Étiquette : Databreach

Cyberattaque du cabinet d’avocats américain, Jones Day
L’un des plus grands cabinets d’avocats au monde, Jones Day est victime le 3 février 2021 du ransomware, CLOP. Basé à Cleveland, Ohio aux États-Unis il emploie plus de 2500 avocats sur cinq continents. Le bureau français est à Paris dans le premier arrondissement, à deux pas de la place de la Concorde. Jones Day est l’un des plus grands cabinets d’avocats au monde. Il compte plus de 2500 avocats dans le monde, et affiche un chiffre d’affaires annuel de 2 milliards de dollars.
Ce cabinet n’est pas un simple cabinet d’avocats. Il entretient des liens étroits avec l’administration Trump, après que plus d’une douzaine de ses avocats ont travaillé à la Maison Blanche, y compris Don McGahn, qui y a été l’avocat jusqu’en 2019.
100 Gigaoctets de données sur le darknet
Jones Day a fait la une des journaux outre-Atlantique pour avoir représenté Trump dans sa tentative d’invalidation de l’élection présidentielle américaine de 2020 en affirmant l’existence de « fraude électorale ». Cela a suscité une immense critique outre-Atlantique, pour autant continue de travailler avec l’organisation Trump.
« Contrairement aux allégations publiées dans divers médias, Jones Day ne représente ni le Président Trump, ni son comité de campagne, ni aucune autre partie dans un quelconque litige relatif à des fraudes électorales. Le Cabinet ne représente aucune partie dans aucun contentieux ayant pour objet de remettre en cause ou de contester les résultats des élections américaines », démentait le cabinet.
Un cabinet d’avocat attaqué, c’est un comble. Mais ce n’est pas en cela que l’information est détonante. Jones Day compte de nombreux clients de premier plan, dont l’ancien président des États-Unis, Donald Trump, mais pas seulement.
JP Morgan Chase & Co., Google d’Alphabet inc., et McDonald’s. pour ne citer qu’eux. La fuite de 100 Go de données pourrait avoir des répercussions conséquentes.
Tyler Combs sur Advintel prophétisait par son article, publié le 12 février 2021, sur les menaces qui pèsent sur les cabinets d’avocats, et comment les opérateurs des ransomwares exploitent les informations confidentielles contre les cabinets d’avocats.
(Crédits : Google)
« L’une des principales tâches d’un cabinet d’avocats est de gérer et de protéger les informations privées d’un client. Sachant cela, les acteurs de la menace recherchent ces informations lorsqu’ils pénètrent dans le réseau d’un cabinet d’avocats, les volent et les proposent à la vente sur les forums et les marchés du Dark Web », explique Tyler Combs.
Déjà en septembre 2020, un opérateur a eu accès à des données contenant les formulaires d’autorisation I-9, nécessaires aux États-Unis pour pouvoir travailler. Ainsi, il accédait aux noms, numéros de téléphone, adresses e-mail, dates de naissance, numéros de sécurité sociale, numéros de passeport…
Ce qui renvoie à la fuite de données critiques de plus de 220 millions de citoyens au Brésil. (Crédits : DR)
Un silence vite balayé
Dès le 13 février 2021, DataBreaches.net révèle l’information en titre de son article : « Les opérateurs prétendent avoir volé des fichiers Jones Day ; le cabinet d’avocats reste silencieux. » Peu de temps après, les opérateurs affichaient des données comme preuve de leurs délits sur le Darkweb, amorçant de ce fait la négociation. Les pirates affichent 23 liens liés à Jones Day, d’une taille allant de 1, 54 Go à 4, 5 Go. L’un d’eux est signalé comme « e-mails extraits ».
Les opérateurs du ransomware, CLOP affichent les preuves de leur délit sur le dark web (captures d’écran)

Dans un communiqué, Jones Day affirmait qu’il était le deuxième grand cabinet d’avocats en deux semaines à voir des données privées exposées à la suite d’une violation chez Accellion, qui fournit des services de transfert de fichiers et d’autres services à un certain nombre de cabinets.
« Cependant, le pirate a déclaré au Journal (NDLR The Wall Street Journal) qu’il avait piraté directement le serveur de Jones Day et qu’il n’était pas impliqué dans le piratage d’Accellion », relate The Wall Street Journal.
Les opérateurs affichent sur le Dark Web plusieurs documents qui appartiendraient audit cabinet. « Jones Day continue d’enquêter et sera en discussion continue avec les clients concernés et les autorités compétentes », conclut le porte-parole de Jones Day, David Petrou.
février 19, 2021
Fuite de données critiques au Brésil
Un tsunami a atteint le Brésil le 19 janvier 2021. Une base de données contenant des informations détaillées sur 104 millions de véhicules et des données sur 40 millions d’entreprises, déballe la quasi-totalité de la vie des citoyens. Les données exposées concernent plus de 220 millions de Brésiliens, soit plus que le total de la population (la base contient aussi des données de personnes décédées). L’entreprise de sécurité Psafe identifiait le 19 janvier 2021 une fuite extrêmement inquiétante.
Trois jours plus tard, le site Tecnoblog expliquait qu’une personne ayant découvert ladite fuite avait téléchargé des données critiques, en août 2019, raconte sur son cybermagazine, Numerama. Ces données sont critiques parce que la base contient le « Cadastro de Pessoas Físicas » (CPF) des victimes, l’équivalent de notre cher Trésor public, le centre des impôts en France. L’équivalent du CPF serait le numéro fiscal, l’identifiant lié au paiement des impôts.
220 millions de Brésiliens concernés
En effet, Le CPF est un document d’identité qui se révèle indispensable pour tout un tas de formalités au Brésil par exemple ouvrir un compte en banque, faire une carte de transport, ouvrir une ligne téléphonique et bien entendu aussi en vue de l’obtention d’un visa. La seule présence du CPF suffit à envisager des risques de fraude ou d’usurpation d’identité, puisqu’il enregistre les données des véhicules, des sociétés et des Brésiliens.
« Les cybercriminels mettent à disposition une partie des bases pour prouver la véracité des informations obtenues et tentent d’une manière ou d’une autre de profiter de ces incidents, en vendant des données telles que les e-mails, les numéros de téléphone, le pouvoir d’achat et les données d’occupation des personnes concernées. »
La carte indispensable pour vivre au Brésil (Crédits : lostinbrasil.net)
Au total, c’est 37 bases qui comprennent l’état civil, la liste des parents, l’adresse complète, avec latitude et longitude, le niveau d’éducation, le salaire, le revenu, le pouvoir d’achat… mais pas seulement. Il s’accompagne d’une variété de données d’une précision effrayante. Voici une liste non exhaustive de ce que contient la base sur chaque individu :
• Nom, prénom, date de naissance, nom des deux parents, statut marital, niveau d’éducation.
• E-mail, numéro de téléphone, adresse (nom précis de la rue, mais aussi coordonnées GPS).
• Plusieurs équivalents du numéro de sécurité sociale, et le détail de certaines prestations régulières, similaires à celles de la caisse d’allocation familiale française.
• Des détails sur le foyer : nombre de personnes, niveau de revenu.
• Des détails sur le travail : nom et identifiant légaux de l’employeur, type d’emploi, statut du poste, date d’embauche, salaire, nombre d’heures par semaine.
• Des estimations de revenu : ce calcul prend en compte le salaire, le loyer, ou encore la perception d’une éventuelle rente. Ces données servent à classer les personnes par niveau de classe sociale (baisse, moyenne, haute) et par niveau de revenu.
• Toutes sortes de données financières : le détail du score de crédit ; le nom des débiteurs et le statut des dettes ; l’identifiant de la banque des mauvais payeurs.
Jusqu’à 50 millions de Réaux d’amende
Le directeur du laboratoire dfndr, Emilio Simoni s’est exprimé : « […] les données sont utilisées pour des escroqueries de phishing, une fois que le cybercriminel a le CPF et d’autres données réelles de la personne, il serait facile de se faire passer pour un service légitime et utiliser l’ingénierie sociale pour obtenir des données plus critiques de la victime, qui pourraient être utilisées pour demander des prêts, des mots de passe bancaires et des contrats de service, prévient-il. » Dans la déclaration, PSafe n’indique ni le nom de la société impliquée ni la manière dont les informations ont été divulguées, que ce soit en raison d’une faille de sécurité, d’une invasion de hackers ou d’un accès facile. La nouvelle loi brésilienne, de protection des données personnelles (Lei Geral de Proteção de Dados pessoais, LGPD n° 13.709/18), inspirée du RGPD européen prévoit des sanctions, qui ne seront appliquées qu’à partir d’août 2021. Les entreprises qui ne respecteraient pas les nouvelles obligations paieraient une amende de 2 % de son chiffre d’affaires dans la limite de 50.000.000 Réaux (environ 7, 7 millions d’euros).
février 4, 2021