Enquête sur les pratiques d’Agronomy en matière de protection des renseignements personnels concernant les mesures de sécurité, la responsabilisation et le consentement valide pour la collecte et l’utilisation de renseignements personnels

Description de l’atteinte

9. Au début d’avril 2020, l’auteur de la menace a réussi à accéder à un compte administrateur sur les systèmes d’Agronomy à l’aide d’identifiants valides. Il a ensuite réussi à établir une connexion à distance sur un poste de travail appartenant à une entreprise membre d’Agromart. Agronomy a dit au Commissariat qu’elle n’était pas en mesure de déterminer comment l’auteur de la menace a pu obtenir les identifiants qu’ils avaient utilisés pour obtenir l’accès. Le Commissariat remarque qu’il existe diverses façons d’obtenir de tels identifiants, y compris des techniques de piratage psychologique ^{Footnote 4} comme l’hameçonnage^{Footnote 5}, ainsi que le bourrage d’identifiants^{Footnote 6}, les maliciels^{Footnote 7}, les menaces internes^{Footnote 8} et de nombreuses autres tactiques. À ce sujet, Agronomy a déclaré qu’il n’y avait aucune preuve de la participation d’un employé à l’incident, ce qui laisse entendre que l’auteur de la menace avait volé les identifiants. Le Commissariat souligne que les comptes administrateur sont des cibles de prédilection, car un auteur de menace peut utiliser les nombreux privilèges associés à ces comptes pour élargir son accès et prendre le contrôle de tout un système.
10. En mai, l’auteur de la menace a tenté d’utiliser son accès au système pour accéder à des comptes bancaires d’entreprise et acheter des bitcoins, sans succès. Il a ensuite profité du regroupement des systèmes d’Agronomy pour se déplacer latéralement dans le réseau et prendre le contrôle d’autres systèmes dans l’environnement de réseau d’Agronomy. Du 18 au 27 mai 2020, l’auteur de la menace a utilisé son contrôle des systèmes d’Agronomy pour exfiltrer des données des dossiers partagés, passant des communications et des dossiers organisationnels aux bases de données des clients. Il a ensuite déployé un rançongiciel le 27 mai 2020, qui a chiffré le contenu du système et bloqué l’accès légitime. Agronomy n’a pris connaissance de l’attaque qu’à ce moment-là. Ce retard dans la détection a probablement contribué au succès de l’auteur de la menace dans l’effacement des registres du système, car il a été en mesure de terminer toute l’activité et l’exfiltration, puis d’éliminer toutes les traces de ce travail avant de déployer le rançongiciel.
11. Après s’être rendue compte que ses systèmes avaient été compromis, Agronomy a commencé à mettre sur pied une équipe d’intervention en cas d’incident, y compris des tiers spécialistes de la sécurité, et a renvoyé la question aux forces de l’ordre. L’équipe d’intervention en cas d’incident a été entièrement constituée, avec des ressources supplémentaires, au cours des jours suivants. Après avoir déployé le rançongiciel, l’auteur de la menace a communiqué avec Agronomy par courriel, exigé une rançon en échange de clés de déchiffrement pour son système et fourni les fichiers d’un échantillon pour démontrer la réussite de l’exfiltration des données. Acronomy a refusé de payer la rançon et a identifié 2 personnes touchées en fonction des fichiers de l’échantillon fourni. Agronomy a déclaré que les membres d’Agromart ont pris des mesures pour aviser ces 2 personnes de l’atteinte le 5 juin 2020. Agronomy a avisé le Commissariat et les 2 personnes touchées de l’atteinte le 8 juin 2020.
12. Le 2 juin 2020, après qu’Agronomy eut omis de payer la rançon demandée, l’auteur de la menace a mis l’intégralité des données exfiltrées aux « enchères » sur un marché numérique qu’il a créé. La vente aux enchères est restée ouverte pendant une semaine. L’auteur de la menace a publié une série de messages sur Twitter au sujet de la vente aux enchères, alertant Agronomy qu’elle avait lieu. Pendant plusieurs jours au cours de cette période, l’auteur de la menace a publié des extraits des communications organisationnelles d’Agronomy concernant ses efforts pour gérer l’atteinte, jusqu’à ce que les systèmes d’Agronomy soient sécurisés par des experts tiers. Il a ensuite publié les fichiers exfiltrés sur le Web caché. Avec l’aide de ses experts tiers, Agronomy a été en mesure d’obtenir une copie de l’ensemble de données compromis et a fait appel à un fournisseur de services d’investigation électronique^{Footnote 9} pour analyser les données et déterminer les parties touchées.
13. Agronomy a indiqué que les entreprises membres d’Agromart ont envoyé des avis aux personnes touchées au cours d’une période allant du 5 juin 2020 au 17 février 2021. Les membres d’Agromart ont envoyé de nouveaux avis à mesure qu’ils ont pris connaissance des personnes touchées grâce au processus d’investigation électronique en cours. [Le fournisseur] a envoyé un avis par la poste à [la personne plaignante] dans cette affaire [en] juillet 2020, et [celle-ci] l’a reçu au cours du [même mois]. Agronomy a fourni au Commissariat des mises à jour progressives concernant l’atteinte. Le nombre de personnes touchées a augmenté de façon constante sur plusieurs mois, passant de 2 personnes à un nombre définitif de 845.

Renseignements personnels visés par l’atteinte

14. Comme il a été mentionné ci-dessus, Agronomy a finalement conclu que l’auteur de la menace avait obtenu les renseignements personnels de 845 personnes. Il s’agissait de clients de diverses entreprises du groupe Agromart, incluant [le fournisseur], dont les renseignements personnels étaient stockés dans les systèmes d’Agronomy. Tout dépendant de la personne dont les renseignements personnels ont été compromis, il y avait, en plus des renseignements recueillis dans les demandes d’ouverture de compte Agromart, le numéro d’assurance sociale (NAS), la date de naissance, le numéro de permis de conduire, le nom, l’adresse, le numéro de téléphone, le numéro de compte bancaire et le nom de l’institution financière, les renseignements de carte de crédit, les renseignements sur le passeport, les renseignements sur le salaire ou la pension, l’adresse courriel ou la signature électronique.

Nature délicate des renseignements personnels

18. Les renseignements personnels compromis comprenaient divers renseignements biographiques et financiers, ainsi que le NAS, une donnée de nature particulièrement délicate en raison de sa permanence et de son importance dans l’établissement de l’identité et le fonctionnement de la société canadienne. Le Commissariat souligne que de tels renseignements peuvent être utilisés par des individus malveillants pour commettre un vol d’identité. De plus, le Commissariat remarque que, dans certains cas, les renseignements sur les comptes bancaires et les numéros de carte de crédit étaient également compromis, ce qui pourrait permettre une fraude financière.
19. Compte tenu de la nature délicate et des risques connexes décrits ci-dessus, les mesures de sécurité mises en œuvre par Agronomy pour protéger ces renseignements personnels auraient dû être proportionnellement élevées.
20. [La personne plaignante] a affirmé avoir été victime d’une fraude financière à la suite de l’atteinte. L’intimée nie cette allégation. L’enquête du Commissariat ne portait pas sur cette question.
21. Agronomy a indiqué qu’aucune autre personne n’a contacté l’entreprise, à l’exception [de la personne plaignante], pour se plaindre de l’atteinte ou pour signaler des pertes.

Mesures de sécurité techniques

22. En ce qui concerne les mesures de sécurité techniques, le Commissariat a relevé un certain nombre de lacunes importantes liées à la prévention des atteintes et à l’intervention d’Agronomy. Certaines d’entre elles ont contribué directement à l’atteinte en question et à sa gravité. Plus particulièrement : i) Agronomy n’avait pas d’authentification multifacteur, ce qui a permis à l’auteur de la menace d’accéder facilement au système avec des identifiants volés; ii) après avoir obtenu l’accès au réseau, l’auteur de la menace pouvait se déplacer librement dans le réseau d’Agronomy faute de segmentation; iii) l’auteur de la menace pouvait lire les données consultées sur le réseau, car elles n’étaient pas chiffrées; et iv) en raison d’un manque d’outils de détection et d’intervention, l’auteur de la menace a pu infiltrer le réseau, exfiltrer les données et couvrir ses traces, sans être détecté pendant environ 2 mois.
23. Agronomy n’a pas utilisé l’authentification multifacteur pour l’accès des employés à ses systèmes, ce qui a permis à l’auteur de la menace d’utiliser des identifiants volés pour obtenir un accès administratif complet aux systèmes de l’intimée. L’authentification multifacteur est largement reconnue comme une pratique exemplaire en matière de sécurité, en particulier pour les comptes assortis de vastes pouvoirs administratifs qui permettent d’accéder à des renseignements de nature très délicate. La mise en œuvre de l’authentification multifacteur n’aurait pas permis l’accès non autorisé au compte même si l’auteur de la menace connaissait le mot de passe de l’administrateur. Un deuxième facteur, comme un téléphone ou une clé USB « appartenant » à l’administrateur ou une empreinte biométrique prouvant qui « était » l’administrateur, aurait été requis.
24. La gravité de l’attaque a été exacerbée par l’absence de segmentation dans l’architecture de réseau d’Agronomy. Agronomy avait interconnecté de multiples systèmes d’Agromart alors que ce n’était pas nécessaire. Cela a permis à l’auteur de la menace de profiter du mouvement latéral et de compromettre et de prendre le contrôle de multiples systèmes dans le réseau d’entreprise d’Agromart. Il est recommandé de ne relier que les postes de travail et les systèmes nécessaires dans un réseau afin de minimiser les dommages pouvant être causés par le mouvement latéral. Si les réseaux des différents détaillants d’Agromart avaient été séparés, les répercussions de l’atteinte auraient pu être considérablement réduites, car l’auteur de la menace n’aurait probablement pu prendre le contrôle que d’un seul des systèmes des détaillants d’Agromart.
25. Agronomy n’a pas utilisé le chiffrement pour sécuriser sa base de données ou ses données. L’entreprise a stocké des renseignements personnels de nature délicate dans des dossiers partagés largement accessibles aux employés. Agronomy a fait valoir que le chiffrement n’aurait pas empêché la prise des mesures malveillantes, car l’auteur de la menace avait accès à un compte administrateur. Le Commissariat remarque toutefois que divers niveaux de privilèges administratifs peuvent exister et qu’un administrateur n’a pas nécessairement besoin d’avoir accès à toutes les clés de chiffrement. En général, il est de bonne pratique en matière de sécurité de segmenter l’accès et les permissions afin de réduire au minimum les effets d’un compte unique compromis. Indépendamment de l’incident en question, l’absence de chiffrement et les mauvaises pratiques de stockage des données (dont il est question aux paragraphes 36 et 37) ont rendu les données d’Agronomy vulnérables à la compromission dans divers scénarios, ce qui représente une vulnérabilité critique. Le chiffrement des données d’entreprise est une pratique exemplaire standard. Dans ce contexte, puisque les dossiers contenaient des renseignements personnels de nature délicate, le Commissariat se serait attendu à ce qu’il y ait du chiffrement.
26. Agronomy n’avait pas non plus les outils adéquats pour détecter les attaques et y répondre. En l’absence d’outils pour alerter les comportements suspects, les auteurs de menace peuvent passer inaperçus jusqu’à ce que des dommages graves soient causés. Plus précisément, Agronomy n’avait pas les outils adéquats de journalisation et d’alertes, comme une solution de gestion de l’information et des événements de sécurité^{Footnote 10} (GIES). Il ne disposait pas non plus d’outils de détection ou d’intervention comme un logiciel de détection et d’intervention sur les terminaux (EDR) ou un produit de détection et d’intervention étendues^{Footnote 11} (XDR).
    1. Une solution de GIES bien configurée peut regrouper et analyser des données provenant de diverses sources dans un réseau d’entreprise et, lorsqu’elle est dotée de règles appropriées pour détecter les comportements suspects, elle peut fournir des alertes au personnel pour permettre l’atténuation et l’intervention. Ce genre de solution offre une vaste couverture en analysant des millions d’événements et en identifiant les attaques qu’un seul outil de sécurité pourrait manquer.
    2. Un logiciel d’EDR ou un produit XDR offre des capacités de surveillance, de détection et d’intervention centralisées pour les terminaux comme les postes de travail, les serveurs et les téléphones, qui sont des parties vulnérables du réseau.
    Bien qu’une solution de GIES, un logiciel d’EDR ou un produit XDR ne soient pas toujours essentiels dans tous les cas, le Commissariat se serait attendu à ce qu’Agronomy ait configuré de façon appropriée certains outils d’alerte et d’intervention dans un système qui stocke des renseignements personnels de nature très délicate.

27. Au moment de l’incident, Agronomy se fiait aux registres de son matériel pare-feu et de son système d’exploitation pour la surveillance et la détection. Le pare-feu a enregistré un certain nombre de mesures prises par l’auteur de la menace. Un examen des registres fournis au Commissariat par l’intimée a révélé un comportement du compte et des habitudes d’accès qui auraient pu être considérés comme suspects. Toutefois, en l’absence d’une solution de détection et d’intervention, aucune de ces actions n’a donné lieu à des alertes au personnel – ces actions n’ont pas été identifiées comme suspectes jusqu’à ce que des experts tiers mènent une enquête après l’incident.
28. Par conséquent, dans cette situation, l’auteur de la menace a pu profiter d’un accès non détecté aux systèmes d’Agronomy pendant environ 2 mois, ce qui lui a permis de mieux contrôler l’ensemble du système et de couvrir ses traces en supprimant divers registres et sauvegardes. L’intrusion ou la compromission n’a pas été découverte par Agronomy jusqu’à ce que l’auteur de la menace utilise un rançongiciel pour chiffrer et verrouiller les systèmes de l’entreprise. Si Agronomy avait mis en place des outils de détection et d’intervention correctement configurés, l’incident aurait pu être détecté en quelques heures ou jours, et l’exfiltration des données des clients aurait pu être évitée ou considérablement atténuée.
29. Le Commissariat a également relevé d’autres lacunes dans les mesures de sécurité qui, bien qu’elles ne soient pas directement liées à l’atteinte, montrent que l’intimée a omis de protéger adéquatement les renseignements de nature délicate dont elle avait la gestion.
30. Pour ce qui est de la prévention des attaques, Agronomy avait installé un pare-feu et un antivirus, mais elle n’avait pas de pare-feu d’application Web^{Footnote 12} et ne pouvait pas divulguer les mesures qu’elle avait prises pour sécuriser^{Footnote 13} ses serveurs, ce à quoi le Commissariat se serait attendu conformément aux pratiques habituelles.
31. Agronomy n’avait pas non plus de politique ou de protocole de gestion des correctifs pour installer rapidement des mises à jour logicielles qui protégeraient contre les vulnérabilités connues. L’entreprise a déclaré que des correctifs avaient été apportés de façon ponctuelle. Agronomy avait travaillé à l’application de mises à jour du système d’exploitation aux postes de travail et aux serveurs, mais certains systèmes n’avaient pas été mis à jour. Si les éléments de preuve indiquent que les logiciels désuets n’étaient pas directement responsables de l’atteinte en question, le fait de ne pas corriger et mettre à jour les systèmes représente un risque important qui peut causer des atteintes ou les aggraver. Lorsque des individus malveillants prennent connaissance d’une vulnérabilité pour laquelle un correctif a été créé, ils cherchent rapidement des occasions d’en tirer parti sur des systèmes qui n’ont pas encore été corrigés. Il est donc de la plus haute importance d’établir un protocole pour garantir que les correctifs soient mis en œuvre le plus tôt possible, dès qu’ils sont disponibles.

Mesures de sécurité organisationnelles

32. En plus des lacunes qu’il a constatées dans les mesures de sécurité techniques d’Agronomy, le Commissariat a également relevé des lacunes importantes dans les politiques et les mesures de protection de l’entreprise.
33. Tout d’abord, Agronomy n’avait pas de protocoles d’intervention en cas de cyberattaque.
34. Dans la présente affaire, le Commissariat reconnaît qu’Agronomy a pris des mesures pour intervenir après avoir découvert l’atteinte, notamment en déployant une équipe d’intervention et en demandant l’aide d’experts internes et externes. De plus, le fait d’avoir un plan d’intervention en cas d’incident n’aurait peut-être pas amélioré sensiblement le résultat dans ce cas-ci, car l’intimée n’a pas détecté l’intrusion de l’auteur de la menace pendant environ 2 mois. À ce moment-là, le rançongiciel avait déjà été déployé (et la plupart des dommages avaient été causés).
35. Cela dit, si Agronomy avait mis en œuvre des outils appropriés pour détecter l’atteinte et en informer l’intimée plus tôt, un protocole d’intervention approprié aurait pu atténuer davantage les dommages causés par l’atteinte. De plus, comme il est expliqué au paragraphe 12, l’auteur de la menace a continué d’acquérir et de publier les communications confidentielles d’Agronomy même après que le déploiement du rançongiciel ait alerté Agronomy d’une atteinte. Agronomy a expliqué que même si ses dirigeants communiquaient sur le réseau d’une société affiliée qui n’avait pas été compromis, l’un des cadres participant à la discussion avait mis en place un programme de transfert de courriels qui envoyait des courriels au système compromis. Des protocoles d’intervention appropriés auraient probablement permis de prévenir ce type de comportement et, par conséquent, le réseau aurait pu être sécurisé beaucoup plus rapidement. En général, la préparation et la planification d’incidents cybernétiques sont des mesures de sécurité importantes en soi, car il est souvent essentiel de réagir rapidement à un incident pour évaluer, gérer et atténuer les dommages associés à la découverte d’une atteinte.
36. De plus, Agronomy n’avait pas de bonnes pratiques de gestion de l’information et de stockage des données pour assurer le stockage sécuritaire des renseignements personnels de nature délicate de ses clients. Les employés d’Agronomy ont stocké les renseignements personnels de nature très délicate des 845 personnes touchées dans différents dossiers partagés, nommés « Documents divers » [traduction], au lieu de les sauvegarder dans une base de données ou un dépôt sécurisé.
37. Cette lacune dans la gestion de l’information a contribué au retard dans l’identification des personnes touchées par Agronomy. Agronomy n’avait pas une connaissance suffisante de ses propres pratiques de stockage des données et des règles de stockage des données des clients sur ses serveurs. Par conséquent, les retards ont été importants, et il a fallu 7 mois à Agronomy pour identifier les personnes touchées de façon échelonnée au moyen de l’investigation électronique par une tierce partie de l’ensemble de données compromis. Agronomy a bien fait de demander l’aide d’experts pour confirmer les personnes et les données touchées, mais si elle avait mis en œuvre des politiques appropriées de gestion et de stockage de l’information, l’expert en matière d’investigation électronique aurait probablement pu accélérer son identification des personnes touchées.
38. En fin de compte, Agronomy manquait de documentation et de dossiers liés à la sécurité, en général. En raison de la documentation et des dossiers limités ou insuffisants au sujet des mesures de sécurité antérieures de l’organisation, Agronomy n’a pu répondre à de nombreuses questions fondamentales. Par conséquent, le Commissariat n’a pas été en mesure d’évaluer pleinement son infrastructure de sécurité. Agronomy a expliqué que toute son équipe de TI et une grande partie de son infrastructure de TI ont changé depuis l’atteinte. L’entreprise s’attend à voir un roulement de personnel et un changement d’infrastructure au fil du temps. Toutefois, une tenue des dossiers et une documentation suffisantes sur les mesures de sécurité et l’atteinte auraient permis à Agronomy de mieux répondre à nos questions et de préserver les connaissances organisationnelles qui pourraient aider l’entreprise à éviter des vulnérabilités semblables en matière de sécurité à l’avenir.
39. De même, Agronomy n’a fourni aucune documentation concernant la formation du personnel des TI et des autres employés. L’intimée n’a pas non plus été en mesure de confirmer si une formation en TI avait été offerte à son personnel. Le Commissariat souligne que la formation continue, en particulier en cybersécurité, est essentielle pour s’assurer que des mesures de sécurité clés sont en place et correctement configurées en raison de l’évolution constante de la sécurité des TI.
40. Cela souligne l’importance pour les organisations d’avoir des politiques et des pratiques de tenue de dossiers documentées pour évaluer, gérer, suivre et démontrer la mise en œuvre de mesures de sécurité suffisantes conformément à la LPRPDE.

Évaluation des mesures de sécurité d’Agronomy avant et après l’atteinte

41. Le Commissariat conclut que les vulnérabilités particulières décrites ci-dessus indiquent qu’Agronomy n’a pas appliqué les mesures de sécurité appropriées pour protéger les renseignements personnels de nature délicate de l’entreprise, ce qui contrevient au principe 4.7 de la LPRPDE.
42. Le Commissariat reconnaît que ce ne sont pas toutes les petites et moyennes entreprises (PME) qui auront la capacité de maintenir, à l’interne, l’expertise diversifiée nécessaire pour assurer des mesures de sécurité techniques adéquates, gérer l’information, créer des protocoles d’intervention en cas d’atteinte et offrir la formation connexe compte tenu du caractère dynamique de l’environnement de menace. Toutefois, les PME peuvent utiliser divers fournisseurs de services et des outils automatisés tiers pour combler les lacunes en matière de protection et satisfaire aux exigences de conformité établies par la LPRPDE.

Mesures prises par Agronomy depuis l’atteinte

43. Le Commissariat note que, depuis l’atteinte, Agronomy a apporté un certain nombre d’améliorations importantes à son dispositif de sécurité, notamment en passant un marché pour des services de tiers qu’elle n’a peut-être pas la capacité de maintenir à l’interne. Ces améliorations ont été guidées par des experts externes et une toute nouvelle équipe interne de TI. De plus, les recommandations du Commissariat, décrites en détail ci-dessous, ont été prises en compte.

Améliorations aux mesures de sécurité techniques

44. Agronomy a mis en place l’authentification multifacteur pour tous ses services externes, ses services d’infrastructure et ses services administratifs, ainsi que de nombreux comptes d’employés. Elle a également déplacé son infrastructure vers une plateforme d’infrastructure sous forme de service tierce (c.-à-d. nuage) et mis en œuvre un accès conditionnel, en fonction des besoins des employés.
45. L’intimée a mis en place un gestionnaire de mots de passe d’entreprise et une politique relative aux mots de passe afin d’améliorer la force et la qualité des mots de passe et de se protéger contre les auteurs de menaces qui tentent d’accéder au système au moyen d’attaques par force brute^{Footnote 14}.
46. Agronomy a procédé à un examen complet de ses configurations de pare-feu et de ses comptes et a mis en œuvre un nouveau produit EDR et un nouvel antivirus.
47. De plus, l’entreprise a déployé des fonctions d’alerte et des ensembles de règles dans ses outils de journalisation et de surveillance afin de détecter tout comportement anormal dans les comptes administratifs.
48. Agronomy a modifié son architecture de réseau pour supprimer les liens entre les sites affiliés d’Agromart. Par conséquent, une attaque contre un système ne touche plus les autres systèmes.
49. Elle a également installé des logiciels de gestion de correctifs de fournisseurs tiers et configuré des correctifs automatiques pour s’assurer que les logiciels restent à jour.
50. À la suite de l’atteinte, l’intimée a installé un service de prévention de la perte de données^{Footnote 15} (PPD) pour améliorer la sécurité, notamment par le chiffrement et le contrôle des bases de données et des fichiers. Par exemple, un service de PPD peut identifier des renseignements de nature délicate qui correspondent à des caractéristiques définies (comme un numéro à 9 chiffres qui ressemble à un NAS) et les protéger contre l’accès et l’exfiltration non autorisée.

Améliorations aux mesures de sécurité organisationnelles

51. Agronomy inclut maintenant une formation en TI dans son plan de perfectionnement des employés, qui sera offerte à tout le personnel de façon continue. Agronomy offre aussi une formation en cybersécurité à son personnel. L’entreprise a établi un partenariat avec un fournisseur tiers pour offrir de la formation continue et effectuer des simulations d’hameçonnage pour aider les employés à reconnaître et à prévenir ce genre d’attaques.
52. Enfin, en réponse à la recommandation du Commissariat, Agronomy a accepté de mettre en œuvre des protocoles pour la gestion des incidents et les attaques du jour zéro^{Footnote 16}.
53. Par conséquent, le Commissariat estime que cet élément de la plainte était fondé et conditionnellement résolu.