Étiquette : Databreach

Sysol victime du ransomware Alphv
La compagnie mexicaine Sysol a subi une attaque informatique de ses systèmes vers le 15 mai 2022 selon la date des documents publiés en ligne sur le site de fuite du ransomware. L’absence de culture de la prévention, la proximité des États-Unis et le laxisme des lois font du pays une cible privilégiée des cybercriminels, avertissent les experts, écrivait Excelsior le 14 mai 2022. L’entreprise propose ses services en surveillance vidéo, en détection incendie…
Elle indique sur son site se consacrer à fournir des solutions « pour vos besoins actuels et futurs en matière de réseaux, de sécurité et d’informatique, en utilisant des produits à la pointe de la technologie et en fournissant des services de haute qualité. Actuellement, nous nous concentrons sur des domaines spécialisés pour servir différents marchés, offrant une solution intégrée pour répondre à vos exigences particulières, assurant le succès de votre projet. » Elle intervient dans diverses lieux du Mexique, sur des systèmes de contrôle d’accès et d’identification, entre autre et possèdent des bureaux dans les villes de Ciudad Juárez, Chihuahua, Reynosa, Hermosillo et Monterrey
Les attaques informatiques permettent, en cascade de cibler d’autres entreprises à travers les données récupérées. (Crédits : capture d’écran)
Les données du Threat Intelligence Lab de Fortinet précisent que le Mexique a enregistré 80 millions de tentatives d’attaque informatique au cours du premier trimestre 2022, soit 65 % de l’ensemble en Amérique latine au cours de cette période. Les cybercriminels ciblent les particuliers, les entreprises et les institutions au Mexique. La raison est l’absence de « culture de la prévention, de la situation géographique du pays, de la faiblesse de la réglementation et de l’absence de politique nationale contre les cyberattaques. »
Selon l’étude récente de Sophos, The State of Ransomware 2022, 74 % des sociétés mexicaines ont été frappées par des ransomwares l’année dernière, soit une augmentation significative par rapport aux 25 % de 2020. La France est juste derrière avec 73 % de sociétés affectées. (Crédits : LeMagIT)
« Parmi les 74 % d’entreprises qui ont subi une attaque par ransomware, 57 % ont vu leurs données chiffrées et ont pris différentes mesures pour les récupérer. Les secteurs les plus touchés sont les médias, l’énergie, le pétrole et le gaz, l’éducation et la santé », a déclaré Juan Aguirre, responsable de l’ingénierie commerciale de Sophos pour l’Amérique latine.
8 Go de renseignements, des schémas électroniques d’implantations, les numéros de série des boîtiers numériques changés, mais également les listes de composants informatiques d’ordinateurs, factures, RIB, QR code… ou des photos avec les chemins d’accès sous Windows XP. (Crédits : capture d’écran)
La startup mexicaine de cybersécurité Silikn, basée à Querétaro, déclenchait l’alerte le 10 mai 2022 suite aux attaques menées par les opérateurs derrière le ransomware Conti contre des agences gouvernementales au Costa Rica et au Pérou. De plus, elle mettait l’accent sur la possibilité qu’en raison du profil de Conti et des vulnérabilités détectées, les institutions gouvernementales du Mexique que sont Instituto Mexicano del Seguro Social, Secretaría de Salud, Secretaría de Hacienda y Crédito Público, Petróleos Mexicanos, Banco de México, Secretaría de Bienestar et Fondo Nacional de la Vivienda para los Trabajadores, pourraient être attaquées au cours des deux prochaines semaines.
mai 23, 2022
Un franco-vénézuélien inculpé par les USA
Dans un acte d’accusation de vingt pages, le cardiologue Moises Luis Zagala, âgé de 55 ans vivant à Ciudad Bolivar au Venezuela, est soupçonné d’être le créateur de deux ransomwares, Jigsaw v.2 et Thanos par la justice américaine. L’homme possédait plusieurs surnoms en ligne, à savoir « Aesculapius », « Nosophoros » et « Nebuchadnezzar ». Le FBI indique que son implication au sein des « réseaux clandestins » remonterait aux alentours de l’année 1977.
Le bureau du procureur américain accuse un cardiologue de 55 ans d’avoir créé, et vendu au moins un ransomware. De plus d’avoir profité de revenu selon des accords passés avec d’autres malfaiteurs. La plainte N° 21-M-276 déposée le 16 mai 2022 devant le tribunal de district des États-Unis, district Est de New York, allègue que Moises Luis Zagala Gonzalez a créé un générateur de rançongiciel connu sous le nom de « Thanos » et un ransomware nommé « Jigsaw v. 2 ». Le premier chef d’inculpation est la tentative d’intrusion informatique, au sein de laquelle il aurait sciemment « tenté de provoquer la transmission d’un programme, d’informations, de codes et de commandes et, en conséquence de ce comportement, a intentionnellement causer des dommages sans autorisation à un ordinateur protégé, entraînant des pertes de plus de 5 000 $ et des dommages affectant dix ou douze personnes. » Le second chef d’accusation est un complot en vue de commettre des intrusions informatiques.
La menace était de perdre sous 48h et à jamais ses fichiers, mais l’opérateur était magnanime : je vous traiterai bien si vous me traitez bien aussi. (Crédits : Unit42)
Il aurait fait la publicité du ransomware au sein du darknet, puis l’aurait cédé sous licence pour un loyer de 500 dollars par mois, écrit The Register. Il « proposait l’outil pour 500 dollars et le code source sous-jacent pour 3 000 dollars », explique le ministère de la Justice. Thanos avait été observé les 6 et 9 juillet 2020 par Unit 42 : « nous avons observé des fichiers associés à une attaque contre deux organisations étatiques du Moyen-Orient et d’Afrique du Nord qui ont fini par installer et exécuter une variante du ransomware Thanos. » Le code malveillant créait un fichier affichant la demande de rançon de 20 000 $ dans un portefeuille Bitcoin. Pour les besoins des investigations, « le 14 septembre 2020, j’ai acheté une licence du logiciel Thanos à ZAGALA. J’ai téléchargé Thanos sur un ordinateur situé dans le District Est de New York », explique l’enquêteur.
Jigsaw v. 2 permettait de surveiller le nombre de fois où les victimes tentaient de supprimer le ransomware. Le ministère de la Justice déclarait qu’en conséquence, le logiciel tâchait d’effacer l’ensemble du disque dur. Emsisoft a publié un décrypteur pour Jigsaw v.2 en 2019. (Crédits : DoJ)
Les responsables du ministère de la Justice accusent Zagala d’avoir mis sur pied « une entreprise cybercriminelle élaborée, dans laquelle il avait un intérêt économique et réputationnel direct à ce que son logiciel soit utilisé dans des piratages réussit ». Le cas soulevé ici est inhabituel au vu de la moyenne d’âge du cybercriminel typique. Il ne semble pas coller au stéréotype des opérateurs usant de ransomware originaires d’Europe de l’Est et de Russie. « Nous pensons que Zagala a non seulement créé et vendu des ransomwares à des pirates informatiques, mais qu’il les a également formés à leur utilisation », a déclaré Michael Driscoll, assistant-directeur responsable du bureau local du FBI à New York. CNN pense que « les chances que Zagala soit appréhendé et extradé vers les États-Unis sont incertaines », malgré l’accord signé en 1923. Les gouvernements américain et vénézuélien sont en désaccord complet depuis de nombreuses années.
mai 20, 2022
Des sociétés portugaises attaquées informatiquement
En premier lieu, c’est l’hôpital Misericórdia de Vila Verde qui au cours du premier week-end de mai était la cible d’une cyberattaque. Puis la société d’électricité AED (Eletricidade dos Açores) est visée par une attaque informatique le 16 mai 2022. La veille l’agence de presse Lusa augmentait la longue liste des compagnies infectées pas codes malveillants. Pendant qu’en Suisse plus de 200 entreprises recevaient des lettres recommandées, car certaines failles de sécurité de MS Exchange n’ont toujours pas été comblées.
Dans un communiqué, la Misericórdia de Vila Verde a déclaré qu’« un rapport de la cyberattaque est en cours de préparation auprès des autorités, à savoir la police judiciaire et les services du ministère de la Santé », ajoutant qu’« il s’agit d’une attaque par ransomware, dans laquelle les pirates cryptent les données informatiques pour ensuite demander de l’argent pour les restituer. » La paralysie des logiciels a entraîné des contraintes dans la programmation des examens et des rendez-vous, « mais nous ne cessons jamais de nous soucier de la santé de nos patients ».
« La demande de rançon a été faite aux responsables du système informatique de l’hôpital Misericórdia de Vila Verde qui ont maintenu le contact avec les pirates informatiques », confie l’institution sans en révéler le montant. (Crédits : Paulo Jorge Magalhães/O MINHO)
Misericórdia expliquait que la cyberattaque avait affecté la fonctionnalité de plusieurs secteurs, mais les consultations prévues avaient lieu, et seul manquait l’accès à la facturation et les paiements était compromis. « Sans avancer les conséquences pratiques de cette attaque, nous soulignons que nous faisons tout notre possible pour minimiser l’impact de cette attaque et résoudre la situation dès que possible, et de plus nous avançons que toute activité clinique a été maintenue », affirmait l’organisme de santé.
Francisco Pedro Balsemão, qui s’exprimait lors du 31^e congrès de l’Association portugaise pour le développement des communications (APDC), a aussi déclaré qu’il s’agissait d’un « problème pour tout le monde, les groupes de médias, le commerce de détail, la santé, les banques… » (Crédits : Alexa Fotos/Pixabay)
Il y a trois jours, l’agence de presse Lusa a été la cible d’une cyberattaque, provoquant une « instabilité continue du service », déclarait l’entreprise. L’incident « a déjà été signalé aux autorités compétentes », pouvait-on lire dans la dépêche de l’agence, déplorant « le désagrément causé » aux travailleurs, clients et utilisateurs des services de Lusa. Depuis le début de l’année, des attaques contre le groupe Cofina, le Parlement, les laboratoires Germano de Sousa, l’hôpital d’Almada et la presse portugaise ont été signalées.
Le site de la compagnie d’électricité des Açores affiche, le mercredi 18 mai 2022 des problèmes de sécurité. (Crédits: capture d’écran)
Le 17 mai 2022, c’est l’entreprise d’Électricité des Açores (EDA), qui affirme dans un communiqué que « malgré cet incident », toutes les conditions inhérentes à la fourniture normale d’électricité dans la région sont assurées. La compagnie a également annoncé que l’incident a été « notifié en temps utile aux autorités compétentes » et qu’elle regrette « tous les désagréments que cette situation peut causer », notamment « au niveau du service commercial ». Eletricidade dos Açores, et les autres membres du groupe ont été la cible d’une cyberattaque, dont « les causes et les impacts sont encore en cours d’analyse », a déclaré la société.
mai 18, 2022
Clonage de carte bancaire en République Dominicaine
Deux Bulgares ont été interpellés en flagrant délit alors qu’ils tentaient de forcer un distributeur automatique de billets dans une institution financière de Villa Los Almácigos, province de Santiago Rodriguez. Les prévenus Danail Kohctahtnhob et Nicolay Haratyunyan âgés de 58 et 54 ans ont été arrêtés mercredi 11 mai 2022. Ils sont accusés de conspiration en vue de commettre des crimes de haute technologie.
Selon le communiqué de presse, le bureau du procureur a expliqué que les prévenus s’étaient engagés dans le vol de données bancaires contenues dans les moyens de retraits et de paiements. Ils se servaient de dispositif de clonage à partir de distributeurs automatiques de billets, puis dans l’usage de ces données pour réaliser des achats et d’autres transactions. La police nationale en charge de la prévention et des enquêtes criminelles, avec le ministère public, ont saisi vendredi 13 plusieurs appareils électroniques utilisés pour dupliquer de cartes bancaires. Les outils ont été trouvés lors d’une descente effectuée dans un studio isolé, rue Lucas de Peña, à El Millón.
« Avant d’être appréhendé, on a détecté dans le distributeur automatique de billets des dispositifs magnétiques qui permettent de cloner des cartes bancaires et qui sont présumés être leur propriété. Nous cherchons à savoir s’il s’agit d’un réseau criminel », expliquent les enquêteurs. (Crédits : DR)
Selon le rapport, les services d’ordre ont saisi l’attirail du parfait petit cambrioleur : un ordinateur avec deux mémoires externes, un chargeur, deux connecteurs USB, un testeur d’électricité, deux pièces métalliques avec des installations de batteries, des caméras, des puces, un casque sans fil, un petit appareil électronique QS7 SLIN, plusieurs pinces coupantes, un mètre ruban, un scalpel, un rouleau d’étain pour souder des pièces électroniques, deux téléphones portables Apple, plusieurs cartes bancaires et un passeport émis par la République de Bulgarie au nom de Danail Damov Konstantinov.
Selon la Police, la sécurité de l’organisme fiduciaire remarquait que les deux hommes avaient installé le dispositif externe sur un DAB. Le personnel de la banque est allé l’enlever, puis a guetté le retour des prévenus. Ils ont alerté la police qui les a immédiatement pris en flagrant délit. (Crédits : DR)
Lors de leur arrestation, les accusés étaient en possession de cartes bancaires, de 7 000 pesos dominicains et 75 levs. Tous deux se déplaçaient dans une voiture Kia, modèle K5 qui était garée juste devant le DAB où, lors d’une fouille, plusieurs éléments de preuve supplémentaires ont été saisis.
L’équipement saisi est utilisé pour capter le signal lors de l’introduction des cartes bancaires des utilisateurs dans les guichets automatiques. (Crédits : DR)
Les agents ont saisi une bande magnétique, une spatule, un morceau de papier de verre, 10 cartes (neuf internationales et une nationale). Danail Kohctahtnhob et Nicolay Haratyunyan ont été entendus jeudi matin, par la Direction des enquêtes criminelles (DICRIM), afin de prolonger les interrogatoires, compte tenu des versions selon lesquelles ils auraient volé de l’argent à d’autres entités bancaires. Le ministère public accuse les deux hommes de violation des articles 59, 60, 265, 266 et 379 du code pénal dominicain, ainsi que de la loi 53-07 sur les crimes et délits de haute technologie, qui punit, entre autres, le clonage de dispositifs d’accès, l’accès illicite, l’utilisation de données par accès illicite, les dispositifs frauduleux, ainsi que le vol par utilisation de la haute technologie.
mai 17, 2022
Cyberattaque: un hôpital de plus
Vivalia, intercommunale de soins de santé au Luxembourg est actuellement retournée au papier crayon. Dans la nuit de vendredi 13 à samedi 14 mai 2022, à 3 h 29 précisément, les systèmes de surveillance envoient des alertes tous azimuts indiquant que le système informatique était agressé. Une cyberattaque confirmée à 3 h 42, et qui aurait débuté vers 1 h 30 du matin. Elle a entraîné le blocage de 200 serveurs et 1 500 ordinateurs des hôpitaux et maisons de repos de cette structure active en province de Luxembourg.
C’est au duché du Luxembourg que cette fois-ci un hôpital est victime d’opérateurs malveillants. Aux alentours de 3 h 30 une attaque informatique de « grande ampleur » est détectée, des mesures d’urgence sont immédiatement prises pour empêcher la propagation de l’infection. « Dans ce genre de situation, la ligne de conduite est bien claire. Il faut empêcher la propagation du virus en interne, identifier la faille de sécurité pour la corriger, neutraliser le virus, et enfin restaurer les systèmes pour revenir à un fonctionnement normal », mentionne Yves-Henri Serckx, directeur informatique de Vivalia. L’entité regroupe six sites hospitaliers, une polyclinique, quatre maisons de repos et maisons de repos et de soins, une maison de soins psychiatriques et trois crèches, situés en province de Luxembourg.
Une cellule de crise fédérale spécialisée en cybersécurité apporte son expertise et est venue renforcer les équipes IT de Vivalia, de même que la Police judiciaire, avec le soutien de l’ensemble des autorités provinciales. Dès la mise en alerte des systèmes, les serveurs, les ordinateurs et la connexion de Vivalia avec l’extérieur ont été mis à l’arrêt pour les protéger au maximum.
Vivalia
L’attaque informatique semble analogue à celle qu’ont subie d’autres hôpitaux en Belgique et à l’étranger que ce soit au Japon, en France ou en Italie. Vivalia n’aurait reçu jusqu’à présent aucune demande de rançon. Une cellule de crise composée des forces vives de Vivalia et d’experts fédéraux en cybersécurité s’est réunie.
Le plan d’urgence hospitalier a été déclenché « compte tenu de l’ampleur de l’attaque sur nos services », a déclaré Yves Bernard, le directeur général samedi après-midi, lors d’une conférence de presse.
Plusieurs hôpitaux wallons ont été victimes de cyberattaque, comme le Centre hospitalier de Wallonie picarde de Tournai (ChWapi), début 2021, ou la clinique André Renard à Herstal, en 2019, explique RTL. (Crédits : capture d’écran/TvLux)
Depuis samedi matin, les services de Vivalia vivent au ralenti, « renouant avec des méthodes du passé », ajoute Yves Bernard. Rien n’indique actuellement que des données personnelles de patients, comme de résidents ont été dérobées, confirme l’hôpital
Une cellule d’urgence a été convoquée dans la foulée et l’intercommunale a rapidement reçu le soutien du gouverneur de la province de Luxembourg et de la Police judiciaire fédérale ainsi que d’experts en cybersécurité de la police. « Nous sommes actuellement dans la deuxième phase. Nous essayons d’identifier l’origine de l’attaque pour boucher la faille de sécurité avant de relancer, voire de restaurer, nos systèmes informatiques », relatait Yves-Henri Serckx lors de la conférence de presse, samedi après-midi.
Le retour du papier et du stylo-bille. Un retour 20 à 30 ans en arrière pour certains services. L’essentiel étant préservé : les soins et la sécurité du patient. L’objectif affiché est l’identification du virus et la faille informatique, avant de restaurer les serveurs. Le tout devrait prendre plusieurs jours. (Crédits : capture d’écran/TvLux)
« Toutes nos équipes sont sur le pont depuis cette nuit : informatique, technique, médicale, infirmière… chacun fait le maximum pour rétablir la situation et il est prématuré de pouvoir fixer une échéance pour un retour à la normale. |…] Nous demandons au public de n’appeler nos hôpitaux qu’en cas de réelle nécessité et pour des cas urgents ! Merci de votre compréhension », précise Vivalia
mai 15, 2022
Plus de 800 000 Américains touchés par une fuite de données
Le Refuah Health Center avait découvert un accès non autorisé et affirmait avoir immédiatement lancé une enquête. Elle s’est achevée le 2 mars 2022, mais n’a pas expliqué l’écart d’un an entre l’identification et la déclaration. En effet, l’organisme de santé a commencé, le 29 avril 2022 à notifier 260 740 personnes d’un incident de cybersécurité survenu entre le 31 mai et le 1er juin 2021. En octobre 2021, c’est la société Adaptive Health Integrations, basée dans le Dakota du Nord, qui a été confrontée à un incident informatique, touchant plus de 510 000 individus.
Les informations qui auraient pu être exfiltrées sont conséquentes. Elles comprennent potentiellement des prénoms, noms, numéros de sécurité sociale, de dossier médical, de permis de conduire, des dates de naissance, des informations sur les cartes de crédit comme de débit, sur les comptes bancaires, des numéros Medicare et Medicaid, des numéros de compte de patient, des informations sur les diagnostics et mêmes des numéros de police d’assurance maladie.
« Veuillez accepter nos excuses pour cet incident. Nous nous engageons à préserver la confidentialité des informations personnelles et des informations de santé protégées en notre possession et nous avons pris de nombreuses précautions pour les protéger », indique le communiqué. (Crédits : capture d’écran/Refuah)
« Nous évaluons et modifions continuellement nos pratiques et nos contrôles internes afin de renforcer la sécurité et la confidentialité des informations de santé personnelles et protégées. Depuis cet incident, nous avons installé un nouveau pare-feu et procédé à une évaluation de la vulnérabilité. » Par souci de prudence, « nous avons notifié par écrit cet incident à partir du 29 avril 2022 » à toutes les personnes potentiellement concernées, dans la mesure où nous avions une dernière adresse connue.
Selon le rapport du Centre de coordination de la cybersécurité du secteur de la santé (HC3) aux États-Unis, les ransomwares à l’origine des attaques sont LockBit 2.0 pour 31 %, Conti au même ratio, SunCrypt pour 16 %, Alphv et Hive tous deux à 11 %. Ce pour le seul premier trimestre de l’année 2022. (Crédits : capture d’écran/OCR)
Dans un domaine proche et en relation, Adaptive Health Integrations a été confrontée à un piratage qui a eu un impact sur 510 574 personnes, selon le portail de l’Office for Civil Rights (OCR). Omnicell, McKenzie Health et Vail Health Services dénonçaient récemment avoir subi des cyberattaques. Le premier fabrique des systèmes automatisés pour la gestion des médicaments. Sur la 30e page du document, la société stipule que « certains de ses systèmes informatiques étaient affectés par un ransomware ayant un impact sur certains systèmes internes » en date du 4 mai 2022. Les autorités policières compétentes ont été informées. Omnicell n’en est qu’aux premiers stades de son investigation et ne peut définir, à l’heure actuelle, l’ampleur de la répercussion de cet événement sur ses activités.
L’évènement contre Adaptive Health Integrations est la troisième plus grande violation de données de santé signalée de 2022, au 14 mai. Derrière Morley Companies, Inc. avec 521 046 personnes concernées et North Broward Hospital District avec 1 351 431 d’individus. (Crédits : Darko Stojanovic/Pixabay)
Vail Health Services révélait que 17 039 personnes étaient possiblement touchées. Établi dans le Colorado, le système de santé à but non lucratif déclarait « après avoir rencontré des problèmes avec nos systèmes de réseau, nous avons rapidement enquêté et le 5 avril 2022 nous avons déterminé qu’un tiers avait potentiellement consulté ces informations le 11 février 2022. »
Enfin McKenzie Health System, basé dans le Michigan, identifiait le 11 mars 2022 qu’« un tiers non autorisé avait accédé à nos systèmes et a supprimé certains fichiers. Nous avons ensuite entrepris un examen et une analyse de ces fichiers afin de déterminer quelles informations ils contenaient. Le 10 mai 2022, nous avons commencé à envoyer des lettres de notification aux personnes dont les renseignements ont pu être impliqués dans un incident de sécurité qui a perturbé le fonctionnement de certains de nos systèmes informatiques. » McKenzie Health a défini qu’ils comportaient des civilités, des données démographiques, des coordonnées, des numéros de sécurité sociale, des informations sur les prescriptions, des numéros de dossiers médicaux, des noms de prestataires, des dates de service, des informations sur l’assurance maladie et des informations sur les diagnostics et les traitements de 25 318 personnes.
Les fuites de data de santé ou autre domaine sensible se répètent de plus en plus, que cela soit aux États-Unis, en Suisse, au Canada, en Italie ou en France, ce qui soulève des problèmes de sécurité. Pour rappel, le CERT Santé publie deux fiches réflexes et un guide concernant les attaques par rançongiciel. (Crédits : Mandy Klein/Pixabay)
« Pour les patients dont les informations peuvent avoir été impliquées dans l’incident, nous leur recommandons de revoir les relevés qu’ils reçoivent de leurs prestataires de soins de santé et de contacter immédiatement le prestataire concerné s’ils constatent des services qu’ils n’ont pas reçus », a déclaré McKenzie Health System avant d’ajouter que « pour les patients dont les numéros de sécurité sociale peuvent avoir été impliqués, nous offrons gratuitement des services de surveillance du crédit et de protection de l’identité par Experian. »
mai 14, 2022
Le phishing atteint les côtes anglaises
Une méthode pour voler mots de passe, identifiants… est évidemment l’hameçonnage ou phishing. Des opérateurs malveillants ont détourné des comptes de messagerie du National Health Service (NHS) pour dérober des identifiants Microsoft. Plus d’un millier de messages auraient ainsi été envoyés à partir de comptes de messagerie du NHS appartenant à des employés en Angleterre et en Écosse, selon les chercheurs de la société de sécurité de la messagerie INKY.
Le flegme britannique pourrait voler en éclats, car le service national de santé britannique est infecté par une campagne massive de phishing. Au cours d’une période débutant à l’automne dernier, jusqu’en avril 2022, le service de santé du Royaume-Uni a été la proie d’une vaste opération d’hameçonnage. L’utilisation sporadique de comptes légitimes du NHS pour envoyer des courriels à des tiers peu méfiants s’est transformée en une campagne massive au mois de mars, explique INKY.
⚠️SCAM WARNING: Have you received one of these fake McAfee emails? They've been reported to Action Fraud over 2,800 times

👉Forward suspicious emails to: report@phishing.gov.uk

🚨Your reports have led to the removal of 144k scam URLs (March 2022)#PhishyFridays #CyberProtect pic.twitter.com/Wb8OAmr3CI
— NHS Counter Fraud Authority (@NHSCFA) May 4, 2022
À partir d’octobre 2021, INKY a détecté 1 157 courriels d’hameçonnage provenant de « NHSMail » : le système de messagerie du NHS pour les employés basés en Angleterre et en Écosse. Ainsi, moins de méfiances sur les courriels. « L’année dernière, ce service a été transféré d’une installation sur site à Microsoft Exchange Online. Cette migration, avec son environnement de sécurité modifié, pourrait avoir été un facteur dans l’attaque. »
« La majorité d’entre eux étaient de fausses notifications de nouveaux documents contenant des liens malveillants vers des sites de collecte de renseignements ciblant les informations d’identification Microsoft. Tous les e-mails comportaient également le pied de page NHS. » (Crédits : INKY)
Le volume des attaques a considérablement diminué, depuis que l’entité a pris des mesures pour les stopper. Malgré tout les utilisateurs d’INKY ont encore reçu quelques courriels infectés provenant du domaine de messagerie du NHS (nhs[.]net) après cette date.
⚠️ Beware of fake NHS text messages telling you that you've been in close contact with someone who has the Omicron variant.

We never ask for bank details – please be aware of suspicious messages with links to fake websites.

Report scam text messages ⬇️https://t.co/qqAiPB51wU
— NHS (@NHSuk) May 12, 2022
L’UCL (University College London) une institution de premier plan, classée 8^e meilleure université mondiale par le QS World University Rankings en 2020, a été confrontée à près de 60 millions de courriels malveillants au cours des trois premiers mois de 2022, selon des chiffres officiels. Les données, qui ont été obtenues en conséquence de la FOI (Freedom of Information) puis analysées par le groupe Parliament Street, soulèvent qu’un total de 58 628 604 spams, hameçonnages, logiciels malveillants et attaques de type edge block ont été bloqués avec succès par l’université entre le 24 décembre 2021 et le 23 mars 2022. En considérant les 60 millions d’envois, 1 371 396 sont passés, soit 2, 28 %, amplement satisfaisant pour occasionner des dégâts. La conduite à tenir serait que chaque utilisateur vérifie toujours soigneusement l’adresse e-mail de l’expéditeur, et examine chaque lien contenu dans un e-mail en les survolant. Bien, mais pas suffisant.
« Les chercheurs d’Inky ont pu identifier que ces mails d’hameçonnage ont été envoyés à partir de deux adresses IP utilisées par le NHS. […] Aucune donnée de patient ne semble avoir été compromise durant cette opération de phishing », indique le site gouvernemental français Cyberveille Santé. (Crédits : misterfarmer/Pixabay)
Imaginons que deux amis, Alice et Bob ont un blog dédié à la nature. Alice se fait voler ses identifiants par Mallory. Elle usurpe l’identité d’Alice pour envoyer un mail à Bob. Comme elle aura eu accès à la boite aux lettres, elle adaptera le contenu du courriel, la façon de s’exprimer, la nature de la demande, la signature, le logo, ais aussi les couleurs, etc. Elle envoie le courriel, piégé ou non, à Bob à partir de compte d’Alice. Justin déterminera après l’enquête l’impression qu’un courriel était envoyé à l’insu d’Alice, à partir de son propre compte courriel. Le code malveillant est déployé sur différentes machines compromises. Il communique à un C2 (command & control) pour obtenir des instructions. Elles sont le prénom, nom, le modèle (Template) de courriel à envoyer… mais surtout les comptes piratés (identifiants). D’où le conseil logique de ne pas cliquer sur un lien que vous ne connaissez pas. Oui… mais cela ne suffit pas. Il peut être nécessaire de mettre en place des mécanismes comme par exemple, le chiffrement avec clé publique et privée, de signer… au moins pour certains échanges.
mai 13, 2022
Menace de sécurité chez Top Aces
Le gang de hacker Lockbit 2.0 affirme avoir volé 44 Go d’information qui appartiendrait à Top Aces, et menace de les divulguer le 16 mai 2022 à minuit. Top Aces, fondée en 2000 par d’anciens pilotes militaires, offre des services d’entraînement au combat aériens. L’entreprise dit détenir la plus importante flotte privée d’avions de chasse. L’entreprise québecoise multiplie les contrats d’entraînement au combat avec les armées canadienne, américaine et allemande, et plusieurs centaines de millions de dollars.
La firme serait, selon les révélations du journal canadien La Presse toujours à la recherche des traces de l’intrusion. « On fait affaire avec une firme externe qui nous aide avec ça », dit la porte-parole Erin Black. Elle précisait qu’aucune demande de rançon n’avait été encore trouvée. En 2017, Top Aces décrochait un contrat de 480 millions avec la Défense nationale canadienne pour des services d’entraînement au combat. Le contrat, renouvelable, pourrait atteindre d’ici 2031 la valeur totale de 1,4 milliard. « Nous venons d’obtenir le même type de contrat, à plus petite échelle, en Allemagne. Et on vise d’autres partenariats en Europe, avec les Britanniques », expliquait en 2021 le directeur de la base de Saguenay, François Laroche.
En 2019, l’US Air Force a accordé à Top Aces une partie d’un contrat de 6,4 milliards US pour entraîner ses pilotes au combat dans douze bases. Pour ces exercices, qui incluent des simulations d’opérations contre l’armée russe, la société a acheté une flotte de 29 avions F-16 usagés d’Israël.
Dans une déclaration en février dernier, des pirates de LockBit expliquaient que « la plupart » de ses membres étaient des citoyens d’anciens pays de l’URSS, « comme des Russes et des Ukrainiens ». Ajoutant que ses programmeurs proviennent de Chine, des États-Unis, du Canada et de la Suisse. (Crédits : capture d’écran)
Les Forces canadiennes sont incapables de déterminer l’effet que pourrait avoir cette cyberattaque sur la sécurité de leurs données et de leurs opérations, comme tout un chacun. « Nous ne sommes pas sûrs s’il y a un impact et si la fuite contient des informations qui nous appartiennent, dit le porte-parole de l’armée, Daniel Le Bouthillier. » Les conséquences de toute entité ayant subie une cyberattaque, ne sont connues qu’après rétablissement des infrastructures, et le calcul des sommes dépensées, régulièrement conséquentes.
mai 13, 2022
Ransomware: Massey-Ferguson à l’arrêt
Dans un communiqué de presse, la société AGCO, fabricant et distributeur mondial d’équipements agricoles, a annoncé que le 5 mai 2022, elle a fait l’objet d’une attaque par ransomware qui a affecté certaines de ses installations de production. L’usine française basée à Beauvais est à l’arrêt. Elle avait déjà subi un incident lorsque la pénurie de composants électroniques avait stoppé les lignes de réalisation en avril 2022. La compagnie fournira des mises à jour au fur et à mesure de l’évolution de la situation.
AGCO est un géant dans le domaine, avec un chiffre d’affaires de plus de 9 milliards de dollars, il emploie 21 000 personnes, et possédant des marques comme Fendt, Massey Ferguson, Challenger, Gleaner, et Valtra. Selon le communiqué de presse, « les serveurs informatiques de la multinationale Massey-Ferguson ont fait l’objet d’une infection par codes malveillants de type ransomware ». Les conséquences sont immédiates, plusieurs sites de production sont stoppés en Chine, aux États-Unis, en Allemagne et également en France. « Il est demandé à chaque collaborateur de se connecter au numéro vert […] à partir de 17 heures vendredi 6 mai afin de connaître nos possibilités de reprise lundi 9 mai », est-il écrit dans un mail transmis aux employés, relate le Courrier Picard. S’il est encore trop tôt pour établir un lien entre la cyberattaque et le conflit russo-ukrainien, toutes suppositions vont bon train.
« On était en poste, et soudain il y a eu des manipulations qu’on ne pouvait plus faire sur les lignes de production. On a attendu un peu et finalement la direction nous a demandé de rentrer chez nous », témoigne un salarié au quotidien le courrier Picard. (Crédits : FTV)
BleepingComputer mentionnait que « AGCO a annoncé qu’elle faisait don d’argent et de semences aux agriculteurs des zones touchées par la guerre en Ukraine, de sorte que le scénario selon lequel des hacktivistes russes la cibleraient pour cette prise de position n’est pas improbable. » Effectivement une somme de 50 000 dollars a été versée pour aider les communautés agricoles ukrainiennes concernées par le conflit armé avec la Russie, à l’initiative de BOSRCH. Le 21 mars 2022, le président Joe Biden avait mis en garde envers une augmentation des cybermenaces russes contre les entreprises américaines et la nécessité de préparer des défenses contre les attaques.
AGCO est toujours en train d’enquêter sur l’étendue de l’attaque, mais il est prévu que ses opérations commerciales soient affectées négativement pendant plusieurs jours et potentiellement plus longtemps pour reprendre complètement tous les services selon la rapidité avec laquelle la Société est capable de réparer ses systèmes. (Crédits : FBI)
« Cette attaque contre AGCO survient quelques semaines à peine après la publication par le FBI d’une mise en garde contre les attaques par ransomware visant le secteur agricole américain », explique Craig McDonald, vice-président de la gestion des produits chez BackBox, société spécialisée dans les solutions d’automatisation, de sécurité et de gestion des réseaux. Le rapport indiquait que les attaques étaient potentiellement synchronisées. « Le FBI informe les partenaires du secteur de l’alimentation et de l’agriculture que les ransomwares pourraient être plus susceptibles d’attaquer les coopératives agricoles pendant les saisons critiques de plantation et de récolte, perturbant les opérations, causant des pertes financières et ayant un impact négatif sur la chaîne d’approvisionnement alimentaire. »
Le FBI a noté des attaques par ransomware contre six coopératives céréalières pendant la récolte de l’automne 2021, et deux au début de 2022 pourraient avoir une répercussion sur la saison de plantation en bouleversant l’approvisionnement en semences et en engrais. (Crédits : DR)
En mars 2022, une firme céréalière de plusieurs États a essuyé une agression de Lockbit 2.0. Entre le 15 septembre et le 6 octobre 2021, six coopératives céréalières outre-Atlantique subissaient des cyberattaques par ransomware, notamment Conti, BlackMatter, Suncrypt, Sodinokibi et BlackByte. Certaines entités ciblées ont dû complètement arrêter leur production, tandis que d’autres ont perdu leurs fonctions administratives. En juillet 2021, une compagnie de logiciels de gestion d’entreprise a découvert une activité malveillante sur son réseau, qui a ensuite été identifiée comme étant HelloKitty/Five Hands ransomware. L’acteur de la menace a demandé une rançon de 30 millions de dollars américains.
Que ce soit la Direction nationale du renseignement péruvien, la municipalité de Quito, le Costa Rica ou la société française Delcourt infecté par LockBit 2.0, chaque entreprise est une potentielle victime, qui plus est lorsque l’architecture de leurs sites est un vrai gruyère, avec un manque cruel de sécurité élémentaire. (Crédits : capture d’écran)
Le constructeur de tracteurs subit de plein fouet la crise des composants et les problèmes d’approvisionnement consécutifs aux événements liés au SARS-CoV-2. Il y a une dizaine de jours, les lignes de production avaient été interrompues quarante-huit heures en raison de l’absence d’accumulateurs (batteries) qui équipent les machines agricoles et de la pénurie de pneus dont la fabrication est elle-même contrariée par l’insuffisance de constituants comme le noir de carbone.
mai 7, 2022
Cyberattaque: de Châteauroux à Lugo
Rien à voir entre les deux villes, l’une dans le centre de la France, l’autre dans la Galice en Espagne. Toutes deux ont au minimum un point en commun, avoir subi dernièrement une cyberattaque. La première abrite le siège social de l’office public d’habitat d’Indre (OPAC 36), et la mairie de Lugo capitale de la province du même nom. En France, l’organisme gère les données de 17 000 locataires et leurs familles, et la cité espagnole plus de 97 000 habitant.
Le conseil municipal de Lugo a été victime jeudi 5 mai 2022 d’une cyberattaque, relate La Voz de Galicia. Une enquête de la police nationale est en cours, un signalement a été effectué au Centre national de cryptologie. La commune souhaite aborder la question avec la plus grande prudence, néanmoins des sources proches des forces de l’ordre ont confirmé qu’il s’agit d’une arnaque téléphonique. L’escroquerie dite du phishing touche généralement de nombreuses entreprises, mais plus rarement une administration locale, comme dans ce cas.
« Il semble qu’il s’agisse d’une attaque spécifiquement dirigée contre l’institution locale, car elle a été menée en utilisant des données spécifiques comme appât et très étroitement liées à l’activité de l’administration », souligne Lara Méndez. (Crédits : EP)
L’Unité de lutte contre la criminalité spécialisée et violente (UDEV), la section de la police chargée des investigations, s’est déjà mise au travail, et elle fait des demandes pour obtenir plus d’informations afin de faire la lumière sur l’incident. Il ne s’agirait donc pas d’une intervention visant à recueillir des informations. Sauf, que cette cyberattaque intervient alors que, sur le plan national ibérique, l’affaire Pegasus d’espionnage des dirigeants indépendantistes catalans et le vol d’informations sur leurs téléphones portables par le président du gouvernement, Pedro Sánchez, et la ministre de la défense, Margarita Robles, font l’objet de discussions.
Une cyberattaque paralysait le système informatique du bailleur social Deux-Sèvres Habitat depuis le mardi 15 juin 2021. (Crédits : OPAC36)
À moins de 850 kilomètres à vol d’oiseau, la commune de Châteauroux. C’est par un message sur Facebook que l’OPAC36 informait, le vendredi 6 mai 2022 à 15 h 20, ses locataires que « le 4 mai 2022, nous avons été la cible d’une attaque informatique. Dès que nous en avons eu connaissance, nos équipes se sont immédiatement mobilisées pour gérer et répondre à cet incident. Nous avons par ailleurs engagé des experts en cybersécurité afin d’identifier et de sécuriser rapidement notre environnement de travail. » L’office indique la possibilité que certaines données personnelles aient été consultées. La politique de protection des données à caractère personnel donne un aperçu des informations que le bailleur social aurait potentiellement été amené à collecter :
- Données d’identification : prénom, nom, numéro de carte d’identité et/ou passeport, nationalité, titre de séjour, lieu et date de naissance, signature, numéro unique d’enregistrement, etc.
- Données de contact : adresse postale, adresse électronique, numéros de téléphone (domicile, portable, professionnel)
- Situation familiale : état civil, situation maritale, situation parentale, lien de parenté, etc.
- Données professionnelles : situation professionnelle, coordonnées de l’employeur, nature du contrat, etc.
- …
« À ce stade, rien ne nous indique que des informations personnelles, quelles qu’elles soient, aient été utilisées à mauvais escient. Restez tout de même vigilants, si vous recevez des communications non sollicitées […] Nous tenons à nous excuser pour la gêne occasionnée et nous vous tiendrons informés de l’évolution de la situation. Merci de votre compréhension », concluait le bailleur.
mai 6, 2022