Notes des comités parlementaires : Rançongiciels

Projet de loi C-26 : Loi concernant la cybersécurité (reliure de la commission parlementaire)

Date : Le 21 décembre 2023
Classification : Non classifié
Entièrement publiable (AIPRP)? Oui
Secteur/organisme : SSCN / SP

Rançongiciels

Enjeu : Les rançongiciels représentent une menace importante pour notre sécurité nationale, notre prospérité économique et la sécurité personnelle des Canadiens.

Réponses proposées :

• Les rançongiciels sont devenus un risque de plus en plus courant et important pour les gouvernements, les entreprises et les particuliers.
• Les répercussions des rançongiciels peuvent être importantes et comprennent souvent des perturbations des activités de base, des pertes de données et des coûts de récupération potentiellement importants. Dans les secteurs des infrastructures essentielles, comme les soins de santé, les rançongiciels peuvent causer des dommages physiques à des personnes ou même entraîner des pertes de vie.
• Le gouvernement du Canada continuera à faire le nécessaire pour protéger les Canadiens contre les cybercriminels, et plus particulièrement contre les dommages matériels, les pertes économiques, les perturbations opérationnelles et les atteintes à la réputation causés par les rançongiciels.
• Cela comprend l'intention annoncée du gouvernement du Canada de mettre en place une nouvelle législation sur les systèmes informatiques essentiels, qui établira un cadre réglementaire afin de soutenir l'amélioration de la cybersécurité de base pour les services et les systèmes qui sont essentiels pour la sécurité nationale et la sécurité publique et donnera au gouvernement un nouvel outil pour répondre aux cybermenaces émergentes.
• Cette loi souligne notre engagement à protéger les Canadiens contre les cybermenaces comme les rançongiciels, et elle peut également servir de modèle aux provinces, aux territoires et aux municipalités pour contribuer à sécuriser les infrastructures essentielles qui ne relèvent pas de la compétence fédérale.
• Le gouvernement du Canada s'est également engagé à collaborer avec les administrations publiques de tous niveaux et ses partenaires au pays pour partager les leçons apprises et les pratiques exemplaires afin d'élaborer des politiques en matière de rançongiciels et de concevoir des stratégies de réponse efficace et coordonnée contre ces menaces.
• Sur la scène internationale, le gouvernement du Canada et ses alliés travaillent de concert à définir leurs enjeux communs, à proposer diverses solutions et à coordonner les efforts pour lutter contre la menace que représentent les rançongiciels.
• La lutte contre les rançongiciels n'est pas seulement un effort du gouvernement. De nombreux incidents cybernétiques sont évitables. Nous devons tous collaborer pour nous protéger et protéger nos familles et nos entreprises contre les rançongiciels. Il existe des ressources et des partenaires de confiance pour vous aider à le faire.
• Le gouvernement du Canada encourage tous les particuliers et les entreprises qui ont été victimes d'un incident lié à un rançongiciel à le signaler à leur service de police local et au Centre canadien pour la cybersécurité dès que l'incident est détecté.
• Si une personne, une entreprise ou une organisation est victime d'un cybercrime, d'une escroquerie ou d'une fraude, elle doit communiquer immédiatement avec son service de police local et signaler l'incident au Centre antifraude du Canada.
• Le gouvernement du Canada ne recommande pas de payer une rançon aux cybercriminels, car tout paiement de rançon alimente le modèle des rançongiciels, ce qui expose les Canadiens à un risque accru. Rien ne garantit que les cybercriminels vous retourneront vos renseignements, et votre organisation pourrait être désignée comme cible de futurs cybercrimes.
• Le gouvernement du Canada décourage fortement le paiement de rançons aux cyberacteurs malveillants, car tout paiement de rançon alimente le modèle de ransomware, ce qui expose tous les Canadiens à un risque accru. Il n'y a aucune garantie que les cybercriminels vous rendront vos informations, et votre organisation peut être identifiée comme une cible pour de futurs actes de cybercriminalité.

Rançongiciels Contexte

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) définit le rançongiciel comme un type de maliciel (logiciel malveillant) qui bloque l'accès aux fichiers ou aux systèmes jusqu'à ce que l'utilisateur verse une somme d'argent. Il s'agit de la méthode la plus courante d'extorsion en ligne dirigée contre le Canada et sa population.

Selon l'Évaluation des cybermenaces nationales (ECMN) 2023-2024 du Centre pour la cybersécurité, les rançongiciels demeurent l'activité de cybermenace la plus susceptible de toucher les Canadiens et les organisations canadiennes et la forme la plus perturbatrice de cybercriminalité à laquelle ils sont confrontés. Les infrastructures essentielles sont de plus en plus menacées par les rançongiciels, les cybercriminels exploitant le fait que toute interruption de celles-ci peut être préjudiciable pour les processus industriels et les Canadiens qui dépendent de leurs services essentiels. Les rançongiciels visent les organisations canadiennes de tous les secteurs et de toutes les tailles, des grandes entreprises aux petites entreprises. La société étant de plus en plus connectée à Internet et dépendante de l'infrastructure numérique, les cybercriminels disposent d'un plus grand nombre de vecteurs qu'ils peuvent exploiter au détriment de la sécurité nationale, de la prospérité économique du Canada et de la sécurité personnelle des Canadiens.

Depuis avril 2021, le Centre national de coordination en cybercriminalité ( CNC3) a reçu plus de 2 000 demandes d'aide opérationnelle de partenaires de l'application de la loi au pays et à l'étranger. D'avril 2021 à aujourd'hui, environ 55 % des demandes du CNC3 ayant un lien avec le Canada concernaient des rançongiciel. Parallèlement, la cybercriminalité continue d'être sous- déclarée à la police. En 2021, seules 10 % des entreprises touchées par la cybercriminalité ont signalé les incidents aux forces de l'ordre. Cela signifie que le taux réel de cybercriminalité au Canada est probablement beaucoup plus élevé que ne le suggèrent les statistiques de signalement. Pour corriger cette tendance, il importe que diverses institutions privées et publiques prennent des mesures.

Contexte de la menace en évolution

Selon l'ECMN 2023-2024, on estime que les auteurs de menace développent des techniques et des tactiques plus sophistiquées pour cibler les Canadiens et les organisations canadiennes. Les nouvelles technologies, comme les systèmes financiers décentralisés, ainsi que le marché florissant des outils et des services de cybercriminalité, réduisent les obstacles à l'entrée pour les cybercriminels. Des groupes de cybercriminels développent des programmes de rançongiciels de type rançongiciel comme service (Ransomware-as-a-Service ou RaaS) et offrent des services de dépannage à d'autres cybercriminels, ce qui permet à des cybercriminels ayant peu de compétences en programmation de participer à des activités de rançongiciel et d'en tirer profit.

Étant donné la facilité avec laquelle les rançongiciels transcendent les frontières et les administrations, la menace internationale des rançongiciels pose des défis pour la tenue d'enquêtes sur les infractions liées aux rançongiciels et l'identification des responsables. Le signalement est donc essentiel, car il peut fournir aux organismes d'application de la loi des renseignements susceptibles d'aider la victime, d'établir des liens et de permettre au gouvernement du Canada et aux Canadiens de mieux lutter contre la cybercriminalité. Si une personne, une entreprise ou une organisation est victime d'un cybercrime, d'une escroquerie ou d'une fraude, elle doit communiquer immédiatement avec son service de police local et signaler l'incident au Centre antifraude du Canada (CAFC) en ligne ou au numéro sans frais 1-888-495-8501. Les services de police locaux sont les mieux placés pour documenter la cybercriminalité signalée, amorcer le processus d'enquête et mobiliser les ressources policières provinciales ou nationales, comme le Groupe national de coordination contre la cybercriminalité (GNC3), au besoin. La cybercriminalité peut toucher n'importe qui, n'importe quand. Les victimes doivent savoir qu'elles ne sont pas seules et qu'en signalant l'incident aux organismes d'application de la loi, elles peuvent recevoir du soutien et éviter que d'autres personnes ne soient victimes. En outre, le GNC3 et le CAFC travaillent actuellement avec des organismes d'application de la loi partenaires, l'industrie et des victimes de cybercrimes afin de mettre en place un nouveau système de signalement des incidents de cybercriminalité et de fraude, et de permettre aux Canadiens et aux entreprises de signaler plus facilement les incidents de cybercriminalité et de fraude aux organismes d'application de la loi. Lorsque le système sera pleinement mis en œuvre en 2023-2024, une victime ou un témoin d'un cybercrime ou d'une fraude, y compris les incidents liés aux rançongiciels, pourra utiliser celui-ci pour signaler le crime en ligne aux organismes d'application de la loi.

Le gouvernement du Canada (GC) décourage fortement le paiement de rançons aux cyber acteurs malveillants. Tout paiement de rançon alimente le modèle de ransomware, ce qui expose tous les Canadiens à un risque accru. Il est important de savoir que le paiement d'une rançon:

• ne donne aucune garantie que vos systèmes seront restaurés ou que vos données ne seront pas vendues;
• peut faire de vous une cible récurrente;
• encourage la poursuite de cyberactivités malveillantes contre d'autres personnes;
• peut servir à financer des groupes criminels organisés, le terrorisme ou la violence parrainée par un État;
• pourrait devenir illégal si le paiement de la rançon sert au terrorisme, au blanchiment d'argent, au financement d'activités d'organisations criminelles ou est couvert par la législation sur les sanctions.

Réponse du gouvernement du Canada

Le gouvernement du Canada adopte une approche globale pour contrer les rançongiciels et s'engage à faire en sorte que les systèmes informatiques qui sous-tendent la vie quotidienne des Canadiens soient résilients et sécurisés. Les ministères et organismes du gouvernement du Canada s'efforcent de réduire la menace que représentent les rançongiciels en investissant dans la cybersécurité des systèmes du gouvernement du Canada, en menant des enquêtes et en fournissant des conseils au gouvernement du Canada sur la menace que représentent les rançongiciels pour la sécurité nationale, en ciblant les cybercriminels et en perturbant leurs activités, en coordonnant les stratégies avec les alliés internationaux, en publiant des conseils et des directives et en offrant des services à l'intention des personnes touchées par les rançongiciels.

Sécurité publique Canada (SP) a dirigé l'élaboration de la Stratégie nationale de cybersécurité, qui a été publiée en 2018. La Stratégie nationale de cybersécurité vise à fournir un cadre afin de protéger les systèmes du gouvernement du Canada, à élargir le réseau de partenariats du gouvernement du Canada à l'appui de la protection des infrastructures essentielles, et à aider les Canadiens à se protéger en ligne. SP a également élaboré la Stratégie nationale sur les infrastructures essentielles dans le but d'accroître la sûreté, la sécurité et la résilience du Canada. En vue d'atteindre cet objectif, la Stratégie nationale sur les infrastructures essentielles établit une orientation visant à renforcer la résilience des infrastructures essentielles contre les dangers actuels et émergents. SP a également administré une série d'exercices sur les rançongiciels et travaille actuellement à la conception d'une boîte à outils et d'un programme d'exercices pour les intervenants, qui comprennent des scénarios de rançongiciels visant à améliorer la réponse organisationnelle et nationale à un événement de rançongiciels. En outre, SP et le Centre pour la cybersécurité ont mis au point l'Outil canadien de cybersécurité pour aider les organisations d'infrastructures essentielles à évaluer rapidement et facilement leur propre cybersécurité. Cet outil comprend des conseils et des directives globaux visant à améliorer la cyber résilience organisationnelle face à des menaces comme les rançongiciels. SP, en étroite collaboration avec les autres ministères, les provinces, les territoires, le secteur privé et les alliés internationaux, joue un rôle de premier plan dans l'avancement de la cybersécurité au Canada

Le Centre pour la cybersécurité produit des notes d'information et des conseils techniques sur les rançongiciels à l'intention des organisations et supervise les campagnes nationales de sensibilisation du public pour informer les Canadiens sur la cybersécurité et les mesures simples qu'ils peuvent prendre pour renforcer leur résilience, y compris des ensembles de contrôles de base en matière de cybersécurité et des stratégies d'atténuation pour les petites et moyennes organisations. En outre, les organisations peuvent obtenir une certification dans le cadre du programme CyberSécuritaire Canada d'Innovation, Sciences et Développement économique Canada. Ce programme est conçu pour améliorer les mesures de cyber protection des organisations, de leurs clients et de leurs partenaires. Parallèlement à ces efforts visant à informer et à accroître la résilience, le Centre pour la cybersécurité et les organismes d'application de la loi mènent des opérations soutenues pour limiter la capacité des exploitants de rançongiciels de nuire aux systèmes du gouvernement du Canada et aux infrastructures essentielles du Canada.

Le Centre pour la cybersécurité, avec le soutien d'autres ministères, a mené des campagnes de communication du gouvernement du Canada sur les rançongiciels afin de mieux informer les Canadiens et les organisations canadiennes au sujet des rançongiciels et des mesures à prendre pour atténuer la menace. Ces campagnes comprenaient la diffusion publique de nouveaux produits de communication, notamment :

• l'ECMN 2023-2024, qui comprend des renseignements sur les rançongiciels;
• une lettre ouverte de quatre ministres aux organisations canadiennes sur la protection contre les rançongiciels;
• un bulletin sur les cybermenaces soulignant spécifiquement la menace des rançongiciels;
• le Guide sur les rançongiciels décrivant les techniques de prévention et de réponse pour les organisations;
• divers articles présentant des conseils et des directives;
• une page d'accueil principale sur le site Web du Centre pour la cybersécurité (Cyber.gc.ca) présentant tous ses rapports, conseils et directives concernant les rançongiciels;
• des messages sur les médias sociaux diffusant et amplifiant les produits ci-dessus.

Depuis son entrée en vigueur en 2014, la Loi canadienne anti-pourriel (LCAP) n'a cessé de protéger les consommateurs et les entreprises contre l'utilisation abusive de la technologie numérique, y compris les rançongiciels. Le Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) est le principal responsable de l'application de la LCAP. Le CRTC mène des enquêtes, prend des mesures et fixe des sanctions administratives pécuniaires en ce qui concerne l'installation de programmes informatiques sans consentement explicite, par exemple lorsque des logiciels malveillants, des rançongiciels, des logiciels espions ou des virus sont installés en même temps que des programmes informatiques, cachés dans des pourriels ou téléchargés au moyen de liens vers des sites Web infectés. Le CRTC et Innovation, Sciences et Développement économique Canada encouragent les Canadiens à utiliser le Centre de notification des pourriels pour fournir le plus de renseignements possible sur les infractions possibles à la LCAP.

Lorsque la Gendarmerie royale du Canada (GRC) est le service de police local compétent, elle enquête sur les cybercrimes qui relèvent de sa compétence et de son mandat. À l'échelle fédérale, la GRC a le mandat et le pouvoir d'enquêter sur les cybercrimes qui ciblent les systèmes et les réseaux du gouvernement du Canada, les secteurs d'infrastructure essentiels et d'autres menaces cybercriminelles importantes pour les entreprises et les citoyens canadiens qui peuvent avoir une incidence économique importante ou qui sont dirigées au nom d'États étrangers. Dans le cadre du mandat actif de la Police fédérale en matière de cybercriminalité, l'incidence la plus importante est obtenue en menant des enquêtes visant à cerner et à cibler les cybercrimes en tant que service, les réseaux criminels menant des activités illicites dans le cyberespace et les acteurs étrangers hostiles (étatiques et non étatiques). Les enquêtes sur ces types d'auteurs et d'outils de menace ont une portée nationale et internationale, peuvent inclure des perturbations stratégiques et peuvent mener à des accusations au Canada ou dans un pays étranger.

Par exemple, en 2021 et 2022, le Bureau fédéral d'enquête des États-Unis (FBI) et la police fédérale de la GRC ont mené des enquêtes parallèles sur une filiale du ransomware NetWalker^{Note de bas de page 1}. L'enquête de la GRC, menée par l'équipe d'enquête sur la cybercriminalité de la police fédérale à Toronto, a abouti à l'exécution de mandats de perquisition au Canada, à la saisie d'outils de cybercriminalité et de produits du crime (34 millions de dollars en bitcoins et près de 700 000 dollars en espèces), à l'inculpation des accusés et à l'extradition de ces derniers vers les États-Unis

En tant que service de police national, le GNC3 de la GRC coordonne les enquêtes sur les rançongiciels et autres cybercrimes en étroite collaboration avec des organismes d'application de la loi partenaires nationaux et internationaux. En décembre 2021, à l'issue d'une enquête de deux ans en matière de cybercriminalité menée par la Police provinciale de l'Ontario (OPP), et avec l'aide du GNC3, l'OPP a inculpé un résident d'Ottawa pour des infractions cybernétiques au Code criminel liées à de nombreux incidents de rançongiciels touchant des entreprises, des organismes gouvernementaux et des particuliers au Canada et aux États-Unis. Dans le cadre de cette longue enquête, l'OPP a également bénéficié de l'aide d'Europol et d'une enquête parallèle menée par le Federal Bureau of Investigations (FBI). Des opérations comme celle-ci démontrent la nécessité pour les organismes d'application de la loi de travailler ensemble, de partager l'information et de mettre en commun les ressources dans l'ère numérique actuelle pour lutter contre les rançongiciels et autres menaces cybercriminelles.

Étant donné que les rançongiciels sont transnationaux, une solide coopération internationale est nécessaire pour faire face à la menace des rançongiciels. À l'échelle internationale, le Canada travaille en collaboration avec un certain nombre de partenaires aux vues similaires, y compris des homologues du Groupe des cinq, pour s'attaquer aux rançongiciels en échangeant activement les leçons apprises et, le cas échéant, en harmonisant davantage les politiques, les activités, les messages publics et la mobilisation de l'industrie. Par exemple, SP participe actuellement à l'initiative Counter Ransomware (CRI), une initiative dirigée par les États-Unis qui fournit un mécanisme informel de gouvernement à gouvernement pour plus de 50 membres afin d'améliorer la coopération internationale dans la lutte contre les rançongiciels. Lors du sommet 2023 de l'IRC, le Canada et 43 autres membres ont approuvé la toute première déclaration de politique commune déclarant que les institutions pertinentes sous l'autorité des gouvernements nationaux ne devraient pas payer de rançons et décourager fortement quiconque de payer une demande de rançongiciel. En outre, la GRC collabore avec le FBI, la National Crime Agency du Royaume-Uni, la National High-Tech Crime Unit des Pays-Bas, Europol et la National Cyber-Forensics and Training Alliance des États-Unis pour faire progresser les efforts de lutte contre les rançongiciels.

Le Canada a également soutenu ses alliés à de multiples occasions en ce qui concerne les attributions publiques contre les activités malveillantes, y compris les rançongiciels. Il s'agit notamment d'incidents de rançongiciel très médiatisés, comme WannaCry en 2017 et NotPetya en 2018. Le fait de dénoncer publiquement les cybercriminels oblige les auteurs de la menace à rendre des comptes et contribue à dissuader les tentatives et les incidents futurs.

Date de modification :

2024-06-04