Un groupe technologique fournissant des services aux ministères du gouvernement victorien touchés par une cyberattaque

Une cyberattaque a ciblé un groupe technologique qui fournit des services aux ministères, les pirates informatiques étant désormais soupçonnés de détenir des données volées.

PNORS Technology Group possède cinq sociétés qui fournissent une gamme de services technologiques à plus de 1 000 clients.

La société a confirmé samedi que deux de ses activités, Datatime et Netway, avaient été la cible d’une cyberattaque le 3 novembre.

« Les activités du groupe technologique PNORS concernées s’occupent de la capture de documents et de données, de la conversion numérique et du support informatique géré pour un certain nombre de clients externes, y compris des ministères », a déclaré le directeur général de PNORS, Paul Gallo.

« Les premières enquêtes menées par des experts en cybersécurité ont indiqué que cet incident était limité aux systèmes chiffrés et verrouillés.

« Cependant, du jour au lendemain, les criminels à l’origine de la cyberattaque ont communiqué à l’entreprise dans une communication privée un échantillon de ce que l’on pense être des données volées. »

Le ministère victorien du Premier ministre et du Cabinet (DPC) a déclaré qu’il était en train de déterminer si les données détenues par l’État avaient été exposées lors de la violation.

Un porte-parole du DPC a déclaré que le gouvernement « continuait à fournir un soutien au PNORS Technology Group pour déterminer l’étendue de la violation d’informations et pour prévenir de nouveaux incidents ».

PNORS a déclaré avoir immédiatement informé les clients concernés le 3 novembre, contacté la police nationale et fédérale et engagé des experts externes en cybersécurité.

L’Office of Australian Information Commissioner a été informé.

« L’étendue de la violation de données fait toujours l’objet d’une enquête et nous travaillons en étroite collaboration avec toutes les autorités pour évaluer le nombre de nos clients qui ont été touchés et la nature des données qui ont été volées », a déclaré M. Gallo dans un communiqué.

« Lorsque nous avons été informés de la cyberattaque, nous avons immédiatement fermé et isolé tous nos systèmes internes et pris des mesures supplémentaires pour sécuriser notre réseau et nos données, tout en suspendant tout traitement de données. »

Le porte-parole du DPC de Victoria a déclaré que le service de réponse aux incidents cybernétiques du gouvernement de Victoria avait été informé.

« La protection des données et des systèmes de Victoria est notre priorité absolue », a déclaré le porte-parole du DPC dans un communiqué.

« S’il est déterminé que les données du gouvernement victorien ont été exposées à la suite de cette violation, les départements informeront les personnes concernées et fourniront des conseils sur les mesures qu’ils peuvent prendre pour minimiser tout risque. »

Il s’agit de la dernière d’une série de violations de données sur des cibles de premier plan, à commencer par la société de télécommunications Optus fin septembre.

Les données personnelles de millions d’Australiens ont été, ou ont potentiellement été, exposées dans les piratages qui ont également ciblé l’assureur maladie Medibank et le détaillant en ligne MyDeal appartenant à Woolworths.

Les lois australiennes sur la notification des violations de données obligent les entreprises ayant un chiffre d’affaires annuel de 3 millions de dollars ou plus à informer le commissaire à la protection de la vie privée des données clients exposées, il est donc possible que de petites entreprises aient été exposées sans les rendre publiques.

Le mois dernier, un expert en sécurité a averti qu' »une décennie de politique anti-sécurité » avait laissé l’Australie ouverte aux attaques.

Cette semaine, un autre a averti que les pirates informatiques considéreraient désormais l’Australie comme « une cible facile » à la lumière des récentes violations.

Le procureur général Mark Dreyfus a présenté la semaine dernière un projet de loi visant à modifier la Loi sur la protection des renseignements personnels afin d’amender les violations de données importantes à un minimum de 50 millions de dollars.

La peine maximale actuelle pour les atteintes graves ou répétées à la vie privée est d’environ 2 millions de dollars.

Le porte-parole du DPC a exhorté les gens à visiter IDCARE pour obtenir des informations sur la façon de protéger les informations personnelles et ScamWatch pour des informations sur les escroqueries en ligne.