vigueur en 2014, la Loi canadienne anti­pourriel (LCAP) n'a cessé de protéger les consommateurs et les entreprises contre l'utilisation abusive de la technologie numérique, y compris les rançongiciels. Le Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) est le principal responsable de l'application de la LCAP. Le CRTC mène des enquêtes, prend des mesures et fixe des sanctions administratives pécuniaires en ce qui concerne l'installation de programmes informatiques sans consentement explicite, par exemple lorsque des logiciels malveillants, des rançongiciels, des logiciels espions ou des virus sont installés en même temps que des programmes informatiques, cachés dans des pourriels ou téléchargés au moyen de liens vers des sites Web infectés. Le CRTC et Innovation, Sciences et Développement économique Canada encouragent les Canadiens à utiliser le Centre de notification des pourriels pour fournir le plus de renseignements possible sur les infractions possibles à la LCAP.

Deux autres organismes veillent à l'application de la LCAP : le Bureau de la concurrence et le Commissariat à la protection de la vie privée du Canada. Le Bureau de la concurrence peut imposer des sanctions administratives pécuniaires ou des sanctions pénales en vertu de la Loi sur la concurrence. Le Commissariat à la protection de la vie privée dispose également de pouvoirs en vertu de la Loi modifiée sur la protection des renseignements personnels et les documents électroniques, en ce qui concerne la protection des renseignements personnels et le traitement des atteintes à la protection de la vie privée. Par ailleurs, Innovation, Sciences et Développement économique Canada est l'organe national de coordination de la LCAP et le responsable de l'élaboration des politiques. Son rôle est de faire connaître la loi, d'informer les consommateurs, les opérateurs de réseaux et les petites entreprises, de coordonner les travaux avec le secteur privé et de mener des recherches et des travaux d'élaboration des politiques connexes.

Lorsque la Gendarmerie royale du Canada (GRC) est le service de police local compétent, elle enquête sur les cybercrimes qui relèvent de sa compétence et de son mandat. À l'échelle fédérale, la GRC a le mandat et le pouvoir d'enquêter sur les activités criminelles liées à l'utilisation de systèmes informatiques ayant une forte incidence économique ou pangouvernementale et présentant un intérêt national pour les services de police nationaux ou internationaux. Ces activités englobent notamment les cybercrimes dirigés contre des institutions gouvernementales, des infrastructures essentielles d'importance nationale, ainsi que des institutions canadiennes clés et des actifs commerciaux. Les enquêtes sur ces types d'auteurs et d'outils de menace ont une portée nationale et internationale; elles peuvent inclure des perturbations stratégiques et peuvent mener à des accusations au Canada ou dans un pays étranger. Par exemple, en 2021 et 2022, le Bureau fédéral d'enquête des États-Unis (FBI) et la police fédérale de la GRC ont mené des enquêtes parallèles sur une filiale du rançongiciel NetWalkerNote de bas de page 1. L'enquête de la GRC, menée par l'équipe d'enquête sur la cybercriminalité de la Police fédérale à Toronto, a abouti à l'exécution de mandats de perquisition au Canada, à la saisie d'outils de cybercriminalité et de produits du crime (34 millions de dollars en bitcoins et près de 700 000 dollars en espèces), à l'inculpation des accusés et à l'extradition de ces derniers vers les États-Unis.

En tant que service de police national, le CNC3 de la GRC coordonne les enquêtes sur les rançongiciels et autres cybercrimes en étroite collaboration avec des organismes d'application de la loi partenaires nationaux et internationaux. À titre d'exemple, en 2023, le CNC3 a participé au projet « Dawnbreaker », une opération de démantèlement de l'infrastructure du groupe de rançongiciel HIVE et de ses domaines, menée par les États-Unis et les services de police internationaux, en collaboration avec le Service de police régional de Peel en tant que responsable de l'enquête au Canada. Il convient de noter que le CNC3 a facilité la répartition des capacités de décryptage des rançongiciels mises à disposition par le FBI pour les victimes canadiennes de l'organisation. Ces efforts ont directement permis d'économiser des millions de dollars en paiements des victimes du groupe d'attaques au rançongiciel et d'éviter la victimisation d'organisations canadiennes.

Toujours en 2023, le CNC3 a participé à l'opération « Cookie Monster », une opération internationale de démantèlement de Genesis Market. Genesis Market était un forum de cybercriminalité du Web clandestin spécialisé dans la vente et la distribution de renseignements d'identification volés donnant accès à des comptes en ligne et à des services. Au moment du démantèlement, Genesis Market comptait plus de 2 millions d'identités volées, ce qui en faisait l'un des plus importants outils mondiaux de la cybercriminalité. Cette opération a été menée dans 18 pays et a donné lieu à 79 interventions policières distinctes au Canada seulement, notamment des arrestations, des saisies de biens et la distribution d'ordonnance de cesser et de s'abstenir. En raison du nombre important d'interventions policières distinctes dans la province de Québec, la Sûreté du Québec a joué un rôle de premier plan dans cette enquête. Ces exemples illustrent la nécessité pour les services de police de collaborer, de communiquer des renseignements et de mettre en commun leurs ressources pour lutter contre les rançongiciels et les autres menaces de cybercriminalité dans l'ère numérique dans laquelle nous vivons aujourd'hui.

Étant donné que les rançongiciels sont transnationaux, une solide coopération internationale est nécessaire pour faire face à la menace qu'ils posent. À l'échelle internationale, le Canada travaille en collaboration avec un certain nombre de partenaires aux vues similaires, y compris des homologues du Groupe des cinq, pour s'attaquer aux rançongiciels en échangeant activement les leçons retenues et, le cas échéant, en harmonisant davantage les politiques, les activités, les messages publics et la mobilisation de l'industrie. Par exemple, SP participe actuellement à l'initiative Counter Ransomware (CRI), une initiative dirigée par les États-Unis qui fournit un mécanisme informel de gouvernement à gouvernement pour plus de 60 membres afin d'améliorer la coopération internationale dans la lutte contre les rançongiciels. Lors du sommet 2023 du CRI, le Canada et 43 autres membres ont approuvé la toute première déclaration de politique commune déclarant que les institutions pertinentes, sous l'autorité des gouvernements nationaux, ne devraient pas payer de rançons et décourager fortement quiconque de payer une demande de rançongiciel. En outre, la GRC collabore avec le FBI, la National Crime Agency du Royaume-Uni, la National High-Tech Crime Unit des Pays-Bas, Europol et la National Cyber-Forensics and Training Alliance des États-Unis pour faire progresser les efforts de lutte contre les rançongiciels.

Le Canada a également soutenu ses alliés à de multiples occasions en ce qui concerne les attributions publiques d'activités malveillantes, y compris les rançongiciels. Il s'agit notamment d'incidents de rançongiciel très médiatisés, comme WannaCry en 2017 et NotPetya en 2018. Le fait de dénoncer publiquement les cybercriminels oblige les auteurs de la menace à rendre des comptes et contribue à dissuader les tentatives et les incidents futurs.

Date de modification :