Libre Expression

Étiquette : Iberdrola

  • Cyberattaque de Total en Espagne, 210 715 clients touchés

    Cyberattaque de Total en Espagne, 210 715 clients touchés

    La firme française est touchée par une intrusion non autorisée. Le fournisseur d’électricité et de gaz dépose plainte. Les données personnelles de plus de deux cent mille clients sont ainsi entre d’autres mains. Elle suit les fuites de données ou/et cyberattaques d’entreprises sur le sol ibérique. L’entreprise française Orange, la ville de Calvià (Mallorca), parfums Douglas, Teo Concello en janvier 2024. Puis l’assureur FIATC, la DGT (Dirección General de Tráfico), les forces armées espagnoles, l’université Complutense, Banco Santander, Telefónica, et Iberdrola subissent une fuite de données.

    Selon le journal La Nueva España, l’entreprise Total Energies a subi une cyberattaque. Elle touche les informations et données personnelles de 210 715 personnes. Elles sont le prénom, le nom, l’identifiant, le ou les numéros de téléphone, le courrier électronique, les CUPS (le PDL en France), l’adresse de livraison et les coordonnées bancaires. Pour autant, la société communique que les cartes bancaires et les informations d’accès en ligne ne seraient pas affectées.

    Recrudescence d’attaques « informatique »

    « Nous nous excusons et condamnons ce type d’actes criminels qui mettent en péril le bon fonctionnement du marché et nuisent à la fois aux clients et aux entreprises […] », déclare Total Energies SAU.

    « La protection et la confidentialité des données de nos clients est une priorité absolue », communique publiquement la firme. Elle collabore avec l’agence de protection des données ibérique pour « prendre les mesures légales appropriées contre les responsables ».

    Il est fort probable que la société va également renforcer la sécurité de ses systèmes d’information pour éviter que cela ne se reproduise.

    Les clients concernés sont déjà informés par courrier postal ou électronique relate El Economista.

    En mai l’AEPD, équivalent de la CNIL en France lance sa nouvelle version de gestion du règlement de protection des données personnelles (RGPD). (Crédits : Europawire)

    La cyberattaque contre la multinationale est la dernière en date. De grandes entreprises ont subi sur le sol espagnol des attaques ciblées depuis le début de l’année. Elles sont Orange, la ville de Calvià, les parfums Douglas, Teo Concello, l’assureur FIATC, les forces armées espagnoles, l’université Complutense à Madrid, Banco Santander, Telefónica, et Iberdrola.

    Cyberattaques en Espagne

    Elles ne sont pas autant dévastatrices que celles subies par l’hôpital Clinique de Barcelone ou celle qui avait paralysé le Service public de l’Emploi (SEPE). Mais elles sont bien présentes. Les fuites de données mettent en péril la sécurité des clients, patients et entreprises. En ce début d’année, c’est les clients d’Orange qui se trouvait privée de l’usage d’internet durant quelques heures.

    La commune de Calvia à Majorque subissait en janvier une cyberattaque de type ransomware. La rançon exigée était de 10 millions de dollars, rien ne sera versé. La commune Concelo de Teo en Galice en fait aussi l’expérience, avec de moindres maux, tout comme les parfums Douglas.

    Les fuites de données sont problématiques. Elles peuvent être la porte d’entrée à de nouvelles attaques. L’une d’entre elles a dévoilé les données personnelles et sanitaires de dizaines de milliers d’agents et de membres des forces armées espagnoles. Il en est de même pour l’université madrilène Complutense. Puis c’est au tour de la banque Santander. Les prénoms, noms, adresses, dates de naissance de l’ensemble des employés, ainsi que de clients au Chili, en Espagne et en Uruguay sont compromis.

    (Crédits : Zarateman/Wikipedia)

    Elle compte plus de 211 000 employés à travers le monde. Les entreprises du Ibex35 (équivalent du CAC40) sont dans le viseur des cybercriminels. Une fuite de 120 000 clients chez Telefónica, mais c’est Iberdrola qui enregistre la plus grosse fuite : 850 000 clients exposés. Mais également la plus grosse amende. Une goutte d’eau en comparaison des 11 millions de clients en Espagne (10,4 millions pour l’électricité, 1,3 million pour le gaz).

    Revente, escroqueries, phishing…

    Le but est en majorité de récupérer de l’argent. Soit directement par la revente des données sur des réseaux particuliers, soit sous la forme de rançon (ransomware), soit via le phishing, ou autre escroquerie… Il peut être aussi pour déstabiliser, nuire à une entreprise, une multinationale, un État…

    L’exemple du « Piratage de la DGT » est révélateur. Fin mai 2024, la direction générale de la circulation subit une intrusion non autorisée. Elle la révèle après la découverte d’une mise en vente d’un fichier contenant des informations sur plus de 40 millions de conducteurs espagnols.

    Les informations divulguées sont les prénoms, noms, adresses, numéros de téléphone, mais pas seulement. Les données sur le véhicule telles que le modèle, son âge, le numéro d’immatriculation, le numéro de châssis ou VIN, jusqu’aux informations sur l’assurance du véhicule.

    « Nous pouvons consulter n’importe quel enregistrement ou document des conducteurs. Nous vendons également l’ensemble de la base de données avec 34,5 millions de lignes », explique le vendeur.

    Même sur des sites web et des plateformes apparemment sûrs et fiables, il existe des vulnérabilités. Exploitées, elles mettent en danger la sécurité et la vie privée des utilisateurs. (Crédits : Mohamed Hassan/Pixabay)

    Le jeune homme de 27, originaire de Murcie le découvre. En quatre années, à travers un processus minutieux et lent, il s’infiltre dans les bases de données de la DGT en Murcie, en Andalousie, aux îles Canaries et aux îles Baléares. Le vendeur gourmand et confiant a dérobé 80 000 fiches en une seule fois en mai 2024. Ce qui a déclenché une alerte auprès des autorités. La Guardia Civil est remontée jusqu’à chez lui via son IP. Le procès n’a pas encore eu lieu.

  • Iberdrola condamnée à 6,5 millions d’euros d’amende

    Iberdrola condamnée à 6,5 millions d’euros d’amende

    Il y a deux ans, la société ibérique I-DE Redes Eléctricas Inteligentes, distributeur d’électricité du groupe Iberdrola subit une cyberattaque. Les données de 1,3 million de clients étaient exposées. Le 15 mars 2022, l’incident se déroulait, le lendemain il est clos. La police affirmait que les responsables de cette attaque n’ont pas eu accès à des données sensibles. Le vol concerne au total 1,5 million de clients de I-De et Curenergia. La fuite a permis de télécharger pendant 7 jours les informations personnelles de millions de consommateurs à partir de son service de gestion des dossiers de raccordement.

    Le prénom, nom, le numéro d’identification, l’adresse de domicile, le téléphone et le courriel sont divulgués. L’Agence espagnole de protection des données (AEPD) vient d’infliger une amende de 6,5 millions d’euros en ce mois d’avril 2024.

    Grosse amende contre grosse fuite

    Ainsi, durant une semaine, les personnes à l’origine du vol copient les informations de plus d’un million de clients. La société compte plus de 20 millions d’utilisateurs. Mais cette opération affecte d’autres spécialistes du marketing comme Curenergy. L’entreprise, Iberdrola paye pour apprendre.

    Plusieurs procédures la concernant viennent de se clôturer. Pour violation de l’article 5.1.f du RGPD à l’article 83, paragraphe 5, du RGPD, une amende de 2,5 millions d’euros est infligée.

    Auquel s’ajoute un autre million d’euros pour la violation de l’article 32 du RGPD, défini à l’article 83, paragraphe 4, du RGPD.

    Mais le géant de l’électricité voit s’additionner 3 nouveaux millions d’euros après la résolution de procédures supplémentaires.

    Dans ce dernier cas, les amendes sont d’un million (contrevenant à l’article 32 du RGPD, à l’article 83.5 du RGPD) et de 2 millions d’euros (une violation de l’article 5.1.f) du RGPD, définis à l’article 83.5 du RGPD).

    La société avait déjà fait les frais d’amende au sujet du non-respect du règlement de protection des données.

    À hauteur de 80 000 € le 14 février 2020, et 100 000 € le 3 février 2021. (Crédits : Erik Mclean/Pexels)


    Il est également prévu une amende maximale de 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’année précédente, le montant le plus élevé étant retenu. Sauf que pour des entreprises qui ne communiquent pas leurs chiffres d’affaires, cela se complique.

    Endesa s’offre la plus grosse amende

    Si son concurrent espagnol Iderbrola voit une amende de 6,5 millions d’euros, elle correspond à plusieurs affaires. Endesa quant à elle se voit infliger la plus grosse amende pour une compagnie d’électricité. En une seule amende, Endesa est mis en demeure de régler 6,1 millions d’euros. Cela après la validation que quelqu’un vendait sur Facebook des codes d’accès à sa plateforme SalesFolder, explique Bandaancha.

    Cette plateforme, ou base de données permet de consulter les données personnelles des clients. Mais également les points de livraison (PDL, CUPS en Espagne).

    Les données personnelles de 4,8 millions de clients en électricité et de 1,2 million en gaz de la société Endesa ont pu être consultées par des tiers extérieurs à la société. L’AEPD explique l’ensemble sur 214 pages.

    Ce qui occasionne des campagnes frauduleuses et malversations en tout genre.

    Les propositions commerciales montrent patte blanche. Les données en leur possession permettent de connaître vos prénom et nom, et le fameux CUPS unique. Ainsi ils peuvent effectuer une migration de votre fournisseur d’électricité vers le leur.

    (Crédits : bandaancha.eu)


    Les données accessibles sont le prénom, le nom, le numéro de la carte d’identité, le numéro de téléphone, l’adresse électronique, l’adresse postale, le numéro de compte bancaire, le CUPS, la consommation, la facturation et l’en-cours. Encore mieux, l’obtention de données techniques sur 30,6 millions de points de fourniture en électricité et 8,6 millions pour le gaz auprès de n’importe quelle compagnie est possible.

    La backdoor XZ et Andres Freund

    Deux petites lettres qui ont un potentiel de destruction conséquent. Le 29 mars 2024, Andres Freund renifle un truc qui ne tourne pas rond, explique LeMagIT. Cette chose est capable de passer outre l’authentification SSH. Une backdoor installée par un certain JiaT75. « La backdoor se planque dans les fichiers de test bad-3-corrupt_lzma2.xz et good-large_compressed.lzma, et utilise un script appelé par build-to-host.m4 pour s’incruster dans le processus de build », relate Korben.

    Ce qui est complètement ahurissant, c’est la méthode utilisée par cet individu. Depuis 2021, il s’intéresse et contribue à la bibliothèque XZ. Il finit par force de travail à obtenir la confiance, ce qui lui octroie des privilèges.

    Par pression successive, Jia Tan accède à un degré de confiance qui lui permet de fusionner son propre code en janvier 2023. Il fait pression pour ajouter un autre mainteneur. En janvier 2024, la backdoor est finalisée, puis découverte en mars.

    La réflexion posée sur l’open source est que des personnes donnent de leurs temps et de leurs talents pour aider, et résoudre des problèmes. Mais que comme toute équation, il tend avoir une limite mathématique.

    (Crédits : Mantas Sinkevičius/Pexels)


    Quand est-il du projet XZ ? Des questions se posent, beaucoup s’interrogent. Des retombées potentielles sur les projets open source ? Ce qui est sûr est que désormais la phrase de Vladimir Illicth Lénine prend encore plus de sens : « La confiance n’évite pas le contrôle ».

  • Iberdrola, distributeur d’électricité ibérique attaqué

    Iberdrola, distributeur d’électricité ibérique attaqué

    Ce jeudi 31 mars 2022, l’Institut national de cybersécurité (Incibe) avertissait que la société I-DE Redes Eléctricas Inteligentes, distributeur d’électricité du groupe Iberdrola avait subi une cyberattaque. Les données de 1,3 million de clients étaient exposées, bien qu’elle ait été résolue le jour même, le 15 mars, où elle a eu lieu, explique Incibe. Ce n’est que le lendemain, une fois la brèche colmatée, que l’entreprise a détecté des offensives massives qui n’ont pas atteint leur objectif, indiquait la compagnie.

    Dans le communiqué de presse, la multinationale ibérique de distribution d’électricité tente de rassurer ses abonnés en spécifiant que « nous vous informons que nous avons subi une cyberattaque de nos systèmes d’information. L’incident, qui a maintenant été rectifié, a entraîné l’accès aux données de certains de nos clients. Nous vous informons qu’en aucun cas ils n’ont eu accès aux données financières (compte courant ou carte de crédit) ou aux données de consommation électrique. » Seules les indications relatives au prénom, nom, le numéro d’identification, l’adresse de domicile, le téléphone et le courriel ont fuité. Ces seules données suffisent à établir des faux en écritures concernant les identités, mais aussi de pouvoir créer des contrats avec un nouveau fournisseur d’électricité. Une plainte auprès de la Brigade centrale d’investigation technologique de la police nationale et l’information de l’attaque pour l’Agence espagnole de protection des données ont été effectuées.

    Des attaques auraient eu lieu à Cercanías, au Congrès des députés et dans d’autres institutions européennes. La société de Ignacio Galán est devenue jeudi 31 mars 2022 la première firme espagnole en valeur sur le marché boursier, et principal investisseur espagnol sur le sol américain pour les énergies renouvelables. (Crédits : capture d’écran)

    Le quotidien El Mundo révèle qu’après l’invasion de l’Ukraine par la Russie, le gouvernement américain aurait avisé la compagnie ibérique, qu’elle faisait partie des groupes susceptibles de subir une cyberattaque russe de grande envergure. Iberdrola n’a rien dit à ce sujet, seule confirmation, elle admet avoir essuyé des tentatives de piratage de ses bases de données qui ont affecté 1,3 million de clients. « Nous avons été avertis par les autorités américaines », indiquaient les sources d’Iberdrola, qui expliquent que cette recommandation était liée à « la situation critique que nous vivons », en référence au conflit armé entre la Russie présidée par Vladimir Poutine, et l’Ukraine de Wolodymyr Selenskyy.