Depuis le 19 novembre 2022, des professionnels de santé sont revenus au papier et aux crayons, pendant que les experts des systèmes d’information s’efforcent de rétablir les différents outils opérationnels. One Brooklyn Health est un regroupement d’établissements hospitaliers qui s’occupent des personnes les plus pauvres de ma mégapole New York. Les 3 hôpitaux de l’organisation retrouvent peu à peu l’utilisation de divers services critiques a déclaré la direction.
Le groupement One Brooklyn Health comprend trois hôpitaux : Interfaith Medical Center, Brookdale Hospital Medical Center et Kingsbrook Jewish Medical Center. La direction a confirmé l’attaque, qui a été détectée pour la première fois fin novembre. Des experts en sécurité luttent depuis au rétablissement des outils. Leurs fermetures ont entraîné la coupure de postes de travail hospitaliers. Ceux grâce auxquels les prestataires de soins de santé accèdent aux dossiers médicaux, commandent des ordonnances et remplissent les dossiers des patients.
Des avancées conséquentes ont été effectuées. Sur l’origine de l’attaque cybernétique, et la demande de rançon, le FBI n’a donné aucune réponse. (Crédits : BankInfoSecurity)
« One Brooklyn Health a fait des progrès considérables dans son enquête et son processus de remédiation en réponse à un incident de cybersécurité que nous avons détecté fin novembre », a déclaré Mme Brown dans un communiqué. « Dans l’intervalle, tous nos hôpitaux et établissements sont ouverts, et nous continuons à fournir des soins à nos patients en utilisant des procédures d’arrêt bien établies pour lesquelles nos cliniciens et administrateurs sont largement formés. »
Amazing, One Brooklyn Hospital System (composed of merger of 3 hospitals) has been hacked and criminals are requesting a 5M ransom. Meanwhile, these vital facilities are functioning with pen & paper bc they won’t pay ransom. This according to a staff member.
Si l’information d’une rançon de 5 millions de dollars américains est ainsi exposée, le PDG de One Brooklyn Health, Laray Brown, a déclaré au personnel que 250 ordinateurs et 775 appareils mobiles ont été distribués dans les trois hôpitaux pour contourner les systèmes hors ligne depuis le 19 novembre.
Chaque jour, des attaques cybernétiques sont déjouées. De la même manière, des tentatives d’attentats sont avortées, car des personnes œuvrent en silence et dans l’ombre à la protection de tout un chacun. Il arrive que certaines, pour diverses raisons, atteignent leurs buts : exfiltrer des données, extorquer de l’argent, divulguer des secrets industriels, économiques ou d’État… L’hôpital d’Argenteuil a déjoué une tentative d’intrusion sur une partie de son réseau informatique.
Les attaques surviennent au moment où la bronchiolite et autre pathologie emplissent les établissements de soins en France. Le centre hospitalier Sud-Francilien (CHSF) paie la note de l’attaque du mois d’août, qui est salée. Celui qui espérait recouvrer 80 % de son parc informatique d’ici la fin novembre, pense ses plaies. Une facture totale évaluée à 7 millions d’euros. Deux sont consécutifs à la gestion de crise, et cinq millions servent à la reconstitution de l’infrastructure. De son côté l’hôpital André Mignot à Versailles fait de son mieux pour gérer patients, épidémie de bronchiolite et ransomware.
L’attaque date de la semaine dernière relate France Bleu. Sur place les équipes internes travaillent étroitement avec les experts de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), « pour protéger les intérêts de nos patients, de nos partenaires et de nos employés. » (Crédits : CH Argenteuil)
Aujourd’hui, le 7 décembre 2022 un communiqué de presse du centre hospitalier d’Argenteuil atteste d’une tentative abordée de cyberattaque. « Le Centre Hospitalier d’Argenteuil a détecté une intrusion sur une partie de son réseau informatique […] aucune violation de données n’a été relevée à ce stade. Les autorités compétentes ont été notifiées […] une plainte a été déposée ce mercredi 7 décembre 2022 auprès du procureur de la République », explique l’établissement.
Intersport, le parlement Européen
Le même jour que la chaîne de spot, le parlement européen essuyait une attaque par déni de service. « Je confirme que le Parlement a fait l’objet d’une cyberattaque externe […] », déclarait dans un communiqué Dita Charanzová, eurodéputée tchèque et vice-présidente du Parlement chargée de la cybersécurité. L’assemblée a attribué cette attaque au groupe Killnet.
La chaîne de magasins Intersport avait subi une attaque le 23 novembre 2022. « C’est une cyberattaque qui touche un groupement de magasins sur la région Nord, indique la direction d’Intersport ». La cyberattaque a depuis été revendiquée par les opérateurs derrière le ransomware Hive. (Crédits : capture d’écran/Hive)
La Marie de Brunoy faisait les frais d’une cyberattaque en octobre. L’attaque a été revendiquée par LockBit 3.0 et une rançon avait été réclamée, à hauteur de 5 millions de dollars américains. « Nous étions convaincus que nous étions bien protégés, mais il y a toujours des failles dans le système », regrette l’édile, Bruno Gallier. Une entreprise française du nom de « FranckBeun » voit ses données exfiltrées et divulguées par le même Ransomware-as-a-Service : comptabilité, chantiers, secrétariat, etc. Les ambulances des Trois cantons à Peyrehorade, dans le sud des Landes sont victime d’une cyberattaque par ransomware. Ils n’ont plus accès à leur fichiers, ni aux rendez-vous des semaines prochaines.
Une fois de plus un organisme de santé en France subit une attaque cybernétique. Après l’affaire du centre hospitalier sud-francilien (CHSF) en août 2022, c’est au tour de l’hôpital André Mignot. L’offensive se serait déroulée samedi soir aux alentours de 21 h. La régulation des urgences et les transferts de patients à risque sont assurés par le SAMU. À ce stade, quelques transferts de patients, six, ont été effectués vers d’autres établissements du territoire et d’autres sont en préparation.
L’accueil de nouveaux patients est limité. À l’heure de l’utra-connectivité, une attaque des systèmes d’information d’un établissement, force le réseau à être coupé. Vous pouvez oublier l’ensemble des moyens de communication dits modernes, les e-mails, les rapports de suivi des patients, et tout autre document via l’informatique. « Tout se fait à l’ancienne avec papier et stylo », souffle Richard Delepierre, co-président au conseil de surveillance et maire du Chesnay-Rocquencourt.
Prendre en otage la santé des Français est inadmissible. J’étais ce soir avec @jnbarrot auprès des équipes de l’hôpital André-Mignot, victime d’une cyberattaque. Tous nous moyens sont déployés aux côtés des professionnels mobilisés pour assurer la prise en charge des patients. pic.twitter.com/pffcRJh8q5
La perspicacité du ministre de la Santé et de la Prévention, François Braun est relayée par le nombre de tweets reçus en guise de réponse.
L’hôpital André-Mignot concentre consultations et services d’hospitalisation de court séjour et ambulatoire. Ce qui représente plus de 800 lits et 3 000 personnels soignants. « L’établissement est également le siège administratif, technique et logistique du centre hospitalier de Versailles, c’est pourquoi l’hôpital Richaud et la maison Despagne sont aussi affectés », révèle France Bleu.
Les investigations ont été confiées au Centre de lutte contre les criminalités numériques (C3N) de la gendarmerie, qui mènera l’enquête et à la Sous-direction de la lutte contre la cybercriminalité (SDLC) de la police judiciaire. Les attaques sont légion dernièrement en France, le CHSF, de Thales, Loehc, la région Guadeloupe ou les alpes maritimes. (Crédits : DR)
« C’est la galère, on doit tout refaire sur papier à la main depuis ce matin et les médecins doivent faire toutes leurs prescriptions de médicaments manuellement aussi », ont expliqué sous couvert d’anonymat à l’AFP trois aides-soignantes. Les attaques d’hôpitaux en France étaient de 27 en 2020. La revendication de l’attaque cybernétique n’est pas encore connue, ni s’il y a chantage à la publication des données souvent exfiltrées contre une somme d’argent, sous compte à rebours.
Il y a quasiment un an jour pour jour, le 16 décembre 2021 le ministère de la défense belge subissait une importante attaque cybernétique. Durant de nombreuses semaines, le réseau internet et le trafic de courriels avaient été interrompus. La cyberattaque qui est attribuée à un groupe d’opérateurs chinois a coûté la somme de 2,25 millions au département de la défense en coût direct, a expliqué la ministre Ludivine Dedonder. Près d’un an plus tard, tous les systèmes sont à nouveau opérationnels.
Lors d’un échange parlementaire entre le député Michael Freilich et la ministre Ludivine Dedonder, elle précisa que « tous les systèmes sont à nouveau opérationnels, à l’exception des vidéoconférences avec des parties externes via Internet (Skype ou Vidyo) ». La Défense a engagé des dépenses importantes pour réparer les dégâts causés par l’attaque informatique majeure liée à la vulnérabilité du logiciel Apache Log4j. « Au total, à ce jour, cela a coûté 2,25 millions d’euros à la Défense en coûts directs (matériel, personnel et services) », a détaillé la ministre.
Le coût d’une telle attaque semble avoir deux buts. Déstabiliser la cible et perturber son fonctionnement durant un laps de temps plus ou moins grand. Le second amoindrir sa capacité fiduciaire pour amoindrir la recherche, le développement, la contre-attaque, donc la défense contre les acteurs malveillants. (Crédits : Le Soir)
« Le nombre d’heures effectuées par la Défense jusqu’à la fin du mois d’août est estimé à 12 000. Le nombre d’heures effectuées par les entreprises externes s’est élevé à 3 735 (1 600 pour Microsoft, 1 950 pour NTT et 185 pour mobco) », révèle la ministre de la défense belge Mme Ludivine Dedonder.
Sur leur site de fuite, les opérateurs derrière le ransomware Vice Society revendiquent les cyberattaques de deux entités du géant suédo-néerlandais IKEA. Le fabricant de meubles exploite deux magasins en Jordanie, trois au Koweït et quatre au Maroc. Les succursales basées au Maroc et au Koweït voient des données sensibles comme des passeports jordanien et marocain, des prévisions sur l’année, des rapports confidentiels, des photos, des documents sur résultats d’audits…
De très nombreux fichiers et documents sont diffusés sur le dark web. L’année dernière, quasiment jour pour jour IKEA était frappé par une vague de cyberattaques par hameçonnage de type « reply-chain ». Une façon de détourner l’attention de collaborateurs. Des employés reçoivent des e-mails sous la forme de réponses à des courriels apparemment envoyés au préalable. Le collaborateur pense qu’il s’agit d’une réponse à un e-mail préalablement expédié. Il ne souvient pas de l’avoir envoyé, mais curieux, il est tenté de l’ouvrir… le piège vient de se refermer.
Les documents d’employé, de cadre, des passeports des documents internes sont mis en ligne par les opérateurs usant du ransomware Vice Society. Il opère au moins depuis fin 2020. En raison de tactiques et de noms de fichiers similaires, les chercheurs pensent que Vice Society était lié à un autre ransomware Hello Kitty. (Crédits : capture d’écran/Vice Society)
En septembre, Vice Society avait attaqué et diffusé des données de deux écoles américaines et une université de Londres, Elmbrook school et Sierra College, ainsi que School of Oriental African Studies (SOAS). Selon Darkfeed « le fait de cibler IKEA est un peu une aberration pour la bande, car les victimes dans les secteurs de l’éducation et de la santé représentent plus d’un tiers de ses victimes. »
Dernière en date, la région Guadeloupe est victime d’une cyberattaque. La France est ainsi visée en dehors de la métropole. La liste des entités locales touchées en 2022 s’allonge. Après l’hôpital de Corbeil-Essonnes en août, la ville de Caen fin septembre, le département de Seine-Maritime en octobre et celui de Seine-et-Marne ces derniers jours et les autres, les opérateurs malveillants ne s’arrêtent pas. Cette dernière ne devrait pas se remettre avant plusieurs mois.
C’est par une déclaration que la presse et les habitants de l’Île papillon ont eu vent de cette cyberattaque. « Par mesure de sécurité, tous les réseaux informatiques ont été interrompus afin de protéger les données et un diagnostic est en cours », précise-t-elle dans un communiqué publié lundi 21 novembre. Dans une diffusion interne, adressée aux agents en fin d’après-midi et consultée par l’Agence France-Presse (AFP), les autorités régionales expliquent qu’une cellule de crise a été installée et recommande aux agents de redoubler de vigilance. La région a dit collaborer avec l’Agence nationale de sécurité des systèmes d’information (ANSSI), la police nationale et la gendarmerie.
« Un plan de continuité des services est mis en place pour assurer les missions de services publics », précise l’entité locale, qui ajoute avoir déposé plainte et envoyé une notification à la Commission nationale de l’informatique et des libertés (CNIL).
Les conséquences de la cyberattaque se lèvent peu à peu. Les détenteurs de cartes magnétiques pourront à nouveau accéder à leurs lieux de loisirs. Quelques opérations ne sont pas encore possibles : le paiement en carte bancaire, la réservation et le rechargement des titres en ligne. (Crédits : Christophe Jacquet/Actu.fr)
Deux mois après l’attaque subie par la ville de Caen, les usagers de la piscine et de la patinoire commencent à voir le bout du tunnel. Le 26 septembre 2022, la Ville de Caen et les services de l’agglomération Caen la mer ont été victimes d’une cyberattaque. De nombreux systèmes d’information des deux institutions étaient hors d’usage par mesure de sécurité.
Le groupe LockBit 3.0 revendiquait une attaque sur la société Thales au commencement de l’année 2022. L’entité accordait jusqu’au 17 janvier avant que les données soient divulguées. La société française d’électronique est spécialisée dans l’aérospatiale, la défense, la sécurité et le transport terrestre. Puis début novembre les mêmes affirmations de la part du groupe d’opérateurs malveillants réclamaient à nouveau la cyberattaque. Cette fois des informations sensibles, confidentielles, documents commerciaux, logiciels… sont en accès libre sur le darknet.
« Nous avons eu connaissance d’une allégation de vol de données par LockBit 3.0 ciblant des données qui appartiendraient au groupe Thales », a indiqué le porte-parole à l’AFP, précisant que « le groupe d’extorsion et de ransomware LockBit 3.0 a annoncé vouloir publier les données le 7 novembre 2022 à 6 h 29 UTC ». Le même groupe avait fortement perturbé le fonctionnement du Centre hospitalier sud-francilien (CHSF) de Corbeil-Essonnes en août. Lockbit avait demandé une rançon de 10 millions puis redescendu à un million de dollars, puis avait publié des données de patients, de personnels et de partenaires sur le darknet.
Concernant Thales, dans un communiqué le groupe explique qu’il n’y a « pas d’intrusion » dans les systèmes d’information de l’entreprise. Deux sources probables de vol est affirmé par le groupe. La première a été identifiée : il s’agit du « compte d’un partenaire sur un portail d’échange dédié » mis en place avec Thales. Les recherches continuent pour identifier l’autre source.
Dans le dossier newattack, un fichier de 9,5 GB est téléchargeable. De nombreux dossiers renferment d’autres documents sensibles, confidentiels sur les projets, un radar… Dans un seul sous-dossier, 19 fichiers compressés passent de 274 MB à 412 MB décompressés. (Crédits : capture d’écran/LockBit)
Des informations qui peuvent paraître, pour un œil novice, insignifiantes. Très sensibles, elles doivent permettre la prise de conscience de l’urgence. L’urgence de renforcer la protection des données, s’il n’est pas déjà trop tard… Le manuel pour comprendre, interpréter et utiliser un « automatic regenerated dehydrators » est comme tant d’autres un document exposé. Son utilisation est de préserver les lignes de transmission HF. Il est primordial de pressuriser et de sécher ces lignes afin d’éviter l’ionisation des molécules d’eau et ainsi la destruction de l’émetteur dans le pire des scénarii.
L’utilité d’un tel dispositif, le déshydratateur est très importante. Il sert pour les radars militaires, embarqués sur des navires ou sur des stations tactiques, et civils. Il est inclus dans le dispositif de guidage de missiles, comme dans les émetteurs de grande puissance de radiodiffusion télévisuelle ou radiophonique. (Crédits : Selecom)
La multitude de dossiers et de fichiers renseigne sur de nombreux projets et informations sensibles. À lui seul, le fichier « Community Customer Furnished Information » contient 5,78 GB, d’autres documents de protocole, des guides d’interface, d’e-mails d’infrastructure…
La Corse touchée par LockBit
L’Uffiziu d’ecchippamentu idrolicu di Corsica a été la cible d’une attaque cybernétique dans la nuit du mercredi 2 au jeudi 3 novembre 2022. Le résultat est la panne générale. Au moyen-âge, la meilleure façon de conquérir un château était de le priver de nourriture et d’eau, en l’encerclant. Ainsi, ils n’avaient plus qu’à attendre que les habitants du château se rendent. Les différentes attaques qui se déroulent à chaque seconde sont un échiquier où chaque belligérant place ses pièces tout autour d’un château.
L’Office d’Équipement Hydraulique de l’Île de beauté devrait voir les données exposées demain matin peu avant onze heures. Cet organisme gère 12 barrages d’un total de 40 Mm3, 54 stations de pompage, 56 réservoirs, 4 mini centrales hydroélectriques. (Crédits : OEHC)
La Corse n’avait pas communiqué jusqu’à ce mercredi 16 novembre 2022. Le communiqué indique qu’ils ont pris « […] le temps d’évaluer les dégâts, avant de décider de la marche à suivre […] il n’a pas été donné suite à la demande de contact, ni à aucune négociation de quelque sorte que ce soit avec l’attaquant. » La direction affirme que la remise progressive des systèmes d’information est en cours. « Aujourd’hui (le 16 novembre 2022), malgré la force de l’attaque […] nous sommes confiants sur notre capacité à relancer l’ensemble de nos activités d’ici à quelques semaines. […] nous savons que les conséquences de cette cyberattaque pourraient être longues à être entièrement absorbées. Mais, nous sommes persuadés que cette situation est aussi une opportunité pour l’OEHC d’accélérer la modernisation de ces outils et process », détaille la direction.
Cette information fait les grands titres de chaque média en France. Une rançon est demandée après l’attaque des systèmes d’information. L’identité des opérateurs n’est pas encore révélée. Les services informatiques du département ne sont plus opérationnels depuis le 6 novembre 2022. L’ensemble des salaires comme les prestations sociales sont versés, assure Jean-François Parigi, le président du conseil départemental, qui promet de ne pas payer la rançon.
Depuis le mois d’avril, différents départements et ses conseils ont été les victimes de cyberattaques. Le département de l’Ardèche, le département de la Touraine et dernièrement celui de la Seine-Maritime. « Depuis ce dimanche 6 novembre, le département de Seine-et-Marne subit une attaque informatique d’envergure. Les services numériques ne sont plus opérationnels », déclarait le département dans un communiqué publié sur Twitter.
Les quatorze maisons départementales des solidarités et les 5 000 agents territoriaux sont affectés. Les équipes espéraient un retour complet à la normale d’ici six semaines. « L’objectif du président est que les Seine-et-Marnais et surtout ceux en difficulté accompagnés au quotidien par les services du département soient le moins touchés par cette cyberattaque », a ajouté le département.
Jean-François Parigi, le président du conseil départemental au centre promet de ne pas payer la rançon. (Crédits : capture d’écran/CD77)
Depuis le lendemain 7 novembre 2022, l’enquête a été confiée à la brigade de lutte contre la cybercriminalité (BL2C) et à la sous-direction de la lutte contre la cybercriminalité (SDLC) de la police judiciaire. À ce stade, « nous n’avons pas connaissance de fuite de données personnelles », a déclaré ce matin 17 novembre 2022 M. Parigi, précisant que des vérifications étaient encore en cours. « Je n’ai aucune raison de payer cette rançon », a affirmé le président.
Presque un mois que les trottinettes et vélos électriques de la startup Pony font le bonheur de leurs usagers à Poitiers. Flashez un QR Code, enregistrez votre moyen de paiement et vogue la route. Sauf qu’un tel marché n’attire pas seulement les jeunes, des personnes malveillantes peuvent y voir un autre commerce. Ce lundi 14 novembre 2022, le service de partage de trottinette Whoosh en Russie vient de confirmer une violation de données, après que des pirates aient vendu 7,2 millions d’enregistrements d’utilisateurs.
Whoosh est la principale plateforme de services de mobilité urbaine en Russie, opérant dans 40 villes, du Kazakhstan et du Belarus avec plus de 75 000 trottinettes. L’entreprise russe de partage de trottinettes Whoosh a corroboré une violation d’informations après que des pirates ont commencé à vendre une base de données contenant les détails de 7,2 millions de clients sur un forum de piratage.
La vente de données de l’entreprise russe Whoosh sur les forums breached. Les détails des voyages ne semblent pas avoir été compromis. Le service de location de trottinettes électriques Whoosh a vendu ses activités en Europe. (Crédits : capture d’écran)
La compagnie par des déclarations sur les médias russes au début du mois a confirmé la cyberattaque. Elle a affirmé sur les mêmes médias que ses experts informatiques avaient réussi à la déjouer. Pourtant certains renseignements personnels de clients de Whoosh ont fuité au début du mois de novembre.
« La fuite n’a pas affecté les données sensibles des utilisateurs, telles que l’accès au compte, les informations sur les transactions ou les détails des voyages », a déclaré un porte-parole de Whoosh.
Des trottinettes et vélos électriques fabriqués par la startup Pony sont déployés à Poitiers, en France. Équipés de carte bancaire et d’un smartphone, ils permettent d’effectuer de courts trajets, en libre-service et moyennant quelques euros. (Crédits : France Bleu Poitou)
7 200 000 de données utilisateurs
Le vendeur a également affirmé que les données volées comprenaient 3 000 000 de codes promotionnels, que les gens peuvent profiter pour louer des scooters Whoosh sans payer. De plus sur les réseaux bien informés, la base de données contenait « des détails partiels de cartes de paiement pour un sous-ensemble de 1 900 000 utilisateurs ».
Le vendeur indique qu’il ne vendra les données qu’à cinq acheteurs pour 4 200 dollars chacun (0,21490980 bitcoin). Selon les informations affichées, personne n’a encore acheté la base de données. (Crédits : capture d’écran)
« La fuite n’a pas touché les données sensibles des utilisateurs, telles que les accès aux comptes, les informations sur les transactions ou les détails des voyages. Nos procédures de sécurité empêchent également les tiers d’avoir accès à l’intégralité des données relatives aux cartes de paiement des utilisateurs », précise le communiqué du 2 novembre 2022.
Introduction en bourse
En date du 24 octobre 2022, la société Whoosh, propriété de Whoosh Holding affirmait l’intention d’introduire des actions ordinaires dans le secteur de l’innovation et de l’investissement de la Bourse de Moscou. La levée de fonds pourrait atteindre 10 milliards de roubles d’ici la fin de l’année, soit plus de 163 millions de dollars américains.
Selon RBC, 69,7 % de Whoosh sont détenus par les fondateurs Dmitry Chuiko, Yegor Bayandin, Oleg Zhuravlev et Sergey Lavrentyev. 13 % sont détenus par VIM Investments, 12,2 % par Ultimate Capital et 5 % sont réservés à un programme d’incitation des employés.
Comme à l’accoutumée, les opérateurs derrière les ransomwares ciblent des entreprises à travers le monde, ce à chaque instant. Cette fois c’est l’enseigne bien connue Conforama. Le groupe affirme détenir de nombreux fichiers. « Conforama a un très faible niveau de sécurité et de protection des données de ses utilisateurs, nous avons donc réussi à voler plus de 1 Tb de leurs données ». La deuxième plus grande chaîne de magasins d’équipement de la maison en Europe a lancé une enquête interne.
Les preuves affichées sur leur site de fuite proviennent de filiales espagnole et portugaise. En date du 6 novembre 2022 peu après 19 h, les individus derrière le Ransoware-as-a-Service, laissaient 48 h à l’enseigne pour les contacter. Les informations n’affirment ni infirment de telles allégations. Le ransomware est à l’origine des attaques contre l’université de Pise en Italie en juin 2022, Duda, Creos et Enovo en juillet 2022. Comme celle contre le Commandement conjoint des forces armées de l’Équateur fin octobre de cette année.
Ils poursuivent en stipulant que toutes les données internes de marketing et d’analyse seront envoyées aux concurrents. La pression est de mise sur la société, en indiquant avoir la possibilité et la volonté de divulguer :
Documents et rapports financiers
Données des cartes de crédit des clients
Documents marketing
Documents analytiques et stratégiques
Données personnelles de l’entreprise
Documents logistiques
Bases de données de melons
Bases de données des clients et leurs informations personnelles
Historique de la correspondance des employés et de la direction
