Libre Expression

Étiquette : LeMagIT

  • Quand les fuites de données rongent la confiance (numérique)

    Quand les fuites de données rongent la confiance (numérique)

    En quelques mois, la France, comme le monde entier, a vu chanceler l’un des piliers invisibles de sa modernité. Désormais ébranlée, la confiance dans la sécurité numérique vacille. Enseignes, géants technologiques, institutions publiques, fournisseurs de services… personne n’est épargné. Des millions de données personnelles exfiltrées, des centaines d’entreprises fragilisées, d’ailleurs, certaines firmes disparaissent, des citoyens démunis, soudain exposés à une criminalité sans visage. L’année 2025 marque d’une pierre blanche celle où la vulnérabilité n’est plus une exception, mais un état.

    À 7 h 42, dans le silence feutré d’une maison, Élodie se saisit de son ordiphone, ou smartphone. Un e-mail. Une alerte. Un message laconique l’informe qu’« une partie de vos données personnelles a pu être compromise… » Pas de coupable identifié. Juste cette notification — encore une — qui vient briser l’illusion fragile de sécurité numérique. Elle, comme des millions, se mue en une victime. Derrière son écran, le soupçon s’insinue. Que signifie cette « compromission » pour son identité, ses finances, sa vie privée ?

    Fuite de données en pagaille

    Cette histoire factice n’est malheureusement pas une fiction. C’est une vague, un tsunami qui déferle avec une intensité inédite. L’année 2025 est marquée par des fuites massives, des piratages en chaîne, des alertes répétées. Le monde numérique soudain vacille, et les citoyens (re) découvrent leur fragilité.

    Crime, cyber, attaque

    Le 3 décembre 2025, un rapport du GTIG confirme qu’une cyberattaque massive a exposé les données de plus de 200 entreprises utilisant des services reliés à Salesforce. L’activité suspecte affecte des applications d’un tiers, Gainsight. L’intrusion a permis aux hackers d’accéder à des instances, ouvrant la voie à une fuite d’informations sensibles.

    « Cette activité est probablement liée à UNC6240 (alias ShinyHunters) », déclare Austin Larsen, analyste principal de GTIG. Ils auraient mené l’opération mêlant ingénierie sociale, vishing, usurpation de comptes et exploitation de tokens d’authentification. « […] Salesforce a révoqué tous les tokens d’accès actif […] », indique Allen Tsai, porte-parole de Salesforce. (Crédits : Pete Linforth/Pixabay)

    Dans un contexte où les signalements de cybermalveillance augmentent fortement — hameçonnage, compromissions de comptes, rançongiciels — des publications, des alertes et des mises en garde contre les risques croissants liés aux informations volées sont affichées. La dernière en date concerne la violation de données personnelles de la Fédération Française de Tir.

    Une explosion des cyberattaques et des menaces en cascade

    Selon un article d’Euronews, l’Europe a enregistré une hausse spectaculaire des cyberattaques en 2025, affectant de nombreux secteurs. Si la patrie de Molière qui se retrouve parmi les pays les plus touchés, nos voisins et amis Belges font faces à une recrudescence d’escroquerie. Dans des courriels, les escrocs se font passer pour le Ministère Public ou le procureur général M. Van Leeuw. « Ces e-mails sont des faux et peuvent être dangereux. Soyez vigilant, n’ouvrez pas les pièces jointes et ne cliquez pas sur les liens contenus dans l’e-mail. »

    Le constat est limpide. Les vulnérabilités ne frappent plus individuellement, mais globalement. Nous possédons un modèle désormais fragilisé par l’interdépendance et la complexité croissante des chaînes logicielles, comme des fuites de données. Voici une liste non exhaustive des victimes d’attaques cybernétiques de l’année 2025 : Procureur général de l’État de Guanajuato (MEX), Merkle (JPN), Svenska kraftnät (SWE), Sunafil (PER), Milwaukee Police Department (USA), YAC GARTER CO., LTD. (JPN), Ville de Fumel (FRA), LG Balakrishnan & Bros Ltd (IND), Al-Babtain Power and Telecommunications Co. (SAU), Direction générale des impôts et domaines (Dgid) (SEN), Agence régionale de santé (ARS) des Hauts-de-France (FRA), Ordre des journalistes de Rome et du Lazio (ITA), Ville de Poitiers et Grand-Poitiers (FRA), Wibaie (FRA), CNFPT (FRA), Muséum national d’Histoire naturelle (FRA), Orange (FRA), Curaçao Tax Office (CUW), Delfingen (FRA), Uni-Asia Group Limited (SGN), Département de l’Aude (FRA), Büchner Barella (DEU), Alto Adige (ITA), Melilla (ESP), Glasgow (GBR), Département des Hauts-de-Seine (FRA), La Maison Liégeoise (BEL), Peter Green Chilled (GBR), Service public de Wallonie (BEL), District scolaire de Limestone (CAN), Groupe 3R (CHE), Bikur Rofeh (ISR), Adval Tech Group (CHE), Harvest (FRA), Orangeville (CAN), Bain de Bretagne (FRA), Écoles publiques de Portland (USA), Conseil scolaire Upper Canada (UCDSB) (CAN), La Police de Kingston (CAN), Berson (FRA), Leroy Merlin (FRA), France Travail (FRA)…

    Culture de la cybersécurité fragile

    L’origine du problème ne tient plus à un serveur mal configuré ou à un mot de passe trop faible. C’est désormais tout un ensemble, qui réside dans l’écosystème lui-même. En effet, il existe une externalisation massive & SaaS (Software-as-a-Service). De plus en plus d’entreprises laissent une part non négligeable de leur activité logicielle vers des tiers (CRM, support client, outils marketing, cloud…) En greffant un maillon à une chaîne, vous augmentez la surface d’attaque.

    D’autant que l’interconnexion des services ajoute un peu de piment. Un fournisseur de support en liaison avec plusieurs clients devient un hub de compromission. (Crédits : Obregonia D. Toretto/Pexels)

    Tour, communication, relais

    Selon le baromètre 2025 du CESIN, une entreprise française sur deux identifie les fuites de données comme un risque prioritaire, mais nombre d’entre elles ne jugent pas les solutions suffisamment sûres ou adaptées à leur taille. L’arrivée de l’IA générative, de services interconnectés, d’accès à distance, multiplie les vecteurs d’attaque, les erreurs possibles. Ce contexte structurel met en lumière la faiblesse d’un modèle numérique fondé sur la confiance.

    L’affaire Gainsight au révélateur

    Un prestataire, Gainsight se voit attribuer des accès légitimes — via tokens OAuth — à des CRM d’entreprises. Un acteur malveillant — via social engineering, vishing, usurpation d’identité — obtient ces tokens ou convainc un employé de les approuver. Grâce à ces accès, les pirates exportent, en masse, des bases de données entières. Cela concerne les contacts, utilisateurs, historiques, métadonnées…

    rue, public, asiatique

    Les données volées peuvent ensuite être revendues, publiées, ou servir à des campagnes de phishing ou d’usurpations d’identité ciblée. L’attaque ne nécessite pas une faille dans le cœur logiciel (Salesforce) — mais exploite la chaîne d’approvisionnement logicielle, ou « supply-chain ». Ce type d’attaque illustre une tendance récente : la cybercriminalité vers non plus le point le plus faible de l’infrastructure, mais l’écosystème global.

    Qu’est-ce qu’une attaque supply-chain ?

    Une attaque supply-chain consiste à cibler non la victime directe, mais un de ses fournisseurs ou prestataires. En compromettant ce maillon, l’attaquant obtient un accès indirect à de nombreuses cibles. Cette stratégie, très efficace à l’échelle industrielle, transforme un prestataire en point névralgique de compromission — un « hub » d’accès à plusieurs organisations.

    Vivre dans l’insécurité digitale

    Pour les victimes — salariés, clients, particuliers —, la prise de conscience est brutale. Plusieurs conséquences psychologiques se dessinent. Sentiment de vulnérabilité permanente. Car, le numérique, jusque-là perçu tel un lieu « fiable », apparais désormais comme un terrain miné.

    (Crédits : Ethan Brooke/Pexels)

    Des conséquences directes, avec la peur, ou une méfiance considérable de confier ses informations personnelles. Mais aussi le syndrome de l’appel au loup. Face à la multiplication des incidents, le risque d’habituation s’installe. Certains minimisent alors les alertes en acceptant une exposition comme « coût normal ». Mais en fonction de l’âge et de la culture cyber, la crainte d’usurpation d’identité, de fraude, de revente de données, voire de compromissions financières — car la menace ne dort jamais. L’addition de ces facteurs engendre un climat anxiogène, intime et collectif.

    La menace comme instrument systémique

    Quand les infos volées incluent des éléments personnels — noms, adresses, contacts, emails, données sensibles —, les risques sont concrets. Ainsi, comme le dévoile sur X (anciennement Twitter), SaxX, un tiers non autorisé a accédé aux données de santé des patients du site « Médecin direct » : prénom, nom, date de naissance, adresse e-mail, numéro de téléphone, adresse postale, numéro de sécurité sociale (si transmis), les données de santé (l’objet de la téléconsultation, les données renseignées dans le questionnaire de prétéléconsultation, les données échangées par écrit avec le professionnel de santé)

    Les organismes d’assistance comme Cybermalveillance.gouv.fr alertent en 2025. Les demandes d’aide ont explosé (jusqu’à + 82 % pour certaines catégories), traduisant l’intensification de la menace. Comme le montre le rapport de Surfshark : au second trimestre 2025, la France est le 2ᵉ pays le plus touché sur Terre par les violations de données, selon Surfshark. Au total, 11 946 923 e-mails français ont été compromis entre le 1ᵉʳ janvier et le 1ᵉʳ avril 2025, soit une augmentation de 441 % par rapport au trimestre précédent. Le chiffre croit à 15 466 792 au 1er juillet 2025 (+29 %).

    Cela révèle une mondialisation de la cybercriminalité. L’ingénierie sociale, combinée à l’exploitation des tiers, constitue la voie d’accès la plus rentable et la plus massive. Méthode qu’usent ShinyHunters/Scattered Spider. (Crédits : Brett Sayles/Pexels)

    câble, connexion, fibre



    Environ 83% des cyberincidents en France n’ont pas de pays d’origine identifié – 11 des 64 cas ont été attribués à au moins un pays d’origine, selon l’EuRepoC. Face à la fragilité et aux menaces contrent des États ou des entreprises, il faut repenser le modèle. Car le risque systémique existe. La fuite d’un fournisseur majeur affiche le vacillement d’un pan de l’économie numérique. La France est quatrième au rang mondial des comptes violés. Cela représente 703 912 680 depuis 2004.

    Vers un sursaut collectif ?

    L’urgence date d’hier. Le renforcement des réglementations avec la traçabilité des accès, l’obligation de signalement, la transparence sur les incidents, les sanctions… sans oublier l’hygiène numérique (mots de passe robustes, 2 FA, vigilance face aux phishings et aux sollicitations) se doit d’être la norme. « La plupart des gens utilisent le même e-mail pour différents comptes lors de l’inscription en ligne », rappelle Surfshark.

    Squelette, casque, VR

    Ce que risque tout un chacun est l’usurpation d’identité, phishing, harcèlement, perte de vie privée, stress, méfiance généralisée. Mais cela passe par la prise de conscience des données déjà fournies gratuitement lors de l’installation d’applications ou de jeu.

    L’année 2025 pourrait rester dans les mémoires comme l’année où la confiance numérique s’est fissurée — non sous les coups d’un virus explosif, mais sous la pression d’un écosystème globalisé, interconnecté, fragilisé. Derrière chaque fuite, chaque base de données volée, ce sont des individus, des familles, des entreprises, des destins qui vacillent.

    Mais ce basculement peut aussi être un appel. Un appel à la responsabilité collective — des États, des entreprises, des citoyens — pour bâtir ensemble un système plus résilient, plus transparent, plus respectueux de la vie numérique. (Crédits : Andrea Piacquadio/Pexels)

  • Hunters International ferme boutique

    Hunters International ferme boutique

    Le ransomware Hunters International qui apparaît à la fin de l’année 2023 annonce sa fin programmée en ce début juillet 2025. L’ensemble des malversations est désormais fermé. Le Ransomware-as-a-Service « offre » à toute entreprise concernée les outils nécessaires pour déchiffrer. Sur le site de fuite, plus aucune victime n’est affichée, car « en signe de bonne volonté et afin d’aider les personnes touchées par nos activités passées, nous offrons gratuitement un logiciel de déchiffrement à toutes les entreprises qui ont été victimes de notre ransomware ».

    L’enseigne héritière du ransomware Hive baisse le rideau, explique LeMagIT. Ce choix serait en rapport avec les opérations de Police : End Game, Magnus et Morpheus. Mais également la rentabilité de ces opérations, avancent-ils. C’est l’occasion de se pencher sur ce groupe de cybercriminels, qui en moins de deux années, font couler beaucoup d’encre, et potentiellement des entreprises.

    Le rideau est baissé

    Bien que l’annonce du 17 novembre 2024 indiquant que Hunters International fermerait bientôt, en raison d’une surveillance accrue et d’une baisse de la rentabilité, Group-IB l’avait anticipé en avril. Les anciens opérateurs du ransomware Hive pourraient être impliqués dans l’administration de Hunters International. Car des similitudes du code source sont observées par différents chercheurs.

    écran, hunters, ransomware

    Au total 307 victimes déclarées et affichées, dont certaines notables telles Finance ICBC (UK), Quálitas (Mexique), U.S. Marshals Service (USA), Hoya Corp. (JPN), Austal (USA), Benetton Group (IT)… jusqu’à Integris Health, le plus grand réseau de soins de santé à but non lucratif de l’Oklahoma. Les données de 2,4 millions de personnes exfiltrées.

    Ses cibles n’étaient pas choisies au hasard. L’intérêt stratégique est de mise. La santé, avec des données sensibles et l’urgence de réaction. L’industrie et la Défense, la capacité de nuisance, mais surtout la recherche et développement. « […] Après mûre réflexion et à la lumière des développements récents, nous avons décidé de fermer le projet Hunters International. […] » (Crédits : capture d’écran/Hunters International)

    Il faut se remémorer les méthodes brutales, comme celle utilisée contre Fred Hutch Cancer Center (USA). Dans la plainte déposée, en page 10 est écrit que les patients recevaient des courriels menaçants. « Si vous lisez ceci, vos données ont été volées et seront bientôt vendues à divers courtiers en données et marchés noirs pour être utilisées dans des fraudes et d’autres activités criminelles. » Accompagné des données personnelles pour chaque destinataire : prénom, nom, adresse, numéro de dossier et informations médicales. Mais ils étaient aussi menacés d’une attaque dite « swatting ». Elle se produit lorsqu’une « fausse déclaration est faite aux forces de l’ordre afin que des agents d’intervention d’urgence, comme les équipes SWAT, se rendent au domicile d’une personne. »

    Adaptation au marché

    Après la fermeture programmée, au vu du message sur le site de fuites : « […] Après mûre réflexion et à la lumière des développements récents, nous avons décidé de fermer le projet Hunters International. […] », des questions demeurent. Surtout une : que font-ils désormais ? Alors que Hunters ferme, World Leaks apparaît : coïncidence ?

    Le modèle business du ransomwware Hunters International n’est plus rentable. Donc ils publient un nouveau projet au 1er janvier : World Leaks (Silent). « Contrairement à Hunters International, qui combinait cryptage et extorsion, World Leaks (désormais Silent) opère comme un groupe d’extorsion uniquement en utilisant un outil d’exfiltration sur mesure », a déclaré Group-IB. Selon les opérateurs, le logiciel serait indétectable…
    La stratégie de communication est basée sur un concept des années 1970 : le FUD. Il est l’acronyme de Fear, Uncertainty, and Doubt pour peur, incertitude et doute. Le logiciel malveillant utilisé par Hunters International est développé « dans Rust pour cibler les architectures x64, x86 et ARM, ainsi que les systèmes d’exploitation Windows, Linux, FreeBSD et SunOS. » (Crédits : capture d’écran/Silent)

    Dorénavant, Hunters international cherchent juste l’exfiltration des données, comme un groupe d’extorsion. « Maintenant, notre tâche principale est le vol de données confidentielles des entreprises. Des données qui intéresseront tout le monde. » Ils changent leurs fusils d’épaules. Désormais seul le service IT sera informé. « Les notes sont reçues exclusivement par le service informatique et les dirigeants de l’entreprise, aucun employé ne sait rien du piratage ni des autres personnes extérieures. Nous chiffrons rarement les systèmes. » Les opérateurs indiquent avoir tout un département qui étudie soigneusement chaque dossier et trouve les plus avantageux. « Le prix sera très élevé s’il apparaît sur notre blog, ou s’il est vendu à des concurrents, sur le marché noir ou transféré aux bonnes personnes. »

  • Ransomware. Une rançon de 75 millions de dollars

    Ransomware. Une rançon de 75 millions de dollars

    Une somme record pour le paiement d’une rançon. Elle est selon le rapport de Zscaler l’œuvre de l’organisation derrière Dark Angels. Une entreprise du classement Fortune 50 a versé 75 millions de dollars. L’attention de l’actualité se réfère aux groupes prolixes en contenus. Certains sont mis en lumière après les opérations des forces de l’ordre, d’autres en fonction des spécificités. Le ransomware Brain Cipher fait partie de la seconde catégorie. Ils sont crédités de la cyberattaque lors des JO de Paris2024, sur les musées.


    Les différentes analyses et rapports montrent que l’année 2023 affiche un retour des ransomwares. C’est également le total des paiements qui atteint lui aussi des records. Selon Chainalysis, le montant des rançons payées passe de 220 millions de dollars en 2019 à 1,1 milliard en 2023. Après une hausse en 2020 (905 M$) et 2021 (983 M$), une chute significative est visible en 2022 (567 M$).

    Le dernier et pas le moindre : Dark Angels


    Le ransomware Dark Angels établit un nouveau record. Ils touchent une rançon de 75 millions de dollars (68,4 millions d’euros) en ce début d’année 2024. Ce groupe actif depuis mai 2022, a essuyé une tentative avortée sur la perception d’une rançon de 51 millions de dollars, en septembre 2023. Les différentes entités taisent le nom de l’entreprise victime. BleepingComputer rapporte que la société anonyme influente fait partie du classement Fortune 50. Bien que les différentes entités restent muettes, la multinationale pharmaceutique américaine Cencora est la seule compromise lors d’une cyberattaque, aux alentours du 21 février 2024.

    Dans un article de Reuters, l’ampleur de la cyberattaque est revue à la hausse. La vente et la distribution de produits pharmaceutiques sur le sol des États-Unis représentent 20 % via Cencora.

    Les clients de Cencora et sa filiale du groupe Lash, informent les procureurs généraux de la violation de données. Le 10 avril 2024, Cencora a confirmé que les données volées comportaient prénoms, noms, adresses, dates de naissance, diagnostics de santé et/ou des médicaments, des prescriptions. Sans la confirmation de l’entreprise, plus de deux douzaines de sociétés sont touchées (Abbot, Acadia pharmaceuticals Inc., Bayer Corporation, Pfizer Inc., Tolmar…).

    Cyble Research Labs a identifié un nouveau ransomware en mai 2022. Des similitudes sont affichées avec le rançongiciel Babuk. À la différence des autres, Dark Angels semble créer une seule page par victime, qui est accessible à partir d’une adresse URL unique.

    Leur évolution est considérable depuis leur émergence. L’attaque contre l’entreprise Johnson Controls « démontre leur approche sophistiquée, y compris l’utilisation du chiffrement AES-256, des mécanismes d’enregistrement détaillés et des arguments spécifiques pour la personnalisation », explique Avertium. (Crédits : capture d’écran/SentinelOne)


    La similitude avec Ragnar Locker se base sur le code utilisé. Dark Angels emploie un algorithme de chiffrement symétrique. AES avec une clé de 256 bits pour chiffrer les fichiers. « Johnson Controls International PLC a subi des perturbations dans certaines parties de son infrastructure et de ses applications informatiques internes à la suite d’un incident de cybersécurité. » Ce chiffreur Linux fut utilisé lors de l’attaque contre Johnson Controls pour chiffrer les serveurs VMware ESXi de l’entreprise. Le ransomware Dark Angels déclarait avoir volé 27 To de données, avec l’exigence d’une rançon de 51 millions de dollars.

    La cyberattaque du Grand Palais RMN attribué au ransomware Brain Cipher


    L’offensive menée contre le Grand Palais Réunion des musées nationaux (RMN) touche une quarantaine d’établissements. Ce qui représente 36 boutiques-librairies d’autres musées et grands sites touristiques gérées par cet établissement, dont Versailles. Une enquête judiciaire est ouverte par le parquet de Paris pour « atteintes à un système de traitement automatisé de données ». Les investigations sont en cours.

    Comme son confrère Dark Angels, Brain Cipher use d’un builder. Il utilise celui du ransomware LockBit 3.0, sans pour autant travailler pour la franchise. Il a depuis l’apparition de son site vitrine revendiqué la cyberattaque contre l’entreprise Caennaise Cyceron. Basé sur le campus EPOPEA, le centre de recherche abrite de nombreux laboratoires et équipements.

    Plus au sud, c’est l’entreprise Fabamaq située au Portugal qui devrait voir ses données publiées sur le site vitrine de Brain Cipher. Le compte à rebours affiche un délai expirant le 31 août à 13 h, identiquement pour le groupe français Cyceron. L’entreprise portugaise est spécialisée dans le développement de jeux pour les casinos, tout comme les jeux de casinos en ligne. (Crédits : capture d’écran/BrainCipher)

  • Une cyberattaque concerne potentiellement 43 millions de Français

    Une cyberattaque concerne potentiellement 43 millions de Français

    France Travail (ex Pôle Emploi) est victime d’une cyberattaque entre le 6 février et le 5 mars 2024. Ce mercredi 13 mars, l’organisme alerte sur le « risque de divulgation » de données personnelles. Elle touche « potentiellement » 43 millions de personnes. Les informations personnelles sont susceptibles d’être divulguées et d’être exploitées de manière illégale. Après Almerys et Viamedis, la cyberattaque contre les services du Premier ministre, deux jours avant la révélation de France Travail.

    Fin août 2023, Pôle Emploi explique que l’un de ses prestataires est « victime d’un acte de cybermalveillance ». La potentielle conséquence est la compromission de données relatives aux « demandeurs d’emploi inscrits en février 2022 et d’anciens usagers de Pôle emploi ». Ledit prestataire est l’entreprise Majorel, qui martelait être « pleinement, investis dans la poursuite des investigations et mets tout en œuvre pour les mener à bien dans les meilleurs délais ».

    43 millions d’usagers potentiellement concernés

    À la suite d’une intrusion non autorisée, il existe un risque de divulgation des données personnelles. Elles sont susceptibles d’être divulguées, exploitées de manière illégale. Après avoir déposer plainte, les investigations sont en cours.

    Les données exposées sont les suivantes : prénom et nom, date de naissance, numéro de sécurité sociale, identifiant France Travail, numéros de téléphone, adresses e-mail et postale.

    « Les mots de passe et les coordonnées bancaires ne sont pas concernés par cet acte de cybermalveillance. Il n’existe donc aucun risque sur l’indemnisation » continu France Travail.

    Le risque « zéro » n’existe pas.

    (Crédits : capture d’écran)


    L’opérateur public indique que la base de données contient les données personnelles d’identification des personnes actuellement inscrites depuis 20 ans. Ensuite, les personnes non inscrites sur la liste des demandeurs d’emploi, mais ayant un espace candidat. Un système de dépôt de plainte simplifié est mis en place.

    Quid des attaques contre les services du Premier ministre ?

    Comme l’écrit LeMagIT, « une cyberattaque d’une “intensité inédite” aux airs de tempête dans un verre d’eau » se déroule le 11 mars 2024. Le groupe Anonymous Sudan se targue des articles mentionnant leur cyberattaque. Le groupe fait parler de lui dès janvier 2023. Ils seraient un groupe d’hacktivistes pro-russe qui s’attaque à ceux qui soutiennent l’Ukraine.

    Lors d’une campagne en mars 2023, le groupe vise des installations médicales, universités et aéroports en France. « Ces attaques étaient motivées par un dessin représentant le prophète Mahomet et qui aurait fait référence aux caricatures controversées du magazine Charlie Hebdo. »

    « La principale tactique […] des attaques DDoS sur le Web à partir de serveurs publics en nuage, en dissimulant les sources d’attaque derrière et à travers des milliers de proxys HTTPS/SOCKS », explique Radware.

    Anonymous Sudan change son mode opératoire dans le second semestre 2023 explique LeMagIT. « Il s’appuie sur le botnet Skynet-Godzilla, partageant une promotion à 100 $ la journée, fin novembre dernier. »

    (Crédits : Capture d’écran/AS/Telegram)


    Les attaques visent Israël, l’Inde, la France, l’Australie en avril 2023. Puis revendique les perturbations contre Outlook, Teams, SharePoint Online, OneDrive for Business et de la plateforme cloud Azure. « Les attaques d’Anonymous Sudan se caractérisent par des attaques par DDoS Web associées à des vagues UDP et SYN floods. Les attaques proviennent de dizaines de milliers d’adresses IP uniques avec un trafic UDP pouvant atteindre 600 Gbps et des vagues de requêtes HTTPS jusqu’à plusieurs millions de requêtes par seconde. »

    Attaque versus communication

    Les attaques cybernétiques de type Déni de service (DDoS) sont légion. Avec un investissement réduit, vous disposez d’un maximum d’efficacité. En 2022, Microsoft subit 1435 attaques de type DDoS par jour. Le but est toujours de nuire. Pour un euro investi, c’est plusieurs centaines de milliers d’euros de dégâts.

    En 2023, chaque attaque coûte en moyenne 500 000 dollars aux entreprises. Les personnes dernières usées de défiguration de site et de DDoS

    La communication autour de l’attaque est importante. Une attaque DDoS peut être utilisée pour camoufler une autre offensive.

    Ce qui peut étonner, est la mise en avant ce ces attaques. La France est régulièrement attaquée. L’Assemblée nationale voit son site tomber en novembre 2023.

    (Crédits : Elchinator/Pixabay)


    Comme martèle LeMagIT, la publicité faite autour de ces attaques questionne. « Les incidents cyber au sujet dont l’État ne parle pas ne manquent pas. Choisir de communiquer sur ce DDoS, et saisir l’opportunité de se positionner en victime à coût nul, n’a rien d’innocent. »

  • Les clients d’Orange Espagne privés d’accès à internet durant quelques heures

    Les clients d’Orange Espagne privés d’accès à internet durant quelques heures

    Le fournisseur d’accès à l’Internet Orange Espagne a souffert d’une cyberattaque mercredi 3 janvier 2024. Si l’opérateur mentionne que l’installation était pratiquement revenue à la normale le jour même, la secousse du dysfonctionnement a bien été ressentie. La personne, dont le pseudo est « Snow » à l’origine de cette intrusion explique que le mot de passe n’était pas approprié. Des bots auraient été utilisés, mais une compromission par un infostealer semble plus que probable, comme le célèbre Raccoon stealer.

    La société Orange en Espagne a subi mercredi 3 janvier 2024 dans l’après-midi une cyberattaque. La conséquence fut la chute de l’accès à l’Internet pour l’ensemble de ses clients ibériques. Ce que confirme la société de téléphonie mobile via le réseau social X (ex-Twitter) : « Le compte d’Orange au Centre de coordination du réseau IP (RIPE) a subi un accès non autorisé qui a affecté la navigation. » Snow déplore sur le niveau de sécurité, indiquant même que le mot de passe serait « ripeadmin » et le manque d’authentification à double facteur (2FA).

    Les équipes de vx-underground ont dévoilé une capture d’écran relayée sur X (ex-Twitter) de la compromission d’Orange. Celle-ci démontre que l’enquête d’Hudson Rock indique le même mot de passe mentionné par Snow.

    Des informations indiquent que la famille d’info stealer est de type Raccoon, que la détection remonte au 4 septembre 2023 peu après 15 h 30. Le fait de prendre le contrôle d’un compte d’administration d’un opérateur tel qu’Orange, permet d’administrer vers des routes nouvelles. Donc d’attribuer des possibilités vers de nouvelles plages d’adresses IP.

    (Crédits : Hudson Rock)

    Le RIPE NCC se définit par « Réseaux IP Européens – Network Coordination Centre », elle est une organisation à but non lucratif. Son but la distribution des ressources internet, telles que les adresses IPv4, IPv6, les numéros d’Autonomous System (ASN) utilisés pour le routage entre opérateurs (avec l’utilisation du protocole BGP). Le RIPE dessert l’Europe, le Moyen-Orient et une partie de l’Asie.

    Mais qu’est-ce que c’est que ça ?

    Internet est une toile, un réseau de réseaux. Deux ordinateurs connectés forment un réseau. Mais ils ont besoin de protocole pour échanger. C’est à ce moment qu’intervient l’AS. L’Autonomous System est un très grand réseau ou groupe de réseaux ayant une politique de routage interne cohérente. « Chaque AS se voit attribuer un ASN unique, qui est un numéro permettant d’identifier l’AS ».

    Chaque AS contrôle un certain nombre d’adresses IP. « En général, chaque AS est exploité par une seule grande organisation, par exemple un fournisseur d’accès à Internet, une grande entreprise technologique, une université ou une agence gouvernementale », explique Cloudflare.

    Le BGP (Border Gateway Protocol) est un protocole d’échange de route externe, issu de l’EGP (exterior gateway protocol), utilisé sur le réseau Internet. En 1966, aux États-Unis, le premier réseau à transfert de paquets de données est conçu par la DARPA (Defense advanced research Projects Agency). Il est connu comme l’ancêtre de notre Internet, le fameux réseau ARPAnet.

    (Crédits : RÜŞTÜ BOZKUŞ/Pixabay)

    Chaque AS utilise ce protocole pour indiquer les adresses IP de direction pour la distribution des paquets. L’Internet Protocol (IP) est utilisé pour le routage. Sans lui ils rebondissent sur l’internet sans trouver la destination. Le BGP est un élément fondateur de l’Internet. Boris Rogier écrit sur Kadiska que « comme elle doit être configurée manuellement, elle est sujette aux erreurs humaines ainsi qu’aux attaques de sécurité. Dans un contexte de services numériques mondiaux, la surveillance du comportement de BGP en termes de découverte de chemins, de surveillance des performances, ainsi que de changements de chemins, devient critique ! »

    Le voleur de mots de passe : Raccoon stealer

    Le mot de passe est partout. Par manque de culture « informatique », utopisme ou fainéantise, tout un chacun use du même : un vrai bonheur pour les cybercriminels. D’autant que depuis avril 2019, le plus populaire des infostealer est né : Raccoon. Le 14 août 2023, le raton laveur annonçait son retour. L’information était partagée sur le compte X (ex-twitter) de vx-underground.

    Mark Sokolovsky à la genèse du Raccoon infostealer est en prison depuis le mois d’octobre 2022. Sauf qu’à chaque fois qu’un individu, ou un groupe est arrêté, son code demeure. Dans l’acte d’accusation du FBI, plus de 50 millions d’identifiants (courriels, comptes bancaires, numéros de cartes de crédit, sites WEB…) avaient été volés via cet outil en 2022.

    « Après la perte de notre coéquipier, nous avons pris la décision de ne pas abandonner notre projet et de continuer notre travail en son honneur. Raccoon Stealer 2.0 a été entièrement codé depuis le début. Nouveau back-end, nouveau front-end, absolument nouveau logiciel de vol », affirme le collectif.

    (Crédits : 3export)

    Ce logiciel se déploie classiquement. Une fois votre terminal compromis, le cybercriminel peut dérober les données d’environ 60 applications différentes. Le tableau de configuration du Raccoon v1 ci-dessus permet de nombreuses possibilités. « Notre équipe a travaillé sans relâche pour vous apporter nos derniers développements qui enrichiront votre expérience avec le stealer. Nous sommes fiers de vous présenter la mise à jour avec la version numéro 2.3.0. Les changements ont été implémentés sur la base du feedback et de l’analyse des besoins de nos clients et des tendances du marché. »

  • Le site du ransomware AlphV/BlackCat saisi

    Le site du ransomware AlphV/BlackCat saisi

    Dès que vous consultez l’adresse onion du ransomware BlackCat sur le darknet une image apparaît. Ainsi que des logos bien connus : « Le bureau fédéral d’investigation a saisi ce site dans le cadre d’une action coordonnée des services répressifs à l’encontre de AlphV Blackcat ». Le 28 novembre 2023, Europol annonçait par un communiqué avoir arrêté cinq individus. Depuis le site de fuite tournait au ralenti, avant de tomber. Mais tout n’est pas perdu pour tout le monde.

    L’opération avait débuté en 2019. entre la Norvège, la France, le Royaume-Uni et l’Ukraine. En 2021, 12 personnes cibles de haute importance étaient arrêtées le 26 octobre. Les actions menées en Suisse et en Ukraine permettaient la saisie de 52 000 dollars en espèces, cinq véhicules de luxes. Les suspects ciblés avaient tous des rôles différents. Un homme de 32 ans, suspecté d’être le chef du gang, et quatre complices présumés ont été arrêtés. Était-ce la fin de la franchise AhplV/BlackCat ? Oui, mais quant aux affiliés…

    La plainte est-ce un baroud d’honneur se sachant traqué, ou un moyen de détourner l’attention. Le FBI offre jusqu’à 10 millions de dollars de récompense pour des informations permettant d’identifier ou de localiser toute personne qui participe à des activités cybernétiques malveillantes contre les infrastructures critiques des États-Unis (Crédits : capture d’écran)

    Les opérateurs avaient surpris la toile en novembre 2023. Suite à l’ajout de MeridianLink à leur site de fuite, les cybercriminels avaient porté l’affaire devant la justice américaine. « Nous voulons attirer votre attention sur une question concernant le respect par MeridianLink des règles récemment adoptées en matière de divulgation des incidents en matière de cybersécurité », écrivait AlphV. Ils se basaient sur l’article 1.05 du formulaire 8-K. Il stipule qu’après une intrusion non autorisée les victimes ont quatre jours ouvrables pour déposer devant la Securities as Exchange Commission (SEC). Le fameux article dispose à l’alinéa (a) que « si le déclarant subit un incident de cybersécurité qu’il juge important […] ». Cependant l’alinéa (d) dispose « si un déclarant soumit au 47 CFR 64.2011 est tenu de retarder la divulgation d’une violation de données en vertu de cette règle » jusqu’à 7 jours.

    Perdus, pas pour tout le monde

    Le 6 décembre, la revendication de la cyberattaque contre la DENA, l’agence allemande de l’énergie était publiée sur le site de fuite d’Alphv/BlackCat. « La DENA a été attaquée par une cyberattaque ce week-end. L’infrastructure du serveur a été attaquée », communiquait l’agence le 14 novembre 2023. Comme avait remarqué LeMagIT, la revendication est apparue sur le site vitrine de LockBit le 12 décembre.

    Le mercato est, semble-t-il, lancé. Le malheur des uns fait le bonheur des autres stipule l’adage. LeMagIT explique que « sur un forum russophone fréquenté notamment par des cybercriminels, l’opérateur de la franchise LockBit 3.0 a profité de l’occasion, et du désarroi des affidés de son concurrent, pour essayer de gonfler ses rangs. » Le groupe derrière NoEscape serait dans la tourmente également selon le tweet d’AzAl Security.

    Après Ragnar Locker, c’est AlphV/BlackCat qui voit son site vitrine disparaître. Pendant qu’il y a un site qui se ferme, un autre apparaît comme Hunters international.

  • Le département du Loiret et la « Com Com » Bresse Louhannaise touchés par des cyberattaques

    Le département du Loiret et la « Com Com » Bresse Louhannaise touchés par des cyberattaques

    Une nouvelle cyberattaque contre une collectivité française. Durant dans la nuit du 5 au 6 novembre 2023, l’incident informatique se serait déroulé. C’est le département du Loiret qui a été ciblé par des pirates informatiques. Depuis la communauté de communes, Bresse Louhannaise a fait son apparition sur le site de fuites du ransomware LockBit. Les dernières attaques L’EHPAD de Marigny-le-Lozon, le 13 octobre 2023, les hôpitaux de Vittel et Neufchâteau, et l’entreprise Le Tillet en novembre.

    Les opérateurs à l’origine de l’attaque des serveurs du Département du Loiret ont ciblé leurs victimes le week-end dernier. Par mesure de précaution, la réception et l’envoi de mails, l’accès aux serveurs ou à certains logiciels métiers ont été interrompus, explique la communication du Département. Une plainte a été déposée. L’enquête est en cours avec Orange Cyberdéfense. Leur but est de déterminer précisément l’origine et les conséquences de cette attaque.

    Depuis le 7 novembre, les équipes du Département sont à pied d’œuvre pour « résoudre » cet incident. L’accueil téléphonique est depuis accessible au 02 38 25 45 45 assure le service de communication.

    La mutualisation des ressources informatiques du CD et du SDIS a suite à l’attaque imposé la décision d’isoler immédiatement les serveurs du SDIS 45 afin de les protéger.

    La direction du SDIS 45 rassure les Loirétains et les Loirétaines dans son communiqué de presse : « Aucune conséquence n’est à déplorer sur le fonctionnement des numéros d’urgence 18/112 et la prise en charge des citoyens. Le SDIS du Loiret continue à répondre aux appels et à porter secours aux victimes. »

    Revendications du ransomware LockBit

    Les revendications des attaques par ransomware de l’entreprise Le Tillet et de la communauté de communes Bresse Louhannaise sont apparues le 5 novembre 2023.

    Sur les 376 attaques mondiales (en octobre 2023) affichées et revendiquées se trouve en tête du classement l’Amérique du Nord. En Europe, le Royaume-Uni et l’Irlande arrivent en tête avec 32 cas, dans l’est, l’Allemagne-Autriche-Suisse se contente de 20, l’un des niveaux les plus bas depuis le début de l’année.

    Valéry Rieß-Marchive, rédacteur en chef de LeMagIT note dans l’un des derniers articles qu’« après plusieurs mois marqués par des revendications de cyberattaques en grand nombre, détonant avec les observations en France et les tendances passées, octobre pourrait bien signaler le retour d’une forme de normalité. »

    Malheureusement, les fuites de données sont toujours fréquentes. Celle concernant le site LinkedIn affole les compteurs. Comme l’explique Zataz, ce sont 35 millions d’individus qui se retrouvent dans la nature. Plus particulièrement leurs adresses électroniques, fonctions, identités, entreprises… Le pirate à l’origine de ceci signe « du nom du groupe de hacker étatique américain Equation Group », écrit Damien Bancal.

  • L’entreprise française Lasotel victime du ransomware Cl0P

    L’entreprise française Lasotel victime du ransomware Cl0P

    Le 23 mars 2023, Cl0P revendiquait la cyberattaque contre l’entreprise française Lasotel. Les opérateurs usants du ransomware Cl0P ont diffusé le 3 avril 2023, sur leur site de fuite près de 11 GB de données compressées. Au final ce sont plus de 19 GB d’informations confidentielles qui sont à la portée de tout un chacun. L’entreprise fait partie d’un ensemble de sociétés sur l’hexagone victime de cyberattaque. Dont la première victime au mois de mars était la ville de Lille et la dernière le 30 mars Théus Industries.

    L’entreprise qui fournit des « solutions d’infrastructures réseau, de connectivité, de téléphonie et d’hébergement sur un réseau performant et sécurisé afin de garantir une qualité de service optimale » voit ses données exposées. Au total 15 fichiers de 700 MB et un de près de 596 MB délivre 19,1 GB d’informations de l’opérateur d’infrastructure. Des fichiers de coordonnées d’entreprises clientes au format Json, des fichiers de données format CSV de plusieurs tailles dont un de 3,2 GB…

    C’est un total de plus de 21 millions de fiches uniques comprenant des données GPS, professionnel ou individuel, l’adresse jusqu’à l’état de déploiement des systèmes que les cybercriminels ont ainsi fait fuiter : factures, documents de présentations, fichiers clients, documents de signature électronique d’e-mail… (Crédits : capture d’écran/Cl0P)

    Au début du mois de mars, la capitale du Nord subissait une attaque cybernétique. Durant la conférence de presse, la municipalité se voulait rassurante, mais consciente de la cyberattaque. « Le diagnostic technique est à cette heure toujours en cours pour déterminer l’origine et la gravité de l’intrusion ». C’est maintenant chose faite. Le 27 mars 2023, le groupe Royal Ransomware a revendiqué l’attaque qui avait visé la mairie de Lille début mars en publiant 350 GB des données dérobées sur leur site Darknet, le post est repéré par LeMagIT et Zataz.

    « Dans une note interne diffusée vendredi 31 mars aux employés de la mairie, la Ville précise que parmi les données volées se trouvent les coordonnées bancaires des agents et des élus municipaux de Lille », révèle France Bleu. (Crédits : aichinger76/Pixabay)

    Les cybercriminels du groupe « Royal Ransomware » indiquent sur leur site darknet que leurs divulgations représenteraient que 10 % des fichiers détenus. Cela sous-entend qu’ils seraient en possession de 3,5 TB de dossiers appartenant à la mairie de Lille. La commune invite ses agents et élus à surveiller leur compte en banque.

  • Le ransomware Play affiche de nombreuses victimes dont la Cave de Beblenheim en France

    Le ransomware Play affiche de nombreuses victimes dont la Cave de Beblenheim en France

    La firme outre-Atlantique A10 Networks est victime du ransomware Play. Le 7 février 2023, elle prévenait le gendarme américain des marchés boursiers qu’un « incident de cybersécurité dans son infrastructure IT corporate » s’était déroulé. La quantité de données dérobées n’est pas connue, seul un volume d’environ 4,3 Go d’informations compressées est affiché. L’Allemand InPro Electric, le Suisse Energie Pool Scheiwz, l’Italien Microgame SpA et l’Américain ACSCM accompagnent les autres victimes.

    Si l’attaque contre l’équipementier A10 Networks avait été identifiée le 23 janvier 2023, elle est ajoutée sur le site de fuite que le 9 février. La divulgation d’une partie, ou de la totalité des données exfiltrées a eu lieu le 14. Contrairement à certains, rien n’indique une diffusion complète comme ce fut le cas pour la compagnie Argentine Cetrogar ou le Français ITS Group.

    Les dernières victimes du ransomware sont plus dans l’ingénierie, les énergies ou dans le domaine de l’IT, contrairement à la Cave de Beblenheim. (Crédits : capture d’écran/Play)

    Ce dernier est à la fois « une ESN française qui a développé une expertise unique dans les infrastructures et les opérations IT, mais également un groupe d’experts qui vous accompagne dans l’ensemble de vos projets couvrant le spectre informatique. » Pour l’Écossais Arnold Clark, c’est actuellement 467 GB revendiqués en deux parties. La première compte 32 dossiers pour 15,4 Gb et la seconde se compose de 55 fichiers pour 27,4 GB compressés.

    Le français Cave de Beblenheim voit afficher 7 fichiers de données compressés. Six sont de 500 Mo et le dernier de 412,2 Mo, soit 3,3 Gb. Une fois décompressé, c’est un total de 7419 éléments pour un total de 4,9 GB. Ainsi au fil de la découverte des fichiers, de nombreux d’information clients s’étalent, et même des photos personnelles. Comme toutes industries, des magasins partenaires en France et à l’international, des factures, des listings de ventes… sont ainsi à la vue de tous.

  • L’infrastructure du ransomware Hive démantelée

    L’infrastructure du ransomware Hive démantelée

    Le ransomware Hive et son infrastructure sont démantelés, hier, jeudi 26 janvier 2023. L’infrastructure de la franchise du Ransomware-As-A-Service Hive n’est plus. Que ce soit son site vitrine, comme celui utilisé pour les négociations, plus rien n’apparaît, ou presque. À la place, une image sans équivoque. Six logos suggèrent l’implication du ministère américain de la Justice, du FBI, des Services secrets américains, d’Europol, la police du Baden-Württemberg, et de la division cybercriminalité de la police criminelle fédérale allemande.

    C’est pas une conférence de presse en ligne que les autorités américaines indiquent avoir démantelé le réseau international du ransomware Hive. L’entité réussissait à infiltrer l’infrastructure de Hive courant de l’été 2022. Depuis elle a aidé plus de 300 victimes à travers le monde, en leur fournissant les clés nécessaires au déchiffrement. Les serveurs du ransomware Hive saisis étaient situés aux États-Unis, plus exactement à Los Angeles.

    « Le ministère de la Justice n’épargnera aucune ressource pour identifier et traduire en justice toute personne, où qu’elle soit, qui cible les États-Unis États-Unis avec une attaque de ransomware nous continuerons à travailler à la fois pour prévenir ces attaques et à fournir un soutien aux victimes »

    « Nous sommes ici pour annoncer que la nuit dernière, le département de la justice a démantelé un réseau international de ransomware responsable de l’extorsion et de la tentative d’extorsion de centaines de millions de dollars à des victimes aux États-Unis et dans le monde entier. Connu sous le nom de groupe Hive ransomware, ce réseau a ciblé plus de 1500 victimes dans le monde entier depuis juin 2021 », a indiqué le procureur général des États-Unis Merrick B Garland.

    Depuis son apparition en juin 2021, le ransomware Hive a ciblé plus de 1 500 victimes dans le monde et a reçu plus de 100 millions de dollars en paiements de rançon.

    En outre, le FBI a distribué plus de 1 000 clés de décryptage supplémentaires aux victimes précédentes. Enfin, le département de la justice américaine a annoncé qu’en coordination avec les forces de l’ordre allemandes (la police criminelle fédérale allemande et le quartier général de la police de Reutlingen-CID Esslingen), et la National High Tech Crime Unit des Pays-Bas, avoir pris le contrôle des serveurs et des sites Web utiliser pour communiquer avec ses membres.

    « Les forces de l’ordre ont fourni la clé de déchiffrement aux entreprises qui avaient été compromises afin de les aider à déchiffrer leurs données sans payer la rançon. Cet effort a empêché le paiement de plus de 120 M€ de paiements de rançon », a indiqué Europol.

    Des victimes en France, comme Damart, l’ENAC subissait dans le domaine de l’aviation une attaque, et celles dont on ne connaît pas le nom. La justice américaine reconnaît la coopération essentielle du Canada, de la France, de la Lituanie, des Pays-Bas, du Portugal, de l’Espagne, de la Roumanie, de la Suède et du Royaume-Uni. En France, Europol mentionne la Police Nationale, plus précisément la sous-direction de lutte contre la cybercriminalité de la #policejudiciaire. Les autorités américaines se sont saisies des infrastructures, mais « le code demeure ».