Telemadrid a subi une attaque massive de ransomware qui a impacté ses systèmes de production et compromis même la diffusion. La chaîne a pu restaurer ses systèmes critiques sans payer de rançon en s’appuyant sur son infrastructure de sauvegarde et en travaillant en collaboration avec SoftwareOne. Cet incident offre une leçon qui dépasse le contexte de cette télévision : posséder des sauvegardes ne garantit pas une récupération réussie si l’attaquant parvient à chiffrer également ces copies.

Les éléments clés de l’attaque de ransomware contre Telemadrid en 20 secondes

• Le ransomware a ciffré les systèmes de production de Telemadrid, affectant la diffusion.
• Les copies de sauvegarde stockées sur Dell Data Domain ont résisté à l’attaque.
• La récupération a pu initialement se faire localement, même avec des communications perturbées.
• Telemadrid n’a pas payé la rançon et a restauré ses systèmes critiques.
• L’architecture comprenait également une sauvegarde externe via Azure Cloud Tier.

Récupérer d’un cyberattaque de ce type est particulièrement difficile pour une station de télévision. Il ne suffit pas de restaurer des documents ou des applications administratives. Il y a des systèmes de production et de diffusion qui fonctionnent 24h/24, et leur indisponibilité a un impact direct sur le service.

Selon le cas de réussite publié par SoftwareOne, les attaquants ont ciffré les systèmes de production et perturbé la diffusion. Les dommages potentiels ont été évalués à plusieurs millions d’euros. La chaîne devait également retrouver l’accès à son infrastructure tout en faisant face à des communications compromises.

La différence réside dans le fait que le ransomware n’a pas réussi à rendre inutilisables les copies de sauvegarde utilisées pour la récupération.

Lorsque le ransomware tente aussi d’accéder aux sauvegardes

Les attaques modernes de ransomware ne se limitent pas à cibler les serveurs et ordinateurs pour les ciffrer.

Les cybercriminels savent qu’une organisation disposant de sauvegardes récupérables a beaucoup moins d’incitations à payer la rançon. Par conséquent, l’infrastructure de sauvegarde elle-même devient une cible particulièrement précieuse en cas d’attaque.

Supprimer, ciffrer ou obtenir les identifiants administratifs de la plateforme de sauvegarde peut laisser la victime sans solution rapide pour restaurer ses systèmes.

Chez Telemadrid, des systèmes Dell PowerProtect Data Domain DD6400 couplés à Data Protection Suite étaient en place. Selon SoftwareOne, les copies locales stockées dans cette infrastructure n’ont pas été compromises par le ransomware.

Cela a permis de mener la restauration depuis des stockages locaux.

C’est une différence cruciale.

Si une organisation doit restaurer plusieurs téraoctets via une sauvegarde distante, surtout si ses communications sont affectées, la bande passante peut devenir une limite. Une copie stockée à distance offre une protection en cas de désastre, mais n’est pas toujours la solution la plus rapide pour retrouver rapidement de grandes quantités de données.

Dans ce cas, l’équipe a pu transférer directement les données depuis Data Domain vers la nouvelle infrastructure.

Les serveurs impactés n’ont pas seulement été restaurés et remis en production. SoftwareOne indique que des systèmes ont été réinstallés à zéro dans un environnement isolé, puis que les machines virtuelles récupérées ont été vérifiées avant leur réintégration dans l’écosystème de Telemadrid.

La chaîne a retrouvé l’accès complet à la console après 48 heures et a progressivement restauré ses différents services opérationnels.

Selon le cas publié, 100 % des informations critiques ont été récupérées sans versement de rançon.

Une couche supplémentaire hors du centre de données

L’architecture comprenait également Azure Cloud Tier.

Le dispositif consistait à transférer les données historiques et les sauvegardes anciennes vers Microsoft Azure, créant ainsi une seconde couche de protection en dehors du centre de données principal.

Cette séparation offre une utilité différente de celle des sauvegardes locales.

L’infrastructure locale assure une rapidité de récupération. Une copie géographiquement séparée protège contre des scénarios où le problème touche le centre de données lui-même : incendies, inondations, dommages physiques graves ou destruction totale des installations.

Combiner différentes localisations et technologies illustre ce que l’on nomme la règle 3-2-1 de la sauvegarde : disposer de trois copies de l’information, stockées en deux types ou systèmes différents, dont une hors site.

Ces dernières années, ce principe a été renforcé par des concepts d’inimmutabilité et d’isolation.

Une sauvegarde immuable empêche toute modification ou suppression pendant une période donnée, même si un attaquant obtient certains accès privilégiés.

L’isolation, ou air gap, cherche à éviter que l’infrastructure de production et toutes ses copies ne fassent partie du même domaine d’attaque.

Toutes les solutions désignées comme air-gapped ne sont pas nécessairement physiquement déconnectées. Certaines architectures logiques visent à offrir un niveau de séparation similaire. L’essentiel est que compromettre le système de production ne donne pas automatiquement accès à toutes les voies de récupération.

Selon David Carrero Fernández-Baillo, cofondateur de Stackscale (Groupe Aire) et expert en infrastructure cloud, cette séparation est précisément l’une des principales leçons tirées de cet incident :

“Le détail qui fait toute la différence ici, ce n’est pas seulement d’avoir des sauvegardes, mais que celles-ci résistent à l’attaque elle-même. L’erreur classique en ransomware est que le chiffrement atteint aussi les sauvegardes. C’est pourquoi l’inimmutabilité (WORM) et une couche isolée permettent de récupérer sans payer la rançon.”

Carrero insiste aussi sur deux indicateurs pouvant sembler similaires, mais qui mesurent des problèmes différents : RPO et RTO.

Le RPO (objectif de point de récupération) détermine la quantité maximale de données qu’une organisation peut se permettre de perdre. Le RTO (objectif de temps de récupération) indique combien de temps il faut pour que le système soit de nouveau opérationnel.

Dans une station de télévision diffusant en continu, le second peut être particulièrement critique.

“Avec une diffusion 24/7, ce qui compte ce n’est pas seulement le RPO, mais aussi le RTO : chaque minute sans restauration est une panne visible”, explique Carrero.

Une sauvegarde qui n’est jamais restaurée peut donner une fausse impression de sécurité

L’affaire Telemadrid rappelle aussi une différence fondamentale entre faire des copies et disposer d’un système de récupération fiable.

Une organisation peut réaliser des sauvegardes quotidiennes pendant des années, pour découvrir lors d’un incident qu’elles sont corrompues, incomplètes, chiffrées, que des identifiants manquent ou que leur restauration serait trop longue pour maintenir la continuité.

C’est pourquoi il est essentiel de réaliser des tests réguliers de restauration.

« Deux points peuvent faire la différence : tester périodiquement la restauration, car une sauvegarde non vérifiée n’est pas une sauvegarde, et appliquer la règle 3-2-1 pour éviter que toutes les copies soient vulnérables au même incident », explique le cofondateur de Stackscale.

La préparation doit également inclure la hiérarchisation de ce qui doit être restauré en priorité.

Tous les serveurs ne sont pas également critiques. Identifier les applications essentielles, dépendances, bases de données, services d’authentification et définir un ordre de restauration peut réduire considérablement le délai de reprise.

Le ransomware a ainsi recentré la sauvegarde comme un pilier de la stratégie de cybersécurité, et pas uniquement comme une tâche d’administration système.

Une politique de sauvegarde adaptée au risque de suppression accidentelle d’un fichier peut s’avérer insuffisante face à un attaquant qui a contaminé la red, obtenu des privilèges administratifs et cherche délibérément à détruire les copies avant de lancer le chiffrement.

Telemadrid disposait en plus d’un service géré de sauvegarde avec surveillance continue. Lors de la crise, l’équipe de SoftwareOne s’est intégrée au protocole de la chaîne et a travaillé en continu jusqu’à stabiliser l’environnement.

Ce qui permet d’en tirer une leçon valable pour des structures beaucoup plus petites.

La question ne devrait plus être uniquement “Y a-t-il une sauvegarde ?”. Il faut aussi savoir qui peut l’effacer, si elle peut être modifiée, où elle se trouve, combien de temps la restauration prend, et ce qui se passe si le ransomware infecte simultanément les serveurs et les communications.

Telemadrid a su répondre à toutes ces questions avant de devoir décider si elle payait ou non la rançon.

Comme le résume Carrero : « La cybersécurité se joue dans la préparation, pas dans la réaction. »

Questions fréquemment posées

Telemadrid a-t-il payé la rançon du ransomware ?

Non. Selon le cas de réussite publié par SoftwareOne, la chaîne a restauré ses systèmes critiques sans verser de rançon aux extorqueurs.

Comment Telemadrid a-t-elle récupéré ses données ?

Les sauvegardes locales stockées sur les systèmes Dell PowerProtect Data Domain n’ont pas été compromises, permettant une restauration locale efficace. En outre, l’architecture incluait Azure Cloud Tier comme seconde couche externe de protection.

Quelle différence entre RPO et RTO ?

Le RPO détermine la quantité maximale de données qu’une organisation peut perdre, tandis que le RTO indique combien de temps il faut pour que les services soient de nouveau opérationnels.

Pourquoi l’inimmutabilité est-elle cruciale face au ransomware ?

Parce qu’elle empêche toute modification ou suppression des sauvegardes pendant une période déterminée. Cela complique la tâche d’un attaquant qui tenterait de détruire toutes les copies et points de récupération avant de lancer le chiffrement.