Une alerte de sécurité sur le site WEB du groupe Carrefour explique que l’entité fait régulièrement « l’objet de tentatives d’usurpation de sa marque et de son logo à des fins frauduleuses. » Mais c’est de l’autre côté des Pyrénées que le géant français fait les gros titres de la presse espagnole. La partie financière a fait l’objet d’une cyberattaque durant les festivités de Noël. C’est au travers d’une lettre adressée aux personnes concernées que la chaîne française reconnaît les faits. Une intrusion non autorisée se serait soldée par une extraction des données.
Le journal ibérique elDiario ayant eu accès audit courrier envoyé par la multinationale aux clients touchés, relate l’information. La branche « Carrefour Financial Services » aurait été victime d’une cyberattaque pendant la période des fêtes de fin d’année. Les renseignements volés sont des données personnelles (numéro de téléphone, carte d’identité) des coordonnées, le numéro d’identification et d’autres encore. Carrefour Financial Services garantit qu’en aucun cas « vos positions ou vos codes d’accès à Carrefour Financial Services ne sont compromis. »
Elle est l’une des sociétés de financement les plus populaires en Espagne. Selon les données consultables de la Banque d’Espagne, elle dispose de plus de deux milliards d’euros en prêt auprès de ses clients.
Elle propose sous forme de crédits des prêts allants jusqu’à 30 000 euros, ainsi que d’autres services de financement (ex : Crédit revolving)
Les cybercriminels n’ont pas obtenu l’accès aux mots de passe, au solde du compte, mais aux identifiants, numéros de téléphone, prénoms, noms ou encore les adresses e-mail.
(Crédits : capture d’écran/elDiario)
Prudence face au phishing et à l’usurpation d’identité
« Nous vous recommandons notamment de vous méfier des appels, emails ou SMS dont l’interlocuteur ou l’expéditeur n’est pas clairement identifié, il demande des informations comme votre numéro de compte, des informations de carte ou des codes d’accès et également d’être particulièrement prudent avec les liens inclus dans ces messages », explique l’entreprise. Les autorités et les spécialistes ibériques de la cybersécurité recommandent de signaler immédiatement tout incident à la banque. Mais également aux forces de l’ordre si par inadvertance l’on a fourni des coordonnées bancaires ou d’autres informations. L’Institut national de cybersécurité est joignable au 017, et d’un numéro de téléphone WhatsApp, le 900 116 117, pour répondre aux questions relatives à la sécurité. Il s’adresse aux citoyens, aux entreprises et aux professionnels concernés en Espagne, et est confidentiel.
Sur les cinq continents, les attaques pleuvent. La France ne fait pas exception. Le syndicat général des vignerons de la Champagne, Ubisoft et Colipays sont victimes en cette fin d’année 2023. Cette période accentue les tensions, tant sur les professionnels que leurs clients. Des déluges de commentaires de mécontentements s’affichent sur les réseaux. Pour l’entreprise basée à La Réunion, les colis auraient vu leurs adresses de livraison modifiées, empêchant leurs arrivées à destination.
« Pas de Letchis pour Noël », comme de nombreux autres colis qui ne sont pas arrivés suite aux commandes effectuées chez Colipays. L’entité annonce avoir repoussé l’attaque cybernétique. L’accès au site avait été temporairement suspendu dans le but de « faire une double vérification de sécurité dans un souci de protection de données de nos clients ». Les cybercriminels auraient seulement modifié les adresses de livraisons. Les malversations auraient impacté pas moins de 200 à 500 clients dans la période du 19 au 22 décembre 2023.
Le 27 décembre 2023 sur sa page Facebook, Colipays communique sur la cyberattaque subie. La cyberattaque dont le site a été victime est identifiée comme incident auprès de la CNIL. Le numéro FR231220900002. Une plainte a été déposée.
L’entreprise semble avoir selon les médias et les clients mis du temps à réagir. Mais comment réagir en cas d’attaques, surtout si c’est la première fois. Une adresse de courriel est mise en place pour signaler les anomalies suspectes : signalement@colipays.com Colipays communique le 29 décembre sur des modalités pour pallier l’attente vaine des colis.
(Crédits : Colipays)
Ubisoft enquête sur une intrusion non autorisée
Le 20 décembre 2023, un pirate dont l’identité est encore inconnue est parvenu à s’introduire dans le système de la société Ubisoft. VX-Underground précise que ce dernier aurait durant deux jours navigué dans les systèmes d’information de la firme française. Ladite personne cherchait à exfiltrer 900 GB de donnée. Dans la masse des renseignements ciblés se trouvaient les informations des utilisateurs de Tom Clancy’s Rainbow Six Siege le jeu sorti en 2015 compte 85 millions de joueurs.
December 20th an unknown Threat Actor compromised Ubisoft. The individual had access for roughly 48 hours until administration realized something was off and access was revoked.
They aimed to exfiltrate roughly 900gb of data but lost access.
« Nous avons connaissance d’un incident présumé en matière de sécurité des données et nous menons actuellement une enquête », a indiqué mardi 26 décembre à l’AFP un porte-parole d’Ubisoft.
La cyberattaque fomentée envers Ubisoft remémore celle perpétrée une semaine auparavant sur Insomniac Games. En téléchargement sur le site vitrine les cybercriminels derrière le ransomware Rhysida est disponibles 1,67 TB pour plus de 1,3 million de fichiers.
(Crédits : capture d’écran/Rhysida)
Le syndicat général des vignerons de la Champagne victime
Ce n’est pas le cadeau attendu par le syndicat bien au contraire. C’est autour du 26 décembre que le syndicat aurait été victime d’une cyberattaque. Depuis le syndicat a fermé ses portes, ce jusqu’au 2 janvier espèrent-ils. « Suite à un événement exceptionnel, l’ensemble des services du SGV Champagne sera indisponible entre Noël et jour de l’an », communique l’entité sur sa page Facebook.
Le journal L’Union relate que selon un courriel envoyé aux administrateurs « le Syndicat général des vignerons a fait l’objet d’un piratage informatique durant Noël. Une procédure de gestion de crise a été activée. Dans l’attente d’expertise complémentaire, l’ensemble des services du SGV sera indisponible entre Noël et Nouvel An. »
Par mesure de sécurité, l’accès aux données à la messagerie est bloqué. Le SGV propose à ses adhérents plusieurs services : centrale d’achat, expédition de colis, service de paie en ligne, habillage… autant d’informations sensibles qui pourraient intéresser des personnes malveillantes.
(Crédits : Couleur/Pixabay)
« Je ne peux pas vous dire exactement ce qu’il s’est passé. Il y a bien un virus, mais il n’y a pas de pirate, explique le président du SGV Maxime Toubart au journal L’Union. En ce moment, on nettoie tout sur le réseau et on met à jour. Je ne sais pas s’il y a eu défaillance ou piratage en règle. »
Dès que vous consultez l’adresse onion du ransomware BlackCat sur le darknet une image apparaît. Ainsi que des logos bien connus : « Le bureau fédéral d’investigation a saisi ce site dans le cadre d’une action coordonnée des services répressifs à l’encontre de AlphV Blackcat ». Le 28 novembre 2023, Europol annonçait par un communiqué avoir arrêté cinq individus. Depuis le site de fuite tournait au ralenti, avant de tomber. Mais tout n’est pas perdu pour tout le monde.
L’opération avait débuté en 2019. entre la Norvège, la France, le Royaume-Uni et l’Ukraine. En 2021, 12 personnes cibles de haute importance étaient arrêtées le 26 octobre. Les actions menées en Suisse et en Ukraine permettaient la saisie de 52 000 dollars en espèces, cinq véhicules de luxes. Les suspects ciblés avaient tous des rôles différents. Un homme de 32 ans, suspecté d’être le chef du gang, et quatre complices présumés ont été arrêtés. Était-ce la fin de la franchise AhplV/BlackCat ? Oui, mais quant aux affiliés…
La plainte est-ce un baroud d’honneur se sachant traqué, ou un moyen de détourner l’attention. Le FBI offre jusqu’à 10 millions de dollars de récompense pour des informations permettant d’identifier ou de localiser toute personne qui participe à des activités cybernétiques malveillantes contre les infrastructures critiques des États-Unis (Crédits : capture d’écran)
Les opérateurs avaient surpris la toile en novembre 2023. Suite à l’ajout de MeridianLink à leur site de fuite, les cybercriminels avaient porté l’affaire devant la justice américaine. « Nous voulons attirer votre attention sur une question concernant le respect par MeridianLink des règles récemment adoptées en matière de divulgation des incidents en matière de cybersécurité », écrivait AlphV. Ils se basaient sur l’article 1.05 du formulaire 8-K. Il stipule qu’après une intrusion non autorisée les victimes ont quatre jours ouvrables pour déposer devant la Securities as Exchange Commission (SEC). Le fameux article dispose à l’alinéa (a) que « si le déclarant subit un incident de cybersécurité qu’il juge important […] ». Cependant l’alinéa (d) dispose « si un déclarant soumit au 47 CFR 64.2011 est tenu de retarder la divulgation d’une violation de données en vertu de cette règle » jusqu’à 7 jours.
Perdus, pas pour tout le monde
Le 6 décembre, la revendication de la cyberattaque contre la DENA, l’agence allemande de l’énergie était publiée sur le site de fuite d’Alphv/BlackCat. « La DENA a été attaquée par une cyberattaque ce week-end. L’infrastructure du serveur a été attaquée », communiquait l’agence le 14 novembre 2023. Comme avait remarqué LeMagIT, la revendication est apparue sur le site vitrine de LockBit le 12 décembre.
Le mercato est, semble-t-il, lancé. Le malheur des uns fait le bonheur des autres stipule l’adage. LeMagIT explique que « sur un forum russophone fréquenté notamment par des cybercriminels, l’opérateur de la franchise LockBit 3.0 a profité de l’occasion, et du désarroi des affidés de son concurrent, pour essayer de gonfler ses rangs. » Le groupe derrière NoEscape serait dans la tourmente également selon le tweet d’AzAl Security.
@AlvieriD Lockbit is calling affiliates of #Alphv and #NoEscape to "move to his own ransom program, where they can finish their negotiations" after issues we have saw with both ransom groups…
Après Ragnar Locker, c’est AlphV/BlackCat qui voit son site vitrine disparaître. Pendant qu’il y a un site qui se ferme, un autre apparaît comme Hunters international.
Les attaques cybernétiques par ransomware ne connaissent pas de répit. LockBit et 8Base sont responsables, d’après leurs revendications, respectivement des incidents cybernétique de la polyclinique du Cotentin et de Labelians, quand à 8Base c’est la société SMG Confrère. Auparavant, APVL ingénierie, le groupe Apex Isast. Que se passe-t-il lorsque les victimes ne payent pas la rançon exigée ? La communauté de communes de Bresse Louhannaise et le Département du Loiret sont deux parfaits exemples.
Le Département du Loiret fait l’objet le 4 novembre 2023 d’une intrusion non autorisée. Le ransomware LockBit mettait en ligne le 25 novembre les données exfiltrées. Selon la communication du Loiret du 27 novembre dernier, au stade des investigations « aucune donnée sensible n’a été mise en ligne sur le portail officiel de l’attaquant. Les données publiées ont été extraites d’un répertoire d’un serveur de fichier contenant l’historique du site archives-loiret. Le Département reste vigilant |…] »
Sur 17 651 lignes est affiché le répertoire consultable des données en ligne. Dans les données qui représentent 24,51 GB de nombreux fichiers au format PNG sont en ligne.
Par une étude du fichier, il est possible d’apprendre avec quel appareil photographique la prise de vue est effectuée, le lieu… (Crédits : capture d’écran/LockBit)
Ainsi de précieuses informations sont accessibles à un œil averti : les différents réglages, la version du firmware de l’appareil, la focale, la marque, la date, les coordonnées… jusqu’au logiciel de retouche d’image utilisé. Ces données semblent désuètes, mais elles apportent des compléments aux habitudes des utilisateurs des systèmes d’information, avec d’autres types de fichiers également.
La confirmation d’origine des fichiers exfiltrés s’affiche, ici : « Archives Départementales du Loiret ». Ces attaques remémorent celles perpétrées contre les hôpitaux, les communes de Morlaix, Betton ou Angoulême. « Malgré une année marquée par le conflit russo-ukrainien et ses effets dans le cyberespace, la menace informatique n’a pas connu d’évolution majeure, les tendances identifiées en 2021 s’étant confirmées en 2022. Le niveau général de la menace se maintient en 2022 avec 831 intrusions avérées contre 1082 en 2021 », analyse l’ANSSI. La communauté de communes de la Bresse Louhannaise ne fait pas défaut à cette statistique.
La « Com Com » de la Bresse Louhannaise
Les attaques à but lucratif sont la principale menace pour les collectivités territoriales martèle l’ANSSI. Elles peuvent également l’objet d’hacktivisme avec les défigurations de sites ou des actions à but de sabotage.
Concernant les données volées de la communauté de communes de la Bresse Louhannaise, le dossier « Nodomain » est d’une taille de 2,4 GB. L’archive est de 3,4 GB décompressée avec 13 486 fichiers. Dans ce nombre se trouve cartes grises, contrôles techniques de véhicules, vieux rapports, documents RH, plannings de différents services…
Mais il existe des documents où s’affichent des données personnelles sensibles (Numéros de sécurité sociale, courriels, dates de naissance, adresses…). Les données volées pourraient servir dans de futures attaques, usurpation d’identité, faux, usages de faux…
Selon le rapport de l’ANSSI, près de deux cents collectivités territoriales ont subi des incidents entre janvier 2022 et septembre 2023.
(Crédits : capture d’écran/LockBit)
187 incidents en 18 mois
De janvier 2022 à juin 2023, l’ANSSI a traité 187 incidents cyber affectant les différentes collectivités territoriales, soit une moyenne d’un tous les trois jours. Ils représentent 17 % de l’ensemble de ceux traités par l’ANSSI sur la période.
40 incidents touchant des collectivités territoriales liés à des compromissions et chiffrements par ransomware ont été rapportés à l’ANSSI au cours de ladite période, soit plus d’un incident signalé sur cinq. Le rapport stipule que « parmi les souches de rançongiciels observées » celle de LockBit a été observée à 18 fois. Puis les souches HIVE, CONTI et PLAY ont également été observées à plusieurs reprises.
En 2022, une collectivité affectée probablement par le biais du ransomware PLAY est contrainte d’isoler son système d’information d’Internet et de couper toutes ses interconnexions. C’est 158 services hébergés en interne qui sont à l’arrêt. Les services publics de la collectivité sont maintenus, en mode dégradé depuis le début de 2023.
(Crédits : ANSSI)
Labelians et la polyclinique du Cotentin
Les deux entités sont affichées côte à côte sur le darkweb. Les opérateurs derrière le ransomware LockBit affichent un ultimatum à la date du 18 décembre 2023 peu après 20 h. Elles sont parmi les victimes comme deux cibles particulières. Pronat qui œuvre dans le monde de l’électronique, de l’aérospatial et du médical, avec un délai de 415 jours. Le même délai est accordé à la police péruvienne.
Si le nombre de cyberattaques et de revendications recensées par LeMagIT en novembre est de 467. Elles s’ajoutent aux nombreuses victimes enregistrées depuis une année. En France, le nombre est relativement faible. Le nombre de cas connus est de 205 entre le mois de décembre 2022 et celui de l’année 2023, au 8 décembre avec la province des îles Loyauté le 8 décembre 2023.
La liste des partenaires et le milieu respectif sont un possible facteur de choix. Ainsi Labelians et le monde médical à travers la polyclinique du Cotentin agrandissent le nombre de victimes connues en France.
Il y a tout juste une semaine, le 28 novembre 2023 le groupe de cybercriminels connus sous le nom de Daixin Team revendique la cyberattaque contre la compagnie d’eau du nord Texas (NTMWD). Depuis, les dossiers extirpés sont en ligne sur le site de fuite. Au nord-est du pays, l’état de Pennsylvanie est aussi la cible de cyberattaques de la part d’une organisation criminelle « Cyber Av3ngers ». Les infrastructures du système d’eau potable d’Aliquippa ciblés. Les opérateurs prenaient partiellement le contrôle sur la distribution.
La compagnie North Texas Municipal Water District (NTMWD) subissait une cyberattaque fin novembre. Elle fournit deux millions de personnes en eau potable dans le nord du Texas, mais pas seulement. L’entreprise fournit également, avec plus de 850 employés, des services de gestion de l’eau, des eaux usées et des déchets solides à de nombreuses villes de l’État.
Une enquête est en cours pour déterminer la teneur des fuites. Le réseau téléphonique est toujours en dérangement. « La plupart de notre réseau d’entreprises a été restauré. […] Nous continuons de fournir ces services comme d’habitude », a déclaré Alex Johnson, directeur des communications pour NTMWD.
Le NTMWD a engagé des experts qui enquêtent activement sur l’ampleur d’une intrusion non autorisée. L’enquête comprend un examen de toute donnée potentiellement touchée par le district, ce qui prend du temps.
Sur l’éventualité d’une rançon exigée par Daixin Team, l’entreprise n’a pas souhaité répondre à The Record.
La CISA avait émis une note sur les attaques contre les sociétés de délivrance et de traitements de l’eau en octobre 2021.
(Crédits : capture d’écran/Daixin Team)
Déjà en 2021, des cyberattaques visant des infrastructures de traitement ou d’alimentation en eau touchaient les États-Unis. Une installation californienne d’approvisionnement en eau et de traitement des eaux usées, mais aussi dans le Maine et le Nevada. Ces incidents ont donné naissance à une alerte et un dossier de la part des services de sécurité américains (America’s cyber defense agency). The Record relate que des cybercriminels auraient entrepris d’empoissonner l’eau d’une station de traitement de la baie de San Francisco en janvier 2021. En février, une tentative de modification chimique à Oldsmar, en Floride et une autre en mai 2021 dans la commune de Belle Vernon en Pennsylvanie.
33 844 fichiers sur le site de fuite
Toutefois, Daixin Team avait annoncé la divulgation prochainement des informations volées, c’est désormais chose faite. Deux liens sont en ligne. Le premier est une arborescence des fichiers disponibles. L’autre propose les documents publiés. Les données sont découpées en trois fichiers TX1, TX2 et TX3.
Des fichiers d’audit, des vidéos de lieux de construction d’infrastructure, au format PDF, XLSX… des photos de l’état des installations, des tuyaux… L’entreprise n’a pas fait plus de déclarations sur l’étendue des fuites et des circonstances de l’attaque.
Sauf que l’incident dont elle est victime intervient un jour après qu’une attaque contre une autorité de l’eau en Pennsylvanie ait lieu. Une cyberattaque a frappé Aliquippa. La cyberattaque aurait incité les travailleurs à prendre du matériel hors ligne pour maintenir la pression de l’eau pour les usagers.
(Crédits : capture d’écran/Daixin Team)
L’eau d’Aliquippa attaquée par Cyber Av3ngers
Municipal Water Authority of Aliquippa (MWAA), la compagnie des eaux de l’État de Pennsylvanie a fait l’objet d’une intrusion non autorisée le 27 novembre 2023. La revendication est effectuée par le groupe de cybercriminels pro-iranien Cyber Av3ngers. Ils auraient ciblé un équipement de confection israélienne employé par la firme, sous fond du conflit armé entre Israël et le Hamas. Celui-ci se trouve dans plusieurs entreprises aux États-Unis.
L’objet fabriqué par la société israélienne Unitronics est utilisé dans les installations d’approvisionnement en eau et de traitement des eaux usées, le PLC.
Matthew Mottes, le président du conseil d’administration de la municipalité de l’Autorité des eaux d’Aliquippa, a confirmé à KDKA-TV que le Cyber Av3ngers, avait pris le contrôle de l’une des stations. Une alarme s’est déclenchée dès que le piratage s’était produit. Ce qui a permis de reprendre le contrôle.
L’agence pour la cybersécurité et la sécurité des infrastructures (CISA) n’a pas indiqué le nombre de cibles touchées. L’agence fédérale a informé les fonctionnaires du Sénat et de la Chambre des représentants que les pirates s’étaient introduits dans au moins 10 entreprises de traitement de l’eau relate CNN, selon une de leurs sources.
(Crédits : MWAA)
Ils seraient environ 1 800 PLC exposés dans le monde, dont quelques centaines comme celui visé par l’attaque d’Aliquippa. « Ces dispositifs compromis ont été publiquement exposés à Internet avec des mots de passe par défaut », a déclaré la CISA. En date du 1er décembre 2023, la CISA et ses partenaires publient un avis sur le groupe Cyber Av3ngers. Comme l’explique Zataz, leurs actions passaient sous les radars avant juillet 2023. Avant qu’en septembre ils revendiquent la perturbation de 150 serveurs appartenant aux chemins de fer israéliens.
La recrudescence des phishing, sweeping, Man-in-the-Middle, les attaques cybernétiques de type ransomware… et vos mots de passe volent en éclat. Des listes de mots de passe sont ainsi compilées en dictionnaire. L’opérateur malveillant qui souhaite accéder à vos données n’aura qu’à se servir de ces bases de données via des lignes de commandes… patatra !!! Vos données sont compromises, et votre vie privée ne l’est plus. Comment le rendre complexe, et surtout plus sécurisant ?
Le mot de passe : quelle galère quand il s’agit de le choisir ! Comme de nombreuses personnes, la solution de facilité est de prendre le même pour tout. Ce qui facilite le travail des personnes malveillantes après le vol de votre mot de passe, pour ensuite être infecté par un ransomware. Tant que vous n’avez pas été victime tout va bien ? « Monumentale erreur ! » disait Arnold Schwarzenegger dans Last Action Hero en 1993. Cette formule est toujours d’actualité. Oui, il est difficile de retenir un mot de passe différent pour chaque inscription sur un site, une application… mais c’est nécessaire pour évitez les pires mots de passe et les catastrophes.
Depuis 2019 jusqu’en 2022 le mot de passe « 123456 » est celui qui a trusté le meilleur classement. Il est premier en 2020 et 2021 et second en 2019 et 2022. Il représente à lui seul sur les quatre années 108 722 590 utilisateurs, soit la population totale de l’Espagne et de l’Italie réunie. Rassurez-vous « 123456789 » n’est pas loin avec 48 454 289 personnes l’ayant choisit. Pour clore le trio de tête, il ne manque que « 12345 » avec 36 144 521 choix.
L’évaluation s’effectue sur une base de données de 4,3 To extraite de sources accessibles au public, explique NordPass. En France les mots de passe suivants sont les plus plébiscités : 123456 (86656 personnes), 123456789 (38711 personnes), azerty (36579 personnes). Les trois nécessitent moins d’une seconde pour être déchiffrés.
Choisir son mot de passe
Peu importe le site où vous cherchez des conseils, ils sont quasiment identiques. Le site gouvernemental FranceNum relate l’importance de s’adapter avec la croissance rapide du piratage. Ainsi en 2020, un mot de passe de 8 caractères comprenant des lettres majuscules et minuscules, des symboles et des chiffres pouvaient être déchiffrés en 8 heures. « En 2023, il ne faut plus que 5 minutes. » Il préconise au minimum 11 caractères, et pour un solide au moins 17 caractères.
Oui, sauf qu’il existe encore des sites où le nombre de caractères est limité à 8 voire 11, sans oublier les restrictions de caractères. Comment faire ? Le changer fréquemment dans ce cas et bien sûr, utiliser un gestionnaire de mot de passe. Alors, pourquoi ne pas choisir quelque chose de facile à se remémorer et qui n’apparaisse pas dans les dictionnaires de mots de passe ?
Nombre de caractères
Chiffres seuls
Lettres minuscules
Lettres minuscules et majuscules
Chiffres, lettres minuscules et majuscules
Chiffres, lettres minuscules, majuscules et symboles
4,5,6
Immédiat
Immédiat
Immédiat
Immédiat
Immédiat
7
Immédiat
Immédiat
1 seconde
2 secondes
4 secondes
8
Immédiat
Immédiat
28 secondes
2 minutes
5 minutes
9
Immédiat
3 secondes
24 minutes
2 heures
6 heures
10
Immédiat
1 minute
21 heures
5 jours
2 semaines
11
Immédiat
32 minutes
1 mois
10 mois
3 ans
…
17
14 heures
18 000 ans
2 milliards d’années
48 milliards d’années
380 milliards d’années
18
6 jours
481 000 ans
126 milliards d’années
1 trillion d’années
26 trillions d’années
Plus le mot de passe ou passphrase est long et diversifié, plus le temps nécessaire pour le déchiffrer sera long. Le but est comme la porte blindée, sécuriser et décourager le malfaiteur par rapport au gain espéré. La chute d’un ransomware et des cybercriminels en Ukraine est le parfait exemple. (Crédits : HiveSystems)
Et si vous choisissiez une phrase ? Du style « Il s’est absenté sous un prétexte quelconque sans savoir où ». C’est un bon début et votre passphrase contient 59 caractères. Il faut avouer qu’il est plus simple à retenir que celui-ci « }4#atf^A~$jd6YD79zgD9_AC5a49kqJV23m.G7Gg,w4K5a-Lc!QS56:+(Y] » pour un même nombre de caractères, non ? La CNIL propose un outil pour générer un mot de passe solide. Ses préconisations sont d’avoir 1 nombre, une majuscule, un signe de ponctuation ou caractère spécial avec une douzaine de mots. L’exemple « Il s’est absenté sous un prétexte quelconque sans savoir où » peut alors devenir : « Il S’est absenté sous-1_prétexte quelConque 100 savoir houx ». C’est à chacun de trouver la bonne formule en fonction de l’usage.
Fuites et failles
Pour être sûr que votre mot de passe ne se trouve pas déjà dans un dictionnaire vous pouvez le passer à la moulinette de « Have i been pwned ». Pour rester sur le fameux « 123456 » le site WEB indique le résultat de plus de 37 millions de fois où celui-ci se trouve avoir fuité.
Le 15 novembre 2023 sur Developpez, un article relate que la star-up Unciphered a découvert une faille en cherchant le mot de passe perdu par un client. Ce fameux client possède un compte où se trouvent 600 000 dollars en bitcoin. « Les experts d’Unciphered […] ont réalisé que le code utilisé pour le créer était également utilisé par des millions d’autres portefeuilles, et qu’ils pouvaient être piratés en quelques secondes. »
Une vulnérabilité critique dans ownCloud est mise au jour par un article du 27 novembre 2023 sur IT-Connect. L’attaquant pourrait grâce aux failles récupérer le mot de passe administrateur.
Une dernière chose, dans cette partie de cache-cache, pensez à vider votre cache. Mais également si vous avez enregistré les mots de passe sur un fichier, et que pour plus de facilité vous utilisez Ctrl-C, Ctrl-V pour copier-coller votre mot de passe ou tout autre chose, attention. Prenez n’importe quel mot, phrase, sigle et copier le. Ainsi vous évitez de laisser la dernière chose copier en libre accès au prochain utilisateur, bienveillant comme malveillant. Ce qui peut-être pratique pour cacher le nom d’un cadeau, d’un restaurant, pour conserver la surprise.
Durant la période du vendredi 17 au dimanche 19 novembre 2023 deux attaques cybernétiques ont eu lieu en France. La première visait le SIAAP (Syndicat interdépartemental pour l’assainissement de l’agglomération parisienne), l’autre est celle revendiquée par le groupe Kromsec contre l’Assemblée nationale. Le même groupe avait sévi en juillet de cette année : sa cible le ministère de la Justice. Il avait fait fuiter des données d’un millier de magistrats et d’avocats.
Le syndicat interdépartemental pour l’assainissement de l’agglomération parisienne par un communiqué de presse indique être la victime d’une « cyberattaque d’ampleur ». Depuis vendredi 17 novembre, les « développements ce week-end de la cyberattaque […] en ont confirmé l’étendue et la virulence. » Selon le communiqué de presse les équipes sont à pied d’œuvre pour « empêcher au maximum la propagation depuis et vers l’extérieur de l’attaque repérée en fin de semaine. »
L’entreprise est pour la seconde fois, en moins d’un mois la cible d’une cyberattaque. Le 24 octobre 2023, un message contenu dans un courriel frauduleux invitait le destinataire à cliquer. Il prétendait une migration de messagerie. « […] cette attaque a rapidement été maîtrisée et l’infrastructure informatique reste opérationnelle. »
Une réaction en cascade s’enchaîna. Des messages furent émis vers d’autres administrations à partir du serveur d’envoi du SIAAP. Il serait dans la possibilité que durant l’attaque par courriel du mois d’octobre, une charge dormante soit déposée pour un déclenchement ultérieur, simple hypothèse et interrogation.
(Crédits : jhenning/Pixabay)
L’Assemblée nationale touchée une fois de plus
Durant le même week-end, l’Assemblée nationale fait l’objet d’une attaque DDoS. Elle est revendiquée, preuve à l’appui par le groupe Kromsec. Le groupe n’en est pas à son coup d’essai. Œuvrant depuis 2022, ils divulguaient des informations personnelles de 1122 magistrats et avocats. Sur un canal Telegram, des coordonnées bancaires, courriels professionnels, civilités, numéros de téléphone… étaient exposés relate Nathalie Chiotis sur Cyberjustice. Samedi 18 novembre 2023, le collectif de hackers se targue sur sa chaîne Telegram d’avoir « accès à toutes les informations hébergées dans le système ».
Le 27 mars 203, l’Assemblée nationale subissait une attaque DDoS du groupe russophone NoName057 (16). Cette fois c’est Kromsec qui revendique l’attaque contre la chambre basse ce 17 novembre 2023. Il y aurait également une exfiltration de données.
Dans un message accompagnant les six captures avec des données comme preuve, le groupe indique aimer la France : « Chère France, nous avons un petit message pour toi. L’ancien pays où les droits de l’homme ont été mentionnés pour la première fois en Europe… Quelle est la raison de votre situation actuelle ? […] Nous pensons que cela changera dès que possible. Nous vous aimons. Mais que le gouvernement aille au diable ! »
« Ils revendiquent l’attaque du site de l’Assemblée même si, pour l’instant, rien ne permet d’affirmer que l’opération a réussi. Ils m’ont également dit qu’ils avaient accès au système interne, mais je n’ai reçu aucune preuve », stipule Clément Domingo, alias SaxX (ingénieur en cybersécurité) au Parisien.
(Crédits : capture d’écran/Kromsec)
Kromsec, pirates en herbe ?
Leur première annonce faisait grand bruit lorsqu’ils diffusaient, via trois liens des photos et informations d’environ 400 de Talibans présumés, relate Zataz. « Nous sommes là pour lutter pour la justice, l’égalité et les droits de l’homme. » Ils sont six a composer le groupe de pirates Kromsec selon les informations de Zataz. « c’est ainsi que les six adolescents [Spid3r – X3nocrates – Loki – Zeitbor – Novidades – Cr4x0n] cachés derrière le groupe de pirates Kromsec annonce vouloir aider le monde. »
Ils apparaissaient sur des sites connus tels Raid Forum, Breached ou encore Hydra, proche des Anonymous sans y être affilié. Peu de temps après avoir commencé à vendre ou tenter de le vendre les données volées, l’un de leurs membres était arrêté par les forces de l’ordre, Cr4x0n.
« L’un de nos chers membres, Cr4x0n, a été arrêté à la suite d’un rapport de police. La police n’était pas la seule impliquée […] et nous avons trouvé le fameux “espion”. Nous ne tolérons aucun type d’infiltration dans KromSec, que ce soit pour rapporter ou publier des informations en ligne », martèle le groupe.
Une nouvelle cyberattaque contre une collectivité française. Durant dans la nuit du 5 au 6 novembre 2023, l’incident informatique se serait déroulé. C’est le département du Loiret qui a été ciblé par des pirates informatiques. Depuis la communauté de communes, Bresse Louhannaise a fait son apparition sur le site de fuites du ransomware LockBit. Les dernières attaques L’EHPAD de Marigny-le-Lozon, le 13 octobre 2023, les hôpitaux de Vittel et Neufchâteau, et l’entreprise Le Tillet en novembre.
Les opérateurs à l’origine de l’attaque des serveurs du Département du Loiret ont ciblé leurs victimes le week-end dernier. Par mesure de précaution, la réception et l’envoi de mails, l’accès aux serveurs ou à certains logiciels métiers ont été interrompus, explique la communication du Département. Une plainte a été déposée. L’enquête est en cours avec Orange Cyberdéfense. Leur but est de déterminer précisément l’origine et les conséquences de cette attaque.
Le Département du #Loiret a été victime d'une #cyberattaque ❌🖥️ ce weekend. Une enquête est en cours, aucune fuite de données n'a été détectée. Certains services sont momentanément inaccessibles. Nous travaillons pour résoudre cet incident au plus vite. pic.twitter.com/jgRIFX7MKk
Depuis le 7 novembre, les équipes du Département sont à pied d’œuvre pour « résoudre » cet incident. L’accueil téléphonique est depuis accessible au 02 38 25 45 45 assure le service de communication.
La mutualisation des ressources informatiques du CD et du SDIS a suite à l’attaque imposé la décision d’isoler immédiatement les serveurs du SDIS 45 afin de les protéger.
La direction du SDIS 45 rassure les Loirétains et les Loirétaines dans son communiqué de presse : « Aucune conséquence n’est à déplorer sur le fonctionnement des numéros d’urgence 18/112 et la prise en charge des citoyens. Le SDIS du Loiret continue à répondre aux appels et à porter secours aux victimes. »
Revendications du ransomware LockBit
Les revendications des attaques par ransomware de l’entreprise Le Tillet et de la communauté de communes Bresse Louhannaise sont apparues le 5 novembre 2023.
Sur les 376 attaques mondiales (en octobre 2023) affichées et revendiquées se trouve en tête du classement l’Amérique du Nord. En Europe, le Royaume-Uni et l’Irlande arrivent en tête avec 32 cas, dans l’est, l’Allemagne-Autriche-Suisse se contente de 20, l’un des niveaux les plus bas depuis le début de l’année.
Valéry Rieß-Marchive, rédacteur en chef de LeMagIT note dans l’un des derniers articles qu’« après plusieurs mois marqués par des revendications de cyberattaques en grand nombre, détonant avec les observations en France et les tendances passées, octobre pourrait bien signaler le retour d’une forme de normalité. »
Malheureusement, les fuites de données sont toujours fréquentes. Celle concernant le site LinkedIn affole les compteurs. Comme l’explique Zataz, ce sont 35 millions d’individus qui se retrouvent dans la nature. Plus particulièrement leurs adresses électroniques, fonctions, identités, entreprises… Le pirate à l’origine de ceci signe « du nom du groupe de hacker étatique américain Equation Group », écrit Damien Bancal.
Les conflits ne se déroulent pas seulement par des forces armées. Ils se produisent également sur le WEB. Ainsi la politique, la géopolitique ont un lien étroit avec l’actualité sur la toile. Si le ou les auteurs de l’attaque par ransomware des municipalités allemandes ne sont pas encore connus, l’identité de l’attaquant des entreprises aux Pays-Bas l’est : NoName057(16). Les attaques cybernétiques sont aussi des offensives contre un pays en fonction de la conjoncture, des conflits ou des divergences d’opinions.
Les Pays-Bas vont débloquer une enveloppe d’un demi-milliard d’euros pour acheter et livrer des munitions à l’Ukraine, a annoncé Kajsa Ollongren, la ministre de la Défense des Pays-Bas, lors de sa visite en Ukraine. Elle indique que les Pays-Bas souhaitent continuer à fournir « un flux constant de munitions » à Kiev, car les combats ne peuvent continuer que dans le cas où leurs besoins en munition perdurent assure la ministre. La réponse des organisations pro-russes ne s’est pas fait attendre. Suite au conflit armé entre l’Ukraine et la Russie, des attaques des systèmes d’information sont perpétrées. L’annonce effectuée par la ministre néerlandaise de la Défense, jeudi 2 novembre 2023, ne déroge pas à la règle.
Le groupe revendique les attaques des sites néerlandais, mais pas seulement. Des entreprises allemandes, italiennes suédoises ou tchèques. Si les Pays-Bas ont contribué à hauteur de 2 milliards d’euros, un article de Le Monde stipule que la France aurait participé pour 3,2 milliards d’euros. (Crédits : Capture d’écran/NoName057(16))
Par des attaques de déni de services (DDoS), les opérateurs derrière NoName057(16) revendiquent et affichent leurs méfaits. Ainsi les attaques étaient dirigées vers le port de Den Helder, Allgobus et Arrival. Si le site WEB du port est de nouveau opérationnel, ce n’est pas le cas pour les deux autres victimes.
Impossible d’accéder aux différents sites. Le groupe NoName057(16) avait attaqué l’administration suisse ainsi que l’Assemblée nationale en 2023.(Crédits : capture d’écran/Arriva)
En plus la compagnie ferroviaire Arriva Netherlands, filiale de la Deutsche Bahn, a eu quelques sueurs froides dernièrement. Un hacker éthique a contacté l’entreprise pour leur dévoiler une faille. Celle-ci se trouve dans le formulaire de contact explique Wilbert Elting sur le site de Leeuwarder Courant. Les personnes malveillantes pouvaient accéder aux prénoms, noms, aux adresses électroniques, aux numéros de téléphone et dates de naissance des voyageurs ayant utilisé le formulaire dernièrement. Le formulaire a été mis hors ligne. « Une fois que nous aurons rétabli la sécurité, elle sera de retour en ligne », assure Tineke Witteveen pour la compagnie.
72 municipalités allemandes attaquées par ransomware
Une attaque massive durant la nuit du 29 au 30 octobre 2023, a paralysé les administrations dans plusieurs villes et districts de l’ouest de l’Allemagne. Pas moins de 72 municipalités sont ainsi limitées dans leurs mouvements des systèmes d’information. Un groupe de hackers inconnu a chiffré les serveurs du fournisseur de services municipaux local, Sodwestfalen. Les communes sont principalement dans l’État de Rhénanie du Nord-Westphalie, dans l’ouest de l’Allemagne. Le communiqué s’efforce d’être transparent sur l’actualité de Southwestphalia.
#EIL: Aufgrund eines Cyberangriffs auf den kommunalen IT-Dienstleister Südwestfalen-IT sind u.a. die Kreisverwaltung Siegen-Wittgenstein und die Stadtverwaltung Siegen sowie die weiteren Städte und Gemeinden im Kreisgebiet aktuell bis auf Weiteres nicht erreichbar. (1/2) pic.twitter.com/6pm5AD06ir
Heureusement, les réseaux sociaux permettent de prévenir les usagers de l’indisponibilité des services en ligne. Les remises en marche des différents ordinateurs révèlent leurs lots de problèmes. Les autorités assurent les citoyens de mettre tout en œuvre pour le rétablissement, mais qu’il peut prendre un certain temps.
L’Office fédéral allemand pour la sécurité de l’information (Bundesamt für Sicherheit in der Informationstechnik ou BSI) est au fait de l’incident, et une enquête est en cours. The Record explique que les procureurs allemands ont déclaré aux médias locaux qu’ils s’employaient actuellement à déterminer l’ampleur des dommages, quels services étaient touchés et qui étaient responsables de l’attaque. Ils s’attendent à une « enquête complexe et longue ».
Deux attaques d’aéroports sur le sol britannique par le groupe russophone UserSec, deux cyberattaques par ransomware une sur le sol mexicain et une sur le tarmac américain. Ces dernières seraient l’œuvre du ransomwareLockBit, bien que pour Boeing Jeppesen, la revendication soit supprimée du site de fuite (au bouclage de l’article). Ce qui remémore une attaque dont la même filiale du géant américain avait subi les dommages en novembre 2022. Elle avait perturbé de nombreux vols.
Le site de l’aéroport de Manchester en Angleterre est depuis revenu en ligne. Le 30 octobre 2023, les opérateurs du groupe UserSec revendiquaient l’attaque cybernétique de l’aéroport de Manchester. Sur le canal Telegram, ils affichent la couleur en ciblant des compagnies au Royaume-Uni. « Première cible, le plus grand aéroport du pays, l’aéroport de Manchester. Pour le moment, les serveurs sont hors service et le site est hors service. […] Ce site sera indisponible jusqu’à 20 h 30, heure de Moscou, puis nous passerons à la cible suivante », expliquent-ils. Si la durée d’indisponibilité du site WEB fut plus courte qu’indiqué, ils tendent à démontrer leurs capacités.
⚠ We are aware of some fake X accounts
Make sure you're talking to @Gatwick_Airport only. 📲 We will never ask for your phone number, but may ask for an email address or booking reference via private DM #Gatwick#GatwickAirport
Les logiciels malveillants ont eu, et continuent d’avoir un impact sur les utilisateurs comme Nitrokod. UserSec avait déjà ciblé le territoire britannique en août 2023 avec les attaques sur les aéroports de Birmingham et de Belfast. (Crédits : London Gatwick Airport/X)
Mais une autre menace est révélé à demi-mots par London Gatwick Airport : « Assurez-vous de vous adresser à nous ». Des copies de sites, de pages WEB, etc. peuvent être mises en place pour tromper les usagers. Puis, comme annoncé par UserSec, c’est au tour de l’aéroport de Gatwick de subir les foudres d’UserSec. Le lieu n’est pas choisi au hasard, Gatwick est deuxième plus important aéroport du Royaume-Uni, en effet plus de 45 millions de passagers y transitent chaque année.
Attaque de l’aéroport de Querétaro
De l’autre côté de l’océan atlantique, c’est au Mexique qu’une cyberattaque d’ampleur, au sein de l’aéroport international de Querétaro (AIQ). Elle est revendiquée par le ransomware plus que connu LockBit. Le groupe cybercriminel laisse jusqu’au 27 novembre 2023 à l’aéroport pour satisfaire leurs exigences, faute de quoi ils publieront les données récupérées.
Trois documents sont d’ores et déjà affichés par les opérateurs derrière le ransomware. Preuves des données en leur possession. (Crédits : capture d’écran/LockBit)
Selon les autorités, « à aucun moment la sécurité opérationnelle de l’aéroport n’a été compromise et que l’organisation et son infrastructure fonctionnent normalement ». Une déclaration de l’AIQ a indiqué qu’une « cyberattaque a été subie, dérivée d’un acte involontaire du personnel de l’organisation interagissant avec un fichier contenant un logiciel malveillant. » L’entité aéroportuaire continue en indiquant que « des enquêtes ont été lancées en collaboration avec les autorités compétentes afin de déterminer la nature, l’étendue et les parties responsables. »
Importante⚠️ Informamos que tuvimos un incidente de ciberataque y estamos trabajando con expertos para abordar esta situación. Los sistemas del AIQ están operando con normalidad. La seguridad de nuestros pasajeros y operaciones sigue siendo nuestra principal prioridad. pic.twitter.com/dDFDa4kVHV
En Amérique du Nord, c’est le principal concurrent d’Airbus qui est sur le devant de la scène. En effet, le géant de l’aérospatiale Boeing confirmait qu’un « cyberincident » avait eu lieu. Elle se serait déroulée vers le 28 octobre 2023. L’entreprise a confirmé l’incident de cybersécurité. « Il porte atteinte à l’activité de pièces détachées et de distribution », relate 20minutes. Aucune perturbation au niveau de la sécurité. L’entreprise enquête activement en collaboration étroite avec les forces de l’ordre et les autorités compétentes.
Certaines revendications disparaissent des sites de fuite. C’est le cas pour l’entreprise américaine Boeing. Un accord a t-il été trouvé ? (Crédits : capture d’écran/LockBit)
Étrangement, le post a été supprimé. TechCrunch rappelle que lorsqu’une le dossier est supprimé, c’est souvent « un signe qu’une organisation a accepté de négocier avec les pirates, ou payée tout ou partie de la demande de rançon. À la demande de TechCrunch, Boeing a refusé de dire s’il avait reçu une demande de rançon ou si la société avait payé. » La compagnie avait subi un cyberincident il y a tout juste un an, suivi par une enquête. Cet incident avait provoqué des perturbations dans la planification des vols le 4 novembre 2022, et le besoin d’accroître la sécurité pour ces lieux sensibles.
