La cyberattaque à l’INRS a coûté 268 778 $

Ciblé par une cyberattaque le 17 août dernier, l’Institut national de la recherche scientifique (INRS) a dû allonger rapidement près de 270 000 $ pour contenir l’incident, rétablir ses systèmes mis hors d’usage et, surtout, protéger ses données de recherche et les renseignements personnels de ses membres. Un mal nécessaire vu l’urgence et la gravité de la situation, disent des experts consultés par Radio-Canada.

Peu de détails ont filtré jusqu’ici sur l’acte de piratage qui a touché les services informatiques et téléphoniques de l’organisation dédiée à la recherche universitaire de haut niveau et à la formation des étudiants de 2e et 3e cycles.

Soucieux de ne pas divulguer d’information pouvant servir la cause de la ou des personnes derrière l’intrusion dans ses systèmes, l’INRS préfère ne pas trop s’épancher sur l’évolution de l’enquête et les conséquences que la cyberattaque a eues sur ses activités de recherche et de formation.

Radio-Canada n’a pas réussi à savoir si l’attaque était toujours en cours. Il n’a pas non plus été possible de savoir s’il s’agissait bel et bien d’une attaque menée par un rançongiciel, comme le soupçonnent de nombreux experts.

Dans une déclaration écrite, l’institut dont le siège social est situé à Québec nous a indiqué n'avoir aucune preuve que des données, personnelles ou non, aient été utilisées à des fins malveillantes.

Néanmoins, dès le départ et en prévention seulement, l’INRS s’est engagé à offrir gratuitement à sa communauté un service de surveillance de crédit et de protection contre le vol d’identité. L’enquête sur la cyberattaque se poursuit, tout comme les efforts de l’organisation pour se rétablir, écrit l’organisation.

Une recherche effectuée dans le Système électronique d’appel d’offres du gouvernement du Québec nous apprend que dans les jours ayant suivi le début de la cyberattaque, l’INRS a accordé à des firmes spécialisées en sécurité informatique deux contrats de gré à gré d’une valeur totale de 268 778 $.

Le premier contrat, d’un montant de 188 778 $, a été octroyé le 23 août à l’entreprise américaine Mandiant Inc., une filiale du géant Google. Le second, d’une valeur de 80 000 $, a été accordé à la compagnie de Québec Micro Logic Sainte-Foy Ltée le 30 août.

Dès que l’INRS a pris connaissance de la cyberattaque, l’organisation a contacté son assureur, qui lui a recommandé une équipe de consultants externes experts en la matière afin de l’accompagner dans le cadre de l’incident, explique l'établissement de recherche et d'enseignement.