Libre Expression

Étiquette : Databreach

Fuites et attaques en France, Allemagne et Argentine
Les fuites sont le résultat de maladresse, d’erreur « informatique » ou volontaire. Celle concernant la ville de Fréjus, les « Macron leaks », ou celle du groupe IBIS. Les données personnelles des agents et élus révélées dans le sud de la France. L’équivalent de 10 Go de correspondances laisse fuiter des données sur le parti politique Renaissance. Faille de sécurité dans les terminaux de check-in IBIS à Hambourg. L’attaque de type ransomware de la commune de Morón en Argentine est une autre menace.
La sécurité des données est un problème majeur. La fuite des infos de 43 millions de personnes de France Travail est un exemple criant. Elle suit la divulgation des informations du tiers-payants des sociétés Viamedis et Amelys.
Vos données sont exposées
Mercredi 27 mars 2024, un incident numérique sans précédent diffuse des informations hautement confidentielles. Plus d’un millier de personnes sont concernées. Un document de 1 298 pages détaille salaires, primes, adresses, informations bancaires relate VarActu.
Le document partagé via un lien est depuis supprimé par les services compétents de la ville. Chaque personne eut accès à l’ensemble des données de chaque collègue.
L’occasion est donnée de connaître salaires, les frais de représentation, primes, les avancements du personnel, adresses de domicile, numéros de Sécurité sociale, URSSAF, les RIB, le nom des banques et le montant de l’impôt sur le revenu
La commune martèle que « tout usage frauduleux ou diffusion de ce document confidentiel et interne pourra faire l’objet de poursuites […] »
Une enquête interne est diligentée annonçant que des mesures seront prises dans les prochains jours.
(Crédits : Pexels/Pixabay)

Si les 1 298 pages ne sont plus accessibles, l’ensemble est potentiellement téléchargé. L’utilisation frauduleuse ou la diffusion, même partielle peut engendrer des poursuites pénales.
Les « Macron Leaks » à nouveau en circulation
L’affaire politique française est constituée par le piratage de près de 10 Go de données. Des milliers de courriels et documents étaient publiés sur internet, juste avant la fin de campagne en 2017. Radio France explique que les fichiers sont composés de messageries électroniques personnelles et professionnelles de cinq personnes. Anne Christine Lang, Alain Tourret, Cédric O, Quentin Lafay, et le conseiller politique Pierre Person.
Mr SaxX relate que « les fichiers circuleraient au moins dans 2 différents forums/canaux du darkweb, repères de cybercriminels, de chercheurs en cybersécurité et autres agences de renseignements » à l’heure de l’écriture du post sur X (ex-twitter).
De nombreuses voix dénonçaient des opérations d’ingérence de la Russie pour déstabiliser les élections françaises.
Si certains conflits perdurent sur le sol, l’offensive cyber est bien réelle. Ainsi différents états alliés ou ennemis, différents groupes cybercriminels ou hacktivistes s’en prennent à la France.
« Ils vont prendre la France comme un terrain de jeu dans le cyberespace dans les prochaines semaines », continu Mr SaxX
Ce qui semble être le cas, quand vous naviguez sur différents réseaux comme telegram. Pour autant tout se passe sous les radars des différents médias. Est-ce utile que tout à chacun le sache ? (Crédits : Mandy Klein/Pixabay)

Les entreprises les plus exposées étant nos commerçants, nos collectivités territoriales, les millions de sites d’associations et particuliers qui se feront pirater et contribueront à leur insu à cette vague redoutée d’attaques informatiques en tout genre.
Cyberattaque par ransomware de Morón en Argentine
Une méthode bien connue : l’attaque cybernétique de type ransomware. Un courriel arrive infecté et patatras. Le chiffrage des informations, dont la clé de déchiffrement se monnaye. Un message vous demande de vous connecter au réseau au darkweb via Tor.
« El acceso a la red municipal y a cada uno de los servidores que se utiliza fue afectado por un programa de secuestro de datos. La maniobra perpetrada por hackers anónimos fue denunciada judicialmente », relate Lucas Ghi, maire de Morón sur X (ex-Twitter).
Le site web de la commune est hors service depuis dimanche 31 mars.
Une rançon s’affiche, avec une sanction : la diffusion des informations en cas de no paiement. Fort heureusement, la commune argentine dispose de sauvegarde. La restauration prendra cependant plusieurs jours.
La municipalité indique que l’ensemble sera opérationnel vendredi 5 avril.
(Crédits : Tiempo)
Une plainte est déposée auprès du tribunal compétent. La commune argentine se veut confiante. La municipalité de Morón informe que les numéros d’urgence, tels que le 911, 100 (Pompiers), la Défense civile ne sont pas affectés.
Une fuite découverte par hasard
Cocasse est le mot. Une faille de sécurité trouvée sur le terminal d’entrée de l’hôtel IBIS Budget, à Hambourg en Allemagne. Cette trouvaille accidentelle est l’œuvre de Martin Schobert (Pentagrid).
Juste après un congrès de hackers outre-Rhin, un utilisateur recherche une forme spécifique d’un numéro de réservation. Un bug apparaît.
« Si un invité n’entre pas dans une carte d’identité de réservation mais entre ‘—————————————————- Toute autre séquence de tirets est acceptée si elle est suffisamment longue pour permettre le bouton de soumission », explique Pentagrid. L’explication est documentée en vidéo.
Le terminal d’enregistrement fuit des informations sensibles : le numéro de la chambre et le code. Cela permet à une personne mal intentionnée de pénétrer dans n’importe quelle chambre. « Adieu vos effets personnels, surtout dans un hôtel bas de gamme comme celui-ci qui n’est pas équipé de coffres-forts dans les chambres. Et je vous parle pas des agressions en pleine nuit ! » ajuste Korben. (Crédits : Pentagrid)

La vulnérabilité est depuis corrigée par le groupe Accor. Ainsi sur une facture, une confirmation de réservation jetée peut donner accès à ladite chambre. Pentagrid recommande pour les hôtels franchisés que « le terminal soit désactivé tant que le problème n’est pas résolu. » Dès que la mise à jour du logiciel est disponible, l’installer et vérifier que le problème n’existe plus.
avril 3, 2024
Une cyberattaque concerne potentiellement 43 millions de Français
France Travail (ex Pôle Emploi) est victime d’une cyberattaque entre le 6 février et le 5 mars 2024. Ce mercredi 13 mars, l’organisme alerte sur le « risque de divulgation » de données personnelles. Elle touche « potentiellement » 43 millions de personnes. Les informations personnelles sont susceptibles d’être divulguées et d’être exploitées de manière illégale. Après Almerys et Viamedis, la cyberattaque contre les services du Premier ministre, deux jours avant la révélation de France Travail.
Fin août 2023, Pôle Emploi explique que l’un de ses prestataires est « victime d’un acte de cybermalveillance ». La potentielle conséquence est la compromission de données relatives aux « demandeurs d’emploi inscrits en février 2022 et d’anciens usagers de Pôle emploi ». Ledit prestataire est l’entreprise Majorel, qui martelait être « pleinement, investis dans la poursuite des investigations et mets tout en œuvre pour les mener à bien dans les meilleurs délais ».
43 millions d’usagers potentiellement concernés
À la suite d’une intrusion non autorisée, il existe un risque de divulgation des données personnelles. Elles sont susceptibles d’être divulguées, exploitées de manière illégale. Après avoir déposer plainte, les investigations sont en cours.
Les données exposées sont les suivantes : prénom et nom, date de naissance, numéro de sécurité sociale, identifiant France Travail, numéros de téléphone, adresses e-mail et postale.
« Les mots de passe et les coordonnées bancaires ne sont pas concernés par cet acte de cybermalveillance. Il n’existe donc aucun risque sur l’indemnisation » continu France Travail.
Le risque « zéro » n’existe pas.
(Crédits : capture d’écran)

L’opérateur public indique que la base de données contient les données personnelles d’identification des personnes actuellement inscrites depuis 20 ans. Ensuite, les personnes non inscrites sur la liste des demandeurs d’emploi, mais ayant un espace candidat. Un système de dépôt de plainte simplifié est mis en place.
Quid des attaques contre les services du Premier ministre ?
Comme l’écrit LeMagIT, « une cyberattaque d’une “intensité inédite” aux airs de tempête dans un verre d’eau » se déroule le 11 mars 2024. Le groupe Anonymous Sudan se targue des articles mentionnant leur cyberattaque. Le groupe fait parler de lui dès janvier 2023. Ils seraient un groupe d’hacktivistes pro-russe qui s’attaque à ceux qui soutiennent l’Ukraine.
Lors d’une campagne en mars 2023, le groupe vise des installations médicales, universités et aéroports en France. « Ces attaques étaient motivées par un dessin représentant le prophète Mahomet et qui aurait fait référence aux caricatures controversées du magazine Charlie Hebdo. »
« La principale tactique […] des attaques DDoS sur le Web à partir de serveurs publics en nuage, en dissimulant les sources d’attaque derrière et à travers des milliers de proxys HTTPS/SOCKS », explique Radware.
Anonymous Sudan change son mode opératoire dans le second semestre 2023 explique LeMagIT. « Il s’appuie sur le botnet Skynet-Godzilla, partageant une promotion à 100 $ la journée, fin novembre dernier. »
(Crédits : Capture d’écran/AS/Telegram)

Les attaques visent Israël, l’Inde, la France, l’Australie en avril 2023. Puis revendique les perturbations contre Outlook, Teams, SharePoint Online, OneDrive for Business et de la plateforme cloud Azure. « Les attaques d’Anonymous Sudan se caractérisent par des attaques par DDoS Web associées à des vagues UDP et SYN floods. Les attaques proviennent de dizaines de milliers d’adresses IP uniques avec un trafic UDP pouvant atteindre 600 Gbps et des vagues de requêtes HTTPS jusqu’à plusieurs millions de requêtes par seconde. »
Attaque versus communication
Les attaques cybernétiques de type Déni de service (DDoS) sont légion. Avec un investissement réduit, vous disposez d’un maximum d’efficacité. En 2022, Microsoft subit 1435 attaques de type DDoS par jour. Le but est toujours de nuire. Pour un euro investi, c’est plusieurs centaines de milliers d’euros de dégâts.
En 2023, chaque attaque coûte en moyenne 500 000 dollars aux entreprises. Les personnes dernières usées de défiguration de site et de DDoS
La communication autour de l’attaque est importante. Une attaque DDoS peut être utilisée pour camoufler une autre offensive.
Ce qui peut étonner, est la mise en avant ce ces attaques. La France est régulièrement attaquée. L’Assemblée nationale voit son site tomber en novembre 2023.
(Crédits : Elchinator/Pixabay)

Comme martèle LeMagIT, la publicité faite autour de ces attaques questionne. « Les incidents cyber au sujet dont l’État ne parle pas ne manquent pas. Choisir de communiquer sur ce DDoS, et saisir l’opportunité de se positionner en victime à coût nul, n’a rien d’innocent. »
mars 14, 2024
Quelques jours après son démantèlement, LockBit est de retour ?
La coopération des différentes forces de police met hors d’état 34 serveurs du ransomware-as-a-service LockBit. Actif depuis 2019, il est reconnu comme le rançongiciel le plus nocif et le plus prolifique. Les dégâts se chiffrent en milliards d’euros. Sauf qu’après l’effet d’annonce et la couverture médiatique, il semble être de retour. La seule certitude est que la coopération policière fonctionne, que le ransomware a souffert. L’opération Cronos nuit gravement à la capacité et la crédibilité du groupe cybercriminel.
L’action internationale coordonnée entre police et justice débouche le 19 février 2024 à une mise hors ligne de 34 serveurs. Une faille PHP est exploitée à l’insu du groupe de cybercriminels. Deux membres sont arrêtés en Pologne et en Ukraine sur demande des autorités françaises.
Opération Cronos
L’opération implique les services de police et de justice de plusieurs pays (États-Unis, Grande-Bretagne, France, Japon, Suisse, Canada, Australie, Pays-Bas, Suède et Allemagne) avec un appui de plusieurs autres pays (Finlande, Pologne, Néo-Zélande, Ukraine). Trois mandats d’arrêt internationaux et cinq actes d’accusation sont émis par les autorités judiciaires françaises et américaines, communique Europol.
L’exploitation qui a duré plusieurs mois a abouti à la compromission de la plate-forme principale de LockBit. C’est également d’autres infrastructures critiques qui ont servi à leur entreprise criminelle.
Il s’agit de 34 serveurs en Allemagne, aux Pays-Bas, aux États-Unis, en Finlande, en France, en Suisse, en Australie et au Royaume-Uni.
Les autorités ont ainsi gelé plus de 200 comptes de cryptomonnaie liés à l’organisation criminelle. Cela souligne l’engagement pris. La perturbation de perturber les incitations économiques qui poussent les attaques de rançongiciels.
(Crédits : capture d’écran)

La faille CVE-2023-3824 exploitée par les forces de police
Quand les rôles s’inversent, le gendarme devient voleur. La comparaison avec le jeu enfantin s’arrête ici. Les forces de l’ordre ont exploité la faille connue sous CVE-2023-3824.
Une vulnérabilité trouvée dans PHP à 8.0.29 est classée critique. Cela concerne la fonction phar_dir_read du composant PHAR Handler.
La désormais célèbre faille qui a fait tomber le ransomware Lockbit lors de l’opération Cronos le 20 février 2024. Lors du chargement d’un fichier phar, et de la lecture des entrées du répertoire PHAR, une vérification insuffisante de la longueur peut entraîner un débordement de la mémoire tampon de la pile. Ce qui conduit potentiellement à une corruption de la mémoire ou à un RCE.
Ce problème peut permettre à un attaquant d’initier une corruption de la mémoire en obligeant l’application à ouvrir une archive .phar spécialement conçue. Ainsi l’attaquant la permission de corrompre la mémoire ou de provoquer une condition de déni de service (DDoS). (Crédits : capture d’écran)

L’exécution de code à distance (Remote Code Exécution) est utilisée pour exposer une forme de vulnérabilité. Elle peut être exploitée lorsque l’entrée de l’utilisateur est injectée dans un fichier ou une chaîne, et que l’ensemble du paquet est exécuté sur l’analyseur du langage de programmation.
LockBit est de retour ?
« Le 19 février 2024 […] à 6 h 39 UTC j’ai trouvé une erreur sur le site 502 Bad Gateway, j’ai redémarré nginx – rien n’a changé, j’ai redémarré mysql – rien n’a changé, j’ai redémarré PHP – le site a fonctionné. À 20 h 47, j’ai constaté que le site affichait une nouvelle erreur 404 Not Found nginx. J’ai essayé d’entrer sur le serveur via SSH et je n’ai pas pu, le mot de passe ne convenait pas, comme il s’est avéré plus tard, toutes les informations contenues sur les disques ont été effacées. »
Celui qui semble être le CEO du ransomware explique qu’en raison de sa négligence personnelle et de son irresponsabilité, il n’a pas mis à jour PHP à temps. Il évoque cependant un autre style d’attaque comme 0day.
Les sites avaient disparu de la toile, comme annoncé. Mais 5 jours après un nouveau site vitrine apparaît. « LockBit dispose toujours d’une infrastructure en ligne qui fonctionne toujours. Il est assez ahurissant de constater que depuis 4 ans et 170 jours, ces types se livrent à des cambriolages d’écoles et d’hôpitaux et qu’ils viennent encore d’en faire », explique Kevin Beaumont, chercheur en sécurité.
« Aucun FBI avec ses assistants ne peut m’effrayer et m’arrêter, la stabilité du service est garantie par des années de travail continu. »

Depuis 63 victimes sont placardées sur le site de fuite. Les derniers en date sont l’hôpital texan Ernest Health, l’agence napolitaine en immobilier de luxe, stock developement avec 1 TB d’informations, l’entreprise chinoise de communication SunWave…
mars 8, 2024
Quelles sont les escroqueries les plus courantes sur le WEB ?
Les fuites de données sont une manne financière en devenir pour les escrocs et cyberdélinquants. Les personnes malveillantes surfent sur les annonces des géants du WEB, mais pas seulement. Ils se servent de fausse loterie, du chantage à l’amour, des remboursements, des appels de sois disant votre banque. Ainsi la recrudescence d’arnaques ou tromperies fleurit. Mais quelles sont-elles ? Comment opèrent-ils ? Comment s’en prémunir ? Que faire lorsque vous avez innocemment ou sans prêter attention « cliqué » sur le lien ?
« Vous avez gagné le gros lot » ou « Vous héritez de votre oncle Américain », ou etc. Toutes les possibilités pour vous arnaquer existent. Ils jouent avec vos sentiments, comme un commercial vous vend une cafetière sans vous parler du produit. Ils usent d’une ingénierie sociale, de l’OSINT à vos dépends, bref chaque année de nombreuses personnes en France sont victimes d’escroquerie par courrier électronique ou SMS.
Le top 5 des escroqueries en France
Plus les vecteurs d’attaques sont nombreux, plus la probabilité d’une réussite augmente. Les plus courantes sont l’arnaque à la carte vitale, la vignette Crit’Air, le faux procès-verbal via ANTAI, le vishing, les faux chèques de banque de France, qui peut engendrer une sixième : le « spearphishing ». Mais comme disait Albert Einstein, « il n’existe que deux choses infinies, l’univers et la bêtise humaine… mais pour l’univers, je n’ai pas de certitude absolue. » Les cyberdélinquants s’appuient sur la méconnaissance et la crédulité des utilisateurs.
La carte vitale est un élément essentiel de chaque Français. Mais depuis la cyberattaque de #Viamedis et #Almerys, et la fuite de 33 millions de numéros de sécurité sociale uniques, la recrudescence des tentatives de fraudes est possible.
Quid des tentatives de phishing ? Comme explique Damien Bancal sur Zataz « cela demanderait beaucoup de temps et d’énergie à un pirate que de regrouper d’autres données, via les réseaux sociaux par exemple. Pas sûr que l’opération soit rentable pour lui. » Donc l’usurpation d’identité semble plus accessible, il faut donc rester sur ses gardes, sans omettre une vigilance sur vos courriels, SMS et appels téléphoniques.
(Crédits : Interpol)
De très près suit la fameuse vignette Crit’Air. Parfois des prix exorbitants fleurissent. Alors que le tarif actuel est de 3,77 € en sus de l’affranchissement. Concernant le monde de l’automobile. Les tentatives d’arnaque aux faux PV sont nombreuses. Les délinquants se font passer pour l’agence nationale de traitement automatisé des infractions (ANTAI) via SMS.
Le monde de la banque touché
Un nouveau mot est à inclure à votre lexique, le « Vishing ». Contraction de deux termes anglais Voice pour voix et phishing pour hameçonnage. Imaginez, il est 16 h 45, votre conseiller bancaire vous contacte. « Monsieur X, nous avons détecté des mouvements suspects ce matin. Un virement de 500 € en direction de la Côte d’Ivoire via Western Union ».
Ledit conseiller vous confirme vos civilités pour vous conforter dans la véracité de l’échange. Une fois fait, il vous invite à vous rendre sur l’application de votre banque sur le smartphone. Il vous demande d’annuler le virement avec insistance.
« Stop !!! C’est une arnaque ».
Votre banquier n’a pas besoin de vous pour annuler une transaction. Il peut de son ordinateur, avec l’aval de sa hiérarchie l’effectuer. « L’Observatoire de la sécurité des moyens de paiements (OSMP) a relevé une hausse de 9 % des fraudes aux virements en 2022 », explique Le Revenu.
Ces fraudes constituent plus d’un quart des préjudices financiers, soit une somme totale de 1,19 milliard d’euros. Les principales victimes sont bien entendu, les particuliers et petites entreprises.
Le Parisien apporte des chiffres précis. « Déjà, en 2022, le préjudice avait atteint 340 millions d’euros (+ 27 % en un an). Et au 1er semestre 2023, la facture grimpe déjà à 203 millions d’euros, selon la Banque de France. »
(Crédits : Ralph Altrip Germany/Pixabay)
Une conférence en ligne de Cybermalveillance en partenariat avec l’UFC-Que Choisir et l’Association française des correspondants à la protection des données à caractère personnel (AFCDP) traitait d’une conférence. Son titre : « Une fraude bancaire toutes les 4 secondes : et si demain, c’était vous la victime ? » Les vecteurs sont multiples : courriel et SMS frauduleux, fausses applications, usurpation d’identité, spoofing, fraude au conseiller bancaire…
Les désormais « classiques »
Les tentatives hameçonnage (ou phishing) concernent plusieurs milliers de Français chaque année. Ils usent de ruses. En se faisant passer pour des sites gouvernementaux, ou d’organisations ayant pignon sur rue, ils veulent vous voler.
Vous les avez sûrement vues passées dans vos boîte aux lettres électroniques (BAL) dans les indésirables, spams… Un message bienveillant vous indique que votre Cloud est plein, que l’espace de Google Drive est épuisé. Vous êtes en retard pour payer votre contravention.
Un commissaire de police belge vous envoie un courriel, dans votre BAL. Une invitation à vous rendre à l’Hôtel de police pour des affaires de pédophilies, de détention d’images pédopornographiques… ou vous pouvez payer une forte somme, pour éviter l’embarras.
« Votre livraison de colis a échoué ! » Vous devez payer des frais supplémentaires pour recevoir le fameux colis. Aujourd’hui, nous regardons nos courriels de plus en plus sur notre smartphone, ou ordiphone, avec les risques que cela comprends.
(Crédits : Anna/Pixabay)
En cas de doute ne cliquez pas sur les liens contenus dans le courriel, ne scannez par le QR Code, accédez par le moteur de recherche de votre ordinateur ou de votre smartphone. Mieux, contactez directement votre banque, assurance… bref celui qui vous contacte, sans passer par le lien, SMS. Pour le reste la Task-Force nationale de lutte contre les arnaques se mobilise et publie un guide de prévention contre les arnaques au format PDF (Portable Document Format), et les conduites à tenir pour connaître vos droits « Ça n’arrive pas qu’aux autres ! »
février 20, 2024
Cent hôpitaux roumains hors ligne après la cyberattaque du ransomware BackMyData
Alors qu’en France les sociétés Almerys et Viamedis sont en proie à une fuite de 33 millions de données d’utilisateur unique, la Roumanie voit cent de ses hôpitaux hors ligne. La faute incomberait au ransomware « BackMyData » sui s’est attaqué à la plateforme Hipocrate. L’attaque a eu lieu durant la nuit du 11 au 12 février 2024. Ils sont 21 hôpitaux directement touchés par l’attaque cybernétique, qui est passée à 25 le matin du 13 février 2024. Par précaution, 79 autres établissements de soins ont été mis hors ligne. En France l’hôpital d’Armentières subit aussi une cyberattaque.
C’est le système d’information utilisé par les hôpitaux roumains qui a été visé. Hipocrate (HIS) est le système de gestion des soins de santé. Les autorités déclaraient 21 centres touchés dans le sixième pays le plus peuplé en Europe. « Pendant la nuit du 11 au 12 février 2024, une cyberattaque de type ransomware visait les serveurs de production utilisant le système d’information HIS. À la suite de l’attaque, le système est en panne, les fichiers et les bases de données sont chiffrés », a déclaré le ministère roumain de la Santé.
Le ransomware BackMyData à l’origine de la cyberattaque
La direction nationale roumaine de la cybersécurité (DNSC) relate que les attaquants ont utilisé le rançongiciel Backmydata pour chiffrer les données des hôpitaux, une variante de ransomware de la famille Phobos.
BackMyData, explique PcRisk, désactive le pare-feu, supprime les points de restauration, sans avoir au préalable chiffré l’ensemble des dossiers.
Comme Phobos il exploite les vulnérabilités des services de protocole de bureau à distance (RDP) pour l’infection. Ils ciblent souvent la faiblesse des identifiants. C’est pour ça qu’il faut avoir une passphrase solide. Car il utilise l’attaque par brut force et des dictionnaires de mots de passe. Cet ensemble de combinaison permet un accès non autorisé à des systèmes d’information dont la sécurité n’est pas optimale.
(Crédits : PcRisk)
« La plupart des hôpitaux concernés ont des sauvegardes de données sur les serveurs concernés, avec des données sauvegardées relativement récemment (1-2 jour sauf une, dont les données ont été sauvegardées il y a 12 jours », a déclaré le DNSC le lendemain de l’attaque. Une rançon de 3,5 BTC, soit 157 000 dollars américains sont réclamés par les cybercriminels (167 828, 675 € le 14 février 2024).
L’hôpital pédiatrique de Pitesti touché le samedi 10 février
Selon le DNSC les autres centres de soins ont été touchés à partir du 11 et 12 février 2024. Les 79 autres unités mises hors ligne font l’objet de complément d’enquêtes afin de déterminer si elles étaient (ou non) la cible de l’attaque.
Les hôpitaux concernés ou non ont reçu une série de recommandations. Identifier les systèmes concernés, et les isoler du reste du réseau et bien sûr d’Internet. Ne pas les éteindre, ce qui supprimerait les preuves stockées dans la mémoire volatile (RAM). Conserver une copie du message de rançon et de toute communication. Collecter et conserver toutes les informations de journal pertinentes des équipements concernés, mais également des équipements réseau, pare-feu. Examiner les journaux système pour identifier le mécanisme par lequel l’infrastructure informatique a été compromise.
(Crédits : capture d’écran/Hôpital de Spitalului)
Mais il faut immédiatement informer, l’ensemble des employés, les clients, partenaires commerciaux concernés, de l’incident et de son étendue. Restaurez les systèmes concernés en fonction des sauvegardes de données après un nettoyage complet du système. Il est absolument nécessaire de s’assurer que les sauvegardes sont intactes, à jour et sécurisées contre les attaques. Auparavant (sur les smartphones, tablettes, ordinateurs personnels et professionnels), s’assurer que tous les programmes, applications et systèmes d’exploitation sont mis à jour.
Une rançon de 3, 5 Bitcoins exigé
L’institut d’Orthophonie et de Chirurgie fonctionnelle ORL de Bucarest, le Sanatorium de pneumophtisiologie Brad à Hunedoara, l’Hôpital de pneumophtisiologie Roșiori de Vede, et la Clinique privée de Sante Călărași font partie des quatre premiers centres de soins a être confirmés comme victimes de la cyberattaque. Aucune exfiltration n’a été confirmée par les autorités compétentes.
Si aucune exfiltration n’a été confirmée par les autorités compétentes, ces dernières recommandent de ne pas contacter ni de payer les attaquants.
« Après l’arrêt de 400 ordinateurs et serveurs, nous avons travaillé principalement sur le papier », a déclaré Mirela Grosu, responsable de l’Institut régional d’oncologie.
Le ministère roumain de la Santé, dont M. Alexandru Rafila est à la manœuvre a déclaré que : « l’incident fait l’objet d’une enquête menée par des informaticiens, y compris des experts en cybersécurité de la Direction nationale de la cybersécurité (DNSC), et les possibilités de reprise sont évaluées. Des mesures de précaution exceptionnelles ont également été activées pour les autres hôpitaux qui n’ont pas été touchés par l’attaque. »
(Crédits : Mohamed Hassan/Pixabay)
Depuis que les systèmes ont été mis hors ligne ou fermés, les médecins ont été contraints de revenir à la rédaction de prescriptions et à la tenue de registres sur papier. Il n’y a pas eu de mise à jour sur les informations depuis. Concernant la demande de rançon, chaque intervenant dans les sphères de l’État roumain, martèle de ne pas payer la demande. Comme la mésaventure que connaît l’hôpital d’Armentières survenue au cours du même week-end, les demandes de rançons sont sorties des imprimantes. L’ampleur des dégâts sera déterminée par l’enquête, en France comme en Roumanie.
février 14, 2024
Que sait-on de la fuite des données de 33 millions d’assurés Français ?
Une personne malintentionnée a réussi à s’approprier les données plus que sensibles concernant le tiers payant. Le pourcentage de Français potentiellement touché par cette fuite est conséquent. Un assuré sur trois selon les estimations serait impacté. Les entreprises victimes d’une intrusion non autorisée sont les sociétés Viamedis et Almerys. Elles sont 84 au total. Quatre-vingt-quatre organismes de complémentaire santé sont impactés.
Les données ainsi exposées sont l’état civil, prénom et nom, la date de naissance, le numéro de sécurité sociale, l’identité de l’assureur complémentaire ainsi que les détails de garantie de santé. Les deux entités ont subi une attaque cybernétique à cinq jours d’intervalle.
Assurés et professionnels de santé touchés par les cyberattaques
Cette fuite connaît une ampleur sans précédent, car elle touche des données de santé. Mais l’ampleur remémore celle qui concernait le réseau social Facebook en 2021. Une fuite de 500 millions d’utilisateurs dont 20 millions en France, avec une amende de 265 millions de dollars à la clé par la DPC (équivalent de la CNIL en Irlande). Les attaques ont été révélées le 29 janvier et le 3 février 2024.
Le modus operandi est comparable pour les deux sociétés françaises spécialisées dans la gestion du tiers payant. Selon les informations de RTL, « les escrocs auraient usurpé l’identité de soignants pour entrer dans la plateforme de gestion du tiers payant de l’opérateur et accéder à de nombreuses informations personnelles avant la déconnexion du portail une fois l’intrusion découverte. »
Viamedis a déposé une plainte auprès du Procureur de la République. Et comme le prévoit le règlement général sur la protection des données (RGPD), l’incident a été notifié à la CNIL et aux autorités compétentes.
L’enquête est en cours pour déterminer les causes et conséquences, ainsi que le modus operandi du ou des cybercriminels.
(Crédits : capture d’écran/Viamedis)
Si les assurés voient leurs données s’épandre dans la nature et sur la toile, il n’est rien face aux fuites des professionnels. À savoir « la raison sociale, le prénom, le nom, l’adresse de courriel électronique, le login Viamedis.net, le numéro de téléphone, l’adresse postale, le RIB, le numéro Finess, le numéro Siret et l’appartenance éventuelle à un réseau de soins, pour les professionnels de santé », confie Valérian Ponsinet, le président de la commission convention et système d’information de la FSPF (Fédération des syndicats pharmaceutiques de France). Pour vérifier si votre mutuelle est concernée, le plus simple et plus rapide étant de la contacter.
Usurpation d’identité, fraudes, phishing…
Les craintes sont fondées pour des tentatives d’usurpations d’identités, du phishing… et toute autre possibilité de fraude grâce aux données exfiltrées. Comme le démantèlement, fin janvier 2024 d’un trafic de faux documents au niveau national. Trois hommes interpellés il y a deux semaines à Marseille, Grenoble et Rosny-sous-Bois en Seine–Saint-Denis. Ils sont poursuivis pour aide au séjour en bande organisée, fourniture et obtention indue de faux documents.
Le marché connaît une hiérarchie comme tout commerce. Les numéros de sécurité sociale sont une véritable niche financière pour les escrocs. Ils peuvent être revendus sur le dark web.
Ainsi utilisés pour usurper l’identité de leur propriétaire, sachant qu’avec les autres fuites régulières, connues ou non, les données sont croisées et complétées.
Le seul inconvénient est de taille, il est impossible de changer de numéro de sécurité sociale. D’autant que la procédure dans le cas d’une usurpation d’identité est complexe et longue.
(Crédits : Giesesamvitale/CNAMTS/GIE SESAM-Vitale)
Il pourrait, hypothèse vraisemblable que des personnes mal intentionnées pourraient les utiliser pour du phishing. Par le biais de faux courriels se faisant passer pour leur mutuelle, les escrocs à travers des liens malveillants tenteraient de voler des informations bancaires.
Les infostealers ont fait des ravages en 2023
L’enquête toujours en cours ne livrera ses secrets que bien plus tard. Il existe une menace bien réelle : les infostealers. Ces petites bêtes ont collecté plus de 40 millions d’identifiants en 2023, explique LeMagIt. « L’année s’est achevée dans un déluge de divulgations, mais assez peu de détections », martèle le rédacteur en chef.
Le total affiche 43, 638 millions d’identifiants compromis, seulement en France. De nombreux collaborateurs d’entreprises, dont des identifiants professionnels sont compromis explique HudsonRock.
Le premier infostealer est apparu en 2006. Il est connu sou le nom de zeuS ou zbot. Son but collecter les informations puis disparaître. Le « Malware As A Service » (MAAS) est un logiciel qui peut être loué, les développeurs moyennent leur logiciel malveillant contre monnaie sonnante et trébuchante.
Leur dangerosité tient en ce qu’il dérobe. Connu pour voler des justificatifs d’identité, il peut voler des tokens permettant de détourner l’authentification multifactorielle (MFA).
(Crédits : Gerd Altmann/Pixabay)
« Ce risque vaut particulièrement si des collaborateurs d’une organisation enregistrent, dans leur navigateur Web – sur une machine personnelle ou même de l’entreprise – des identifiants permettant l’accès à distance à des ressources du système d’information. » D’autant que l’attaque dont a été victime AnyDesk vient corrobore les craintes. Le CERT a publié un bulletin d’alerte sur la « prise de contrôle à distance par un acteur malveillant » le 5 février 2024.
février 7, 2024
Cyberattaque du système de santé colombien Salud Total EPS-S
Déjà en 2022, l’EPS (Empresas promotoras de salud) Sanitas avait fait l’objet d’une cyberattaque. L’impact direct affectait 5,5 millions de Colombiens. À peine plus d’une année s’écoule pour qu’autre EPS soit victime d’une intrusion non autorisée. L’entreprise « Salud Total » est la victime. C’est le 27 janvier 2024 que l’entité a révélé l’affaire sur son site WEB. L’attaque cybernétique serait de type ransomware selon les informations. Elle perturberait selon Total Health EPS-S sa plateforme technologique.
Par un communiqué du 29 janvier 2024, l’entreprise de santé colombienne alertait ses 4,8 millions de membres. Sur les différents réseaux sociaux, l’EPS répondait que « nous vous rappelons qu’en raison de l’urgence, nos canaux ont été isolés afin de sauvegarder toutes les informations. » Si la santé du système d’information semble altérée, la mémoire des Colombiens ne l’est pas.
La Superintendencia nacional de Salud a activé son plan d’urgence. « En ce qui concerne la fourniture de services médicaux, l’EPS a assuré les soins, la fourniture de médicaments, la réalisation de laboratoires, entre autres, par l’intermédiaire de son réseau de services et d’urgences sans affecter les soins de l’utilisateur. » La société a indiqué que sa priorité était actuellement de protéger les données de ses utilisateurs et de rétablir les services concernés.
janvier 31, 2024
Un vent hivernal de cyberattaques de type ransomware en Europe
Les cyberattaques ne sont pas gelées par les températures. La Suède a subi le 20 janvier une attaque par ransomware avec une multitude d’incidents en cascade : universités médicale et d’agriculture, compagnie IT, commune, magasin… En Allemagne, un centre de formation pour adultes, un ministère en Tchéquie subit une attaque par déni de services, le Département de la Sarthe ou encore la révélation du ransomware LockBit qui a jeté son dévolu sur une université française, l’ICN creative business School.
La Suède est en tête du classement des attaques cybernétiques ces derniers jours. Tietoevry qui stipule que l’un des centres de données est partiellement sous la coupe d’une cyberattaque de type ransomware. « Tietoevry a pris immédiatement et le plus haut niveau d’action pour enquêter sur la situation, en atténuer les effets et les résoudre. À ce stade, il n’est pas possible de dire combien de temps le travail prendra », martèle l’entreprise. Elle souligne travailler en collaboration avec les autorités compétentes. Mais la compagnie est fournisseur IT de plusieurs entreprises en Suède.
Comme un château de cartes
La mise en cascade des dysfonctionnements en Suède est exemplaire. Plus d’une dizaine d’entreprises subissent de plein fouet l’attaque cybernétique par ransomware de Tietoevry. De la municipalité de Bjuv, aux magasins de Granngården, l’université d’agriculture d’Uppsala, la chaîne de cinéma, les services financiers de Loomis, mais également les services de santé de la région d’Uppsala… S’il n’existe pas de risque immédiat pour l’ensemble des patients, l’accès aux dossiers médicaux est compromis pour le moment.
La société Loomis est également impactée par la cyberattaque subie par le fournisseur de Tietoevry. (Crédits : capture d’écran/Loomis)
La chaîne de cinéma Filmstaden est dans la même expectative. « En raison d’un incident informatique chez l’un de nos fournisseurs, il n’est pas possible d’acheter des billets sur le site web ou sur l’application. […] Pour cette raison, il peut y avoir des files d’attente plus longues que d’habitude au cinéma, veuillez donc arriver à l’heure. »
Le ministère du travail Tchèque victime de cyberattaque
Le ministère du Travail tchèque indique que depuis le 16 janvier 2024, un dysfonctionnement du système d’information AKRIS. Le communiqué indique que l’entité gouvernementale est attentive aux liens frauduleux diffusés par SMS et par courrier électronique. Elle encourage les concitoyens à faire de même. Sur les liens frauduleux diffusés par tous moyens « ils mènent à de faux sites qui se font passer pour le site officiel. Il s’agit de phishing, ne cliquez pas sur les liens. »
Non loin de la Tchéquie, c’est un canton suisse qui essuie une attaque par déni de services le 19 janvier 2024. (Crédits : capture d’écran/Canton de Basel-Stadt)
Entre 6 h 30 et 9 h, le 19 janvier dernier, le site du canton n’était pas accessible. Les informaticiens cantonaux ont pris des contre-mesures pour assurer le fonctionnement sans interférence, assure la communication. Les auteurs de l’attaque ne sont pas connus. Contrairement à Pozzi Italy dont l’attaque est affichée par le ransomware Medusa.
Cyberattaques en France
Le site d’information Actu Le Mans a révélé que le Département de la Sarthe avait subi un incident cybernétique ce mercredi 24 janvier. C’est le président du conseil, Dominique Le Mèner qui informait l’entité départementale lors du débat d’orientations budgétaire de 2024. Sur le site vitrine du ransomware LockBit apparaît l’école de management ICN Business School.
Mais du côté du ransomware 8Base affiche le groupe Sweetco spécialisé dans la création en puériculture, en literie, dans les équipements individuels de protection (gants, chaussures) et pour les housses et tapis pour automobile. Mais aussi la ligue de l’enseignement en Isère fait partie des victimes comme le cabinet Arpege ou encore Malongo.
janvier 24, 2024
Violation de plus de 15 millions de comptes Trello
La divulgation faite le 22 janvier 2024 sur X (ex Twitter) n’a pas été infirmer ou confirmer par la maison mère de Trello. Pour autant, les conséquences potentielles d’une telle fuite peuvent être notables. Il faut indiquer que plus de 15 millions de comptes et les données sont en vente sur le dark web. Au menu, les prénoms, noms, noms ou pseudos, courriels et d’autres données sont désormais connu ou en devenir. S’il n’y a pas eu encore de communiqué officiel, l’entreprise est au fait de cette violation.
Trello est une application de gestion de projet gratuite. Elle permet d’organiser sous forme de tableau, composé de colonnes, des projets. Inspiré de la méthode Agile Kanban, c’est l’outil incontournable destiné aux équipes pour la gestion de projet. The Cyber Express a reçu la réponse d’un porte-parole d’Atlassian qui affirme que « nous sommes au courant des affirmations d’un acteur de menace concernant les données de profil des utilisateurs de Trello. » Le cybercriminel « emo », affirme que la base de données mise en vente contient des informations telles que des courriels, des noms d’utilisateur, des noms complets et d’autres informations de compte.
Atlassian assure prendre les mesures nécessaires et adéquates si la violation est confirmée par l’enquête en cours. L’entreprise demande à chaque utilisateur de veiller à toute activité suspecte, comme des tentatives de phishing, usurpation d’identité… (Crédits : DR)
Cette affaire de violation présumée de 15 115 516 comptes remémore les bonnes conduites et la vigilance associée. Mais ce n’est pas la première fois qu’une information comme celle-ci arrive. En 2020 Craig Jones, directeur des opérations chez Sophos que Trello avait exposé des informations personnelles identifiables en 2020. C’est pourquoi, il faut inculquer une culture de la sécurité sur le WEB, avec chiffrement des données sensibles, l’authentification multifacteurs (MFA), renforcer les mots de passe unique…
janvier 23, 2024
Cyberattaques… quels sont les coûts et conséquences ?
Peu importe la cible touchée par une cyberattaque, elle subit des dommages. Plus l’offensive est sophistiquée, plus les conséquences peuvent être désastreuses. Les attaquants peuvent s’en prendre à vos terminaux de différentes manières. Les plus connues sont par le déni de service (DDoS), par ransomware ou rançongiciel… Si l’entreprise trinque, les clients également. Retour sur deux exemples parmi tant de victimes à chaque seconde : la commune de Saguenay au Canada et l’entreprise réunionnaise Colipays.
La ville de Saguenay a été la cible en octobre 2023 d’une cyberattaque. Rapidement, les systèmes informatiques ont été mis en sécurité, et des mesures de protection étaient mises en place assurait la clinique. L’entreprise Colipays subissait une attaque cybernétique durant les périodes de Noël affectant la livraison de clients. Leur nombre selon la première estimation entre 200 et 500.
Quel est le coût d’une cyberattaque ?
Il est difficile de faire à brûle-pourpoint une estimation Il y a les coûts directs et ceux qui sont indirects. Les premiers sont facilement quantifiables, les seconds moins. Comme les terroristes, leurs buts sont de maximiser l’impact pour nuire à votre défense future. Aussi, ils cherchent à minimiser les frais de l’attaque pour un maximum de dégâts. L’attaque terroriste qui a marqué les esprits et celle contre les tours jumelles, le World Trade Center le 11 septembre 2021. Les conséquences se chiffrent, car « les dépenses de sauvetage et de déblaiement ainsi que les frais connexes ont été estimés à au moins 11 milliards de dollars. »
Les coûts directs facilement quantifiables.
Les coûts premiers sont la possible rançon ainsi que les frais de justice. Puis le renforcement des moyens de sécurisation, des données corrompues ainsi que la mise en conformité réglementaire. Les enquêtes techniques avec les notifications aux clients de l’intrusion, et les relations publiques.
En octobre dernier, la ville canadienne de Saguenay est victime d’une cyberattaque. C’est à travers ses équipes informatiques, qui ont réagi rapidement, que les dommages n’ont pas été causés.
Saguenay a dû dépenser de 35 000 à 40 000 $ pour répondre à une attaque informatique dont elle a été victime en octobre dernier.
« Il n’y a absolument rien auquel les pirates ont pu avoir accès, a confirmé Dominic Arseneau, porte-parole de la Ville de Saguenay. Le rapport final disait que l’objectif des pirates n’était pas forcément de voler des données de la Ville, mais plutôt d’usurper l’identité de la Ville pour hameçonner d’autres personnes par la suite ».
(Crédits : Mohamed Hassan/Pixabay)
Peu après l’attaque de la commune, c’est la clinique qui subit les foudres. Le ou les personnes à l’origine ont eu accès aux prénoms, noms, adresses, numéros de téléphone, jusqu’au numéro d’assurance maladie et des informations sur leur couverture d’assurance. « Il est important de noter qu’à l’heure actuelle, nous n’avons aucune indication [voulant que] vos renseignements personnels […] aient été mal utilisés », expliquait le Dr Michel Bérubé, directeur médical de ladite clinique.
Les coûts indirects
Une entreprise victime d’une attaque peut voir son image ternie. La méfiance voire défiance peut s’installer chez les clients, les partenaires, jusqu’aux investisseurs. La marque Lise Charmel, groupe lyonnais avait été placé en redressement judiciaire suite à la cyberattaque qui avait bloqué l’entreprise un mois durant. La procédure judiciaire a été retirée de la période d’observation depuis le 30 septembre 2021.
Le groupe recouvrait le chemin de la rentabilité et du chiffre d’affaires. C’est un petit « miracle » tout de même après « le black-out total » sur la production, mais aussi la création, les achats, la logistique, jusqu’aux e-mails.
L’entreprise réunionnaise Colipays rétablit la vérité après la cyberattaque subie depuis les fêtes de fin d’année 2023. Le remboursement prévu au 15 janvier 2024 est décalé au vu du nombre de dossiers à traiter.
« Si aucune date fixe de remboursement ne peut aujourd’hui être annoncée, nous pouvons juste à ce jour vous dire que tous nos clients seront remboursés, c’est notre engagement et notre promesse », communique Colipays sur Zinfos974. La gestion des réclamations via courriel les a conduits à renforcer leurs équipes. Vingt personnes, qui ont dû être formées à cette mission. (Crédits : Mohamed Hassan/Pixabay)
Les conséquences se découvrent les unes après les autres. « Nous comprenons l’impact que cette situation peut avoir sur nos clients, et nous nous engageons à rembourser intégralement chaque personne victime du piratage », indique l’entreprise. D’autant que les réseaux sociaux se sont transformés en pugilat. LA transparence est de mise. Surtout après être entré en contact avec un groupe formé sur Facebook. « Certains commentaires excèdent la limite du raisonnable, car particulièrement virulent, et peuvent être sanctionnés judiciairement », martèle l’entreprise.
La facture indirecte est toujours plus élevée
Les coûts directs sont conséquents, mais ils sont minimisés par l’ampleur des coûts indirects. Ils sont l’augmentation des primes d’assurance, l’interruption des activités, la déprécation de la marque, la baisse du chiffre d’affaires, perte de confiance des clients voire des investisseurs… jusqu’au dépôt de bilan. Dans le monde digital dans lequel nous vivons, la protection des données et des infrastructures est plus qu’une nécessité absolue.
La Capitale des Flandres cyberattaque indiquait un coût d’un million d’euros, qui est désormais estimé à 1,7 million relate La Voix du Nord. « Entre 50 et 60 % des PME ayant été victimes de cyberattaques mettent la clé sous la porte dans les dix-huit mois qui suivent », estime le directeur régional Grand Est d’Orange Cyberdefense, Gérard Vallet en réponse aux questions de L’Alsace.
Près d’une année après avoir été la cible de hackers qui au moment des faits avait bloqué la quasi-totalité des systèmes informatiques, Clestra, fabricant bas-rhinois de cloisons pour bureaux et salles blanches, n’en finit pas de payer les conséquences de cette cyberattaque. Comme des sociétés outre-Atlantique.
Clestra hauserman, victime d’une cyberattaque qui lui aurait coûté entre 7 et 8 millions d’euros, a entraîné sa mise en redressement judiciaire, les piratages informatiques peuvent avoir des répercussions très graves.
(Crédits : Mohamed Hassan/Pixabay)
« C’est la principale raison qui a amené l’entreprise au dépôt de bilan », indique Amar Laadra, responsable CGT métallurgie. Le bilan de l’année 2022 des conséquences financières des cyberattaques envers les entreprises françaises est sans appel. Elles ont coûté 2 milliards d’euros à la France en 2022. Selon le cabinet de conseil Asterès, qui se fonde sur l’analyse de 385 000 cyberattaques en France en 2022. « La compromission des informations d’identifications est la première cause de violation pour 19 % des entreprises. L’hameçonnage qui arrive juste après touche 16 % des organisations. Il s’agit également de la cause de violation de données la plus coûteuse en 2022 pour 4,91 millions de dollars en moyenne », martèle le gouvernement. Malgré la prise de conscience des enjeux de la cybersécurité, les entreprises et collectivités restent mal protégées, avec un manque cruel de « culture informatique ».
janvier 14, 2024