En Espagne, comme en Italie, les cliniques, hôpitaux qu’ils soient publics ou privés peuvent être la cible d’opérations malveillantes informatiques. C’est le cas pour celui de la commune de Lucena, en Andalousie, mais aussi le centre médical ASL Napoli 3 sud, qui affichait sur sa page Facebook, un message indiquant le dysfonctionnement de ses systèmes d’information suite à une attaque en date du 8 janvier 2022. Sur la péninsule ibérique, celui appartenant à la société Amaveca Salud serait victime d’un ransomware.
L’Azienda Sanitaria Locale Napoli 3 Sud (unité sanitaire locale de Naples 3 Sud) a été victime d’une agression informatique. Des opérateurs auraient mis à mal les systèmes d’information entraînant la suspension des services essentiels. Le centre couvre toute la population du sud de Naples, telle que celles des régions de Stabiese et de Nolana. Le message affiché sur leur page Facebook présente des excuses aux utilisateurs « pour toute perturbation de nos systèmes informatiques due à une réclamation que nous sommes en train de résoudre afin de rétablir les opérations dès que possible ».
« Ils ont attaqué notre système informatique, nous nous excusons auprès des citoyens », souligne le directeur général, GennaroSosto de l’Asl Na3. Une plainte a été déposée, une enquête a été ouverte pour découvrir qui est à l’origine de cette offensive. (Crédits: Capture d’écran/Facebook)
Consécutivement, à cette infection dont il ne faut attendre de rétablissement avant quinze jours insistent les autorités, la direction stratégique de l’Asl Napoli 3 Sud a « ordonné, à partir du 11 janvier 2022, la suspension des activités d’hospitalisation programmées tant médicales que chirurgicales, dans tous les hôpitaux de l’entreprise. » Toujours en Italie, l’ULSS6 Euganea de Padoue connaît un épilogue tragique, à savoir la publication des données exfiltrées par les opérateurs derrière LockBit2.0 prévue pour le 15 janvier 2022.
Attaque de l’hôpital de Lucena
L’hôpital central de Lucena en Andalousie a subi une infection de ses systèmes d’information, relate le communiqué de presse. L’équipe de réponse au cyberincident travaille depuis sa découverte sans relâche. À ce jour, il a été possible de détecter une fuite de données, dont l’ampleur reste à déterminer. La note souligne également que « depuis le début de son activité, l’hôpital a mis en place toutes les procédures et mesures de sécurité nécessaires pour protéger l’un de ses actifs les plus importants : l’information. […] Malgré les mesures décrites ci-dessus, ce cyberincident s’est produit, ce qui, grâce aux actions rapides prises, n’a pas compromis le fonctionnement normal du centre, qui continue à se concentrer sur les soins de ses patients ».
Au-delà du respect des exigences légales, elle dispose d’un service externe pour répondre aux incidents de sécurité, en plus de la figure du délégué à la protection des données, ce qui n’a pas empêché l’attaque. De nombreuses informations sont exfiltrées. (Crédits : Capture d’écran)
Amaveca Salud informe également que « le travail d’analyse médico-légale, qui est en cours, ne nous permet pas encore de conclure les détails exacts de la quantité et des types de données volées, cependant, dès que cette analyse sera terminée, nous rapporterons en détail la portée finale ». Une victime de plus du ransomware « Vice Society ».
Des documents classifiés, qui proviendraient d’Iran, révèlent des recherches secrètes sur la manière dont une cyberattaque pourrait être utilisée pour couler un cargo ou faire sauter une pompe à essence dans une station-service. Les fichiers internes, obtenus par Sky News, comprennent également des informations sur les dispositifs de communication par satellite employés par l’industrie maritime mondiale, ainsi qu’un système informatique qui contrôle des éléments, tels que les lumières, le chauffage et la ventilation dans les bâtiments dits « intelligents » du monde entier.
Les documents semblent révéler un intérêt particulier pour la recherche d’entreprises et d’activités dans les pays occidentaux, notamment le Royaume-Uni, la France et les États-Unis. Une source de sécurité ayant connaissance de la liasse de 57 pages, composée en cinq rapports, a déclaré qu’elle avait été compilée par une unité cybernétique offensive secrète, appelée « Shahid Kaveh ».
Attaques ciblées d’une précision chirurgicale
Celle-ci fait partie du commandement cybernétique d’élite du Corps des gardiens de la révolution islamique (IRGC) de l’Iran. Les opérations seraient dirigées par un individu qu’il nomme Hamid Reza Lashgarian. Sky News, relate la source qui a confié les documents, sous couvert d’anonymat, croit que Téhéran récolte ces informations pour identifier les objectifs d’éventuelles cyberattaques. « Ils créent une banque de cible à utiliser au moment opportun ». L’ambassade d’Iran à Londres n’a pas répondu à une demande de commentaire sur ces allégations, souligne la télévision britannique.
Sur la plupart des dossiers figure une citation qui semble être celle du Guide suprême iranien, Ali Khamenei. Elle se lit comme suit : « La République islamique d’Iran doit devenir l’un des pays les plus puissants du monde dans le domaine de la cybernétique. », explique Deborah Haynes.
De plus la mention « Hautement confidentiel» trône en tête de chaque rapport. « Ils sont censés être plutôt clandestins. Ils travaillent sur des cyberopérations offensives à l’échelle mondiale », déclarait la source. (Crédits : capture d’écran YouTube)
Seules deux des pièces comportent une date d’achèvement. L’un, qui porte sur ce que l’on nomme un système de gestion de bâtiment — qui contrôle des choses les lumières, le chauffage et la ventilation dans les bâtiments intelligents — est du 19 novembre 2020. Les premières inspections et compilations des données sembleraient authentifier les documents.
L’autre, porte sur une entreprise allemande, WAGO qui produit des composants électriques, est daté du 19 avril 2020. Or, le 8 juin 2021, Eduard Kovacs relate, sur securityweek, « deux vulnérabilités découvertes dans des contrôleurs industriels fabriqués par WAGO, une compagnie allemande spécialisée dans les solutions de connexion électrique et d’automatisation, peuvent être exploitées pour perturber les processus technologiques, ce qui, dans certains cas, pourrait entraîner des accidents industriels, selon la société russe de cybersécurité positive Technologies. »
Le message transmis semble clair, la République Islamique d’Iran veut peser dans le cyberespace. (Crédits : capture d’écran YouTube)
Les vulnérabilités ont été repérées dans l’automate programmable (PLC) WAGO PFC200 et ont été corrigées par le fournisseur. L’une des failles, identifiée comme CVE-2021-21001 (classée critique), a été décrite comme un problème de traversée de chemin lié à un composant CODESYS utilisé par l’appareil. Elle permet à un attaquant authentifié, ayant une entrée réseau au dispositif ciblé, d’accéder à son système de fichiers avec des privilèges élevés, ce, en envoyant des paquets spécialement conçus.
« En exploitant cette vulnérabilité, les attaquants peuvent accéder au système de fichiers de l’automate avec des droits de lecture et d’écriture. Les modifications du système de fichiers de l’automate peuvent entraîner une perturbation des processus technologiques et même conduire à des accidents industriels », explique Vladimir Nazarov, responsable de la sécurité ICS chez Positive Technologies. Le second problème, identifié comme CVE-2021-21000, affecte l’organisme iocheckd de WAGO. Il est conçu pour vérifier les entrées/sorties de l’API et afficher la configuration de l’API. Un attaquant non authentifié ayant un accès réseau à l’appareil peut tirer parti de cette faille pour provoquer une condition de déni de service. Les lignes indiquent de nombreuses informations sur les tankers, ainsi que les pompes à essence. (Crédits : capture d’écran YouTube)
Deux études, l’une sur les pompes à carburant dans les stations-service et l’autre sur les communications maritimes, comportent des captures d’écran d’analyses (prises sur l’Internet) datant de l’année précédente. Les auteurs semblent s’appuyer sur des recherches de sources ouvertes plutôt que sur des informations privilégiées. Par diagramme les rapports illustrent un navire stable dans l’eau, un autre un bateau incliné sur un côté, un dernier montrait comment des commandes pouvaient être envoyées à distance depuis un centre de contrôle à terre via une liaison satellite. Le rapport stipule que : « Ces pompes sont utilisées pour amener l’eau dans les réservoirs […]. Tout problème pourrait entraîner le naufrage du navire ».
Le mat du couloir
Le plus récent des documents porte sur les dispositifs de gestion des édifices. Ceux-ci reflètent les systèmes informatiques qui contrôlent l’éclairage, la ventilation, le chauffage, les alarmes de sécurité et de diverses fonctions dans un bâtiment dit « intelligent ». Les feuillets énumèrent les entreprises qui assurent ces services. Parmi elles, Honeywell aux États-Unis, le groupe français d’équipement électrique Schneider Electric, le géant allemand Siemens et KMC Controls. Le rapport le plus long (22 pages) portait sur des équipements électriques fabriqués par la société allemande WAGO, mais pas seulement. Le premier, Seagull 5000i, fournit des services de téléphone, de télécopie et d’autres données via une liaison satellite.
Le système d’intérêt suivant est appelé Sealink CIR. Le majeur objectif de ce dossier n’était qu’une recherche de documentation sur deux dispositifs, annoté d’un tableau de résultat grâce à des « Google dork ». Suite à ces révélations, la journaliste Déborah Haynes interrogeait le général Sir Patrick Sanders, principal officier militaire chargé de superviser les cyberopérations britanniques, sur l’ampleur de la menace que représente l’Iran dans le cyberespace. « Ils font partie des cyberacteurs les plus avancés. Nous prenons leurs capacités au sérieux. Nous ne les surestimons pas. C’est un acteur sérieux et il s’est comporté de manière vraiment irresponsable dans le passé », répondait-il.
Comme un joueur d’échecs, placer ses pièces possède une importance stratégique. Il serait manqué de discernement en pensant que les opérateurs des différents pays ne choisissent pas leurs finalités. L’Iran avait subi l’une des premières cyberattaques connues, avec le ver informatique Stuxnet. (Crédits : DR)
Les soupçons d’organisation de l’opération « Olympics Games » se portent vers les Israéliens et les Américains. Le but fut l’attaque des centrifugeuses d’enrichissement d’uranium, à Natanz en 2010. Des opérateurs informatiques liés à l’Iran sont soupçonnés d’avoir ciblé le parlement britannique en 2017, le résultat est que des milliers de comptes de messagerie, y compris ceux de députés, avaient été affectés.
En mai 2020, les ordinateurs du terminal portuaire iranien de Shahid Rajee ont « planté », provoquant l’arrêt du trafic, à la suite d’une cyberattaque qui semblerait provenir d’Israël. Celle-ci aurait été menée en représailles à une tentative iranienne de piratage des systèmes d’approvisionnement en eau d’Israël. Ainsi, chaque pays entreprend, ce, pour diverses raisons, de connaître les tenants et aboutissants des projets des ennemis, des alliés… Outre l’intervention iranienne, d’autres cyberattaques comptent. L’offensive massive de Solarwinds, qui a téléchargé un virus sur des milliers d’appareils informatiques du gouvernement américain, et l’infection par ransomware, sur Colonial Pipeline. Le dernier évènement est celui dit « Pégasus », qui révèle que le Maroc aurait utilisé un produit de la firme israélienne NSO, ce que condamne l’Algérie. Seraient-ce les seuls à effectuer de genre d’opérations ? (Crédits : DR)
Non ! Depuis que les systèmes d’information envahirent l’espace public, comme privé, des personnes bien, comme malintentionnées, testaient leurs vulnérabilités. Ainsi, il y a près de 30 ans en France, une affaire atypique défraie la chronique au début des années 1990. Dans le service des soins intensifs, d’un hôpital parisien, une femme se trouve entre la vie et la mort. Ses fonctions vitales sont gérées informatiquement. La femme décédera sans qu’aucune alarme n’ait retenti. Après des mois d’enquête, l’époux de la victime est arrêté, soupçonné d’avoir éteint l’alarme… à distance par ordinateur. L’histoire digne d’un film d’espionnage est pourtant bien réelle et paraît tirée d’un film de série Z en 2021. Dans leur rapport, les policiers parlaient « d’une modification criminelle des seuils d’alarme d’une centrale informatique dans un hôpital ». Cet acte intentionnel a même entraîné la mort d’une seconde personne, le voisin de chambre de la victime. Un cas alors inédit en France.
Le 10 juillet 2021, une enquête, débutée il y a plus d’un an après de multiples plaintes, a débouché sur l’arrestation de seize personnes à travers toute l’Espagne. Les prévenus sont détenus pour des délits présumés de fraude et d’appartenance à une cellule criminelle. La « Guardia Civil » a démantelé un réseau d’escroqueries sur Internet qui usurpaient l’identité de la direction générale de la circulation (DGT) et de la Poste, entre autres. Des techniques de phishing et de spoofing sur de nombreuses victimes sont mises en place.
Une opération de Police aboutie à l’arrestation de 16 personnes à travers la péninsule ibérique. De l’usurpation d’identité aux courriels, pour détourner de fortes sommes d’argent à l’insu des victimes. « Aguas Vivas » de la Guardia Civil (Gendarmerie en France) triomphe d’une entente de malfaiteurs dédiée à la réalisation de malversations sur Internet.
La Guardia Civil démantèle un réseau d’escrocs
Cette opération a permis l’arrestation de 16 personnes dans diverses villes de la péninsule Ibérique. Elles s’effectuent à Ribeira, Madrid, Parla et Móstoles, Seseña, Villafranca de los Barros et Aranda de Duero pour les délits présumés d’escroquerie et d’appartenance à une organisation criminelle. Ils recouraient au spoofing (technique d’usurpation d’adresse de courriel), selon les forces de l’ordre espagnoles.
L’agence nationale de la sécurité des systèmes d’information (ANSSI) la définit par l’« action malveillante qui consiste à utiliser délibérément l’adresse d’un autre système en lieu et place de la sienne ».
Les gendarmes de l’Internet ajoutent que cette action doit être rapprochée de l’usurpation d’identité, considérée comme un délit par le droit pénal français. L’idée est de faire passer son système d’information pour un autre. L’adresse usurpée peut être une adresse MAC (Media Access Control), une adresse IP (Internet Protocol), une adresse de messagerie, etc.
Le nombre d’e-mails envoyés par jour avoisine les 293 milliards en 2019, les prévisions pour l’année 2022 ciblent 347 milliards. Cela représente 1,4 milliard en France, sachant que chaque français possède, en moyenne, plus de deux comptes. (Crédits : PublicDomainPictures/Pixabay)
Un groupe criminel structuré et hiérarchisé. Les escrocs présumés auraient installé un « logiciel » malveillant sur l’ordinateur de leurs multiples victimes en utilisant cette technique de spoofing. C’est-à-dire l’envoi frauduleux d’e-mails à travers lesquels les attaquants supplantaient l’identité d’organismes, tels que l’Agence des impôts, le Trésor public, la DGT ou encore la Poste.
Des demandes de règlement de dettes fiscales, d’amendes routières ou de récupération de colis… pour lesquels ils devaient ouvrir un lien contenu dans le courriel reçu, pour en connaître les détails. En cliquant, une redirection s’opère à une adresse, ou à une page Web. Sur celle-ci, le programme malveillant s’installe en arrière-plan après son téléchargement. Ils auraient ainsi réussi à détourner, vers leurs comptes, d’importantes sommes d’argent, rapporte le communiqué de la Guardia Civil.
Les services de la Benemérita lors de la perquisition d’un domicile visé par l’enquête. (Crédits : DR)
L’association est parfaitement structurée et hiérarchisée en quatre échelons. D’une part, certains individus se consacrent à recevoir les montants des transferts frauduleux (niveau 1), qui sont transmis à d’autres membres de l’organisation (niveau 2). D’autre part, certaines personnes ont déplacé l’argent vers de nouveaux comptes situés à l’étranger (niveau 3) et, enfin, d’autres ont masqué le fonctionnement en ligne des comptes (niveau 4).
Plus de trois millions d’euros bloqués
Une fois installé sur le terminal, il reste en sommeil, jusqu’au moment où l’utilisateur accède à n’importe quel site Web de sa banque et exécute une transaction financière. À cet instant, le code malveillant interceptait et modifiait les données émises, de sorte que les bénéficiaires des opérations fiduciaires soient les 30 comptes bancaires appartenant au réseau criminel.
Ensuite, on répartit l’argent sur divers comptes. Mais aussi extrait du circuit par des retraits d’espèces dans des distributeurs automatiques de billets (DAB), des transferts BIZUM, des cartes REVOLUT, etc., afin de noyer les recherches d’une éventuelle enquête de police.
Les forces de l’ordre, en collaboration avec le département informatique du Conseil provincial de Cáceres, ont détecté une activité suspecte dans des comptes de messageries. C’est au sein de 68 de ces derniers, appartenant à des organismes officiels, que les enquêteurs découvraient l’infection par les chevaux de Troie « Mekotio » et « Grandoreiro ». Les véritables échanges de courriels représentent moins de 20 % de la totalité des e-mails reçus. Les spams et hameçonnages sont à 65 %, les publicités à 15 % et les virus, malware ou ransomware tout juste 1 %. (Crédits : Ryan McGuire/Pixabay)
Ils étaient en attente d’effectuer les opérations délictueuses. Les agents ont réussi à bloquer des tentatives de transfert pour un montant de 3 500 000 euros, après avoir analysé plus de 1 800 courriels. En outre, la police a élucidé 20 délits de fraude pour un total de 276 470 euros, dont elle a pu récupérer 87 000 euros.
Quelles sont les conduites à adopter ?
« En dépit de mécanismes additionnels et correctement utilisés, les courriels ne garantissent en rien l’authenticité d’un émetteur et encore moins l’intégrité d’un courriel », martèle un œil averti. C’est en cela que l’ANSSI exhorte tout un chacun à adopter cinq réflexes. Avec en préambule un conseil avisé : « N’importe qui peut vous envoyer un courriel en se faisant passer pour un autre ! Cela n’est pas beaucoup plus compliqué que de mettre un faux nom d’expéditeur au verso d’une enveloppe. N’ayez pas une confiance aveugle dans le nom de l’expéditeur ». Le premier demeure dans le fait d’être attentif à tout indice qui initierait le doute quant à l’origine réelle du courriel.
« Vous devez admettre que dans le domaine de la messagerie électronique, il n’existe pas d’expéditeur a priori de confiance », appuie l’agence nationale. Puis se méfier des pièces jointes, en ayant votre antivirus activé et à jour, mais pas seulement. Dans le cas d’un comportement anormal, exigez qu’un professionnel contrôle votre poste. Les requêtes de confirmation d’informations confidentielles (mots de passe, code PIN, coordonnées bancaires…) ne s’effectuent pas via un courriel. En cas d’incertitude, on n’a qu’à requérir auprès du correspondant la reconnaissance de sa demande, bien sûr par le biais d’un nouveau, et non en répondant à celui reçu (phishing).
La confiance doit être remise en doute à chaque ouverture du poste, et souligner toute anomalie auprès du responsable compétent. (Crédits : TheDigitalWay/Pixabay)
Une technique plus simple qu’il n’y paraît avec votre souris. Il suffit de passer cette dernière au-dessus du lien et observer l’adresse de renvoi. « De manière générale, il est préférable de saisir manuellement l’adresse dans le navigateur. » Enfin, configurez correctement votre logiciel de messagerie. « Il faut conserver vos logiciels à jour, si possible en activant la procédure de mise à jour automatique. Puis paramétrer votre logiciel de messagerie pour désactiver la prévisualisation mécanique des courriels. Dans les paramètres de sécurité en options, interdisez l’exécution systématique des ActiveX, des plug-ins et les téléchargements, soit en les désactivant, soit en imposant de vous en demander l’autorisation. Enfin, dans un environnement sensible, lisez tous les messages au format texte brut », conclut l’agence nationale de la sécurité des systèmes d’information.
C’est l’infection de plus d’un million de victimes, et jusqu’à 1500 entreprises, par le ransomware « REvil/Sodinokibi » qui fait la une des différentes presses, qu’elles soient en version papier, web, radiophonique ou télévisuelle. Pour autant, quand le tout numérique est le fer de lance des sociétés et des gouvernements de la planète, faut-il s’étonner ? Notre santé, nos comptes en banque, nos vies sur les réseaux « sociaux »… tout est data, donc tout est monnayable !
Le monde paye pour apprendre. Cette formule, souvent reprise dans les articles sportifs, illustre le futur. De nombreuses entreprises font les frais de cybercriminels. La différence se fait sur le point de vue. Ainsi, tapis dans l’ombre, ils traquent la faille, l’exploit…
Kaseya atteint par un crochet au menton
Ce lundi 5 juillet 2021, le monde se réveille groggy avec cette affaire, lorsque l’on regarde les journaux nationaux et internationaux. La firme revendique : « Avec Kaseya, proposez des services de gestion, de surveillance et de sécurité informatique de tout premier ordre. Rendez vos équipes plus productives sans augmenter vos ressources, grâce à des solutions de gestion informatiques évolutives, sécurisées et fiables. » Cela dit, la protection totale n’existe pas. Vous ne pouvez arrêter un individu voulant voler, il est primordial de prendre des dispositions. « Installer une porte blindée, de dernière génération, à l’entrée de votre domicile, ne vous dispense pas de fermer les fenêtres de derrière, restées ouvertes. »
Cyrille Chausson, sur le site « LeMagIT », écrit un article en 2019 à ce sujet. « La société propose une plateforme unifiée qui permet de centraliser la gestion des composants clés d’une infrastructure pour les PME. De la gestion des accès et des identités jusqu’à celle des terminaux utilisateurs », explique-t-il. Les grandes entreprises ont pléthores de tâches journalières, et, comme tout un chacun, délègue. Kaseya s’est fixé comme mission d’offrir une plateforme unifiée multi-usage.
La quantité des terminaux touchés peut effrayer, c’est l’effet domino observé depuis les infections des opérateurs derrière les différents ransomwares. Certains mettent la clé sous la porte, quand d’autres commencent, à l’instar de Lorenz, Hive, Grief, Prometheus ou Vice… (Crédits : capture d’écran)
Sa cible, les établissements de taille moyenne ou intermédiaire, elles comptent de 1 à 4 000 salariés. Pour ces sociétés, le management de l’infrastructure IT n’est pas un sujet pour elles. Cette dernière a besoin d’être définie pour comprendre l’ampleur de l’infection par codes malveillants. « L’infrastructure de la technologie de l’information (IT) fait référence aux composants combinés nécessaires au fonctionnement et à la gestion des services et des environnements informatiques de l’entreprise. »
Un retex (NDLR Retour d’expérience) sera effectué pas tant pour blâmer, mais pour en tirer les leçons indispensables.
L’entreprise Kaseya n’est pas une inconnue du Vieux Continent. La multinationale y réalise un tiers de son chiffre d’affaires. Le Royaume-Uni et l’Allemagne sont les marchés les plus porteurs sur cette zone. La France est certes en retrait, mais avec l’Allemagne, il s’agit du pays qui connaît la plus forte croissance, assure encore le CEO (NDLR chief executive officer ou président-directeur général). La conformité avec le RGPD fait partie des préoccupations des entreprises hexagonales, attirées par Kaseya.
Plus de 1500 cyberattaques au 1er juillet
« Nous avions compté plus de 1 600 attaques avec ransomware en 2020. Au premier juillet, nous en étions à environ 1 500. Ce chiffre a été largement dépassé le lendemain, du fait des activités du gang REvil, avec le rançongiciel Sodinokibi », relate Valéry Marchive. La demande de rançon est de 70 millions de dollars en Bitcoins, ce qui représente 45 000 par société. Une baisse de 11 % de la somme est concédée par les opérateurs, après d’âpres discussions. Ou, comme l’écrivent les chercheurs de chez Sophos, l’oublie d’effacement des snapshots de Windows, les Volume Shadow Copies, ouvrant la voie à des restaurations simplifiées, pourraient être à l’origine de la ristourne.
« Certains facteurs se distinguent dans cette attaque par rapport aux autres. Premièrement, en raison de son déploiement massif, REvil ne fait aucun effort apparent pour exfiltrer des données. Les attaques ont été personnalisées dans une certaine mesure en fonction de la taille de l’organisation, ce qui signifie que les acteurs de REvil ont eu accès aux instances du serveur VSA et ont pu identifier les clients individuels des MSP comme étant différents des grandes organisations. Et il n’y avait aucun signe de suppression des Shadow Copies, un comportement courant chez les ransomwares qui déclenchent de nombreuses défenses contre les logiciels malveillants. »
Le Cabinet est implanté à Paris, Bordeaux, Lille et Lyon, plaide dans toute la France. Il collabore avec de nombreuses associations de victimes de dommages corporels (l’UNAFTC, l’AVIACAAM…). Rémy LE BONNOIS est membre fondateur de l’association ANADAVI. (Crédits : Capture d’écran)
Lors d’une audition à huis clos, début juin, par la Commission de la défense nationale et des forces armées de l’Assemblée nationale, Guillaume Poupard, directeur général de l’Agence nationale pour la sécurité des systèmes d’information (ANSSI), indiquait qu’« après avoir détecté 15 000 attaques possibles sur les serveurs de Microsoft Exchange, nous avons prévenu les quelques milliers de victimes potentielles que nous avons réussi à joindre, 3 % d’entre elles seulement nous ont répondu ». Cette situation met en exergue les disparités de statut et de fonctionnalité entre les gendarmes du genre. Une différence notable des pouvoirs de l’ANSSI de son homologue outre-Atlantique.
« Je saisis cette occasion pour vous dire qu’il manque à l’ANSSI un pouvoir d’injonction. […] Il est inacceptable que des gens auxquels on dit : “Vous êtes assis sur une bombe”, ne traitent pas la question. Une disposition légale donnant à l’ANSSI un pouvoir d’injonction serait une étape supplémentaire […] dans une logique d’accompagnement de la montée en compétences, mais il en va de la cybersécurité nationale », martèle Guillaume Poupard.
Aux États-Unis, ils peuvent utiliser un pouvoir d’injonction, récemment durci. Quand une faille du type de celle qui a affecté Microsoft Exchange est détectée, le Cybergendarme écrit à toutes les agences fédérales en leur prodiguant 48 heures pour les corriger, après quoi la sanction tombe. (Crédits : capture d’écran)
Pas moins de 28 attaques ont été perpétrées en France pour le mois de juin. Conti se taille la part du lion avec au forum du bâtiment SAS, Brangeon Groupe, Cerfrance Côtes-d’Armor, Maître Prunille, Voltalia, groupe Traon Industrie Développement, Assu2000 (29/06). Everest cible les entreprises françaises. Ils diffusent 820 GB de données relatives au cabinet Rémy Le Bonnois, mais pas seulement. L’imprimerie Lamazière, Epsilon hydraulique, Always international, Assurances et Courtage lyonnais, Alltech France, Groupe Confiance Immobilier, Xefi. REvil s’est attaqué à Tendriade, le groupe LV à Demarne Frères, Xing à Aqualung Trading. Saint-Avold Synergie, Pont-Saint-Esprit, PRB, Camaïeu, Deux-Sèvres Habitat, Sepur, CCI Bordeaux-Gironde, ou encore la commune de Villepinte et Lenaja par Grief.
Les infections des systèmes d’information en France sont à nouveau légion. ClOp qui a reçu un coup d’épée avec l’arrestation de six de ses membres, affiche une nouvelle attaque d’entreprise. La France n’est pas épargnée. Entre Everest et Conti, pour ne citer qu’eux, ce n’est pas moins de dix-huit attaques. Elles sont publiées sur leur site de fuite respectif, ainsi que les opérateurs revendiquent au mois de juin 2021. Mais d’autres offensives sont tout aussi préoccupantes, comme celle du fabricant de stockage et de mémoire informatique, ADATA.
Quand ADATA, l’un des principaux producteurs de stockage de mémoire à Taïwan, a souffert d’une attaque de ransomware fin mai, le choc est là. Les cybercriminels affirment avoir dérobé des données sensibles à hauteur de 1,5 To. La firme taïwanaise fabrique des modules DRAM, des lecteurs flash, des disques durs, des cartes mémoire…
Quand l’attaque touche la mémoire
Le premier à être touché par la cyberattaque est Aqualung Trading. C’est avec assurance que le ransomware Mount Locker affiche 800 Go. Puis, comme indiqué précédemment, Tendriade fait partie d’un « lot » de cinq objectifs. L’agglomération de Saint-Avold sous le coup d’un versement de 80 000 dollars, la mairie de Pont-Saint-Esprit paralysée dès le 3 juin 2021, puis la firme PRB est ciblée à son tour.
L’invasion a été détectée très tôt ce vendredi 4 juin 2021 au matin. « Il y avait un message sur les écrans, et une demande de rançon. Il est hors de question de payer », indique encore le chef d’entreprise, Jean-Jacques Laurent. Ce sponsor historique du Vendée Globe précède « Demarne Frères ». Le groupe LV revendique le vol de plus de 40 Go de données au spécialiste des produits marins. Les Deux-Sèvres (79) subissaient début du mois des attaques. La première concerne les archives départementales, puis la seconde, Deux-Sèvres habitat. « On nous annonce un black-out complet de trois à cinq semaines », notifiait dans la Nouvelle République Fabrice Ouvrard, le directeur.
Les opérateurs derrière le ransomware « Everest » frappent fort en France. Le cabinet Rémy Le Bonnois n’est que le premier. L’imprimerie Lamazière (12 Go), Epsilon hydraulique (44 Go), Always international (4 Go). La revendication porte aussi sur Altech France, Xefi, le groupe Confiance Immobilier, sans afficher à l’heure actuelle, le 26 juin 2021, le poids des renseignements dérobés. Les premières données d’« Assurance et courtage lyonnais » sont divulguées. Des contrats, devis, coordonnées, process… sont ainsi mis au jour pouvant profiter à des personnes peu scrupuleuses. De son côté « Conti-Ryuk » s’est infiltré chez Voltalia, Cerfrance, Traon, Maître Prunille, Iserba, Brangeon, Au Forum du Bâtiment, Dirickx, STAM, FunBreak.
(Crédits : capture d’écran)
Le groupe a indiqué s’être introduit chez Xoriant, un développeur de logiciels d’ingénierie. Tandis que ClOp revendique, malgré l’arrestation de huit membres présumés, celle du bureau KSS Architects aux États-Unis.
Disque dur et barrette de mémoire
L’infection d’une entreprise taïwanaise concerne de nombreuses personnes à travers la planète. ADATA, qui fabrique des modules de mémoire DRAM hautes performances, des cartes mémoire flash NAND et d’autres produits, a été avili par le ransoware « Ragnar Locker ». Les différentes manufactures sont disque dur, stockage externe (HDD, SSD, boîtiers), cartes mémoire, lecteurs, clés USB, des produits de jeu (souris, clavier, casque) et des solutions industrielles.
Il existe de grandes probabilités pour que tout un chacun ait un de leurs composants dans son domicile. La société a été classée deuxième fabricant de mémoire DRAM et de disques SSD (Solid State Drive) en 2018. « ADATA a été touché par une attaque de ransomware le 23 mai 2021 », a déclaré la société dans un communiqué. L’industriel de mémoire taïwanais a démantelé tous les systèmes concernés après avoir décelé l’agression et a prévenu toutes les autorités internationales compétentes de l’incident pour aider à retrouver les responsables. (Crédits : capture d’écran)
« La société a suspendu avec succès les systèmes affectés dès que l’attaque a été détectée, et tous les efforts nécessaires suivants ont été déployés pour récupérer et mettre à niveau les systèmes de sécurité informatique associés, avant d’ajouter. Nous sommes déterminés à nous consacrer à rendre le système plus sûr que jamais, et oui, ce sera notre pratique sans fin pendant que l’entreprise avance vers sa croissance et ses réalisations futures. » Samedi 19 juin 2021, les acteurs du ransomware ont publié sur le site de fuite les hyperliens de téléchargement d’un nouvel ensemble de documents d’entreprise ADATA, en prévenant les parties intéressées que ces derniers ne devraient par survivre longtemps. Le service de stockage MÉGA a fermé le compte, refusant ainsi l’accès à tous les fichiers partagés publiquement.
La police ukrainienne a arrêté six personnes, membres présumés du célèbre gang du ransomware « Cl0p », saisissant de l’argent, des voitures ainsi qu’un certain nombre d’ordinateurs portables. Les entreprises Bombardier, Shell, Qualys ou l’université de Stanford font partie des 57 multinationales infectées. Le CHU de Rouen avait été attaqué le 15 novembre 2019, elle serait liée à l’entité TA 505. C’est un coup de filet qui met fin, momentanément, aux agissements d’un groupe de cybercriminels.
« L’organisateur du groupe Kievien, âgé de 36 ans, avec son épouse et ses trois connaissances, a mené des cyberattaques contre des entreprises étrangères », indique la police ukrainienne. Selon les données préliminaires de l’enquête, c’est au minimum une cinquantaine de sociétés, universités, hôpitaux… qui ont souffert des agressions. Les vidéos des perquisitions et d’arrestations, filmés par les forces de l’ordre Ukrainienne n’ont pas besoin de sous-titre.
Attaques cybernétiques, blanchiment d’argent…
D’après l’ANSSI, le collectif TA505 est « un groupe cybercriminel actif depuis 2014, ciblant principalement la finance et des représentations gouvernementales, mais aussi, et c’est nouveau depuis 2019, des structures dans les secteurs de la recherche, de l’énergie et de la santé ». Les premiers bugs remontent au week-end du 16 novembre 2019. Le CHU de Rouen se réveille alors avec des ordinateurs en panne, infectés par des codes malveillants très virulents qui paralysent tout le système de l’hôpital, écrivait France 3 Normandie.
Plusieurs experts soupçonnent que Cl0p est piloté par un groupe cybercriminel bien connu, « TA505 ». De plus, des liens techniques ont été découverts entre le rançongiciel Cl0p et au moins deux outils utilisés par TA505, nommés Amadey et FlawedAmmyy, selon l’ANSSI.
Les opérateurs de Cl0p continuaient d’engranger les victimes, en mars 2021, en s’attaquant à leurs appliances de transfert de fichiers (FTA) Accellion. Après l’expert français des géosciences CGG, Steris, CSX ou également Bombardier, ils venaient d’ajouter à leur tableau de chasse Qualys. Et là encore, sur l’infrastructure de l’éditeur, on trouve les traces d’une FTA Accellion. (Crédits : Police ukrainienne)
Et pourtant, celle-ci n’était pas configurée pour gérer directement l’authentification : les outils d’Okta étaient là pour cela. La FTA en question répondait encore au moteur de recherche spécialisé Shodan le 18 février 2021. Après les infections et la mise en ligne des données ainsi exfiltrées, des plans d’un radar de détection précoce aéroporté installé sur le jet militaire phare de la société Bombardier, de type AWACS, ont pu être copiés.
En décembre dernier, Cl0p s’en était pris à un détaillant sud-coréen, E-Land, et aurait dérobé deux millions de données de cartes de crédit sur une année. Les policiers de Corée du Sud ont apparemment identifié les suspects peu après. La cyberpolice ukrainienne estime les dégâts causés par le groupe à plus de 412 millions d’euros. Comme d’autres groupes criminels, Cl0p exfiltre des renseignements volés et les publie sur le dark web. Ils exercent une pression sur les entreprises et organisations ciblées. Les forces de l’ordre ukrainiennes affirment aujourd’hui être parvenues à fermer l’infrastructure utilisée par les délinquants pour « propager le virus ».
« Il a été établi que six accusés ont mené des attaques de logiciels malveillants de type ransomware sur les serveurs de multinationales américaines et sud-coréennes », a déclaré la police nationale ukrainienne mercredi 16 juin 2021. (Crédits : Police ukrainienne)
Tandis que plusieurs entreprises françaises et internationales respirent suite à la disparition, momentanée ou définitive, des opérateurs derrière « Avaddon », d’autres souffrent en silence. Le ransomware « Conti-Ryuk » frappe fort en s’attaquant à huit firmes sur l’hexagone pour le seul jour du 17 juin 2021. Dans le même temps, les données personnelles comprenant le nom, l’âge, l’e-mail et le numéro de téléphone concernant 1,2 million d’individus inscrits à Pôle Emploi auraient fuité.
Les attaques cybernétiques croissent de jour en jour. Pas assez de sociétés affichent une hygiène et philosophie de la sécurité, pourtant nécessaire. Au départ vecteur de machine à cash, elles peuvent aussi servir de monnaie d’échange, de pression à différents niveaux d’infrastructure.
Multiplication des attaques cybernétiques sous plusieurs vecteurs
Le groupe d’opérateurs derrière le ransomware Avaddon est l’un des plus prolifiques. Le 11 juin 2021, il ajoutait un trophée de premier plan, à savoir la « Valley National Bank ». Elle est une holding bancaire régionale dont les actifs s’élèvent à 42 milliards de dollars et qui exploite 230 succursales dans le New Jersey, à New York, en Floride, en Alabama ainsi qu’à Long Island.
Tandis que le compte à rebours affichait moins de 72 heures avant la publication de l’ensemble des données, black-out complet. Avaddon n’est plus. La raison de la fermeture soudaine n’est pas claire. La plus plausible est le rapprochement des forces de l’ordre à leur recherche, comme le bureau fédéral d’investigation (FBI) et le centre australien de cybersécurité (ACSC). Ils auraient décidé de prendre leur magot et de disparaître.
La clé permettant le déchiffrement de toutes les données sur les différents systèmes d’information est disponible. Il est à souhaiter que les différentes cibles, et autres tendent à accroître considérablement l’accès aux différentes sources. (Crédits : capture d’écran Emsisoft)
BleepingComputer a reçu un message prétendant venir du FBI, contenant un mot de passe et un lien vers un fichier ZIP protégé. C’est au total, 2 934 clés de déchiffrement, où chacune correspond à une entité spécifique. Emsisoft a publié un paléographe sans frais que toutes les cibles infectées puissent utiliser pour récupérer leurs documents gratuitement. « Les récentes actions des forces de l’ordre ont rendu nerveux certains acteurs de la menace : voilà le résultat. Une personne est tombée, et espérons que d’autres tomberont aussi », a déclaré Brett Callow, analyste des menaces chez Emsisoft, à BleepingComputer.
Vingt-et-une attaques au mois de mai
Acer finance, Le Volcan et Axa sont les entreprises touchées par le chiffrement d’Avaddon. Au mois de mai, pas moins de 21 attaques par ransomware sur le territoire français. Elles sont Acer Finance (12 mai/Avaddon), Axa Asie (15 mai/Avaddon), Mauffrey (18 mai/Conti-Ryuk), Arca Assurances (20 mai/Prometheus), Despretz (23 mai/Prometheus), Le Volcan (26 mai/Avaddon), Syndex (26 mai/Avaddon), Alma SAS (28 mai/LV), Cabinet Rémy Le Bonnois (31 mai/Everest), et Assurcopro (31 mai/Everest).
Quant à Berger-Levrault, le 14 mai 2021, l’impact aurait été limité au réseau interne de l’entreprise et affecte également la téléphonie et la messagerie électronique. Fraikin communiquait le 25 mai, avoir fait l’objet d’une attaque de ransomware. Elle assurait qu’aucune donnée « n’a été touchée, volée, détruite, ni corrompue par ce virus ». Le 3 juin 2021, la compagnie Tendriade est partie intégrante d’un lot de cinq infectées par les opérateurs derrière le ransomware Revil. (Crédits : Capture d’écran))
L’accalmie sera de courte durée. Dès le 8 juin, c’est l’organisation « LV » qui s’attaque à l’entreprise Demarne Frères. Les opérateurs revendiquent l’usurpation de plus de 40 Go de données (finances, comptabilité, documents bancaires, assurances, bases clients).
Une accalmie de courte durée
Les sociétés Funbreak et STAM le sont à leur tour et respectivement le 7 et 10 juin par « Conti-Ryuk ». Puis hier et aujourd’hui vendredi 18 juin 2021, « Conti-Ryuk » affiche avoir infecté Voltalia, Maître Prunille, le groupe Iserba, Cerfrance Côtes-d’Armor, Brangeon groupe, Au Forum du Bâtiment SAS.
Mais c’est une révélation qui affole plus d’un million d’âmes en France. Un particulier est en possession du nom, âge, e-mail et numéro de téléphone de 1,2 million de personnes inscrites à Pôle emploi. Il y a quelques jours, un individu connu pour son business de commercialisation de données piratées dévoilait vendre plus d’un million de comptes appartenant à des sociétaires de l’agence pour l’emploi.
Quelques heures après son annonce, il décidait de la retirer. « Je traite principalement avec de grosses structures commerciales qui économisent de l’argent sur la sécurité des données de leurs clients, explique-t-il. Ils embauchent des programmeurs bon marché et stupides qui font des erreurs triviales ». Bref, la sécurité internet à deux vitesses pour ce vendeur d’informations volées.
Fuite de données
Cette personne extrait des données qu’il affirme écouler « à différentes agences de marketing et à des particuliers ». Concernant Pôle Emploi, l’application pour smartphone semble être une des pistes de la faille permettant l’interception d’informations de plus d’un million d’assurés hexagonaux.
Les opérateurs offrent 48 heures aux entités touchées pour se manifester et prendre contact en vue d’un règlement. (Crédits : capture d’écran)
« Quelqu’un m’a écrit en MP et m’a expliqué qu’il s’agissait d’une base de données gouvernementale sur les chômeurs. J’ai fait preuve d’empathie : je ne l’ai vendu à personne et je l’ai retiré de la vente […] Dans une période aussi difficile, les institutions étatiques comme Pôle-emploi sont d’une grande utilité pour la société, et j’ai décidé de ne pas ruiner leur réputation. » Heureusement que certains malfaiteurs ont un sens moral… Ainsi, Jean de la Fontaine écrivit dans la fable du Corbeau et du Renard : « Tout flatteur vit aux dépens de celui qui l’écoute ».
Enfant, tous nous avons incarné les gendarmes et les voleurs, ou encore à la balle aux prisonniers. Imaginez-vous que cette fois-ci les rôles s’inversent. Mais d’autant plus inquiétant, les preuves de leurs larcins s’exposent, rendant compliqué le travail des forces de l’ordre. Voici le légendaire jeu des « gendarmes et des voleurs » version 2.0. Différents postes de police aux États-Unis comme au Royaume-Uni, bureau de procureur, avec les données des délinquants, des victimes et des personnes sous protection et anonymisation en accès libre.
Le département de police de l’Illinois aux États-Unis subit une attaque par code malveillant en 2017. Le pays de Lincoln, dont la capitale est Springfield, est à nouveau visé, via les opérateurs derrière le ransomware « Dopple ». Tous les renseignements à la disposition du procureur général de l’Illinois sont désormais diffusés, soit plus de 200 GB. Mais ce dernier n’est pas un procureur à proprement parler, il est l’équivalent du ministre de la Justice en France, le garde des Sceaux.
La police américaine infectée par les ransomwares
Sur l’Hexagone, il est un magistrat qui dirige les poursuites de la société envers la personne mise en examen. Les informations auxquelles il a accès sont gigantesques, et extrêmement sensibles. Les procès-verbaux, les enregistrements audios, les dépositions, les civilités des condamnés, leurs casiers judiciaires, les prénoms et noms des policiers, leurs adresses, mais pas seulement.
Le patronyme des victimes de délits, de crimes, de viols divulgués, avec leurs dossiers complets (adresse, témoignage, photos…). Comme le programme de confidentialité des adresses de l’Illinois (ACP). Il fournit aux victimes de violences domestiques, d’agressions sexuelles et de harcèlement criminel, ainsi qu’aux membres de leur famille, une adresse de remplacement à utiliser comme adresse de domicile, d’école et de travail, au lieu de l’adresse réelle figurant dans les registres publics.
Les rapports d’intervention des forces de l’ordre de l’Illinois font état des violences, avec victimes et auteurs présumés. (Crédits : capture d’écran)
Aucune n’est épargnée, la police de la capitale américaine en est la preuve. Les opérateurs derrière le ransomware « Babuk » affichent la couleur. Parmi ces informations sensibles figurent la liste des membres, dont certains en infiltration dans des enquêtes criminelles ou le profil « d’indics », fournisseurs de précieuses précisions pour les autorités. Si les identités de ces personnes étaient mises à jour ou partagées avec des gangs, leurs vies pourraient être en danger.
« Nous sommes conscients d’un accès non autorisé sur notre serveur. Alors que nous déterminons l’impact complet et continuons à examiner l’activité, nous avons engagé le FBI pour enquêter pleinement sur cette question », communique le département de la police métropolitaine de Washington D.C. La menace des opérateurs est explicite : « […] si aucune réponse n’est reçue dans les 3 jours, nous commencerons à contacter les gangs afin de drainer les informateurs, nous continuerons à attaquer le secteur de l’État des États-Unis, FBI CSA […] ».
Sur le continent américain, les USA subissaient déjà de nombreuses attaques en 2017 (comme la police de l’Illinois), comme le démontre cette carte. (Sources : Techtalk)
« Le fait que des données d’une nature aussi sensible aient pu être consultées par des pirates en dit long sur la qualité du service que les élus fournissent à cette ville. Ce qui est ironique, c’est qu’à une époque où les policiers sont pris pour cible par leurs dirigeants pour de prétendus méfaits, ce sont en réalité leurs dirigeants qui sont vraiment incapables de respecter les normes », a déclaré Gregg Pemberton, président du syndicat de la police de Washington D.C.
Du ransomware à la violation de données en Angleterre
À l’heure de la 5G, du tout internet et du tout électrique, la menace est plus que réelle. L’évolution des technologies a permis à des millions d’entreprises du monde entier de mettre au rancart leurs classeurs et de passer, lentement mais sûrement, au tout dématérialisé. Mais ont-ils pensé à la sécurité de leurs systèmes d’information ? C’est moins sûr !
À l’époque où les stylos et le papier avaient cours, nous pouvions enfermer les documents sensibles sous clé. Mais, comme nous avons déplacé nos activités en ligne, sur ordinateur, smartphone ou dans les nuages (Cloud computing) la protection est devenue plus difficile, au fur et à mesure.
En 2016, au Royaume-Uni, Tesco a vu ses clients se faire voler 2,6 millions de livres sterling après le piratage de plus de 10 000 comptes bancaires. La chaîne de supermarchés a été condamnée à payer une amende de 16,5 millions de livres par la Financial Conduct Authority, et a dû rembourser tous ses clients. La sécurisation des systèmes d’information a un coût, mais sûrement moins que 19,1 millions de livres sterling (22,2 millions d’euros).
(Crédits : Michaelpuche/Shutterstock)
En 2017, la chaîne de pharmacies Boots a été confrontée à une violation potentielle des données de quelque 150 000 clients. Elle a suspendu les règlements par carte de fidélité après les tentatives pour s’octroyer les mots de passe des différents comptes. L’organisme représentant plusieurs chaînes de pharmacies au Royaume-Uni avait mis en place une « équipe de crise » pour contrer les cyberattaques.
Rien n’est totalement sécurisé
Les data sont potentiellement de l’argent, comme l’explique le dernier numéro de Cash Investigation sur France 2 : « Nos données personnelles valent de l’or ». Les différents commissariats possèdent des données sur tout un chacun, car ils accèdent à de nombreux sites gouvernementaux et conservent, pour leurs enquêtes, de nombreuses informations (immatriculation, délinquant sexuel, historique judiciaire, dépôts de plainte, coordonnées…). Un site s’est intéressé au problème outre-Manche. Dans l’article, le journaliste David Janssen révèle que l’année 2020 fut prolixe.
Commissariat de police
Violation de données en 2020
Lancashire Constabulary
594
Police du Sussex
334
Humberside Police
230
Service de police d’Irlande du Nord
194
Durham Constabulary
125
Police des West Midlands
119
Leicestershire Constabulary
118
La liste est longue et compte 23 entités des forces de l’ordre. En 2021, les attaques ne cessent pas, ainsi la police du Sussex en enregistre 62, West Midlands 37, le nord du Pays de Galles 24 et le Wiltshire Constabulary 12. (Sources : VPNoverview)
Le FSB, cible de cyberattaques
La nouvelle peut surprendre et ravir les aficionados de James Bond. La fiction devient réalité, car cette dernière est issue de l’agence de presse anglaise, Reuters. Le service de sécurité de la Fédération de Russie a subi des attaques des systèmes d’information. Des opérateurs étrangers ont compromis, selon le rapport, des agences fédérales russes dans le cadre d’une campagne d’espionnage numérique. Les responsables russes qualifient de « sans précédent par son ampleur et sa sophistication ».
Chose inhabituelle, des détails techniques supplémentaires divulgués sur le fonctionnement interne des deux souches de logiciels malveillants. Le compte rendu indique également que les délinquants ont utilisé les installations de stockage en cloud des principales entreprises technologiques russes, Yandex et Mail.ru, pour exfiltrer des données. Andrei Nekrasov, chef du département principal d’organisation et d’analyse du bureau du procureur général de la Fédération de Russie, a indiqué lors d’une interview accordée à l’agence TASS, la situation de la cybercriminalité en Russie. Il indique les raisons de sa croissance continue, du travail des forces de l’ordre et des mesures proposées pour endiguer la vague de cybercriminalité.
Andreï Nekrasov est le chef du département principal d’organisation et d’analyse du bureau du procureur général de la Fédération de Russie. (Crédits : Service de presse du bureau du procureur général)
« Si ce rapport était un effort de signalisation par le gouvernement russe à un service de renseignement occidental — comme beaucoup l’ont prétendu —, alors c’était un signal très subtil », déclarait Stefan Soesanto, chercheur en cyberdéfense, à Reuters le mercredi 26 mai 2021. Ledit document a été publié conjointement par Rostelecom-Solar (division de cybersécurité du géant russe des télécommunications Rostelecom), et le Centre national de coordination des incidents informatiques (NKTsKI), une organisation de type CERT créée par le Service fédéral de sécurité (FSB) russe en 2018.
Les problèmes de sécurité liés à l’utilisation des technologies modernes sont légion. Ces dernières années, le nombre de délits commis à l’aide des systèmes d’information a atteint une telle ampleur que cela permet aux instances russes d’en parler comme d’une menace pour la sécurité nationale.
En 2020, la tendance négative n’a fait que s’intensifier. « La croissance enregistrée de ces empiétements s’est élevée à 73,4 %, et leur nombre total pour l’année a atteint 510 300. De plus, s’il y a cinq ans, ces actes représentaient moins de 2 % de la structure globale de la criminalité, l’année dernière, ils représentaient déjà 25 % de tous les crimes enregistrés dans le pays. La croissance de ces crimes a été observée dans toutes les régions, la plus importante à Saint-Pétersbourg (de 2200 en 2019 à 19 500, soit 780 %) et dans la région de Leningrad (de 3000 à 7400, soit 143 %) », recueille le journaliste Alexander Shashkov. (Crédits : WikiImages/Pixabay)
Dans un timing parfait, l’annonce a été faite alors que le Kremlin fait l’objet d’un examen de plus en plus minutieux aux États-Unis et ailleurs. Non seulement en raison du piratage de SolarWinds, que Moscou nie avoir commis, mais aussi en raison d’allégations selon lesquelles la Russie héberge sciemment des cybercriminels à la recherche de rançons. Néanmoins, le Kremlin voit un message positif dans les propos de Biden sur les règles de la lutte contre la cybercriminalité.
Le « pass sanitaire » vient d’être voté en France par les chambres basse et haute, afin de pouvoir participer, selon les dires des autorités gouvernementales, à des événements qui pourront regrouper plus de 1000 personnes. Dans le même temps, des fuites plus que conséquentes de documents d’identités, de renseignements médicaux, d’informations bancaires, d’adresses e-mail, de numéros de téléphone, d’identités numériques sont légion. Qu’en est-il des données, de vos données ? Seront-elles sécurisées ?
L’infection d’AXA par le ransomware « Avaddon » affole la toile et le reste du monde. Mis à part le fait d’avoir touché un très gros poisson, cela démontre que les infrastructures doivent être renforcées, et les moyens mis en adéquation avec les risques encourus. D’autant qu’il s’agit de renseignements ultrasensibles. « Vous pouvez nous féliciter pour l’attaque réussie de l’entreprise, nous avons crypté AXA Asia dans les pays suivants : Thaïlande (Krungthai-AXA), Philippines, AXA Investment, Hongkong et Malaisie », se congratulent les opérateurs.
Données médicales volées
Ils revendiquent posséder trois téraoctets de données. Elles sont d’ordre médical (antécédents, y compris des comptes rendus sur le VIH, l’hépatite, les MST et d’autres maladies), les réclamations des clients, les paiements aux clients, toutes les pièces d’identité des clients, les comptes bancaires et tous les documents scannés des clients, mais pas seulement.
L’Agefi stipule que le matériel réservé des hôpitaux et des médecins (enquêtes privées pour fraudes, accords réservés, remboursements refusés, contrats et rapports, cartes d’identité, etc.) y figure également.
Les données sont en libre accès lorsque les opérateurs du ransomware n’obtiennent pas la rançon escomptée. Des informations extrêmement sensibles sont livrées à tous, comme les quasiment 200 GB de la ville de Presque Isle dans le Maine, aux États-Unis.
(Crédits : capture d’écran)
La société comme les personnes assurées sont les victimes, à plus d’un titre, de la cyberattaque. Le principe de la double extorsion est de mise. L’ingénierie sociale peut alors utiliser ses données sensibles pour d’autres méfaits.
Frappé deux fois de suite
Il y a plus de deux mois que l’incendie chez OVH Cloud, à la veille de son introduction en bourse, le 10 mars 2021, rendait inaccessibles différents sites. Dans un mail interne qu’Agefi avait pu consulter, Axa France indiquait avoir été « victime d’une extraction non autorisée de données concernant certains collaborateurs d’Axa en France ». Ainsi, début mai, ce sont 7500 actuels et anciens salariés de 55 ans et plus qui ont vu leurs civilités complètes divulguées.
Leurs adresses, numéros de sécurité sociale… ont fuité à la suite du feu, fragilisant les serveurs dans lesquels un des fournisseurs d’AXA hébergeait ses données. La dernière société à subir une infection est Acer Finance, basée à Paris, qui est une société de gestion de portefeuille.
Elle venait d’annoncer le 21 avril 2021 que « Laillet Bordier et Acer Finance fusionnent pour donner naissance à LB&AF ». Le message des opérateurs est sans appel. Les données sont cryptées et la menace de divulguer toutes les informations est réelle. Cathar Games a vu 779,06 GB de documents compressés en libre accès. (Crédits : capture d’écran)
Quelques jours auparavant, c’est la Fédération des syndicats des métiers de la prestation intellectuelle, du conseil, de l’ingénierie et du numérique de plus de 3000 TPE-PME, CINOV. Après la fuite datant de 2019, qui ressurgit en 2021, donne entrée à 20 millions de comptes de Français sur le réseau « social » Facebook, et les données de santé de 500 000 personnes en France au mois de février 2021.
500 000 dossiers médicaux
De son côté, la CNIL (Commission nationale de l’informatique et des libertés) avait annoncé mercredi 24 février 2021 qu’elle avait lancé une enquête pour savoir si les sociétés (dont les données ont été volées) ont manqué à leurs obligations. En plus de prodiguer des consignes de sécurisation des données, le RGPD impose aux entreprises ayant subi une violation de leurs données de le signaler.
Or la CNIL avait déclaré ne pas en avoir été avertie. Peut-être plus inquiétant, s’il en est, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) annonçait ce même mercredi 24 février 2021 qu’ils avaient identifié l’origine de cette fuite de données dès le mois de novembre 2020, et informé le ministère de la Santé, Olivier Véran.
« Les recommandations nécessaires ont été données par l’ANSSI pour traiter l’incident. »
(Crédits : capture d’écran)
Le groupe Stelliant aurait été victime d’une offensive malveillante dans la nuit du 14 au 15 mai 2021, qui paralysait certaines de ses activités depuis ce week-end. Le spécialiste de l’expertise travaille actuellement au redémarrage de ses systèmes. De l’autre côté de la mer du Nord, l’Irlande a subi également, dans la période, une infection.
« Il y a une attaque ransomware importante sur les systèmes informatiques de HSE. Par précaution, nous avons arrêté tous nos systèmes informatiques afin de les protéger de cette attaque et de nous permettre d’évaluer pleinement la situation avec nos propres partenaires de sécurité », tweetait l’organisme.
La maternité Rotunda de Dublin a prévenu que toutes les visites ambulatoires avaient été annulées, sauf pour les femmes enceintes d’au moins trente-six semaines, « en raison d’un grave problème informatique ».
Le docteur Fergal Malone, responsable de cette maternité, a expliqué à RTE que l’attaque visait des ordinateurs stockant des dossiers médicaux. (Crédits : Jonathan Borba/Pexels)
« Il n’y a pas de problème pour la sécurité des patients », a-t-il assuré et l’hôpital est passé en mode dégradé avec les dossiers papiers. « Mais évidemment, le débit sera beaucoup plus lent », a-t-il déclaré.
Le « Pass Sanitaire » est-il sécurisé ?
Clément Beaune, secrétaire d’État en charge des Affaires européennes, indiquait au Sénat que la version française du « pass sanitaire » serait « soumise, avant toute mise en œuvre, à l’avis de la CNIL ». Elle possède un pouvoir tout relatif de recommandation, souligne le journaliste Olivier Tesquet, interviewé par Salomé Saqué, sur Blast. L’exemple des caméras intelligentes de Datakalab, pour mesurer le port du masque dans les transports en commun, est criant de vérité.
La CNIL émettait des recommandations, mais l’État est passé par un décret. Les nouvelles sanctions que la CNIL, hormis le caractère pénal, peut prononcer sont :
Une astreinte
Le retrait d’une certification
Le retrait d’agrément
Des amendes administratives (de 4% du CA mondial à concurrence de 20 millions d’euros)
Dématérialisé, le dispositif pose évidemment la question de la protection des données. Selon le gouvernement, les données sont chiffrées et restent en local sur le terminal téléphonique des usagers. Ce dernier assure que l’application ne garde rien en mémoire pour scanner les codes. Grâce à l’usage de ces QR code, les autorités ou effectifs habilités n’ont par ailleurs accès qu’aux informations qui leur sont utiles selon le gouvernement : « Quand vous tendrez votre pass, la seule chose qui apparaîtra à l’écran sera du vert ou du rouge. Personne ne saura si vous pouvez vous déplacer grâce à un vaccin ou un test PCR », déclarait Cédric O, secrétaire d’État en charge du numérique, sur Europe 1.
La cocasserie du « pass sanitaire » vient de l’interview du maire de Nice, Christian Estrosi, par Jean-Jacques Bourdin, sur BFM-TV le 30 mars 2021. « Je suis en faveur d’un pass sanitaire tout de suite […] ce qui permettrait de libérer un certain nombre d’activités au plan culturel, au plan commercial […] muni de ce pass sanitaire, et la condition naturellement serait que vous n’ayez à aucun moment refusé d’être vacciné […] », explique l’édile. « C’est presque de la vaccination obligatoire », questionne le journaliste. (Crédits : Juliettpapa97/Wikipedia)
« Non, ça veut dire que vous acceptez de ne plus participer à un certain nombre d’activités où vous pourriez être contaminant. » Autrement dit, vous avez le choix d’approuver votre vaccination obligatoire pour vous rendre sur la promenade des Anglais. Endroit même où la reconnaissance faciale était testée lors du carnaval. Un sondage demandé par BFM-TV posait la question suivante : « Vous personnellement, seriez-vous favorable ou opposé à la mise en place de ce “pass sanitaire” permettant aux personnes ayant un test négatif récent ou étant vaccinées d’accéder à certains lieux (stades, salles de concert, voyages, etc.) et interdisant à celles n’ayant pas de test négatif ou non vaccinées d’y accéder ? » Près de deux tiers des personnes interrogées sont favorables (63 %), dont plus de 71 % de ces personnes ont plus de 50 ans. Concernant la sécurité, chiffrée ou non, il faut se rappeler qu’avant d’être ajoutés à « TousAntiCovid », les résultats de tests et autres certificats sont, quoi qu’il arrive, centralisés sur la plateforme sidep.gouv.fr et, aussi protégée soit-elle, aucun système informatique n’est infaillible. Mélangez toutes ces données, les confidentielles, celles qui ont fuité, celles qui échappent à tout contrôle, épicez de la loi de sécurité globale, saupoudrez de reconnaissance faciale, vous obtenez un cocktail explosif. Sachant qu’« il n’y aura pas de retour en arrière…»
Colonial Pipeline, qui détient le plus grand oléoduc sur le sol américain, est infecté par un code malveillant. La police fédérale américaine refuse de communiquer quant au versement possible d’une rançon. Seule indication de la part du FBI, le ransomware DarkSide serait à l’origine de l’attaque. Un vent de panique concernant une hausse du prix des carburants, ou encore un impact sur l’économie, affole la population outre-Atlantique. Cet oléoduc transporte essence et diesel sur près de 9000 kilomètres à travers les États-Unis, de Houston (Texas) jusqu’au port de New York.
Colonial Pipeline est la firme qui délivre quotidiennement plus de 380 millions de litres de fioul, elle a cessé toutes opérations samedi 8 mai 2021. La distribution représente quasiment 45 % des carburants consommés sur la côte est américaine. « Le 7 mai, la compagnie Colonial Pipeline a appris qu’elle était victime d’une attaque de cybersécurité », explique le groupe.
Une faille dans les tuyaux de l’énergie
Dans un communiqué laconique, Colonial Pipeline confirme avoir placé à l’arrêt toutes ses actions. « Nous avons mis certains de nos systèmes hors ligne par précaution afin de contenir la menace, ce qui a temporairement interrompu toutes les opérations de pipelines et affecté certains de nos systèmes informatiques. » En coulisses, l’information circule, le groupe est victime du ransomware DarkSide.
Le président des États-Unis, Joe Biden, continue d’être régulièrement renseigné de l’incident du Colonial Pipeline, stipule le site de la Maison-Blanche. L’institution apprécie en permanence la répercussion de cet incident sur le ravitaillement en carburant de la côte est.
« Nous surveillons les pénuries d’approvisionnement dans certaines parties du Sud-Est et évaluons toutes les mesures que l’administration peut prendre pour atténuer l’impact autant que possible. »
Le locataire de la Maison-Blanche a ordonné aux agences du gouvernement fédéral de mobiliser leurs ressources pour aider à édulcorer les déficits là où ils se produisent.
(Crédits : AFP)
Des responsables américains ont cherché à apaiser les inquiétudes, soulignant que les répercussions ont été modestes jusqu’à présent. Pour autant, les prix de l’essence aux États-Unis avaient augmenté de 1,5 % lundi matin, d’après la BBC.
Inquiétudes au Québec
L’arrêt du pipeline a des conséquences immédiates : files d’attente interminables devant les stations-service, flambée des prix à la pompe, et crainte de pénuries dans plusieurs États du Sud-Est. Des mesures d’urgence sont prises pour réacheminer le carburant par voie terrestre ou maritime. Les aéroports de Baltimore, Atlanta, Charlotte ou encore Nashville devront décider quant à leur alimentation en kérosène, dès demain mercredi 12 mai 2021. Au Québec, le gestionnaire d’actifs des épargnes des travailleurs possède 1,5 milliard de dollars américains de participations.
« Oui, la Caisse détient une participation dans Colonial Pipeline », corroborait le porte-parole de la Caisse de dépôt Maxime Chagnon, joint dimanche après-midi par La Presse.
« Le ransomware DarkSide est responsable de la compromission des réseaux de Colonial Pipeline », confirme le FBI. Les enquêteurs ont déterminé l’origine de l’agression dès lundi, par deux faits. Le premier concerne le langage utilisé, le russe. Le second vise le codage, qui est réalisé pour ne pas s’attaquer aux entreprises qui usent de claviers russes, selon l’agence gouvernementale. Cette opération révèle au grand jour une nouvelle forme de vulnérabilité nationale. Pour la première fois, une cyberattaque non étatique paralyse un pan entier de l’économie américaine.
(Crédits : Mikhaël Noury/Pexels)
« Nous continuons à travailler avec l’entreprise et nos partenaires gouvernementaux sur l’enquête. » Le président du Bureau ovale indiquait que rien ne permet pour le moment de conclure à une participation de Moscou. Le Kremlin a nié mardi être impliqué dans cette opération. « La Russie n’a rien à voir avec ces cyberattaques. La Russie n’avait rien à voir avec les cyberattaques perpétrées précédemment », souligne le porte-parole du Kremlin, Dimitri Peskov. « Nous rejetons catégoriquement toute accusation à notre endroit à ce sujet. »
DarkSide, la face obscure du hacking rentable
Apparu à l’été 2020, le rançongiciel DarkSide fait ses classes. Vraisemblablement issu de la sphère russophone, il se distingue dès ses premières attaques par un code sophistiqué et un modèle économique structuré : celui du RaaS, Ransomware-as-a-Service. Il repose sur la location de leur rançongiciel à des affiliés, en échange d’un pourcentage sur les rançons versées.
L’organisation se revendique de proposer un « produit visant uniquement les grandes entreprises ».
D’après plusieurs sources concordantes, Colonial Pipeline aurait payé 4,4 millions de dollars en cryptomonnaie pour recouvrer ses données. Le FBI parviendra à retracer une partie de la transaction et à récupérer une portion des fonds, soit 2,3 millions de dollars américains.
Après 2021, plusieurs groupes cybercriminels apparaissent. Ils possèdent des méthodes similaires à celles de DarkSide, notamment BlackMatter et AlphV (BlackCat). Le modèle RaaS, quant à lui, continue de prospérer, décentralisant les attaques et brouillant les pistes d’attribution. (Crédits : Antoni Shkraba Studio/Pexels)
Les spécialistes parlent déjà d’un tsunami numérique, non pas pour son ampleur destructrice, mais pour la prise de conscience brutale qu’il a provoquée. L’organisation fait sa dernière apparition le 13 mai 2021, la possible dispersion dans d’autres groupes similaires tels que Revil/Sodinokibi ou Ragnar Locker est avérée. La fin du ransomware REvil est actée par le FSB en 2022.
