La célèbre firme qui possède Lamborghini, Fiat Group, VAG, Brembo et celle au cheval cabré a subi sa troisième cyberattaque déclarée depuis 2021. En premier Speroni part le ransoware Everest avec un accès FTP, 900 Go de dessins AutoCAD, plus de250 Go de fichiers PST… En 2022 RansomEXX affirmait sur son site de fuite détenir 6,99 Go de données sous forme de 15 fichiers compressés. La marque italienne a informé les personnes touchées par l’attaque dans un communiqué lundi 20 mars 2023.
Ferrari S.p.A. a été contacté par un acteur avec une demande de rançon. Dès réception de la demande, la compagnie affirme avoir débuté une enquête en collaboration avec une entreprise de cybersécurité. Elle a aussi informé ses clients sur l’exposition potentielle des données et de la nature dudit incident.
« Nous prenons au sérieux la confidentialité de nos clients et comprenons l’importance de cet incident, c’est pourquoi nous vous en avons informé rapidement », conclut le billet.
Le communiqué de presse est clair : « Par principe, Ferrari n’acceptera pas de rançon, car le paiement de telles demandes finance des activités criminelles et permet aux acteurs de la menace de perpétuer leurs attaques. »
RansomEXX diffusait sur son site 14 fichiers de 500 Mo et un de 150 Mo compressés en février 2022. (Crédits : capture d’écran/RansomEXX)
La compagnie reconnaît que certaines données relatives à leurs clients ont été exposées, à savoir des noms, des adresses, des e-mails et des numéros de téléphone. « Cependant, d’après notre enquête, aucun détail de paiement et/ou numéro de compte bancaire et/ou autre information de paiement sensible, ni aucun détail sur les voitures Ferrari possédées ou commandées n’a été volé. » L’entreprise s’est par ailleurs refusée à tout commentaire sur l’une ou l’autre violation, invoquant une enquête criminelle en cours.
Depuis peu, l’infrastructure de Hive est sous le joug des autorités américaines. Telle l’hydre, une tête se coupe qu’une autre pousse. Vice Society revendique et affiche de nouvelles victimes. Les opérateurs ont mis en accès les données de l’établissement scolaire canadien, Okanagan, soit plus de 800 GB. Mais également le cabinet de propriété intellectuelle SIB en Italie. L’entreprise est spécialisée dans la protection et l’application des brevets, marques, modèles, dessins et droits d’auteur.
Les opérations de Vice Society contre les institutions d’enseignement sont monnaie courante. L’Okanagan College, le Scheppers institut Wetteren, le NPTC Group of Colleges, et le Bristol Community College sont les derniers noms ajoutés à la liste des instituts ciblés par le collectif de hackers.
Les informations glanées auraient été le prénom, nom, date de naissance, adresse électronique, adresse postale, et le numéro de sécurité sociale (NAS). Comme pressenti de nombreux passeports sont exposés, et peuvent engendre une usurpation d’identité et autres délits. (Crédits : Okanagan College)
Concernant l’établissement d’enseignement supérieur situé à Kelowna, au Canada, l’attaque a été identifiée le 9 janvier 2023, vers 6 h 15. Un incident au cours duquel une entité non autorisée a eu accès à certains systèmes technologiques. « Dès que l’intrusion a été détectée, nous avons fermé les accès afin de limiter les impacts potentiels et nous avons engagé des experts en cybersécurité pour nous aider à réagir », expliquait l’entité par un communiqué le 23 janvier 2023.
Des données par centaines de milliers sont disponibles. Des passeports, des cours, des photos, mais également des conversations privées capturées sur les smartphones, identifiants, mots de passe, numéros de carte de crédit, contrats… jusqu’au plan de finance et budget. (Crédits : capture d’écran/Vice Society)
SIB cabinet italien de propriété intellectuelle aussi victime
Le cabinet protège la propriété intellectuelle à travers le monde, en Algérie, Équateur, Koweït… Des échanges internes sur la durée des brevets, sur l’évolution de la contrefaçon partout dans le monde…. L’établissement qui offre des conseils juridiques et une assistance en matière de contrefaçon, d’usurpation voit l’ensemble des données collectées, exposées à la vue de tous.
L’entité italienne n’a pas encore communiqué sur l’incident, ni sur son site, ni sur ses réseaux. (Crédits : capture d’écran/Vice Society)
L’Italie est également en proie à des données compromises. Red Hot Cyber explique que « les données de 1,5 million d’utilisateurs italiens de pharmacies en ligne ont été compromises. » C’est à travers le rapport d’un chercheur en sécurité, que le site a été informé. Le problème avait été soulevé, mais c’est le cloud qui abrite les instances desdites pharmacies qui a été « piraté ».
Le 27 décembre 2022, la société italienne Advanced Systems subissait une attaque par ransomware du cybergang Phobos. Peu de temps avant, c’est la commune de Sarno, au sud-est de Naples qui était touché par une cyberattaque. Red Hot Cyber rapporte la similitude entre les modes de fonctionnement. Le ransomware Phobos fait son apparition en 2018 et menace les serveurs des entreprises. Il use des protocoles de bureau à distance mal configurés. Il tient son nom du dieu grec de la peur, sa structure est comparable à Crysis et Dharma.
La commune de Sarno est victime d’une attaque de dernière génération relate la compagnie Advanced Systems spa, qui gère le système informatique du Palazzo di Città. L’affection de certains serveurs de l’entreprise est avérée, indique la société dans son communiqué. L’incident signalé aux forces de l’ordre, les procédures requises par le protocole de sécurité interne ont été engagés. « Une task force d’experts a été constituée, qui, avec l’aide de l’entreprise Swascan srl de Tinetxta spa, leader du marché des services GDPR, analyse l’incident, vérifie les serveurs et prépare les actions nécessaires pour rétablir la fonctionnalité normale des applications fournies. »
Le 29 décembre 2022, la société Advanced Systems avait remis en fonctionnement les services concernés. Cependant certaines opérations se déroulent encore. Si le confinement des systèmes infectés est réalisé, l’identification est en cours. C’est le cas pour l’analyse des journaux « d’après les premiers éléments, il n’y a aucune preuve d’exfiltration. »
Le ransomware Phobos
Les cybermalfaiteurs se servent de deux vecteurs d’attaques. Le premier à travers les campagnes de phishing, les personnes usant de ces lignes de codes volent des informations sur les comptes et les mots de passe, ou incite la cible à ouvrir une pièce jointe malveillante. Mais également en obtenant un accès direct à l’aide du protocole de bureau à distance (RDP). Le port spécifique visé par le ransomware est le port 3389, relate Avast. Des botnets scannent les systèmes qui ont gardé ce port ouvert. Ensuite, l’occasion est donnée aux cybercriminels de deviner les identifiants de connexion en utilisant un moyen comme l’attaque par force brute. La suite est documentée de nombreuses fois par les entreprises, hôpitaux, universités, en France, aux États-Unis … partout sur terre.
Comme à l’accoutumée, les opérateurs derrière les ransomwares ciblent des entreprises à travers le monde, ce à chaque instant. Cette fois c’est l’enseigne bien connue Conforama. Le groupe affirme détenir de nombreux fichiers. « Conforama a un très faible niveau de sécurité et de protection des données de ses utilisateurs, nous avons donc réussi à voler plus de 1 Tb de leurs données ». La deuxième plus grande chaîne de magasins d’équipement de la maison en Europe a lancé une enquête interne.
Les preuves affichées sur leur site de fuite proviennent de filiales espagnole et portugaise. En date du 6 novembre 2022 peu après 19 h, les individus derrière le Ransoware-as-a-Service, laissaient 48 h à l’enseigne pour les contacter. Les informations n’affirment ni infirment de telles allégations. Le ransomware est à l’origine des attaques contre l’université de Pise en Italie en juin 2022, Duda, Creos et Enovo en juillet 2022. Comme celle contre le Commandement conjoint des forces armées de l’Équateur fin octobre de cette année.
Ils poursuivent en stipulant que toutes les données internes de marketing et d’analyse seront envoyées aux concurrents. La pression est de mise sur la société, en indiquant avoir la possibilité et la volonté de divulguer :
Documents et rapports financiers
Données des cartes de crédit des clients
Documents marketing
Documents analytiques et stratégiques
Données personnelles de l’entreprise
Documents logistiques
Bases de données de melons
Bases de données des clients et leurs informations personnelles
Historique de la correspondance des employés et de la direction
La nouvelle franchise RedAlert revendique la cyberattaque contre le plus grand fournisseur de services aux personnes handicapées aux États-Unis, COARC. La compagnie américaine Tri-Ko par Hive, Industrial Spy met en vente les données de Burnettefoods pour 1,3 million de dollars. Et LockBit 3.0 affiche comme actuelles victimes Fosun, VS associates et Pinnick. Sans oublier LV Blog qui affirme détenir 20 GB de données sensibles de la firme Eledondati.
Si les entreprises comme La Poste Mobile ne paye pas la rançon exigée, il n’en est pas moins que les opérateurs derrière les ransomware accumulent pléthore de données et informations sensibles. Jouent-ils une partie d’échecs au niveau mondial ? Avancent-ils leurs pions avant de placer réellement leurs attaques ? Après les cyberattaques contres les compagnies productrices d’électricité en Israël, au Luxembourg, Creos, Dusa, Enovo. Des entreprises sensibles telles Beesense, MBDA ou huit villes italiennes aussi attaquées. Ce qui est certain, est que les différentes franchises de ransomware accumulent de plus en plus de données à travers le monde.
Industrial Spy revendique l’attaque informatique contre l’industrie agroalimentaire. Ils réclament une rançon de près de 54 bitcoins. Burnette Foods est un distributeur de fruits et légumes d’origine locale et nationale avec des installations de production dans tout l’État du Michigan. (Crédits : capture d’écran/Industrial Spy)
Deux entités aux services des personnes souffrant de troubles physiques ou psychiques viennent de subir une probable attaque informatique par Ransomware-as-a-Service. Cela pourrait engendrer les fuites de données sensibles de santé d’individus, mais pas que. Les entreprises concernées sont toutes deux américaines. La première Tri-Ko visée par le ransomware Hive, l’autre Coarc par RedAlert. Ce dernier affirme avoir téléchargé des informations sur les employés (numéro de sécurité sociale, permis de conduire…), comme les bénéficiaires (contrats, données personnelles…), mais également les documents financiers des l’établissement.
La nouvelle franchise affiche à chaque fois les mêmes types d’informations. (Crédits : capture d’écran/RedAlert)
La firme chinoise Fonsun, fondée en 1992 est victime du ransomware LockBit 3.0. Elle emploie 96 000 personnes à travers le monde. Elle concourt à prodiguer des services dans les domaines de la « santé, bonheur, richesse et intelligence ». Les opérateurs laissent jusqu’au 20 août 2022 à 13 h 39, avant de diffuser les informations. « Apparemment les négociations sont au point mort. Nous sommes obligés de publier plus tôt parce que la compagnie avec les revenus de 22 milliards de dollars ne peut pas payer 500 000 dollars », justifient-ils.
Comme La Poste Mobile auparavant, les entreprises semblent refuser d’acquitter la note. (Crédits : capture d’écran/Fosun)
VS associates basée à l’ouest de Los Angeles aux États-Unis s’occupe de faire fructifier les finances pour la retraite de ses affiliés. La compagnie travaille avec entre autres avec AIG, AXA, Allianz… Comme preuve de son exfiltration de données, les opérateurs diffusent des tableaux de noms. Ils affirment détenir 155 GB à travers 182 021 fichiers. Chacun est établi par liste alphabétique commençant par le nom, prénom suivi d’un identifiant. Ainsi que leurs adresses, numéros de téléphone, e-mail, et même l’encours des comptes détenus.
Chacun des dossiers est élaboré par liste alphabétique. Ils débutent par le nom, prénom suivi d’un identifiant. Puis en détail, leurs adresses, numéros de téléphone, e-mail, et même le montant des comptes détenus. (Crédits : capture d’écran/LockBit 3.0)
La société britannique Pinnick Lewis créée en 1950 apporte des services aux entreprises. Elle fournit des services traditionnels de fiscalité, de comptabilité et de conformité, tant au niveau local que national. « Nos clients vont des start-ups et des indépendants aux entreprises gérées par leur propriétaire, des PME et des grandes entreprises », explique l’entreprise. LockBit affirme avoir en sa possession 103 GB de données sensibles. Elefondati, entreprise italienne spécialisée dans la conception, construction de systèmes de communication, transmission de données et de sécurité est la victime ce 15 août 2022 du ransomware LV Blog. Est-ce les suites de l’attaque du géant Cisco Systems, avec lequel Elefondati collabore ?
Les attaques informatiques sont fleuves cet été. La dernière en date est de taille, il s’agit de la firme Cisco Systems. Les opérateurs derrière les Ransomware-as-a-Service tel que LV Blog pour Valverde Hotel, RansomHouse pour les communes de San Godenzo, Londa, Pelago, Pontassieve, Regello, Rufina et l’union de Valdarno et Valdisieve en Italie. Les systèmes d’information sont mis à rudes épreuves. Même au Canada, l’union des producteurs agricoles est attaquée.
Il ne passe pas une semaine sans que les gros titres de la presse, « print et WEB » ne mentionne une cyberattaque, un ralentissement informatique… La plupart du temps, la faille intervient entre l’ordinateur et le fauteuil. Au Canada, l’union des producteurs agricoles est paralysée depuis le 6 août 2022. Les fichiers partagés sur le réseau interne, le service de paie, et d’autres entités nécessaires à l’UPA sont indisponibles. Les fédérations régionales sont touchées par ricochet. « Ce qu’on ne sait pas présentement, c’est si les pirates ont volé de l’information, c’est ce qu’il faut être en mesure d’évaluer », affirme le directeur général Charles-Félix Ross. Les équipes travaillent à rétablir l’ensemble des systèmes exempt de tout code malveillant.
Les opérateurs derrière le ransomware « RansomHouse » mettent à disposition plus de 2 téraoctets de données sur leur site de fuite. LockBit 3.0, BlackCat, LVBlog, CL0P, Quantum… les cyberattaques sont extrêmement fréquentes. (Crédits capture d’écran/Ransom House)
Ils indiquent d’ailleurs leur stupéfaction : « une nouvelle pandémie fait rage dans les structures gouvernementales italiennes ! Le principal symptôme est le fait d’avoir des mots de passe comme 12345678 pour les ressources critiques qui stockent des données sensibles, ce qui entraîne des conséquences assez prévisibles et menace les gens ordinaires. »
Comme pour CASA en Belgique, les communes italiennes voient des renseignements confidentiels et privés diffusés. En Belgique, les prénoms, noms, adresse électronique, numéros de téléphone peuvent utilisés à mauvais escient. (Crédits : Capture d’écran)
Si aucune communication n’est encore avérée pour l’établissement portugais, Valverde Hotel basé à Lisbonne, l’enseigne CASA quant à elle renseigne et invite chaque client à une surveillance accrue pour pallier un possible phishing. « Le 1er août 2022, CASA a été victime d’une attaque par ransomware menée par un groupe de pirates informatiques. Nos systèmes de sécurité l’ont détecté à court terme. Nous n’avons pas pu empêcher le cryptage de nos systèmes informatiques et la fuite de certaines données personnelles », explique la compagnie.
Pour l’instant seule une arborescence des systèmes est divulguée. Selon Bleeping Computer, 2,8 GB de données seraient volées. Il y a bien eu intrusion non autorisée, mais pas de déploiement de ransomware. (Crédits : capture d’écran/Yanlouwang)
« Cisco a connu un incident de sécurité sur notre réseau d’entreprise fin mai 2022 », mentionne un porte-parole de Cisco. La société aurait immédiatement pris des mesures pour contenir et éradiquer les menaces. Ce n’est que dernièrement, le 10 août 2022 que les opérateurs, revendiquant appartenir à l’entité « Yanlouwang », affirment avoir dérobé des informations. Entre temps, LeMagIT explique que les attaques même sophistiquées n’auraient pas été concluantes. En effet « les équipes de Cisco assurent n’avoir pas trouvé d’indication d’un éventuel accès à des systèmes critiques […] ».
Les fuites de données ici et là sont comme les températures, en réelle augmentation. Les différentes attaques informatiques de la fondation italienne Edmund Mach, en juillet 2022, la maison Armani, le groupe Ferrovie Deilo Stato, Martinelli Ginetto, ainsi que les entreprises qui ne sont pas revendiquées, font le bonheur des opérateurs malveillants. Sur le forum Breached, dans la journée du 2 août est apparu un message offrant pour 250 euros, les données de près de 700 000 Italiens.
Les données 686 719 personnes sont ainsi à vendre pour une bouchée de pain. L’opérateur propose de télécharger un échantillon pour prouver la véracité de ses dires. Après l’analyse de Red Hot Cyber, les informations concerneraient une entreprise de Busto Azsizio. La même chose peut arriver partout en France.
Il n’existe pas de petits profits. L’opérateur a ainsi posté sa proposition le lundi 1er août 2022. (Crédits : capture d’écran)
Les personnes derrière les tentatives de phishing récupèrent ces informations pour peu d’argent, et s’en servent pour des tentatives d’escroquerie bien plus grandes et génératrices d’argent. Ces derniers temps, pléthores de Françaises et Français reçoivent SMS, e-mails demandant de confirmer leurs données sur le compte de l’assurance maladie en ligne, Ameli, ou leur compte personnel de formation CPF : Attention arnaque !!!
Le leader européen dans la conception de missiles et de systèmes de missiles visé par une tentative d’extorsion. Le groupe qui se réclame sous le patronyme « Adrastea » justifie avoir téléchargé environ 60 Go de données confidentielles. Les informations ainsi exfiltrées l’auraient été d’après les individus sur un disque dur externe. La firme réfute toute intrusion dans des systèmes d’information. Selon la revendication les données à vendre appartiendraient à la filiale italienne de MBDA et l’OTAN.
L’offre aurait pu rester confidentielle, si elle n’était pas sortie de quelques forums fréquentés par les cybercriminels explique LeMagIT. Depuis la diffusion du groupe Arvin sur son canal Telegram, dimanche 31 juillet 2022, elle s’est diffusée depuis comme une traînée de poudre. Les opérateurs derrière « Adrastea » expliquent que « nous avons trouvé des vulnérabilités critiques dans l’infrastructure des réseaux et avons eu accès aux fichiers et aux données confidentielles de l’entreprise. »
« L’origine des données a déjà été déterminée, elles ont été acquises à partir d’un disque dur externe. Il a été confirmé qu’il n’y a pas eu de piratage des réseaux sécurisés de l’entreprise », indique MBDA. Une enquête des autorités italiennes est en cours. (Crédits : capture d’écran)
L’entreprise qui affiche un chiffre d’affaires annuel de 4,2 milliards d’euros, emploie 13 000 personnes disséminés en France, Allemagne, Italie, Royaume-Uni, États-Unis et en Inde. Le groupe assure qu’à ce stade des investigations « les processus de vérification internes de l’entreprise indiquent que les données mises en ligne ne sont ni classifiées ni sensibles ».
Par un message sur twitter, la société a révélé avoir subi une attaque informatique le 8 juillet 2022. La Fondation EdmundMach, anciennement Istituto Agrario di San Michele all’Adige (IASMA), est une institution agraire et une académie du vin située dans le Trentin, au nord-est de l’Italie. Il a aujourd’hui pour mission de dispenser un enseignement, une formation et des conseils dans le domaine de l’agriculture. Depuis la découverte de l’attaque, l’institut créé en 1874, met tout en œuvre en vue de rétablir l’ensemble de ses systèmes d’information.
La Fondation Edmund Mach, hormis dispenser un enseignement et des conseils dans le domaine de l’agriculture, il mène des recherches et des expérimentations dans le but de « promouvoir la croissance culturelle et socio-économique du secteur agricole ». Mais également de développer les systèmes forestiers et agroalimentaires, en portant une attention particulière à l’environnement et la sauvegarde du territoire de la région du Trentin.
Attacco informatico alla FEM che ha coinvolto i servizi informativi aziendali e le piattaforme tecnologiche. Sono in corso tutte le verifiche necessarie per valutare l'entità del danno e per ripristinare la piena operatività dei sistemi nel più breve tempo possibile. pic.twitter.com/MsTjmL3Bes
— Fondazione Edmund Mach (@fondazionemach) July 8, 2022
Au mois d’avril, le site internet du ministère de la transition énergétique (MiTE) était hors service. « On peut dire que l’attaque contre MiTe a été arrêtée à un moment où elle n’avait pas encore déployé toute sa capacité de destruction », déclarait Roberto Baldoni, PDG d’ACN. Pour le ministre Cingolani, cette attaque confirmait une fois encore « l’importance et l’urgence de disposer de structures informatiques dans l’administration publique qui respectent les principes de pointe en matière de cybersécurité ».
En Italie, en Espagne et en Irlande, pour des raisons diverses, des tensions existaient ce 30 juin 2022. La guerre civile irlandaise faisait déjà de nombreux prisonniers, blessés et morts. Les pourparlers commerciaux entre l’Espagne et l’Allemagne suspendus jusqu’à nouvel ordre. L’Italie craignait que l’empire austro-hongrois se reforme, n’augurant aucune espérance de paix pour le futur. Mais tout autant sur l’accord italo-yougoslave ou l’arrivée sous-jacente de l’Italie fasciste des années 1922.
Les unités de l’État libre après une préparation militaire intense prenaient une partie du palais de justice à Dublin. Elles ont fait 33 prisonniers, et comptent comme pertes trois hommes et quatre officiers, en sus de dix blessés. « À trois heures quarante-cinq, ils échangeaient avec les troupes d’attaques une fusillade violente », racontait le quotidien L’Homme Libre. La communication dans les différents lieux de l’île était disparate, car les câbles téléphoniques et télégraphiques pour la plupart étaient rompus. La peur d’un soulèvement général des « rebelles » semblait prégnante. D’autant qu’une machine infernale s’installait à Talbot Street. Cette rue et ce coin de Dublin portent les stigmates de conflits passés et futurs. En octobre 1920, le républicain Seán Treacy de Tipperary a été abattu devant le magasin Republican Outfitters au numéro 94, juste après avoir été repéré par des agents britanniques en patrouille clandestine. Mais elle est également meurtrie par les 33 victimes des attentats de Dublin et Monaghan en 1974, dont la façade du mémorial érigé dans Talbot Street commémore cet événement.
La paisible citée de Dublin, porte les traces d’un conflit civil qui demeure entre les briques des murs. (Crédits : Paolo Trabattoni/Pixabay)
L’Italie semblait redouter la reconstitution d’un État austro-hongrois. L’Epoca se faisait écho d’appréhension, car le journal relatait que « nous pouvons espérer régler tous les différends italo-allemands avec le gouvernement résidant à Berlin, mais avec un gouvernement résidant à Munich, nous n’aurions aucune espérance de paix ». Sauf que la politique étrangère fasciste prit place le 31 octobre 1922, elle reposa sur un compromis entre les inclinations personnelles du chef du gouvernement, Benito Mussolini, et le correctif que lui apportait la prudence et la vision à long terme des diplomates. Dès le 3 novembre 1922, en poste trois jours plus tôt, Mussolini expliquait à quelques presses étrangères que l’Italie voulait « être traitée par les grandes nations du monde comme une sœur, non comme. une servante », qu’elle n’avait pas l’intention de « marcher sur les pieds des autres nations », mais qu’elle entendait « faire respecter sa dignité ».
