Le grossiste Metro reconnaissait avoir été confronté à une cyberattaque le 17 octobre 2022. Deux jours avant iDealwine informait ses clients par un email que son site internet avait été victime d’une attaque informatique. Le site d’enchères de vin est de nouveau opérationnel. Les enchères prévues sont logiquement décalées. Certains nombres de données auraient pu être collectés, les dirigeants avertissent et invitent les utilisateurs à la plus grande prudence.
Dès le 17 octobre, des clients en France comme en Allemagne signalaient que les étiquettes électroniques ne fonctionnaient pas correctement. Tout comme les caisses enregistreuses, elles tombaient régulièrement en panne. « Une attaque informatique perturbe fortement l’activité des magasins du géant du commerce de gros », alertait le lendemain Frédéric Zabalza pour SudOuest. Bien plus tard, la compagnie a admis qu’elle avait été victime d’une cyberattaque. Les enquêtes diligentées par les autorités et des experts externes révélaient que l’ensemble de magasins à travers le monde avait été touché. « Aujourd’hui, vendredi, les magasins autrichiens ont connu moins de perturbations : le paiement par carte fonctionne à nouveau en grande partie », relatait le journal autrichien Krone.
Le jeudi 20 octobre, un communiqué de presse de la maison-mère du groupe tombe. Il confirme qu’une « cyberattaque sur les systèmes de Metro » est la « cause de l’indisponibilité de l’infrastructure IT » du groupe. Pas un mot sur l’implication d’un ransomware ou non de la direction. (Crédits : RetailDetail)
iDealwine de nouveau accessible
Deux jours avant les soubresauts ressentis par Metro, le site d’enchères en ligne iDealwine envoyait un email pour informer ses utilisateurs qu’il avait subi une attaque informatique. Sept jours plus tard, il déclarait son retour en ligne. « Chère cliente, cher client, nous sommes heureux de vous annoncer que le site iDealwine est à nouveau opérationnel ». L’enseigne met tout de même en garde ses usagers. En effet les noms, adresses postales, numéros de téléphone et adresses email pourraient avoir été collectés par un tiers lors de cette attaque. En revanche, iDealwine assure que les données bancaires « ne sont jamais conservées sur leurs serveurs » et qu’elles ne peuvent avoir été compromises.
« Nous vous recommandons vivement de choisir une combinaison plus robuste, comportant des majuscules, minuscules, chiffres et caractères spéciaux. Votre nouveau mot de passe doit contenir 12 caractères au minimum », conseille le site d’enchères. (Crédits : capture d’écran iDealwine)
Le site « cartedepeche » prévient de possibles hameçonnages
L’intrusion informatique du 8 septembre 2022 sur la filiale d’Orange Business Services Eolas affiche de nouvelles possibilités de phishing. Les adhérents au site sont susceptibles re recevoir des SMS ou emails prochainement. « Après des investigations approfondies menées par le prestataire, nous avons appris une fuite de données issues de notre site », communique la fédération nationale de la pêche en France. Les données concernées sont du même acabit que iDealwine, à savoir prénom, nom, sexe, date de naissance, adresse postale, email, mot de passe et même photo.
Sur leur site de fuite, les opérateurs derrière le ransomware Vice Society ont revendiqué l’attaque contre le département d’Indre-et-Loire. La cyberattaque serait survenue dans la nuit du 10 au 11 juillet 2022. Le département affichait son désarroi par un communiqué de presse le 12 juillet 2022. « L’ANSSI accompagnée de la cellule de cybercriminalité du ministère de l’Intérieur poursuivent les investigations approfondies sur les causes de l’attaque qui a corrompu les trois quarts de ses installations informatiques (environ 250 serveurs informatiques bloqués). »
Une plainte avait été déposée auprès du Commissariat central de Police de Tours et de la Commission nationale de l’informatique et des libertés (CNIL), indiquait le Conseil général dans son communiqué du 12 juillet 2022. Dans le même document, la « Touraine » se targuait d’avoir fin d’année 2021 demandée un audit, semble-t-il, à l’Agence Nationale de la sécurité des systèmes d’information pour un coût de 50 000 €. « L’audit a démontré que la sécurité informatique n’était pas sans faille, mais que le niveau de protection de l’Indre-et-Loire était au-dessus de la moyenne des départements et a fait des préconisations d’amélioration qui ont commencé à être suivies. »
Sur leur page Facebook, les services publics du département communiquaient sur l’attaque informatique dont ils venaient d’être la victime. L’agence nationale de la sécurité des systèmes d’information, nommée la « Sécurité Informatique » œuvrait sur place. (Crédits : Département de la Touraine/Facebook)
Le communiqué indique avoir un audit au-dessus de la moyenne des départements. Le point important n’est pas la note obtenue, mais si le niveau de sécurité des systèmes d’information. Est-il de nature à retarder, voire décourager les opérateurs malveillants ? Si vous avez une note supérieure à la moyenne de la classe et que celle-ci est à 18/20, le niveau de sécurité et la culture informatique sont excellents. Dans l’hypothèse où la moyenne est à 4/20, être au-dessus c’est bien, mais quand vous obtenez, par exemple 8/20 ? « Le Département prendra toutes les mesures nécessaires afin de protéger les données personnelles placées sous sa responsabilité », ajustait l’entité.
La Nouvelle République du Centre-Ouest expliquait début août, selon les informations en leurs possessions que « si aucun vol de données n’a été détecté, la cyberattaque survenue dans de la nuit du 10 au 11 juillet 2022, a paralysé de nombreux services au conseil départemental d’Indre-et-Loire. » Or, ce jeudi 18 août à 3 h 19, des données du Conseil général d’Indre-et-Loire sont divulguées. Le ransomware Vice Society les diffuse sous la forme de cinq dossiers principaux. Intitulé General, Direction, DGAT Direction générale, DGAT Pole Coordination et Form. Puis une arborescence propre à chaque dossier. Ainsi des bulletins de paye, des inventaires de masque durant la période, des changes de courriels notamment sur la sécurité informatique et le télétravail sont exposés. Comme le sont les huit communes italiennes, avec plus de 2 TB d’informations jetées en pâture.
Après la cyberattaque de la société Helios à la fin du mois de juillet 2022, revendiqué par la franchise LockBit 3.0, et Vygon en Espagne, c’est le groupe français Damart qui affiche désormais le désarroi d’une attaque informatique. Le site montrait hier soir aux alentours de 20 h le message « nous sommes désolés pour la gêne occasionnée, mais nous effectuons une maintenance en ce moment ». L’information est maintenant affirmée. Les serveurs de la compagnie ont fait l’objet d’une tentative d’intrusion.
« Nos équipes ont réagi immédiatement pour prévenir toute attaque, mais les protocoles de sécurité mis en place affectent néanmoins temporairement certains de nos services, y compris notre site et les livraisons. À ce jour, aucune fuite de données n’a été détectée », peut-on lire sur le site de Damart. LeMagIT indique avoir sollicité par téléphone la marque. « Un porte-parole du groupe explique que Damart est effectivement confronté à une cyberattaque et qu’une intrusion a pu être détectée avant que ne soit déclenché le chiffrement de systèmes dans son environnement IT ».
Hier soir, la marque semblait déjà être aux prises de la cyberattaque, rien n’a transpiré de l’enquête en cours. Pour le moment il ne sers à rien de fantasmer le type d’attaque, encore moins d’indiquer qu’il s’agit d’une attaque par codes malveillants de type ransomware. (Crédits : capture d’écran/Damart)
De nombreux applicatifs sont mise à l’arrêt afin d’éviter des dégâts supplémentaires. Les services de livraison et le site sont actuellement en pause. L’enseigne espère un retour à la normale pour la semaine prochaine. L’enquête est en cours. « À ce jour, aucune fuite de données n’a été détectée. Notre mobilisation demeure pleine et entière pour rétablir l’ensemble de nos services dans les meilleurs délais », communique la marque.
Les attaques informatiques sont fleuves cet été. La dernière en date est de taille, il s’agit de la firme Cisco Systems. Les opérateurs derrière les Ransomware-as-a-Service tel que LV Blog pour Valverde Hotel, RansomHouse pour les communes de San Godenzo, Londa, Pelago, Pontassieve, Regello, Rufina et l’union de Valdarno et Valdisieve en Italie. Les systèmes d’information sont mis à rudes épreuves. Même au Canada, l’union des producteurs agricoles est attaquée.
Il ne passe pas une semaine sans que les gros titres de la presse, « print et WEB » ne mentionne une cyberattaque, un ralentissement informatique… La plupart du temps, la faille intervient entre l’ordinateur et le fauteuil. Au Canada, l’union des producteurs agricoles est paralysée depuis le 6 août 2022. Les fichiers partagés sur le réseau interne, le service de paie, et d’autres entités nécessaires à l’UPA sont indisponibles. Les fédérations régionales sont touchées par ricochet. « Ce qu’on ne sait pas présentement, c’est si les pirates ont volé de l’information, c’est ce qu’il faut être en mesure d’évaluer », affirme le directeur général Charles-Félix Ross. Les équipes travaillent à rétablir l’ensemble des systèmes exempt de tout code malveillant.
Les opérateurs derrière le ransomware « RansomHouse » mettent à disposition plus de 2 téraoctets de données sur leur site de fuite. LockBit 3.0, BlackCat, LVBlog, CL0P, Quantum… les cyberattaques sont extrêmement fréquentes. (Crédits capture d’écran/Ransom House)
Ils indiquent d’ailleurs leur stupéfaction : « une nouvelle pandémie fait rage dans les structures gouvernementales italiennes ! Le principal symptôme est le fait d’avoir des mots de passe comme 12345678 pour les ressources critiques qui stockent des données sensibles, ce qui entraîne des conséquences assez prévisibles et menace les gens ordinaires. »
Comme pour CASA en Belgique, les communes italiennes voient des renseignements confidentiels et privés diffusés. En Belgique, les prénoms, noms, adresse électronique, numéros de téléphone peuvent utilisés à mauvais escient. (Crédits : Capture d’écran)
Si aucune communication n’est encore avérée pour l’établissement portugais, Valverde Hotel basé à Lisbonne, l’enseigne CASA quant à elle renseigne et invite chaque client à une surveillance accrue pour pallier un possible phishing. « Le 1er août 2022, CASA a été victime d’une attaque par ransomware menée par un groupe de pirates informatiques. Nos systèmes de sécurité l’ont détecté à court terme. Nous n’avons pas pu empêcher le cryptage de nos systèmes informatiques et la fuite de certaines données personnelles », explique la compagnie.
Pour l’instant seule une arborescence des systèmes est divulguée. Selon Bleeping Computer, 2,8 GB de données seraient volées. Il y a bien eu intrusion non autorisée, mais pas de déploiement de ransomware. (Crédits : capture d’écran/Yanlouwang)
« Cisco a connu un incident de sécurité sur notre réseau d’entreprise fin mai 2022 », mentionne un porte-parole de Cisco. La société aurait immédiatement pris des mesures pour contenir et éradiquer les menaces. Ce n’est que dernièrement, le 10 août 2022 que les opérateurs, revendiquant appartenir à l’entité « Yanlouwang », affirment avoir dérobé des informations. Entre temps, LeMagIT explique que les attaques même sophistiquées n’auraient pas été concluantes. En effet « les équipes de Cisco assurent n’avoir pas trouvé d’indication d’un éventuel accès à des systèmes critiques […] ».
L’entité Caisse Centrale de Réassurance (CCR) semble, semble, en ce lundi 4 juillet, avoir arrêté plusieurs services produits par son système d’information, à commencer par son site Web. Selon « plusieurs sources concordantes » explique LeMagIt, l’organisation serait confrontée à une attaque informatique dans lequel est impliqué un logiciel malveillant de chiffrement. Ce qui laisserait penser à une attaque par codes malveillants de type ransomware. Le groupe n’a effectué aucune communication à ce sujet.
Le site internet de la caisse centrale de réassurance n’est plus accessible depuis hier, il semble être mis en quarantaine. Selon LeMagIt, l’incident informatique aurait eu lieu au sein d’un système d’information, avec le déclenchement d’un maliciel dont le but est le chiffrement des données. Le groupe CCR est un réassureur public offrant une couverture contre les catastrophes naturelles depuis 1982. Il est classé parmi les 25 premiers réassureurs au monde.
Impossible d’accéder au site WEB. Le groupe n’a publié qu’un seul tweet le 4 juillet 2022, annonçant que jeudi de 14 h à 15 h 30, ThierryCohignac, directeur adjoint des réassurances et fonds publics chez CCR, participera à une conférence lors de l’événement « Les assises du #NewSpace » qui se déroulera les 7 et 8 juillet 2022 à STATION F.
Crée en 1946, la caisse centrale de réassurance (CCR) est une entreprise publique détenue intégralement par l’État français. La mission consiste à réassurer ce qui ne l’est pas par le marché. C’est-à-dire les risques de guerre, risques nucléaires, catastrophes naturelles, les dommages matériels dus à des attentats et actes de terrorisme. Depuis 1992, elle est une société anonyme. Ce fait assure à « garantir à ses partenaires des collaborations pérennes et solides ». En 2007, le groupe a créé la filiale CCR Re dédiée aux activités de réassurance de marché.
La compagnie mexicaine Sysol a subi une attaque informatique de ses systèmes vers le 15 mai 2022 selon la date des documents publiés en ligne sur le site de fuite du ransomware. L’absence de culture de la prévention, la proximité des États-Unis et le laxisme des lois font du pays une cible privilégiée des cybercriminels, avertissent les experts, écrivait Excelsior le 14 mai 2022. L’entreprise propose ses services en surveillance vidéo, en détection incendie…
Elle indique sur son site se consacrer à fournir des solutions « pour vos besoins actuels et futurs en matière de réseaux, de sécurité et d’informatique, en utilisant des produits à la pointe de la technologie et en fournissant des services de haute qualité. Actuellement, nous nous concentrons sur des domaines spécialisés pour servir différents marchés, offrant une solution intégrée pour répondre à vos exigences particulières, assurant le succès de votre projet. » Elle intervient dans diverses lieux du Mexique, sur des systèmes de contrôle d’accès et d’identification, entre autre et possèdent des bureaux dans les villes de Ciudad Juárez, Chihuahua, Reynosa, Hermosillo et Monterrey
Les attaques informatiques permettent, en cascade de cibler d’autres entreprises à travers les données récupérées. (Crédits : capture d’écran)
Les données du Threat Intelligence Lab de Fortinet précisent que le Mexique a enregistré 80 millions de tentatives d’attaque informatique au cours du premier trimestre 2022, soit 65 % de l’ensemble en Amérique latine au cours de cette période. Les cybercriminels ciblent les particuliers, les entreprises et les institutions au Mexique. La raison est l’absence de « culture de la prévention, de la situation géographique du pays, de la faiblesse de la réglementation et de l’absence de politique nationale contre les cyberattaques. »
Selon l’étude récente de Sophos, The State of Ransomware 2022, 74 % des sociétés mexicaines ont été frappées par des ransomwares l’année dernière, soit une augmentation significative par rapport aux 25 % de 2020. La France est juste derrière avec 73 % de sociétés affectées. (Crédits : LeMagIT)
« Parmi les 74 % d’entreprises qui ont subi une attaque par ransomware, 57 % ont vu leurs données chiffrées et ont pris différentes mesures pour les récupérer. Les secteurs les plus touchés sont les médias, l’énergie, le pétrole et le gaz, l’éducation et la santé », a déclaré Juan Aguirre, responsable de l’ingénierie commerciale de Sophos pour l’Amérique latine.
8 Go de renseignements, des schémas électroniques d’implantations, les numéros de série des boîtiers numériques changés, mais également les listes de composants informatiques d’ordinateurs, factures, RIB, QR code… ou des photos avec les chemins d’accès sous Windows XP. (Crédits : capture d’écran)
La startup mexicaine de cybersécurité Silikn, basée à Querétaro, déclenchait l’alerte le 10 mai 2022 suite aux attaques menées par les opérateurs derrière le ransomware Conti contre des agences gouvernementales au Costa Rica et au Pérou. De plus, elle mettait l’accent sur la possibilité qu’en raison du profil de Conti et des vulnérabilités détectées, les institutions gouvernementales du Mexique que sont Instituto Mexicano del Seguro Social, Secretaría de Salud, Secretaría de Hacienda y Crédito Público, Petróleos Mexicanos, Banco de México, Secretaría de Bienestar et Fondo Nacional de la Vivienda para los Trabajadores, pourraient être attaquées au cours des deux prochaines semaines.
Le groupe aurait fait son apparition au mois de décembre 2021. Ils ont commencé par cibler principalement des victimes de langue portugaise, telles que l’entreprise de médias Impresa et aussi le ministère de la Santé du Brésil. Mais il s’est fait remarquer par le vol de données chez de grandes compagnies que sont Nvidia, Samsung, Ubisoft, ou encore Microsoft. Dernier en date, Okta. L’entreprise a nié avoir été compromis et enquête sur les revendications d’une violation de données supposée.
Comme l’organisation de Ransomware-as-a-Service, LockBit 2.0, le groupe #Lapsus$ est prolifique. Il semble cependant se concentrer exclusivement sur le vol de données et l’extorsion. Okta Inc, dont les services d’authentification sont exploités par de nombreuses sociétés telles Fedex Corp, Moody’s Corp, Ymeris, Engie, Unify… pour donner accès à leurs réseaux, a déclaré mardi 22 mars 2022 qu’elle avait été attaquée par des « pirates informatiques » et que certains clients avaient pu être affectés.
En février 2022, Lapsus$ a volé 1 To de données à Nvidia, notamment des renseignements sensibles, du code source, des noms d’utilisateur et des mots de passe. Quelques jours plus tard, ils ont annoncé avoir volé 190 gigaoctets à Samsung, des informations sur le système d’authentification biométrique du smartphone Galaxy. (Crédits : capture d’écran)
Mardi 22 mars 2022, à 4 h 9, Lapsus$ revendiquait sur son canal Telegram, une cyberattaque contre Okta. Dans son message, le groupe précise ne pas avoir accédé à des bases de données de l’éditeur ni en avoir subtilisé, leur « intérêt s’est uniquement porté sur les clients d’Okta ». La firme américaine a publié sur son site Web qu’une « tentative infructueuse de compromission du compte d’un ingénieur de support client travaillant pour un prestataire tiers » s’était produite. Mais assure qu’il n’y a pas eu de brèche, que ses services « restent pleinement opérationnels », sans qu’aucune action corrective ne soit nécessaire du côté de ses clients. « Pour un service qui alimente les systèmes d’authentification de nombreuses grandes entreprises (et approuvé par FEDRAMP), je pense que ces mesures de sécurité sont plutôt médiocres […] », revendiquait Lapsus$.
Le 10 mars 2022, Ubisoft a publié une déclaration confirmant qu’elle avait subi une violation de ses systèmes. Quant à la firme américaine, elle indique « poursuivre l’investigation », notamment pour « identifier et contacter les clients qui pourraient avoir été contactés ». (Crédits : capture d’écran)
L’ampleur du méfait n’est pas connue, mais un piratage d’Okta pourrait avoir des conséquences majeures. En effet des milliers d’entreprises comptent sur cette société pour gérer l’accès à leurs propres réseaux et applications, comme en France, Foncia, Renault, Kiwi, BazarVoice… Okta a déclaré que la violation pourrait être liée à un incident antérieur survenu en janvier.David Bradbury, responsable de la sécurité chez Okta, confirmait par un billet que des assaillants ont bien eu la main sur l’ordinateur portable d’un ingénieur, entre les 16 et 21 janvier 2022. Mais que « l’impact potentiel sur les clients d’Okta est limité à l’accès dont disposent les ingénieurs de support. »
Si votre entreprise emploie Kronos, sur les semaines à venir, il se peut que vous ne puissiez pas l’utiliser pour pointer vos entrées et sorties de travail. La compagnie de gestion des ressources humaines Ultimate Kronos Group a été la cible d’une infection par ransomware. Il entrave l’accès de ses clients au traitement de la paie, à la gestion des feuilles de temps, mais également à elle de leur personnel. La période de fêtes de Noël risque d’être entachée des conséquences de cette attaque.
Parmi les clients de renom qui exploitent les systèmes de la firme figurent Tesla, Puma et le YMCA, pour ne citer qu’eux. L’attaque a également touché KronosWorkforceCentral, qui contient une suite de solutions de gestion de la main-d’œuvre. Celle-ci est utile pour administrer le temps et les présences, les absences, la planification et bien plus encore.
Dans un premier communiqué samedi 11 décembre 2021, la direction affirmait qu’elle avait pris acte d’une activité inhabituelle impactant les solutions UKG utilisant Kronos Private Cloud, et qu’un ransomware avait ciblé ce dernier. « Pour l’instant, nous n’avons pas connaissance d’un impact sur UKG Pro, UKG Ready, UKG Dimensions ou tout autre produit ou solution UKG, qui sont hébergés dans des environnements séparés et non dans le Kronos Private Cloud », a écrit Bob Hughes, vice-président exécutif de Kronos. C’est la mise à jour de Kronos Private Cloud qui aurait été frappée par une attaque de ransomware.
De nombreuses entreprises mais également des administrations sont touchées, comme la ville de Cleveland, dans l’Ohio, dont on voit le marché, ci-dessus. (Crédits : Fuji Nakama/Pixabay)
Les produits de chronométrage de Kronos sont utilisés par des entreprises au Royaume-Uni, notamment la chaîne de supermarchés Sainsburys, Boots the Chemist et Jaguar Land Rover, mais pas seulement. Outre-Atlantique l’université de Clemson en Caroline du Sud, l’hôpital universitaire de Winthrop à Long Island, ainsi que par des administrations locales et d’État comme le comté de Santa Clara, ou la ville de Cleveland. Par l’envoi de courriels, aux entreprises clientes, la firme confirme que l’entreprise a mis hors ligne ses services de cloud privé suite à une attaque de ransomware. Elle conseille de déployer des « protocoles alternatifs de continuité de l’activité », ce qui pourrait avoir des conséquences sur les salaires de Noël des Britanniques, souligne The Register. En effet, le service de chronométrage est en relation avec les systèmes de paie des sociétés, permettant de régler chaque membre du personnel en fonction du temps travaillé.
Plusieurs semaines
Le message de la victime est sans surprise, le rétablissement du service complet prendra « plusieurs semaines ». Cela dit, l’expectative est la plus totale, pour savoir si la vulnérabilité Log4j d’exécution de code à distance a été le moyen d’accès des attaquants. Valéry Rieß-Marchive, Rédacteur en chef de LeMagIT, explique que toutes les conversations de la planète cybersécurité ne tournent qu’autour d’un seul sujet : la vulnérabilité dite Log4Shell, référencée CVE-2021-44228. Il suffit de lire que le patch est un correctif d’urgence pour combler une faille critique d’exécution de code sans authentification dans un utilitaire de journalisation largement utilisé, pour attraper une sueur froide.
Gareth Corfield prophétisait en préambule par « préparez-vous à passer un week-end très chargé en atténuation et en correctifs », dans son article. (Crédits : capture d’écran/UKG)
La direction d’UKG s’accordait sur l’ampleur de l’incident et déclare que « […] nous avons alerté nos clients concernés et informés les autorités, et nous travaillons avec des experts en cybersécurité de premier plan. Nous reconnaissons la gravité du problème et avons mobilisé toutes les ressources disponibles pour soutenir nos clients et travaillons avec diligence pour restaurer les services affectés. »
C’est l’infection de plus d’un million de victimes, et jusqu’à 1500 entreprises, par le ransomware « REvil/Sodinokibi » qui fait la une des différentes presses, qu’elles soient en version papier, web, radiophonique ou télévisuelle. Pour autant, quand le tout numérique est le fer de lance des sociétés et des gouvernements de la planète, faut-il s’étonner ? Notre santé, nos comptes en banque, nos vies sur les réseaux « sociaux »… tout est data, donc tout est monnayable !
Le monde paye pour apprendre. Cette formule, souvent reprise dans les articles sportifs, illustre le futur. De nombreuses entreprises font les frais de cybercriminels. La différence se fait sur le point de vue. Ainsi, tapis dans l’ombre, ils traquent la faille, l’exploit…
Kaseya atteint par un crochet au menton
Ce lundi 5 juillet 2021, le monde se réveille groggy avec cette affaire, lorsque l’on regarde les journaux nationaux et internationaux. La firme revendique : « Avec Kaseya, proposez des services de gestion, de surveillance et de sécurité informatique de tout premier ordre. Rendez vos équipes plus productives sans augmenter vos ressources, grâce à des solutions de gestion informatiques évolutives, sécurisées et fiables. » Cela dit, la protection totale n’existe pas. Vous ne pouvez arrêter un individu voulant voler, il est primordial de prendre des dispositions. « Installer une porte blindée, de dernière génération, à l’entrée de votre domicile, ne vous dispense pas de fermer les fenêtres de derrière, restées ouvertes. »
Cyrille Chausson, sur le site « LeMagIT », écrit un article en 2019 à ce sujet. « La société propose une plateforme unifiée qui permet de centraliser la gestion des composants clés d’une infrastructure pour les PME. De la gestion des accès et des identités jusqu’à celle des terminaux utilisateurs », explique-t-il. Les grandes entreprises ont pléthores de tâches journalières, et, comme tout un chacun, délègue. Kaseya s’est fixé comme mission d’offrir une plateforme unifiée multi-usage.
La quantité des terminaux touchés peut effrayer, c’est l’effet domino observé depuis les infections des opérateurs derrière les différents ransomwares. Certains mettent la clé sous la porte, quand d’autres commencent, à l’instar de Lorenz, Hive, Grief, Prometheus ou Vice… (Crédits : capture d’écran)
Sa cible, les établissements de taille moyenne ou intermédiaire, elles comptent de 1 à 4 000 salariés. Pour ces sociétés, le management de l’infrastructure IT n’est pas un sujet pour elles. Cette dernière a besoin d’être définie pour comprendre l’ampleur de l’infection par codes malveillants. « L’infrastructure de la technologie de l’information (IT) fait référence aux composants combinés nécessaires au fonctionnement et à la gestion des services et des environnements informatiques de l’entreprise. »
Un retex (NDLR Retour d’expérience) sera effectué pas tant pour blâmer, mais pour en tirer les leçons indispensables.
L’entreprise Kaseya n’est pas une inconnue du Vieux Continent. La multinationale y réalise un tiers de son chiffre d’affaires. Le Royaume-Uni et l’Allemagne sont les marchés les plus porteurs sur cette zone. La France est certes en retrait, mais avec l’Allemagne, il s’agit du pays qui connaît la plus forte croissance, assure encore le CEO (NDLR chief executive officer ou président-directeur général). La conformité avec le RGPD fait partie des préoccupations des entreprises hexagonales, attirées par Kaseya.
Plus de 1500 cyberattaques au 1er juillet
« Nous avions compté plus de 1 600 attaques avec ransomware en 2020. Au premier juillet, nous en étions à environ 1 500. Ce chiffre a été largement dépassé le lendemain, du fait des activités du gang REvil, avec le rançongiciel Sodinokibi », relate Valéry Marchive. La demande de rançon est de 70 millions de dollars en Bitcoins, ce qui représente 45 000 par société. Une baisse de 11 % de la somme est concédée par les opérateurs, après d’âpres discussions. Ou, comme l’écrivent les chercheurs de chez Sophos, l’oublie d’effacement des snapshots de Windows, les Volume Shadow Copies, ouvrant la voie à des restaurations simplifiées, pourraient être à l’origine de la ristourne.
« Certains facteurs se distinguent dans cette attaque par rapport aux autres. Premièrement, en raison de son déploiement massif, REvil ne fait aucun effort apparent pour exfiltrer des données. Les attaques ont été personnalisées dans une certaine mesure en fonction de la taille de l’organisation, ce qui signifie que les acteurs de REvil ont eu accès aux instances du serveur VSA et ont pu identifier les clients individuels des MSP comme étant différents des grandes organisations. Et il n’y avait aucun signe de suppression des Shadow Copies, un comportement courant chez les ransomwares qui déclenchent de nombreuses défenses contre les logiciels malveillants. »
Le Cabinet est implanté à Paris, Bordeaux, Lille et Lyon, plaide dans toute la France. Il collabore avec de nombreuses associations de victimes de dommages corporels (l’UNAFTC, l’AVIACAAM…). Rémy LE BONNOIS est membre fondateur de l’association ANADAVI. (Crédits : Capture d’écran)
Lors d’une audition à huis clos, début juin, par la Commission de la défense nationale et des forces armées de l’Assemblée nationale, Guillaume Poupard, directeur général de l’Agence nationale pour la sécurité des systèmes d’information (ANSSI), indiquait qu’« après avoir détecté 15 000 attaques possibles sur les serveurs de Microsoft Exchange, nous avons prévenu les quelques milliers de victimes potentielles que nous avons réussi à joindre, 3 % d’entre elles seulement nous ont répondu ». Cette situation met en exergue les disparités de statut et de fonctionnalité entre les gendarmes du genre. Une différence notable des pouvoirs de l’ANSSI de son homologue outre-Atlantique.
« Je saisis cette occasion pour vous dire qu’il manque à l’ANSSI un pouvoir d’injonction. […] Il est inacceptable que des gens auxquels on dit : “Vous êtes assis sur une bombe”, ne traitent pas la question. Une disposition légale donnant à l’ANSSI un pouvoir d’injonction serait une étape supplémentaire […] dans une logique d’accompagnement de la montée en compétences, mais il en va de la cybersécurité nationale », martèle Guillaume Poupard.
Aux États-Unis, ils peuvent utiliser un pouvoir d’injonction, récemment durci. Quand une faille du type de celle qui a affecté Microsoft Exchange est détectée, le Cybergendarme écrit à toutes les agences fédérales en leur prodiguant 48 heures pour les corriger, après quoi la sanction tombe. (Crédits : capture d’écran)
Pas moins de 28 attaques ont été perpétrées en France pour le mois de juin. Conti se taille la part du lion avec au forum du bâtiment SAS, Brangeon Groupe, Cerfrance Côtes-d’Armor, Maître Prunille, Voltalia, groupe Traon Industrie Développement, Assu2000 (29/06). Everest cible les entreprises françaises. Ils diffusent 820 GB de données relatives au cabinet Rémy Le Bonnois, mais pas seulement. L’imprimerie Lamazière, Epsilon hydraulique, Always international, Assurances et Courtage lyonnais, Alltech France, Groupe Confiance Immobilier, Xefi. REvil s’est attaqué à Tendriade, le groupe LV à Demarne Frères, Xing à Aqualung Trading. Saint-Avold Synergie, Pont-Saint-Esprit, PRB, Camaïeu, Deux-Sèvres Habitat, Sepur, CCI Bordeaux-Gironde, ou encore la commune de Villepinte et Lenaja par Grief.
